Log hitjackthis

khanyj -  
 bernie61 -
bonjour,

ayant un probleme de saturation de ma ligne adsl ( sauf si je bloque tout passage avec un firewall ce qui m'empeche de fair quoi que ce soit )

un ami ma conseillé d'utiliser hitjackthis et de venir poster le log.


je precise que j'ai formaté plusieur fois ma becane etq ue j'ai tjr le meme probleme :-(

voici le log:

Logfile of HijackThis v1.98.2
Scan saved at 09:16:07, on 14/12/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\MsConfiG.exe
C:\WINDOWS\System32\aim95.exe
C:\WINDOWS\System32\mssupdate.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
C:\WINDOWS\System32\RunDll32.exe
C:\Program Files\SoftPerfect Personal Firewall\fw.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\Program Files\WayTech\Coloreal\Coloreal Bright\Coloreal Bright.exe
C:\Documents and Settings\admin\Bureau\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.fr/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://amitieedaoc.free.fr/phpBB2/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
O2 - BHO: (no name) - {00000010-6F7D-442C-93E3-4A4827C2E4C8} - (no file)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Start Uppings] mssupdate.exe
O4 - HKLM\..\Run: [Coloreal Hint] C:\Program Files\WayTech\Coloreal\Coloreal Bright\Coloreal Hint.exe
O4 - HKLM\..\Run: [AIM95 Startup] aim95.exe
O4 - HKLM\..\Run: [mediamotor.exe] C:\WINDOWS\mmups.exe
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [Microsoft Java Virtual Machine] MsConfiG.exe
O4 - HKLM\..\Run: [SoftPerfect Personal Firewall] C:\Program Files\SoftPerfect Personal Firewall\fw.exe
O4 - HKLM\..\RunServices: [Start Uppings] mssupdate.exe
O4 - HKLM\..\RunServices: [AIM95 Startup] aim95.exe
O4 - HKLM\..\RunServices: [Microsoft Java Virtual Machine] MsConfiG.exe
O4 - HKLM\..\RunOnce: [Microsoft Java Virtual Machine] MsConfiG.exe
O4 - HKLM\..\RunOnce: [AIM95 Startup] aim95.exe
O4 - HKCU\..\Run: [Microsoft Java Virtual Machine] MsConfiG.exe
O4 - HKCU\..\Run: [Start Uppings] mssupdate.exe
O4 - HKCU\..\Run: [AIM95 Startup] aim95.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\RunServices: [Start Uppings] mssupdate.exe
O4 - HKCU\..\RunOnce: [AIM95 Startup] aim95.exe
O4 - HKCU\..\RunOnce: [Microsoft Java Virtual Machine] MsConfiG.exe
O4 - Global Startup: Coloreal Bright.lnk = ?
O4 - Global Startup: Coloreal Hint.lnk = ?
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1102897174812
O17 - HKLM\System\CCS\Services\Tcpip\..\{E3C50299-4628-4601-B71F-97218488E0B7}: NameServer = 80.10.246.130 80.10.246.3

en esperant que quelqu'un puisse me venir en aide car je ne sais plus quoi fair :-(
A voir également:

15 réponses

Réponse 1 / 15
khanyj
 
mon mail au cas ou :p

khanyj@wanadoo.fr
0
Réponse 2 / 15
Utilisateur anonyme
 
Salut
cocher et fixer ca en mode sans echec(presser F8 des le demarrage du pc)
R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
O2 - BHO: (no name) - {00000010-6F7D-442C-93E3-4A4827C2E4C8} - (no file)
O4 - HKLM\..\Run: [Start Uppings] mssupdate.exe
O4 - HKLM\..\RunServices: [Start Uppings] mssupdate.exe

