Un interprète pour cet hijackthis? - Page 3

- Oui, j'utilise régulièrement MSN

A ce sujet je me suis rendu sur une page "myspace" il y 3 jours et j'ai rencontré ensuite des problèmes sur msn. La fenêtre sur laquelle nous échangeons disparaissait après quelques minutes d'utilisation. Alors j'ai fait un scanne anti virus, puis un scanne avec MBAM. C'est à la suite de ce dernier scanne que j'ai vu "trojan agent".

- Sur l'écran bleu de SDFIX, 3 lettres m'ont été proposées. J'ai coché "N" pour commencer, ensuite "A" pour terminer avec "Y". J'espère qu'il n'y a pas eu gravité dans le fait de ne pas avoir ouvert de suite avec "Y".

Dis moi. J'ai 15 fichiers en quarantaine dans MBAM. Puis-je et dois-je les supprimer?

Merci

Rapports SDFIX et Hijackthis

""""""""""""""""""""""

[b]SDFix: Version 1.240 /b
Run by Jean Claude on 16/02/2009 at 09:22

Microsoft Windows XP [version 5.1.2600]
Running From: C:\SDFix

[b]Checking Services /b:

Restoring Default Security Values
Restoring Default Hosts File

Rebooting

[b]Checking Files /b:

No Trojan Files Found

Removing Temp Files

[b]ADS Check /b:

[b]Final Check /b:

catchme 0.3.1361.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-02-16 09:37:35
Windows 5.1.2600 Service Pack 3 NTFS

scanning hidden processes ...

scanning hidden services & system hive ...

scanning hidden registry entries ...

scanning hidden files ...

scan completed successfully
hidden processes: 0
hidden services: 0
hidden files: 0

[b]Remaining Services /b:

Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"%windir%\\Network Diagnostic\\xpnetdiag.exe"="%windir%\\Network Diagnostic\\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"
"C:\\Program Files\\Microsoft Games\\Age of Empires II\\age2_x1\\age2_x1.icd"="C:\\Program Files\\Microsoft Games\\Age of Empires II\\age2_x1\\age2_x1.icd:*:Enabled:Age of Empires II Expansion"
"C:\\Program Files\\MSN Messenger\\msnmsgr.exe"="C:\\Program Files\\MSN Messenger\\msnmsgr.exe:*:Enabled:Windows Live Messenger 8.1"
"C:\\Program Files\\MSN Messenger\\livecall.exe"="C:\\Program Files\\MSN Messenger\\livecall.exe:*:Enabled:Windows Live Messenger 8.1 (Phone)"
"C:\\Documents and Settings\\Jean Claude\\Local Settings\\Temp\\IXP000.TMP\\SMPCSetup.exe"="C:\\Documents and Settings\\Jean Claude\\Local Settings\\Temp\\IXP000.TMP\\SMPCSetup.exe:*:Enabled:SMPCSetup"
"C:\\Documents and Settings\\Jean Claude\\Local Settings\\Temp\\IXP000.TMP\\smwinvnc.exe"="C:\\Documents and Settings\\Jean Claude\\Local Settings\\Temp\\IXP000.TMP\\smwinvnc.exe:*:Enabled:TightVNC Win32 Server"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"%windir%\\Network Diagnostic\\xpnetdiag.exe"="%windir%\\Network Diagnostic\\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"
"C:\\Program Files\\MSN Messenger\\msnmsgr.exe"="C:\\Program Files\\MSN Messenger\\msnmsgr.exe:*:Enabled:Windows Live Messenger 8.1"
"C:\\Program Files\\MSN Messenger\\livecall.exe"="C:\\Program Files\\MSN Messenger\\livecall.exe:*:Enabled:Windows Live Messenger 8.1 (Phone)"

[b]Remaining Files /b:

[b]Files with Hidden Attributes /b:

Thu 8 Mar 2007 5,355,320 A..HR --- "C:\Program Files\Picasa2\setup.exe"
Wed 9 Jan 2008 0 A.SH. --- "C:\Documents and Settings\All Users\DRM\Cache\Indiv02.tmp"

[b]Finished!/b

""""""""""""""""""

