Analyse Hitjack This Pb spywars

Question

Bonjour j'ai quelques soucis sur mon pc deux logiciels : shopping wizard et search extender que je ne peu supprimer !!!Ensuite beaucoup de pop up venant de ''only the best''Et la page de démarrage que je ne peux changer !!!Je post le log de hitjack this si vous pouvez m'aiderLogfile of HijackThis v1.98.2Scan saved at 10:34:45, on 23/09/2004Platform: Windows XP SP1 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\System32\Ati2evxx.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exeC:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exeC:\WINDOWS\system32\spoolsv.exeC:\Program Files\Norton AntiVirus
avapsvc.exeC:\WINDOWS\Explorer.EXEC:\Program Files\Norton AntiVirus\SAVScan.exeC:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exeC:\WINDOWS\System32\RunDll32.exeC:\WINDOWS\system32\CmWatch.exeC:\Program Files\Synaptics\SynTP\SynTPLpr.exeC:\Program Files\Synaptics\SynTP\SynTPEnh.exeC:\WINDOWS\AGRSMMSG.exeC:\Program Files\Cyberlink\PowerCinema\PCMService.exeC:\Program Files\Fichiers communs\Symantec Shared\ccApp.exeC:\WINDOWS\system32\adddp32.exeC:\WINDOWS\System\SmWizard.exeC:\WINDOWS\hh.exe:wiaolC:\Program Files\Messenger\msmsgs.exeC:\Program Files\Internet Explorer\IEXPLORE.EXEC:\Program Files\Internet Explorer\IEXPLORE.EXEC:\Documents and Settings\Alban\Mes documents\Drivers + Logiciels\Anti espions pb pub pc\hitjack this\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\aphsl.dll/sp.html#29836R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\aphsl.dll/sp.html#29836R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blankR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\aphsl.dll/sp.html#29836R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\aphsl.dll/sp.html#29836R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\aphsl.dll/sp.html#29836R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\aphsl.dll/sp.html#29836R3 - Default URLSearchHook is missingO2 - BHO: (no name) - {A3ADFA24-B6C7-2903-DCA0-B839562EC0DC} - C:\WINDOWS\crps.dllO2 - BHO: (no name) - {BD520615-A0FE-2B41-04CA-59FA6ED5EFA4} - C:\WINDOWS\system32\winvn32.dllO2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dllO3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocxO3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dllO4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exeO4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exeO4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWndO4 - HKLM\..\Run: [CmCardRun] C:\WINDOWS\system32\CmWatch.exeO4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exeO4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exeO4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exeO4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exeO4 - HKLM\..\Run: [PCMService] "C:\Program Files\Cyberlink\PowerCinema\PCMService.exe"O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Program Files\Fichiers communs\Symantec Shared\Security Center\UsrPrmpt.exeO4 - HKLM\..\Run: [adddp32.exe] C:\WINDOWS\system32\adddp32.exeO4 - HKLM\..\RunOnce: [netfr.exe] C:\WINDOWS\system32
etfr.exeO4 - HKLM\..\RunOnce: [wiaol] C:\WINDOWS\hh.exe:wiaolO8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLLO17 - HKLM\System\CCS\Services\Tcpip\..\{12FB09FD-9090-4B94-AD1C-C8B18E8A5909}: NameServer = 172.30.80.44Merci bcp

Utilisateur anonyme · Answer

bonjour

va ici faire une analyse auto de ton log
fait une vérification sur les lignes incriminées dans Google
http://www.hijackthis.de/
fixe dans l'hijack
ferme-le
reboot ton ordi
vide ton cache internet + la corbeille + nettoyage de disque

télécharge spybot 1.3 et ad-aware se

http://telechargement.zebulon.fr/36-Ad-Aware-SE-Personal-edition-1.03.html
http://telechargement.zebulon.fr/79-Spybot---Search-&-Destroy.html

les tutos
* le tuto ad-aware : http://www.cestfacile.org/adaware6ut.htm
* le tuto spybot 1.3 : http://tomcoyote.com/SPYBOT/indexfr.php

vérrouille ta page avec l'hijack (tes lignes R1 son vérolées..)
vérrouille TOUT avec spybot (mode silencieux/blocage page de démarrage etc etc.....)

si tu veux un p'tit coup de main, n'hésite pas

:-) @+

*Devise : Je m'intéresse à l'avenir parceque
c'est là que je vais passer le reste de ma vie*