Pour celui la ..........
O4 - HKLM\..\Run: [AIM95 Startup] aim95.exe
O4 - HKLM\..\RunServices: [AIM95 Startup] aim95.exe
O4 - HKLM\..\RunOnce: [AIM95 Startup] aim95.exe
O4 - HKCU\..\Run: [AIM95 Startup] aim95.exe
O4 - HKCU\..\RunOnce: [AIM95 Startup] aim95.exe
.........deux possibilités>>>http://www.liutilities.com/products/wintaskspro/processlibrary/aim95/
>>>http://computercops.biz/startuplist-672.html
reste a determiner il s'agit duquel......
0
Réponse 3 / 15
khanyj
 
merci de votre reponse :-)

malheureusement je ne suis pas trop fort en onfo et je doit avoir du mal a comprendre le sens de votre reponse :-(

pourriez vous m'expliquer ce que je doit fair exactement svp ?
0
Réponse 4 / 15
Utilisateur anonyme
 
salut khanyj
hello wael ^_^

tu dois déjà supprimer ces programmes en mode sans échec
C:\WINDOWS\System32\aim95.exe
C:\WINDOWS\System32\mssupdate.exe
faire :

1)affiche les dossiers cachés :
Clique sur "Démarrer" >> "Panneau de Configuration" >> "Options des Dossiers"
Clique sur l'onglet "Affichage">> Dans la liste des "Paramètre avancés", sous la rubrique "Fichiers et dossiers cachés">> coche "Afficher les fichiers et dossiers cachés"
Pour afficher les autres fichiers cachés>> décoche la case "Masquer les fichiers protégés du système d'exploitation" *

2) passer en mode sans échec/rechercher et supprimer en dépliant
C-->windows-->system32--> supprimer les exe en gras
http://assiste.free.fr/p/comment/demarrer_mode_sans_echec.php

aim95.exe<--Added as a result of the LOADCFG or SDBOT. Note - "iexplore.exe" resides in C:\Windows\System (Win9x/Me), C:\Winnt\System32 (WinNT/2K), or C:\Windows\System32 (WinXP) (confirmé par le nombres d'entrées dans le log de toute façon)

pour le log : (voir le screenshot)

fixer :
R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
O2 - BHO: (no name) - {00000010-6F7D-442C-93E3-4A4827C2E4C8} - (no file)

les lignes 04 : suivre la procédure!
1) ctrl/alt/supp : clic/arrêt sur les processus
2) tu repasses sur le le log et tu fixes

O4 - HKLM\..\Run: [Start Uppings] mssupdate.exe
O4 - HKLM\..\Run: [AIM95 Startup] aim95.exe
O4 - HKLM\..\Run: [mediamotor.exe] C:\WINDOWS\mmups.exe <--1 spy de plus là
http://computercops.biz/startuplist-6312.html
O4 - HKLM\..\RunServices: [Start Uppings] mssupdate.exe
O4 - HKLM\..\RunServices: [AIM95 Startup] aim95.exe
O4 - HKLM\..\RunOnce: [AIM95 Startup] aim95.exe
O4 - HKCU\..\Run: [Start Uppings] mssupdate.exe
O4 - HKCU\..\Run: [AIM95 Startup] aim95.exe
O4 - HKCU\..\RunServices: [Start Uppings] mssupdate.exe
O4 - HKCU\..\RunOnce: [AIM95 Startup] aim95.exe

*fixe les lignes trouvées dans l'hijack
*ferme l'hijack
*reboot ton ordi
*nettoie le cache internet (options internet : supprimer cookies et temps) vide ta corbeille
*effectue un nettoyage de disque (démarrer/program./accessoires/outils système/répondre OK à TOUT)

(screenshot)
http://www.bleepingcomputer.com/forums/index.php?showtutorial=42
http://www.ordi-netfr.org/tutorialhijackthis.html <--en français mais moins complet


télécharger Ad-aware.SE/ Spybot.s&d 1.3 (les 2!!)

http://telechargement.zebulon.fr/36-Ad-Aware-SE-Personal-edition-1.03.html
http://telechargement.zebulon.fr/79-Spybot---Search-&-Destroy.html

* le tuto ad-aware :
**http://41822.aceboard.net/41822-232-6216-0-Tutorial-Aware-Personal.htm
* les tutos spybot 1.3 : http://tomcoyote.com/SPYBOT/indexfr.php
**http://assiste.free.fr/p/internet_utilitaires/spybot_search_destroy.php


O4 - HKLM\..\RunServices: [Microsoft Java Virtual Machine] MsConfiG.exe <--j'ai des gros doutes sur cette entrée, qu'est ce que fout Java dans msconfig.exe ???