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 10:18:44, on 16/02/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16791)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\nvsvc32.exe
c:\Program Files\Microsoft SQL Server\90\Shared\sqlwriter.exe
C:\WINDOWS\system32\LVCOMSX.EXE
C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb04.exe
C:\Program Files\Microsoft IntelliPoint\ipoint.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Microsoft IntelliPoint\dpupdchk.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Documents and Settings\Jean Claude\Local Settings\Marie bis\Fichiers reçus\HiJackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.postarticles.net
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre6\bin\ssv.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb04.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [IntelliPoint] "C:\Program Files\Microsoft IntelliPoint\ipoint.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [Window UDP Control Servic] winlogon.exe
O4 - HKCU\..\Run: [LogitechSoftwareUpdate] "C:\Program Files\Logitech\Video\ManifestEngine.exe" boot
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-18\..\Run: [DWQueuedReporting] "C:\PROGRA~1\FICHIE~1\MICROS~1\DW\dwtrig20.exe" -t (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\Run: [Picasa Media Detector] C:\Program Files\Picasa2\PicasaMediaDetector.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [DWQueuedReporting] "C:\PROGRA~1\FICHIE~1\MICROS~1\DW\dwtrig20.exe" -t (User 'Default user')
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~4\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Voir les cookies - C:\WINDOWS\web\showcookies.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre6\bin\jp2iexp.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre6\bin\jp2iexp.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Organise-notes - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Program Files\Fichiers communs\Microsoft Shared\Encarta Researcher\EROPROJ.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{A3ADC868-DDF6-46BD-9722-10230F5C332D}: NameServer = 81.253.149.9 80.10.246.132
O18 - Protocol: skyline - {3A4F9195-65A8-11D5-85C1-0001023952C1} - C:\Program Files\Skyline\TerraExplorer\TerraExplorerX.dll
O23 - Service: Planificateur Avira AntiVir Personal - Free Antivirus (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Service Partage réseau du Lecteur Windows Media (WMPNetworkSvc) - Unknown owner - C:\Program Files\Windows Media Player\WMPNetwk.exe (file missing)

Ok, alors c'est probablement un vers msn... Est-ce que dernièrement, tu as reçu un message un peu étrange d'un de tes contacts avec un lien pour télécharger un fichier (généralement de soi-disant "photos") que tu n'as pas pu ouvrir ?

Malheureusement, SDFix ne l'a pas détecté... Tu peux vider la quarantaine de MalwareBytes, oui.

• Rends toi sur le site https://www.virustotal.com/gui/
• Clique sur Parcourir, et navigue jusqu'au fichier suivant et valide : C:\WINDOWS\system32\winlogon.exe
• Clique sur "Envoyer le fichier" : s'il a déjà été analysé, demande une nouvelle analyse.
• Fais un copier/coller du rapport entier sur le forum.

Si tu ne trouves pas le fichier, fais ceci :
• Menu Démarrer --> Panneau de configuration --> Options des dossiers --> Affichage
• Coche "Afficher les fichiers et dossiers cachés", décoche "Masquer les extensions de fichiers connus", décoche "Masquer les fichiers protégés du Système", puis valide.
• Tu pourras à nouveau masquer les fichiers cachés une fois la manipulation terminée, si tu le souhaites.

Bonjour

J'ai répondu au message 47, et je ne vois cette réponse ici même. L'as tu reçu Anthony?

Merci

Re,

Non je ne l'ai pas reçu, et il n'y a pas de message 48 dans ce sujet... Il a dû être bloqué par les filtres automatiques de CCM. Envoie le moi par message privé stp

Re,

Le rapport VirusTotal n'est pas lisible, peux-tu me l'envoyer par message privé stp ?

"Au sujet de msn, j'ai cette anecdote à te raconter. Il y a quelques jours, je papote sur un site de rencontre, lorsque je reçois de la correspondante du moment, une longue adresse d'un site ""http:\myspace etc... etc..."" "

Oui, comme je le pensais le winlogon était (je ne le vois plus sur les rapports) une infection MSN.
Ce lien ne t'a pas été envoyé par ta correspondante, c'est l'infection qui l'a fait à son insu. Tu as sans doute envoyé à ton tour ces liens infectés à ton insu après avoir cliqué sur ce lien.

Quand tu reçois des liens bizarres ou inattendus sur MSN, ne clique pas dessus, et demande confirmation à ta contact. Il risque fort de t'indiquer qu'il n'a rien envoyé...

Ok, poste un nouveau rapport hijackthis stp

Bjr

J'ai envoyé ce rapport sur ton adresse comme tu me l'as recommandé, (c'est bien l'adresse qui figure en début de message à gauche, là ou parait une icone).
Il est illisible car je fais un "copier - coller" du rapport, ce qui a pour cause d'afficher celui-ci sans forme, les lignes à la suite des autres. Pour qu'il soit lisible (ce que j'ai cru), j'ai fait quantité de "copier - coller" du rapport en mettant chaque ligne correctement, ça m'a pris un temps fou. Résultat, il ne t'est pas parvenu. Si tu peux te passer de ce rapport, il est inutile que je recommence, ça ne reproduira rien apparemment.