Utilisateur anonyme · Answer

ferme internet explorer coche c lignes ensuite clike sur" fixed checked"C:\WINDOWS\system32\CmWatch.exe C:\WINDOWS\system32\adddp32.exe  C:\WINDOWS\hh.exe:wiaol   ( ja'i un doute au sujet de cette ligne si tu connais pas tu la fix)R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\aphsl.dll/sp.html#29836 R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\aphsl.dll/sp.html#29836 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\aphsl.dll/sp.html#29836 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\aphsl.dll/sp.html#29836 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\aphsl.dll/sp.html#29836 R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\aphsl.dll/sp.html#29836 R3 - Default URLSearchHook is missing O2 - BHO: (no name) - {A3ADFA24-B6C7-2903-DCA0-B839562EC0DC} - C:\WINDOWS\crps.dll O2 - BHO: (no name) - {BD520615-A0FE-2B41-04CA-59FA6ED5EFA4} - C:\WINDOWS\system32\winvn32.dll pour C o4 il est preferable de terminé leur tache dans le gestionaire (ctr/alt/supprime) avant de les fixéO4 - HKLM\..\Run: [CmCardRun] C:\WINDOWS\system32\CmWatch.exe O4 - HKLM\..\Run: [adddp32.exe] C:\WINDOWS\system32\adddp32.exe O4 - HKLM\..\RunOnce: [netfr.exe] C:\WINDOWS\system32
etfr.exe O4 - HKLM\..\RunOnce: [wiaol] C:\WINDOWS\hh.exe:wiaol redemare en mode sans echec : 1.redemarre en mode sans echec (redemarage + tapotte sans arret sur F8 desque l'ordi s'allume) 2. desactive ta restaraution (si ta le xp ) comme ceci  :clike droit sur post de travaille/proprietes/restauration system et la tu coche desactiver la restauration du systeme tu applique3.  affiche les fichier cacher comme ceci : clicker sur demarrer/panneau de configuration/option des dossiers/affichage Cocher afficher les dossiers cacher Décoche la case "Masquer les fichiers protégés du système d'exploitation (recommandé)" Puis fais «Ok» pour valider les changements. Decocher masquer les extentions dont le type est connues 4.ensuite va dans demarrer/rechercher et tape: aphsl.dllcrps.dll winvn32.dll netfr.exe ( si tu connais pas ce fichier supprime le)suprime les et tu vide ta corebeille ensuite ^passe un coup d'antispyware (adware, spybot...ect) si le probleme persiste refait un scan et colle le resultat ici @+++++++++++

Alex063 · Answer

Merci je vais faire le test dès ce soir en rentrant du travail et je vous tiens au courant !! Merci pour votre rapidité et les explications claires !!!!

Utilisateur anonyme · Answer

de rien ;-) alex. telecharge aussi la google tool bar http://toolbar.google.com/intl/fr/ tres efficace contre les pop upkikou dolly :-) ca va?@+++++++

Alex063 · Answer

coucou je viens de faire ce que Jess ma conseillé et le nouveau log donne ca : Logfile of HijackThis v1.98.2Scan saved at 16:10:37, on 23/09/2004Platform: Windows XP SP1 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\System32\Ati2evxx.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exeC:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exeC:\WINDOWS\system32\spoolsv.exeC:\WINDOWS\Explorer.EXEC:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exeC:\WINDOWS\System32\RunDll32.exeC:\Program Files\Synaptics\SynTP\SynTPLpr.exeC:\Program Files\Synaptics\SynTP\SynTPEnh.exeC:\WINDOWS\AGRSMMSG.exeC:\Program Files\Cyberlink\PowerCinema\PCMService.exeC:\Program Files\Fichiers communs\Symantec Shared\ccApp.exeC:\Program Files\Fichiers communs\Symantec Shared\Security Center\UsrPrmpt.exeC:\Program Files\Messenger\msmsgs.exeC:\WINDOWS\System\SmWizard.exeC:\Program Files\Norton AntiVirus
avapsvc.exeC:\Program Files\Norton AntiVirus\SAVScan.exeC:\Documents and Settings\Alban\Mes documents\Drivers + Logiciels\Anti espions pb pub pc\hitjack this\HijackThis.exeC:\WINDOWS\System32\wuauclt.exeO2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dllO3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocxO3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dllO4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exeO4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exeO4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWndO4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exeO4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exeO4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exeO4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exeO4 - HKLM\..\Run: [PCMService] "C:\Program Files\Cyberlink\PowerCinema\PCMService.exe"O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Program Files\Fichiers communs\Symantec Shared\Security Center\UsrPrmpt.exeO8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLLO17 - HKLM\System\CCS\Services\Tcpip\..\{12FB09FD-9090-4B94-AD1C-C8B18E8A5909}: NameServer = 172.30.80.44et plus de logiciel bidon dans ajouts et supp de programmes pour le moment !!!pour la toolbar mici bcpmerci

Utilisateur anonyme · Answer

salut ton nouveau log est propre :-)
cependant les spy risque de revenir c'est pour ca qu'il faut blindé ton pc en telechargant les antispywares (adware , spybot...ect) comme indiqué par dolly.dagger utilise aussi les option avancé de spybot pour verouiller ta page d'aceuille voici le tutorial http://assiste.free.fr/p/frameset/07_spybot_search_destroy.php
vide regulierement la cache d'internet explorer comme ceci :