*Devise : Je m'intéresse à l'avenir parceque
c'est là que je vais passer le reste de ma vie*
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 5 / 15
khanyj
 
deja un grnad merci de votre aide :-)

je vien de fair tout ce que tu ma dit de fair :-)

mon probleme est le suivant:

mon deux petits pc representant ma connection adsl ( adsl wanadoo 2048 ) reste tjr allumé et d'apres ce que j'ai compris cela veut dire qu'elle est saturée ou un truc comme ca. pourtant a par msn je n'est rien d'allumé sur le net. si je regarde traffic je voie que j'envoie plien de donnée sur le net et que j'en ressoi plien aussi.


vois mon nouveau log apres les operation faitent:

Logfile of HijackThis v1.98.2
Scan saved at 13:30:40, on 14/12/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Sygate\SPF\smc.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\MsConfiG.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
C:\WINDOWS\System32\RunDll32.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\Program Files\WayTech\Coloreal\Coloreal Bright\Coloreal Bright.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Documents and Settings\admin\Bureau\HijackThis.exe
C:\WINDOWS\system32\cmd.exe
C:\WINDOWS\system32\ftp.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.fr/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://amitieedaoc.free.fr/phpBB2/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Coloreal Hint] C:\Program Files\WayTech\Coloreal\Coloreal Bright\Coloreal Hint.exe
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [Microsoft Java Virtual Machine] MsConfiG.exe
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\RunServices: [Microsoft Java Virtual Machine] MsConfiG.exe
O4 - HKLM\..\RunOnce: [Microsoft Java Virtual Machine] MsConfiG.exe
O4 - HKCU\..\Run: [Microsoft Java Virtual Machine] MsConfiG.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\RunOnce: [Microsoft Java Virtual Machine] MsConfiG.exe
O4 - Global Startup: Coloreal Bright.lnk = ?
O4 - Global Startup: Coloreal Hint.lnk = ?
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1102897174812
O16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{E3C50299-4628-4601-B71F-97218488E0B7}: NameServer = 80.10.246.130 80.10.246.3

auriez vous une idée pour regler mon probleme?

par avance merci :-)
0
Réponse 6 / 15
Utilisateur anonyme
 
O4 - HKCU\..\Run: [Microsoft Java Virtual Machine] MsConfiG.exe <-- ça va pas ce truc, qui se réplique 4 fois dans ton log, tu n'as mm pas de bouton en 09 de Java présents, ni en 02 BHO ??

fixe toutes les lignes 04 en rapport - arrête le processus avant comme dans le 1er log et tu fixes sur l'hijack ensuite

fait une sauvegarde : Backup dans l'hijack et si tu as un problème tu reverses les lignes par le biais de ce fichier de sauvegarde
http://www.ordi-netfr.org/tutorialhijackthis.html <--regarde en fin de page

ensuite pour Java
faire : 1) décocher Java de Microsoft
http://www.pcastuces.com/pratique/internet/ie/java.htm
2) télécharger Java de Sun
J2SE 1.4.2. <--choisir la version (read more) --> J2SE v 1.4.2_06 SDK
après le téléchargement assure-toi que JAVA2 soit coché dans tes options (onglet : avancé) Internet

@+



*Devise : Je m'intéresse à l'avenir parceque
c'est là que je vais passer le reste de ma vie*
0
Réponse 7 / 15
khanyj
 
voila j'ai fait comme tu ma dit

ps: au passage encore un grand merci du temps passer a aider c'est vraiment sympa :-)

mon probleme ne semble tjr pas reglé.

par contre j'ai remarqué que sygate bloque souvant une fenetre winsnd32

aurrais tu une idée de ce que cela peu etre?

de plus il semble que je me soit a nouveau pris des attaque virals dans ma petite tete de noob en info oO

je te repasse le log que j'ai actuellement.

