pc infecté ,besoin d'une analyse hijack Résolu

Question

Bonjour,
Je viens de faire une analyse hijackthis ,suite a de nombreux petits problèmes accumulés,bugs répétés,impossibilitée de supprimer certains fichiers,blocage(non fonctionnement) de mon antivirus (avast),et j'en passe...
Donc si quelqu'un avait l'amabilité de jeter un oeil a mon rapport hijack,je lui en serait redevable...j'ai tenté de décrypté le rapport a l'aide d'un très bon tuto dispo sur le net mais mes compétences etant très limitées,je n'ai pas tout compris .
PS: j'ai mis un * ,avant les lignes qui m'effraient.

Voici le rapport :

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 08:31:49, on 02/02/2009
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18000)
Boot mode: Normal

Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Acer\Empowering Technology\eDataSecurity\eDSLoader.exe
C:\Program Files\Acer Arcade Deluxe\Play Movie\PMVService.exe
C:\Program Files\Apoint2K\Apoint.exe
C:\Windows\System32\hkcmd.exe
C:\Program Files\Alwil Software\Avast4\ashDisp.exe
C:\Windows\system32	askeng.exe
C:\Windows\ehome\ehtray.exe
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Windows\system32\igfxsrvc.exe
C:\Windows\ehome\ehmsas.exe
C:\Windows\System32undll32.exe
C:\Program Files\Apoint2K\ApMsgFwd.exe
C:\Program Files\Apoint2K\Apntex.exe
C:\Windows\system32\conime.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe
C:\Program Files\Internet Explorer\iexplore.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://fr.rd.yahoo.com/customize/ie/defaults/su/msgr8/*https://fr.search.yahoo.com/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Program Files\Real\RealPlayerpbrowserrecordplugin.dll
*O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\4.1.509.6972\swg.dll
*O2 - BHO: (no name) - {DBC80044-A445-435b-BC74-9C25C1C588A9} - (no file)
O3 - Toolbar: Acer eDataSecurity Management - {5CBE3B7C-1E47-477e-A7DD-396DB0476E29} - C:\Windows\system32\eDStoolbar.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [eDataSecurity Loader] C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe
O4 - HKLM\..\Run: [PLFSet] rundll32.exe C:\Windows\PLFSet.dll,PLFDefSetting
O4 - HKLM\..\Run: [PlayMovie] "C:\Program Files\Acer Arcade Deluxe\Play Movie\PMVService.exe"
O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exe
O4 - HKLM\..\Run: [Acer Tour Reminder] C:\Acer\AcerTour\Reminder.exe
O4 - HKLM\..\Run: [WarReg_PopUp] C:\Acer\WR_PopUp\WarReg_PopUp.exe
O4 - HKLM\..\Run: [IgfxTray] C:\Windows\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\Windows\system32\hkcmd.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OBealsched.exe"  -osboot
O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
*O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')
*O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICE LOCAL')
*O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')
O9 - Extra button: Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: &Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
*O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
*O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O20 - AppInit_DLLs: eNetHook.dll
O23 - Service: ALaunch Service (ALaunchService) - Unknown owner - C:\Acer\ALaunch\ALaunchSvc.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: eDSService.exe (eDataSecurity Service) - HiTRSUT - C:\Acer\Empowering Technology\eDataSecurity\eDSService.exe
O23 - Service: eLock Service (eLockService) - Acer Inc. - C:\Acer\Empowering Technology\eLock\Service\eLockServ.exe
O23 - Service: eNet Service - Acer Inc. - C:\Acer\Empowering Technology\eNet\eNet Service.exe
O23 - Service: eRecovery Service (eRecoveryService) - Acer Inc. - C:\Acer\Empowering Technology\eRecovery\eRecoveryService.exe
O23 - Service: eSettings Service (eSettingsService) - Unknown owner - C:\Acer\Empowering Technology\eSettings\Service\capuserv.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe
O23 - Service: lxdiCATSCustConnectService - Lexmark International, Inc. - C:\Windows\system32\spool\DRIVERS\W32X86\3\lxdiserv.exe
O23 - Service: lxdi_device -   - C:\Windows\system32\lxdicoms.exe
O23 - Service: MobilityService - Unknown owner - C:\Acer\Mobility Center\MobilityService.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\CyberLink\Shared Files\RichVideo.exe
O23 - Service: XAudioService - Conexant Systems, Inc. - C:\Windows\system32\DRIVERS\xaudio.exe

