Que faire après hijackthis?

tophe03 Messages postés 328 Statut Membre -  
djian Messages postés 4 Statut Membre -
Voici le log hijackthis.

Logfile of HijackThis v1.99.0
Scan saved at 14:09:26, on 24/01/05
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FSMA32.EXE
C:\WINDOWS\EXPLORER.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FSMB32.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FCH32.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\BACKWEB\1044199\PROGRAM\FSBWSYS.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\BACKWEB\1044199\PROGRAM\BACKWEB-1044199.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FAMEH32.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\ANTI-VIRUS\FSGK32.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\DFW\PROGRAM\FSDFWD.EXE
C:\WINDOWS\SYSTEM\SISTRAY.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\ANTI-VIRUS\FSSM32.EXE
C:\WINDOWS\SYSTEM\KHOOKER.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\ANTI-VIRUS\FSAV32.EXE
C:\PROGRAM FILES\HEWLETT-PACKARD\HP SOFTWARE UPDATE\HPWUSCHD.EXE
C:\PROGRAM FILES\HP\HPCORETECH\HPCMPMGR.EXE
C:\WINDOWS\SYSTEM\HPZTSB09.EXE
C:\PROGRAM FILES\HEWLETT-PACKARD\DIGITAL IMAGING\BIN\HPOTDD01.EXE
C:\PROGRAM FILES\WANADOO\CNXMON.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\WINDOWS\SYSTEM\KEYHOOK.EXE
C:\WINDOWS\RUNDLL32.EXE
C:\WINDOWS\SYSTEM\MSCDEX32.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FSM32.EXE
C:\WINDOWS\SYSTEM32\XPSP2FW.EXE
C:\WINDOWS\RunDLL.exe
C:\WINDOWS\APPLICATION DATA\LASS.EXE
C:\WINDOWS\SYSTEM\LJPI.EXE
C:\PROGRAM FILES\WANADOO\ESPACEWANADOO.EXE
C:\PROGRAM FILES\SAGEM\SAGEM F@ST 800-840\DSLMON.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\PROGRAM FILES\MICROSOFT OFFICE\OFFICE\1036\MSOFFICE.EXE
C:\PROGRAM FILES\WANADOO\COMCOMP.EXE
C:\PROGRAM FILES\WANADOO\WATCH.EXE
C:\MES DOCUMENTS\TOPHE.STEPHAN\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://ms-find.com/sp.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.wanadoo.fr/go/page_recherche/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://ms-find.com/sp.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.fr
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://ms-find.com/sp.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,SearchURL = http://ms-find.com/sp.htm
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAM FILES\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O2 - BHO: (no name) - {12329C61-633A-11D9-82DD-000BB75CF70B} - C:\WINDOWS\SYSTEM\EIIP.DLL (file missing)
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\PROGRA~1\Google\GoogleToolbar1.dll (file missing)
O2 - BHO: (no name) - {E3756A16-84A0-D808-843E-8C4DF7A729C2} - C:\WINDOWS\SYSTEM\CXDVRW.DLL
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\PROGRA~1\Google\GoogleToolbar1.dll (file missing)
O4 - HKLM\..\Run: [SiS Tray] C:\WINDOWS\SYSTEM\SISTRAY.EXE
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [SiS KHooker] C:\WINDOWS\SYSTEM\khooker.exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [HP Software Update] "C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd.exe"
O4 - HKLM\..\Run: [HP Component Manager] "C:\PROGRAM FILES\HP\HPCORETECH\HPCMPMGR.EXE"
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\SYSTEM\hpztsb09.exe
O4 - HKLM\..\Run: [DeviceDiscovery] C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
O4 - HKLM\..\Run: [WooCnxMon] C:\PROGRA~1\WANADOO\CnxMon.exe
O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\WANADOO\Watch.exe
O4 - HKLM\..\Run: [SiS Windows KeyHook] C:\WINDOWS\SYSTEM\keyhook.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [mscdex32] C:\WINDOWS\SYSTEM\MSCDEX32.EXE
O4 - HKLM\..\Run: [F-Secure Manager] "C:\PROGRAM FILES\SECURITOO\AV_FW\Common\FSM32.EXE" /splash
O4 - HKLM\..\Run: [F-Secure TNB] "C:\PROGRAM FILES\SECURITOO\AV_FW\TNB\TNBUtil.exe" /CHECKALL
O4 - HKLM\..\Run: [MSXMIDI.EXE] MSXMIDI.EXE
O4 - HKLM\..\Run: [XPSP2 Firewall] C:\WINDOWS\system32\xpsp2fw.exe
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [fsaa] C:\PROGRAM FILES\SECURITOO\AV_FW\Common\fsaa.exe
O4 - HKLM\..\RunServices: [F-Secure Management Agent] C:\PROGRAM FILES\SECURITOO\AV_FW\Common\FSMA32.EXE
O4 - HKCU\..\Run: [Taskbar Display Controls] RunDLL deskcp16.dll,QUICKRES_RUNDLLENTRY
O4 - HKCU\..\Run: [Spyware Vanisher] C:\SPYWAREVANISHER-FREE\FREESCANNER.EXE -FastScan
O4 - HKCU\..\Run: [Windows Update Client ] C:\WINDOWS\system32\wuclient.exe
O4 - Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O4 - Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
O4 - Startup: Utility Tray.lnk = C:\WINDOWS\SYSTEM\sistray.exe
O4 - Global Startup: Securitoo AntiVirus Firewall.lnk = C:\Program Files\Securitoo\av_fw\backweb\1044199\Program\backweb-1044199.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - http://www.wanadoo.fr (file missing) (HKCU)
O12 - Plugin for .spop: C:\PROGRA~1\INTERN~1\Plugins\NPDocBox.dll
O15 - Trusted Zone: *.frame.crazywinnings.com
O15 - Trusted Zone: *.static.topconverting.com
O15 - Trusted Zone: *.frame.crazywinnings.com (HKLM)
O15 - Trusted Zone: *.static.topconverting.com (HKLM)
O15 - Trusted IP range: 206.161.125.149
O15 - Trusted IP range: 206.161.125.149 (HKLM)