Logfile of HijackThis v1.98.2
Scan saved at 14:40:45, on 14/12/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Sygate\SPF\smc.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\winsnd32.exe
C:\WINDOWS\System32\nvsc32.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
C:\WINDOWS\System32\RunDll32.exe
C:\Program Files\Windows ControlAd\WinCtlAd.exe
C:\Program Files\ISTsvc\istsvc.exe
C:\Program Files\Windows ControlAd\WinCtlAdAlt.exe
C:\WINDOWS\m.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\Program Files\WayTech\Coloreal\Coloreal Bright\Coloreal Bright.exe
C:\Program Files\Web_Rebates\WebRebates1.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Web_Rebates\WebRebates0.exe
C:\WINDOWS\System32\msiexec.exe
C:\Documents and Settings\admin\Bureau\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.fr/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://amitieedaoc.free.fr/phpBB2/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Search Relevancy - {1D7E3B41-23CE-469B-BE1B-A64B877923E1} - C:\PROGRA~1\SEARCH~1\SEARCH~1.DLL
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Coloreal Hint] C:\Program Files\WayTech\Coloreal\Coloreal Bright\Coloreal Hint.exe
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [Win32 USB2 Driver] winsnd32.exe
O4 - HKLM\..\Run: [NvCplScan] nvsc32.exe
O4 - HKLM\..\Run: [Windows ControlAd] C:\Program Files\Windows ControlAd\WinCtlAd.exe
O4 - HKLM\..\Run: [salm] c:\temp\salm.exe
O4 - HKLM\..\Run: [IST Service] C:\Program Files\ISTsvc\istsvc.exe
O4 - HKLM\..\Run: [Tsl] C:\PROGRA~1\COMMON~1\tsa\tsl.exe
O4 - HKLM\..\Run: [REERGRUNRNT] C:\WINDOWS\m.exe
O4 - HKLM\..\Run: [WebRebates0] "C:\Program Files\Web_Rebates\WebRebates0.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_06\bin\jusched.exe
O4 - HKLM\..\RunServices: [Win32 USB2 Driver] winsnd32.exe
O4 - HKLM\..\RunServices: [NvCplScan] nvsc32.exe
O4 - HKLM\..\RunOnce: [Win32 USB2 Driver] winsnd32.exe
O4 - HKLM\..\RunOnce: [NvCplScan] nvsc32.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Win32 USB2 Driver] winsnd32.exe
O4 - HKCU\..\Run: [NvCplScan] nvsc32.exe
O4 - HKCU\..\RunOnce: [Win32 USB2 Driver] winsnd32.exe
O4 - HKCU\..\RunOnce: [NvCplScan] nvsc32.exe
O4 - Global Startup: Coloreal Bright.lnk = ?
O4 - Global Startup: Coloreal Hint.lnk = ?
O8 - Extra context menu item: Web Rebates - file://C:\Program Files\Web_Rebates\Sy1150\Tp1150\scri1150a.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O16 - DPF: v3cab - http://searchmiracle.com/cab/1.cab
O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/ClickYesToContinue/ie/bridge-c.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1102897174812
O16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{E3C50299-4628-4601-B71F-97218488E0B7}: NameServer = 80.10.246.130 80.10.246.3

par moment avg me trouve 10-15 virus entrant ( trojant ) en 5 minutes je sais pas vraiment ce qu'il se passe mais je commence a paniquer :-(

par hazard si tu a un peu de temps a me consacrer je te passe mon netpass msn: khnayj@hotmail.com

encore merci de ton aide

amicalement
0
khanyj
 
oups je me suis un peu trompé sur le netpass :p

khanyj@hotmail.com
0
Réponse 8 / 15
Utilisateur anonyme
 
mais comment t'as fait pour te rechoper autant de spywares en si peu de temps? ton firewall est mal configuré c'est pas possible!