De plus je te posais cette autre question, à savoir : Est-ce dans tes compétences de me guider sur l'installation de 2 ordis au sein de la cellule familiale avec une connexion internet? Ou bien dois-je me rendre sur d'autres forums? Car sur les questions de connexions, (wi fi, sans fil etc...), je ne comprends absolument rien )))))). A lire des réponses à des questions posées sur les forums, je me rends compte que j'ai eu cette chance que mon premier message fut lu par toi.

J'allais oublier. Concernant "winlogon" de msn. Penses-tu que l'ordi de mon amie (sur lequel nous avons rencontré des problèmes) est infecté lui-aussi? Possible que son antivirus l'ait placé en quarantaine0

Hier samedi, un scanne de antivir m'a bloqué 2 "Dropper.Gen". Ils sont en quarantaine.

Merci

Bonjour Anthony

Depuis plusieurs jours, lorsque j'ouvre mon yahoo, un message volant de la taille d'une petite boite d'allumettes vient s'afficher ainsi : """"Galiote souhaite vous inviter dans sa liste de contact en ligne""". J'ai le choix d'accepter ou de refuser. Bien évidemment je clique sur "refuser" à plusieurs reprises, rien n'y fait. Alors je clique sur "Accepter". Rien n'y fait non plus. Et à chaque ouverture yahoo, j'ai droit à ce message. J'ai recherché "galiote" sur le disque dur (on sait jamais), il n'y a rien. Même recherche sur "regedit". Toujours rien. J'ai fait un scanne de MBAM hier samedi. Aucune infection. Antivir scanne chaque jour à 12h00 et n'a rien donné. Alors mon dernier espoir s'appelle Anthony ))))))))).

PS : Si tu le désires, je peux faire une capture d'écran de mon yahoo avec ce message présent, et te l'adresser sur ta messagerie perso.

Merci

JC

Bonsoir,

Je veux bien la capture d'écran stp, pour mieux me rendre compte.

Anthony

Mon problème est résolu. Après avoir fait quelques recherches, j'ai appris qu'il y a un messenger sur yahoo. J'ai désactivé celui-ci et je n'ai plus de problème.

Merci

JC

Je ne vois pas d'infection sur ce rapport, tu peux faire un scan de vérification avec MalwareBytes si tu veux :

• Télécharge et installe Malwarebytes' Anti-Malware
• A la fin de l'installation, veille à ce que l'option « mettre a jour Malwarebyte's Anti-Malware » soit cochée
• Lance MBAM et laisse les Mises à jour se télécharger (sinon fais les manuellement au lancement du programme)
• Puis va dans l'onglet "Recherche", coche "Exécuter un examen complet" puis "Rechercher"
• Sélectionne tes disques durs" puis clique sur "Lancer l’examen"
• A la fin du scan, clique sur Afficher les résultats
• Coche tous les éléments détectés puis clique sur Supprimer la sélection
• Enregistre le rapport
• S'il t'est demandé de redémarrer, clique sur Yes

• Poste le rapport de scan après la suppression ici

Ok, fais un scan en ligne Kaspersky pour confirmer :

• Désactive ton antivirus

• Fais un scan en ligne ici https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr (avec Internet Explorer uniquement)

• En bas à droite clique sur Démarrer Online-scanner

• Dans la nouvelle fenêtre qui s'affiche clique sur J'accepte

• Accepte les Contrôle ActiveX

• Choisis Poste de travail pour le scan.

• Celui-ci terminé, sauvegarde (choisis fichier texte) et poste le rapport.

• Pour t'aider à utiliser le scan en ligne : https://www.malekal.com/scan-antivirus-ligne-nod32/#mozTocId291566

NOTE : Si tu reçois le message "La licence de Kaspersky On-line Scanner est périmée", va dans Ajout/Suppression de programmes puis désinstalle On-Line Scanner, reconnecte toi sur le site de Kaspersky pour retenter le scan en ligne.

Ok, l'ordinateur n'est pas infecté.

Il faudrait peut-être voir à formater le disque dur pour repartir à neuf ? Généralement c'est ce que tout le monde fait en récupérant un ordinateur d'occasion ;)

Bonjour ;)

Ceci correspond à des restes d'un ver MSN :

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Window UDP Control Servic (Malware.Trace)

Ce n'est plus dangereux :)

@+