Que dois-je faire?

19 réponses

  1. bernie61
     
    salut
    ton log est incomplet, manque lignes 016 à 023
    a+
    0
  2. bernie61
     
    salut
    fais d'abord ceci pour ton infection ensuite refais un HijackThis

    * tu charges Sysclean Package là:
    http://fr.trendmicro-europe.com/enterprise/support/tsc.php
    et le fichier dernière version signatures virus « LTPxxx.ZIP » (xxx représente les chiffres indiquant la version ) là
    http://fr.trendmicro-europe.com/enterprise/support/pattern.php
    *tu décomprimes le ltpxxx.zip et place le fichier ltp$vpn.xxx dans le même répertoire que Sysclean
    * tu redémarres en mode sans échec
    *tu lances le scan en cliquant sur sysclean.com et il est créé un fichier sysclean.log dans ce répertoire ;

    a+
    0
  3. tophe03 Messages postés 328 Statut Membre 5
     
    Je viens de refaire un hijackthis, et j'obtiens la même chose: je n'ai pas de lignes de 016 à 023.
    Par contre, comment décompresser un fichier?

    merci
    0
  4. bernie61
     
    re
    tu décomprime un fichier avec le logiciel winzip ou winrar
    ?? tu n'as pas sur ton ordi (cliq droit souris sur le fichier .zip et là tu vois au milieu "Extraire tout..."
    a+
    0

  5. Vous n’avez pas trouvé la réponse que vous recherchez ?

    Posez votre question
  7. balltrap34 Messages postés 16241 Statut Contributeur sécurité 332
     
    salut
    il ne peut pas avoir de 023 il est sous 98
    ta omis de regarder quelle version il utilise

    la chasse et le balltrap ma vrai passion
    voir site perso dans profil
    0
    1. tophe03 Messages postés 328 Statut Membre 5
       
      Bonjour,

      j'ai de nombreux problèmes apres avoir fait un hijackthis. Une persone de télécharger sysclean parceque je n'avait pas de lignes 016 à 023 dans le log hijackthis.
      Apparemment, c'est normal puisque j'ai windows98. Du coup je ne sais pas quoi faire.

