DEMANDE ANALYSE LOG HijackThis Fermé

Question

Bonjour,Sous W2000, page de démarrage détournée en août. Après éradication tout était en apparence OK. Depuis une semaine, déconnexion intempestives sur Internet, + de possibles de MAJ anti virus Ad-aware, Spybot SpyBlaster. Au bout d'une minute coupure. Pouvez vous me faire une anlyse de ce log. Merci pour votre aide.Logfile of HijackThis v1.98.2Scan saved at 14:51:38, on 23/10/2004Platform: Windows 2000 SP4 (WinNT 5.00.2195)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINNT\System32\smss.exeC:\WINNT\system32\csrss.exeC:\WINNT\system32\winlogon.exeC:\WINNT\system32\services.exeC:\WINNT\system32\lsass.exeC:\WINNT\system32\Ati2evxx.exeC:\WINNT\system32\svchost.exeC:\WINNT\system32\spoolsv.exeC:\Program Files\Fichiers communs\PFShared\UmxCfg.exeC:\Program Files\Fichiers communs\PFShared\UmxPol.exeC:\Program Files\Tiny Firewall Pro\UmxAgent.exeC:\Program Files\Tiny Firewall Pro\UmxTray.exeC:\Program Files\Alwil Software\Avast4\aswUpdSv.exeC:\Program Files\Alwil Software\Avast4\ashServ.exeC:\WINNT\System32\svchost.exeC:\PROGRA~1\Iomega\System32\AppServices.exeC:\WINNT\system32egsvc.exeC:\WINNT\system32\MSTask.exeC:\WINNT\system32\stisvc.exeC:\WINNT\System32\WBEM\WinMgmt.exeC:\WINNT\system32\svchost.exeC:\Program Files\Iomega\AutoDisk\ADService.exeC:\WINNT\system32\Ati2evxx.exeC:\WINNT\Explorer.EXEC:\WINNT\System32\svchost.exeC:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exeC:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exeC:\WINNT\system32\spool\drivers\w32x86\3\hpztsb07.exeC:\Program Files\Pack Plus\WinFond.exeC:\Program Files\Fichiers communs\Real\Update_OBealsched.exeC:\Program Files\Iomega\AutoDisk\ADUserMon.exeC:\Program Files\Iomega\DriveIcons\ImgIcon.exeC:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exeC:\Program Files\Java\j2re1.4.2_05\bin\jusched.exeC:\Program Files\Web Timer\Web_timer3.exeC:\Program Files\Webroot\Spy Sweeper\SpySweeper.exeC:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnf.exeC:\Program Files\PrintKey 2000 Fr\Printkey 2000 Fr.exeC:\Program Files\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://www.google.fr/keyword/%sR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.fr/ieR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.frR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.fr/R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.frR0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dllO2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dllO2 - BHO: NetAnts.IE.Monitor - {57E91B41-F40A-11D1-B792-444553540000} - C:\Program Files\NetAnts\AntAPI.dllO3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocxO4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logonO4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exeO4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exeO4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINNT\system32\spool\drivers\w32x86\3\hpztsb07.exeO4 - HKLM\..\Run: [Tweak UI] RUNDLL32.EXE TWEAKUI.CPL,TweakMeUpO4 - HKLM\..\Run: [WinFond] C:\Program Files\Pack Plus\WinFond.exe dO4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottimeO4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe" -osbootO4 - HKLM\..\Run: [ADUserMon] C:\Program Files\Iomega\AutoDisk\ADUserMon.exeO4 - HKLM\..\Run: [Iomega Drive Icons] C:\Program Files\Iomega\DriveIcons\ImgIcon.exeO4 - HKLM\..\Run: [Deskup] C:\Program Files\Iomega\DriveIcons\deskup.exe /IMGSTARTO4 - HKLM\..\Run: [NeroCheck] C:\WINNT\system32\NeroCheck.exeO4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exeO4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_05\bin\jusched.exeO4 - HKLM\..\Run: [Web_Timer 3] C:\Program Files\Web Timer\Web_timer3.exeO4 - HKCU\..\Run: [SpySweeper] "C:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe" /0O4 - Startup: hpfr5550.batO4 - Startup: PrintKey 2000 Fr.lnk = C:\Program Files\PrintKey 2000 Fr\Printkey 2000 Fr.exeO6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel presentO9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\system32\msjava.dllO9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\system32\msjava.dllO9 - Extra button: NetAnts - {57E91B47-F40A-11D1-B792-444553540000} - C:\PROGRA~1\NetAnts\NetAnts.exeO9 - Extra 'Tools' menuitem: &NetAnts - {57E91B47-F40A-11D1-B792-444553540000} - C:\PROGRA~1\NetAnts\NetAnts.exeO9 - Extra button: Translate - {87680762-4A83-11B4-885B-0000E8ECA40F} - C:\Program Files\LingoCom\Translator.lnkO9 - Extra 'Tools' menuitem: LingoWare Translator... - {87680762-4A83-11B4-885B-0000E8ECA40F} - C:\Program Files\LingoCom\Translator.lnkibsen