Demarrer/paneau de configuration/option internet/suprimer fichier temporaaire apres une petite fentre s'ouvre tu coche "suprimer tout le contenu hors connexion" suprime aussi les cookies et efface l'historique

ou sinon il existe un autre moyen pour te debarasser de ce genre de probleme (pop up intempsif, page d'aceuille squatter..ect) c'est de passé a Mozilla c'est un exelent navigateur ;-) http://frenchmozilla.sourceforge.net/install/#windows

@+++++++

Alex063 · Answer

Merci bcp Jess15
Mais nivo ad aware je l'ai et je le fais souvent pour spy boot ben je les installé apres avoir eu mon pb et a chaque fois queje le lancais il plantais !!!
Peu etre que maintenant tout est réparer !!
C'est important de fixer la page d'accueil ?
Merci encore

Utilisateur anonyme · Answer

salut oui c tres important de verouiller ta page d'accueil pour que les spy ne puisse pas la modifier :-)@++++++++

Alex063 · Answer

Maintenant il me reste un pti pb suis infecter via mon readme.exe aïe !!!

Utilisateur anonyme · Answer

peu tu etre plus explicite stp :-)@+++++++++

Alex063 · Answer

tout est regler sauf que mon antivirus me décele un pb le fichier readme.exe serait infecté, il est mis en quarantaine et j'ai beau le supprimé de la quarantaine il réapparait apres une seconde analyse du pc. Son chemin d'origine se siru dans le répertoire infected de mon kaspersky !!

Un débutant · Answer

Coucou, je viens m'insinuer dans la discussion.
Sur le log de Alex063, il est marqué:
C:\WINDOWS\System32\wuauclt.exe
et son sytème d'exploitation est Windows XP avec le SP1. Or, wuauclt.exe est un processus pour la mise à jour de Windows Millenium ou aussi il peut cacher le trojan Troj/Cult-B:
http://www.commentcamarche.net/processus/wuauclt-exe.php3?imprim=1

N'y aurait-il pas un problème quelque part?

Alex063 · Answer

le fichier n'appartient pas a kaspersky je pense il est logé dans la quarantaine de mon antivirus mais il ne se vide pas et de plus je n'arrive pas a le supprimer manuelement peu etre dois je démarrer en mode sans échec et tenté la suppression ?

Utilisateur anonyme · Answer

bonjour,
sans vouloir t'affoller le fichier Readme.exe est associé à un virus
Google
http://www.google.fr/search?hl=fr&ie=UTF-8&q=Readme.exe&btnG=Recherche+Google&meta=cr%3DcountryFR

@+ :-)

*Devise : Je m'intéresse à l'avenir parceque
c'est là que je vais passer le reste de ma vie*

Alex063 · Answer

oui enfinje savais pas que c'était via google mais j'ai déja fais l'analyse pour rechercher le nimda a et e en téléchargeant les kit via ton lien et il ne me trouve rien sur mon pc !!

Alex063 · Answer

de plus je viens de m'apercevoir que j'ai un fichier .exe que je n'arrive pas a supprimer on me dit qu'il est utiliser ou partager alors que ce n'est pas le cas peu etre que cela est lié, je crois qu'il est possible de tuer ce fichier via spybot non ? si oui quel options faut-il prendre ?
Merci est désolé pour toutes ces questions lol mais o moins c'est toujour ca que je reposerai pas !!
Merci

Utilisateur anonyme · Answer

pourtant Kasper. l'a mis en quarantaine donc ...
essaye de passer en mode sans échec pour virer l'exe non?
désactive ta restauration système
mode sans échec et suppression de l'exe
reboot
nettoyage de disque (tu dis OK à tout - ça va virer le cache internet et les dates infectées (quoique le reboot sans la restau. syst. te donnera une dernière date saine déjà...)
vérif avec kasper
et ré-active la restauration système qd tout est clean

@+

*Devise : Je m'intéresse à l'avenir parceque
c'est là que je vais passer le reste de ma vie*

Alex063 · Answer

je viens de faire une analyse avec spybot j'ai trouvé des ptits trucs que j'ai virer je relance une analyse antivirus et je vous tiens o jus

Alex063 · Answer

le virus reste présent encore apres une analyse ! devrais je tuer ce readme.exe tout comme le second .exe (qui me chagrine en me disant qu'il est ituliser et que je ne peux le supprimer) avec spybot ? si oui pourriez vous me donner l'option à utliser svp
merci bcp

Alex063 · Answer

Kaspersky m'annonce une infection de readme.exe par backdoor.Gobot.t j'ai utiliser l'option Effaceur de sécurité dans spybot mais le fichier reste toujours

Analyse Hitjack This Pb spywars

27 réponses

Discussions similaires

Newsletters