j'ai pas MSN

C:\WINDOWS\System32\nvsvc32.exe
NvCplScan/nvsc32.exe/Added by a variant of the BACKDOOR.IRC.BOT TROJAN! (1)
http://computercops.biz/slet-n.html
C:\WINDOWS\System32\winsnd32.exe
C:\WINDOWS\System32\nvsc32.exe<--(2) se réplique
C:\Program Files\Windows ControlAd\WinCtlAd.exe<--spyware
C:\Program Files\ISTsvc\istsvc.exe<--barre de recherche parasite IstBar!
C:\Program Files\Windows ControlAd\WinCtlAdAlt.exe<--spyware
C:\WINDOWS\m.exe
C:\Program Files\Web_Rebates\WebRebates1.exe
C:\Program Files\Web_Rebates\WebRebates0.exe
à supprimer en mode sans échec avec les fichiers cachés affichés!
voir méthode : Post N° < 4 >
si tu avais téléchargé spybot et ad-aware se comme indiqué tu en aurais évité la moitié

fix dans le log :


R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.fr/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home
ça sert à rien ça! met une page neutre type : Google en page de démarrage! (à mettre dans le log comme sur le screen!)

O2 - BHO: Search Relevancy - {1D7E3B41-23CE-469B-BE1B-A64B877923E1} - C:\PROGRA~1\SEARCH~1\SEARCH~1.DLL <--si tu avais dl spybot! pfff!

les 04 : arrête les processus et tu fixes ensuite (voir + haut les posts)

O4 - HKLM\..\Run: [Win32 USB2 Driver] winsnd32.exe
O4 - HKLM\..\Run: [NvCplScan] nvsc32.exe
O4 - HKLM\..\Run: [Windows ControlAd] C:\Program Files\Windows ControlAd\WinCtlAd.exe
O4 - HKLM\..\Run: [salm] c:\temp\salm.exe<--spy 180 solutions! (spybot!!)
O4 - HKLM\..\Run: [IST Service] C:\Program Files\ISTsvc\istsvc.exe<--spy ItsBar (spybot!!!)
O4 - HKLM\..\Run: [Tsl] C:\PROGRA~1\COMMON~1\tsa\tsl.exe
O4 - HKLM\..\Run: [REERGRUNRNT] C:\WINDOWS\m.exe
O4 - HKLM\..\Run: [WebRebates0] "C:\Program Files\Web_Rebates\WebRebates0.exe"
O4 - HKLM\..\RunServices: [Win32 USB2 Driver] winsnd32.exe
O4 - HKLM\..\RunServices: [NvCplScan] nvsc32.exe
O4 - HKLM\..\RunOnce: [Win32 USB2 Driver] winsnd32.exe
O4 - HKLM\..\RunOnce: [NvCplScan] nvsc32.exe
O4 - HKCU\..\Run: [Win32 USB2 Driver] winsnd32.exe
O4 - HKCU\..\Run: [NvCplScan] nvsc32.exe
O4 - HKCU\..\RunOnce: [Win32 USB2 Driver] winsnd32.exe
O4 - HKCU\..\RunOnce: [NvCplScan] nvsc32.exe

O8 - Extra context menu item: Web Rebates - file://C:\Program Files\Web_Rebates\Sy1150\Tp1150\scri1150a.htm

O16 - DPF: v3cab - http://searchmiracle.com/cab/1.cab
O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/ClickYesToContinue/ie/bridge-c.cab

revoit ton firewall c'est pas possible - c'est une passoire!!