Utilisateur anonyme · Answer

Salut

Si ton Pc est infecté, on ne le voit pas sur le HijackThis (qui est un analyseur de registre et pas un scanner anti-malwares rappelons-le)

Il y a une lignes inutile car "No file": 

O2 - BHO: (no name) - {DBC80044-A445-435b-BC74-9C25C1C588A9} - (no file)

Et un programme inconnu (selon Trend Micro):

O4 - HKLM\..\Run: [PLFSet] rundll32.exe C:\Windows\PLFSet.dll,PLFDefSetting <= Qui ne serait pas dangereux.

Pour trouver l'infection il faudra un autre moyen que HijackThis...

Utilisateur anonyme · Answer

Ben si Malwarebyte n'a rien trouvé, c'est que tu es parano oui... Quels sont les symptômes??

Tu utilises Avast-La Passoire, je comprends ta parano... Il faut changer d'antivirus alors, tu dormiras mieux...

Utilisateur anonyme · Answer

Et bien le problème de langue est résolu, Avira Antivir est maintenant en français...

http://www.commentcamarche.net/telecharger/telecharger 55 antivir

N'oublie pas de lui adjoindre un antispyware (Spybot S&D ou AVG Antispywares) et un bon firewall (Comodo, Kerio, Zone Alarm, Online Armor en français)...

Utilisateur anonyme · Answer

Pour le pare-feu, celui de Windows est assez peu recommandé car très facile à contourner si quelqu'un voulait vraiment entrer dans ton Pc (c'est quand même assez rare).

Pour le reste, c'est tout bon. Un petit scan de temps en temps avec Malwarebyte est une bonne chose.

Utilisateur anonyme · Answer

Merci! Pareil pour toi, bonne journée! @ ++

gen-hackman · Answer

salut moi j'aurais bien fait un coup de LOP S&D

Utilisateur anonyme · Answer

Ah ben si tu penses que ça peut trouver quelque chose... Espérons que "Bonjour" repasse par ici...

gen-hackman · Answer

ben oui mieux vaut tirer dans l'eau que rater quelque chose

Utilisateur anonyme · Answer

C'est clair!! Entièrement d'accord!!

Utilisateur anonyme · Answer

Et hop, un p'tit tuto made in Malekal: http://www.malekal.com/tutorial_Lop_SD.php

Perso je connais pas vraiment. Gen-hackman, au secours!!

gen-hackman · Answer

j'ai eu un doute sur cette ligne et comme tu m'as dit de ne plus me servir de ZHP 2 je prefere prevenir:

O4 - HKLM\..\Run: [PLFSet] rundll32.exe C:\Windows\PLFSet.dll,PLFDefSetting

Utilisateur anonyme · Answer

J'ai fait une recherche au sujet de cette ligne (PLFSet.dll et PLFDefSetting). En cours d'analyse, rien de dangereux à signaler jusqu'à présent...

Chez Trend Micro/HijackThis, c'est un programme inconnu.

gen-hackman · Answer

donc je pense que le coup du LOP n'est pas une mauvaise idée au pire des cas ca supprimera des cookies

Utilisateur anonyme · Answer

Ben on va attendre la fin du scan. Colle-nous le rapport ici stp.

bonjour · Answer

D'accord ,mais je sais que le rapport fait des centaines de pages (je n'éxagère pas) .
Mais je vous tiens au courant dès que possible (a la fin du scan).
Merci

gen-hackman · Answer

resalut :

pour ceci : PLFSet.dll , il semblerait que ca vienne d'un utilitaire d'installation  :)

gen-hackman · Answer

depose le fichier sur de site et donne nous le lien qui te sera donné afiin qu'on puisse avoir un apercu de la chose

http://www.cijoint.fr/

Utilisateur anonyme · Answer

Salut Bonjour et Gen!

Bien vu l'hébergeur pour le rapport! ;-) Ce sera + facile si on peut le voir ce rapport kilométrique LOL

gen-hackman · Answer

;]

Utilisateur anonyme · Answer

Si tu connais "Exécuter => regedit" tu peux y chercher cette clef.
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{A2D86233-52A8-CA0­5-5011-F3900B4A2609}\InProcServer32
Et la supprimer.