      Merci d'avance
      0
      1. balltrap34 Messages postés 16241 Statut Contributeur sécurité 332 > tophe03 Messages postés 328 Statut Membre
         
        salut
        vas ici fait un scan
        http://www.ravantivirus.com/scan/
        Cliquer sur "To continue without subscribing click here" et attendre quelques minutes.

        Lorsque "Ready" est affiché dans "status", cocher la case "Autoclean" puis cliquer sur "Scan my PC"
        A la fin de l'analyse, copier/coller le rapport ici.


        la chasse et le balltrap ma vrai passion
        voir site perso dans profil
        0
      2. tophe03 Messages postés 328 Statut Membre 5 > balltrap34 Messages postés 16241 Statut Contributeur sécurité
         
        Voici le rapport d'analyse sur http://www.ravantivirus.com/scan/ :

        Scan started at 24/01/05 18:54:01

        Scanning memory...
        c:\WINDOWS\Application Data\lass.exe - TrojanDownloader:Win32/PurityScan.R -> Infected

        Scanned
        ============================
        Objects: 14423
        Directories: 753
        Archives: 610
        Size(Kb): 1289408
        Infected files: 1

        Found
        ============================
        Viruses found: 1
        Suspicious files: 0
        Disinfected files: 0
        Mail files: 56


        Concernant hijackthis, je ne sais pas que faire après.

        Merci.
        0
  8. tophe03 Messages postés 328 Statut Membre 5
     
    Dois-je alors utiliser sysclean?
    Lorsque je redémarre en mode sans échec, et que je double-clic sur sysclean, il me met un message d'avertissement comme quoi je pourrais créer d'autres problèmes.
    0
  9. tophe03 Messages postés 328 Statut Membre 5
     
    j'ai un autre problème: je ne sais pas pourquoi les fenêtres des dossiers ne s'affichent plus comme une page web.
    0
  10. bernie61
     
    Salut tu es bien infecté

    Fais rechercher puis vérifier Propriétés de ceux-ci, si inconnu (de toi ou non placé par toi) à Zipper (comprimer avec WinZip ou WinRar) puis effacer le .exe
    C:\WINDOWS\SYSTEM\SPOOL32.EXE > vérifier car ça peut être trojan
    C:\WINDOWS\SYSTEM\MSCDEX32.EXE >> aussi suspect
    C:\WINDOWS\SYSTEM\LJPI.EXE
    C:\WINDOWS\SYSTEM\CXDVRW.DLL >> ??nom aléatoire = virus
    C:\WINDOWS\SYSTEM\SISTRAY.EXE >> ?? vérif car le bon serait sYstray ?
    C:\WINDOWS\SYSTEM\khooker.exe >> ??
    MSXMIDI.EXE ??
    C:\WINDOWS\system32\wuclient.exe > vérif si c’est le bon Win Update

    Rechercher et effacer ceux-ci

    C:\WINDOWS\APPLICATION DATA\LASS.EXE
    C:\WINDOWS\SYSTEM32\XPSP2FW.EXE > très suspect tu n’as pas XP

    Relances HijackThis et cocher toutes ces lignes, puis FIX :
    R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://ms-find.com/sp.htm
    R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://ms-find.com/sp.htm
    R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://ms-find.com/sp.htm

    R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,SearchURL = http://ms-find.com/sp.htm
    O2 - BHO: (no name) - {12329C61-633A-11D9-82DD-000BB75CF70B} - C:\WINDOWS\SYSTEM\EIIP.DLL (file missing)
    O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\PROGRA~1\Google\GoogleToolbar1.dll (file missing)
    O2 - BHO: (no name) - {E3756A16-84A0-D808-843E-8C4DF7A729C2} - C:\WINDOWS\SYSTEM\CXDVRW.DLL >> si inconnu
    O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\PROGRA~1\Google\GoogleToolbar1.dll (file missing)
    O4 - HKLM\..\Run: [SiS Tray] C:\WINDOWS\SYSTEM\SISTRAY.EXE > si inconnu