*Devise : Je m'intéresse à l'avenir parceque
c'est là que je vais passer le reste de ma vie*
0
Réponse 9 / 15
khanyj
 
bon la je pense que tout est bon a present ^^

ad-aware ok
spybot ok

je te remet qt meme un log hijack au cas ou il resterais qlq d'anormal mais je pense pas

Logfile of HijackThis v1.98.2
Scan saved at 17:30:13, on 14/12/2004
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
C:\WINDOWS\system32\RunDll32.exe
C:\WINDOWS\m.exe
C:\Program Files\Java\j2re1.4.2_06\bin\jusched.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\Program Files\WayTech\Coloreal\Coloreal Bright\Coloreal Bright.exe
C:\Documents and Settings\admin\Bureau\HijackThis.exe
C:\Program Files\Internet Explorer\iexplore.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.fr/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://amitieedaoc.free.fr/phpBB2/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Coloreal Hint] C:\Program Files\WayTech\Coloreal\Coloreal Bright\Coloreal Hint.exe
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [REERGRUNRNT] C:\WINDOWS\m.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_06\bin\jusched.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - Global Startup: Coloreal Bright.lnk = ?
O4 - Global Startup: Coloreal Hint.lnk = ?
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1102897174812
O17 - HKLM\System\CCS\Services\Tcpip\..\{E3C50299-4628-4601-B71F-97218488E0B7}: NameServer = 80.10.246.130 80.10.246.3

en tout les cas un grand merci de ton aide :-)
0
Réponse 10 / 15
Utilisateur anonyme
 
C:\WINDOWS\m.exe<-- ?? tu as ce logiciel?
http://www.winsite.com/bin/Info?500000018137
O4 - HKLM\..\Run: [REERGRUNRNT] <--là il faut avouer que le nom du programme devient zarbi C:\WINDOWS\m.exe

Google : Aucun document ne correspond aux termes de recherche spécifiés (REERGRUNRNT).
Aucune page ne contient "reergrunrnt".


si ça te dis rien, fixe la ligne 04 et tu recherches et supprime m.exe dans
C:\WINDOWS
de toute façon tout les programmes externes à windows sont inutiles au démarrage, ça alourdit tout le système sauf ton firewall, ton antivirus, ton FAI

démarrer/exécuter : tu tapes msconfig/valide par ok/onglet : démarrage : tu décoches ces programmes
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Coloreal Hint] C:\Program Files\WayTech\Coloreal\Coloreal Bright\Coloreal Hint.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [REERGRUNRNT] C:\WINDOWS\m.exe<-!!
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_06\bin\jusched.exe<--tu vois Java apparement tu l'avais pas sur ton 1er log, là tu as les 09 extra button and Co/good! :-)
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background <--mise à jour auto à chaque démarrage = bouffe ressources - autant appeller le programme par son icône quand on en a besoin uniquement comme tous les autres

au reboot si XP t'informe que tu es en "démarrage sélectif" clique ok/c'tout

avec Spybot au prochain scan active la case BHO à la fin du scan "activer le blocage des pages nuisibles silencieusement"

si ça revient, envisage de changer de Firewall, c'est pas normal qu'il laisse passer tout ça le tien

bon surf ^_^



*Devise : Je m'intéresse à l'avenir parceque
c'est là que je vais passer le reste de ma vie*
0
Réponse 11 / 15
Utilisateur anonyme
 
http://securityresponse.symantec.com/avcenter/venc/data/downloader.psyme.html
Downloader.Psyme/Trojan Horse (par e-mail)
The behavior of this downloader varies. What it may add to the registry or StartUp folders also varies.
In some versions, the following files are saved:
* C:\Windows\m.exe
* C:\Windows\mp.exe
* C:\Windows\dp.exe
* C:\Winnt\m.exe
* C:\Winnt\mp.exe
* C:\Winnt\dp.exe

http://www.sheep-team.org/artikles/201 <--le même/alias xxxx

essaye de rechercher sur Google, mais ça a pas l'air glop!
0
Réponse 12 / 15
khanyj
 
je pense que je tien le bon bou ^^

j'ai cependant remarqué une derniere chose:

a chaque fois que je fait un scan avec spybot il me trouve toujour la meme chose. j'ai beau suprimer il me le retrouve tout le temps.