Laumi · Answer

Bonsoir ibsen Il te faut supprimer :O4 -HKLM\..\Run: [Tweak UI] RUNDLL32.EXE TWEAKUI.CPL,TweakMeUpC'est un trojan  :Backdoor.Subwoofer (Tweak Me Up ) qui donne à un hacker les commandes de la machine infectée  .Pour le virer complètement :Demarrer / exécuter/ taper : regedit ->ok- Naviguer jusqu'à la clé :HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunDans le panneau de droite :supprimer cette valeur :Tweak UI          "RunDLL32 tweakUI.DLL, TWEAKUI /tweakmeup"- Naviguer jusqu'à la clé :HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesDans le panneau de droite :supprimer cette valeur :Scheduling Agent        "Scheduler.exe"Cliquer enrégistrer , et fermer Pour + explications : http://securityresponse.symantec.com/avcenter/venc/data/backdoor.subwoofer.html Supprime aussi ( à moins que tu n'ai pas les droits  d'administrateur  et que ce soit lui qui ai mis des restrictions ) le + souvent c'est une mise-à-jour microsoft qui te colle la restriction  :O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present A première vue je ne vois rien d'autre , fais ce nettoyage et dis nous .@+ laumi

Laumi · Answer

Bonsoir ibsenPour RunServices :quand tu es dans:HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion : tu descends et tu dois voir :RunRun-DisabledRunOnceExRunServices   : tu cliques dessus et à droite soit tu trouves soit Scheduling Agent "Scheduler.exe" , soit si RunService est vide tu as :Nom : (par défaut) ,       Type:REG_SZ  ,  Données:(valeur par défaut) Si tu n'es pas à  l'aise dans la base de régistre , prends tes précautions : Sauvegardes l'intégralité du régistre ainsi en cas de blème tu peux le restaurer :Windows 2000Pour sauvegarder l'intégralité du registre   1. Cliquez sur Démarrer > Tous les programmes > Accessoires > Outils système > Utilitaire de sauvegarde.   2. Dans l'onglet "Bienvenue !", cliquez sur le bouton Assistant Sauvegarde.   3. Cliquez sur Suivant.   4. Sélectionnez Ne sauvegarder que les données sur l'état du système, puis cliquez sur Suivant.   5. Cliquez sur le bouton Parcourir.   6. Cliquez sur Annuler si le message d'avertissement Insérer disque apparaît.   7. Dans le menu déroulant Rechercher dans, sélectionnez Bureau.   8. Dans le champ "Nom du fichier", tapez un nom que vous retiendrez : sauvegarderegistre par exemple.   9. Cliquez sur Ouvrir.  10. Cliquez sur Suivant.  11. Cliquez sur Terminer.  12. Lorsque le message "La sauvegarde s'est terminée correctement" apparaît (ceci peut prendre quelques minutes), cliquez sur Fermer.  13. Fermez la fenêtre Utilitaire de sauvegarde.------------------Pour restaurer le registre à partir de l'état du système sauvegardé   1. Cliquez deux fois sur le fichier de sauvegarde à partir duquel vous souhaitez effectuer la restauration.   2. Cliquez sur le bouton Assistant Restauration.   3. Cliquez sur Suivant.   4. Dans le volet de gauche, cliquez sur le signe plus (+) précédant Fichier.   5. Dans le volet de gauche, cliquez sur le signe plus (+) précédant l'état système que vous souhaitez restaurer.   6. Cochez System State.   7. Cliquez sur Suivant.   8. Cliquez sur Terminer.   9. Cliquez sur OK dans le message d'avertissement.  10. A la fin du processus de restauration, cliquez sur Fermer.  11. Votre Registre a été restauré. Cliquez sur Oui pour redémarrer l'ordinateur.----------------------------Et aprés seulement tu - Navigues jusqu'à la clé :HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunDans le panneau de droite :supprimer cette valeur :Tweak UI "RunDLL32 tweakUI.DLL, TWEAKUI /tweakmeup"- Navigues jusqu'à la clé :HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesDans le panneau de droite :supprimer cette valeur :Scheduling Agent "Scheduler.exe"Cliquer enrégistrer , et fermer Effaces dans HijackThis :O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)<--vide donc inutile  .O4 - HKLM\..\Run: [Tweak UI] RUNDLL32.EXE TWEAKUI.CPL,TweakMeUp O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present Supprimes  ( sur les 2 ordis ) les fichiers dans  :C:\Windows\System ou C:\Winnt\System32 (variable selon la version de windows ):- %System%\Scheduler.exe ( tu supprimes :Scheduler.exe)-%System%\Channel.src  ( tu supprimes : Channel.exe )Ensuite tu redémarres .Dis si tu trouves RunServices , si tous ça à marché @+laumi

DEMANDE ANALYSE LOG HijackThis

2 réponses

Discussions similaires