Si tu n'as pas fait le scan en mode sans échec, c'est normal que certains dossier soient verrouillés... Il me semble en tous cas.

Les archives protégée par mot de passe c'est Spybot, c'est normal. Mais y en a beaucoup, des alertes à ce sujet...

gen-hackman · Answer

https://www.mediafire.com/

ce site ne te limitera pas

Utilisateur anonyme · Answer

Tu en penses quoi Gen?

gen-hackman · Answer

oui ou par OtMoveit :

---> Désactive ton antivirus le temps de la manipulation car OTMoveIt3 est détecté comme une infection à tort. 

---> Télécharge OTMoveIt3 (OldTimer) sur ton Bureau : 
http://oldtimer.geekstogo.com/OTMoveIt3.exe 

---> Double-clique sur OTMoveIt3.exe afin de le lancer. 

---> Copie (Ctrl+C) le texte suivant ci-dessous : 





:processes 
explorer.exe 

:reg 
[-HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{A2D86233-52A8-CA0­5-5011-F3900B4A2609}\InProcServer32\kaokgdfohbcdnmadjiggcp]

:commands 
[purity] 
[emptytemp] 
[start explorer] 
[reboot] 





---> Colle (Ctrl+V) le texte précédemment copié dans le cadre Paste Instructions for Items to be Moved. 

---> Clique maintenant sur le bouton MoveIt! puis ferme OTMoveIt3. 

Si un fichier ou dossier ne peut pas être supprimé immédiatement, le logiciel te demandera de redémarrer. 
Accepte en cliquant sur YES. 

---> Poste le rapport situé dans ce dossier : C:\_OTMoveIt\MovedFiles\ 
Le nom du rapport correspond au moment de sa création : date_heure.log

gen-hackman · Answer

Bonjour ,

retente otmoveit comme ceci :


:processes
explorer.exe

:reg
[-HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{A2D86233-52A8-CA0­5-5011-F3900B4A2609}]

:commands
[purity]
[emptytemp]
[start explorer]
[reboot]

ensuite :


envoie ton rapport(de 20 Mo) sur le site enoncé au post20

"Upload Files to MediaFire"
"Upload without an account"

choisis ton document ,

"Start Upload"
"(My files) Main folder"

patiente,

"View uploaded files" 

dans la cas a droite, "Sharing URL" doit etre accompagné d une URL juste en dessous (ex:)

http://www.mediafire.com/?ktuyjm1yejm

c'est ce lien qu il nous faut

Utilisateur anonyme · Answer

Salut Bonjour!

Oui si tu as supprimé la clé du registre manuellement avec "regedit", c'est normal qu'OldTimer ne l'ait pas trouvé.

As-tu pu héberger ton rapport Antivir sur le site dont Gen te donne le lien?

Utilisateur anonyme · Answer

C'est pas du tout stupide et c'est normal de se poser ce genre de question.

Jusqu'à présent les rapports collés sur le site n'ont rien de bien spécial, elle concernent le registre et certains fichiers temporaires...

S'il y avait des infos un peu trop personnelles dans le rapport d'Antivir, il te suffit, si c'est possible, de supprimer le fichier chez l'hébergeur.

Je vais voir ce fameux rapport.

Utilisateur anonyme · Answer

Wouah... Ca c'est un rapport détaillé... 260000 lignes... Y en a pour des heures LOL

Je te rassure, il y a tous les fichiers présents sur ton Pc mais pas leur contenu ;-)

Aucune infection visible, et les 264 avertissements sont en majorité des fichiers protégés.

Utilisateur anonyme · Answer

Je ne pense pas que cette clef va poser problème, puisqu'elle ne correspond plus à rien.

C'est juste une tache dans le registre, un peu comme une tache sur un cravate ;-)

On la voit, mais elle n'est pas dangereuse...

Un autre avis de Gen-hackman peut-être? (plutôt le soir lui)

Ton Pc fonctionne correctement? Pas de bug's ni de lenteurs?

Pc infecté ,besoin d'une analyse hijack

28 réponses

Votre réponse

Newsletters