voici le log spybot:

DSO Exploit: Data source object exploit (Modification du registre, nothing done)
HKEY_USERS\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3

DSO Exploit: Data source object exploit (Modification du registre, nothing done)
HKEY_USERS\S-1-5-21-1229272821-1500820517-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3

DSO Exploit: Data source object exploit (Modification du registre, nothing done)
HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3

DSO Exploit: Data source object exploit (Modification du registre, nothing done)
HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3

DSO Exploit: Data source object exploit (Modification du registre, nothing done)
HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3


--- Spybot - Search && Destroy version: 1.3 ---
2004-05-12 Includes\Tracks.uti
2004-05-12 Includes\Trojans.sbi
2004-05-12 Includes\Cookies.sbi
2004-05-12 Includes\Dialer.sbi
2004-05-12 Includes\Hijackers.sbi
2004-05-12 Includes\Keyloggers.sbi
2004-05-12 Includes\LSP.sbi
2004-05-12 Includes\Malware.sbi
2004-05-12 Includes\Revision.sbi
2004-05-12 Includes\Security.sbi
2004-05-12 Includes\Spybots.sbi

je vous redonne aussi un log de hijack:

Logfile of HijackThis v1.98.2
Scan saved at 21:22:17, on 14/12/2004
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\WayTech\Coloreal\Coloreal Bright\Coloreal Bright.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\admin\Bureau\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.fr/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://amitieedaoc.free.fr/phpBB2/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - Global Startup: Coloreal Bright.lnk = ?
O4 - Global Startup: Coloreal Hint.lnk = ?
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1102897174812
O17 - HKLM\System\CCS\Services\Tcpip\..\{E3C50299-4628-4601-B71F-97218488E0B7}: NameServer = 80.10.246.130 80.10.246.3

sinon a par ca je tien vraiment a te remercier pour tout l'aide que tu ma apporté depuis ce matin :-)

sans toi je serrais encore dans une belle m***ouille !!

merci baucoup :-)

amicalement
0
Réponse 13 / 15
Utilisateur anonyme
 
impec! le log est clean

DSO Exploit<-- c'est rien, tu l'exclus de l'analyse de Spybot, c'est un vieux bug connu - après le scan, je sais plus trop où, mais tu coches "ignorer cette détection" - bientôt la nouvelle version de Spybot corrigera le bug, mais bon.... bof!
http://www.secuser.com/alertes/2004/dsoexploit.htm

de temps en temps puisque tu as Hijack tu te fais un contrôle de tes programmes idem dans msconfig tu jètes un cil de temps à autre ça évite le binz total et déclaré

bonne soirée khanyj et bon surf :-)


*Devise : Je m'intéresse à l'avenir parceque
c'est là que je vais passer le reste de ma vie*
0
Réponse 14 / 15
khanyj
 
une derniere fois je tien a te remercier pour le temps que tu a passé a m'exliquer comment resoudres mes problêmes.

un tres grand merci a toi et je te dit pas a un bientot hien ^^

amicalement
0
Réponse 15 / 15
bernie61
 
salut
il existe màj logicielle pour DSOexploit officielle là http://www.safer-networking.org/files/spybotsd131tx.exe mais si pas de chargement
alors à charger là http://www.majorgeeks.com/download4392.html
pour configurer spybotS&D,
a+
0

Discussions similaires

TI college plus (calculatrice probleme)
help39 -
Utilisateur anonyme -

3 réponses
comment taper log10 sur une TI83plus.fr ?
FFFred -
FFFred -

2 réponses
comment utiliser la fonction log
CG -
Utilisateur anonyme -

1 réponse
Avez-vous un VPN no logs à me conseiller ?
Utilisateur anonyme -
brupala -

4 réponses
Caluculatrice Ti Collège
Lami2toi -
Lami2toi -

4 réponses