    O4 - HKLM\..\Run: [SiS KHooker] C:\WINDOWS\SYSTEM\khooker.exe > si inconnu
    O4 - HKLM\..\Run: [mscdex32] C:\WINDOWS\SYSTEM\MSCDEX32.EXE > si inconnu
    O4 - HKLM\..\Run: [MSXMIDI.EXE] MSXMIDI.EXE > si inconnu
    O4 - HKLM\..\Run: [XPSP2 Firewall] C:\WINDOWS\system32\xpsp2fw.exe > t’as pas XP
    O4 - HKCU\..\Run: [Windows Update Client ] C:\WINDOWS\system32\wuclient.exe > si inconnu
    O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm > suspect
    O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm > suspect
    O15 - Trusted Zone: *.frame.crazywinnings.com > cocher toutes les lignes 015

    a+
    0
  11. balltrap34 Messages postés 16241 Statut Contributeur sécurité 332
     
    salut bernie lit se que j ai mis plus haut c est marquer en haut du log hijack il a 98 donc pas de 023

    la chasse et le balltrap ma vrai passion
    voir site perso dans profil
    0
    1. bernie61
       
      salut
      j'ai lu, merci
      a+
      0
  12. tophe03 Messages postés 328 Statut Membre 5
     
    Bonjour

    Voici le dernier log hijackthis

    Logfile of HijackThis v1.99.0
    Scan saved at 23:50:48, on 24/01/05
    Platform: Windows 98 SE (Win9x 4.10.2222A)
    MSIE: Internet Explorer v6.00 (6.00.2600.0000)

    Running processes:
    C:\WINDOWS\SYSTEM\KERNEL32.DLL
    C:\WINDOWS\SYSTEM\MSGSRV32.EXE
    C:\WINDOWS\SYSTEM\MPREXE.EXE
    C:\WINDOWS\SYSTEM\mmtask.tsk
    C:\WINDOWS\SYSTEM\MSTASK.EXE
    C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FSMA32.EXE
    C:\WINDOWS\EXPLORER.EXE
    C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FSMB32.EXE
    C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FCH32.EXE
    C:\PROGRAM FILES\SECURITOO\AV_FW\BACKWEB\1044199\PROGRAM\FSBWSYS.EXE
    C:\PROGRAM FILES\SECURITOO\AV_FW\BACKWEB\1044199\PROGRAM\BACKWEB-1044199.EXE
    C:\WINDOWS\SYSTEM\RNAAPP.EXE
    C:\WINDOWS\SYSTEM\TAPISRV.EXE
    C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FAMEH32.EXE
    C:\PROGRAM FILES\SECURITOO\AV_FW\ANTI-VIRUS\FSGK32.EXE
    C:\PROGRAM FILES\SECURITOO\AV_FW\DFW\PROGRAM\FSDFWD.EXE
    C:\WINDOWS\SYSTEM\SISTRAY.EXE
    C:\WINDOWS\SYSTEM\DDHELP.EXE
    C:\WINDOWS\TASKMON.EXE
    C:\WINDOWS\SYSTEM\SYSTRAY.EXE
    C:\PROGRAM FILES\SECURITOO\AV_FW\ANTI-VIRUS\FSSM32.EXE
    C:\WINDOWS\SYSTEM\KHOOKER.EXE
    C:\PROGRAM FILES\HEWLETT-PACKARD\HP SOFTWARE UPDATE\HPWUSCHD.EXE
    C:\PROGRAM FILES\SECURITOO\AV_FW\ANTI-VIRUS\FSAV32.EXE
    C:\PROGRAM FILES\HP\HPCORETECH\HPCMPMGR.EXE
    C:\WINDOWS\SYSTEM\HPZTSB09.EXE
    C:\WINDOWS\SYSTEM\SPOOL32.EXE
    C:\PROGRAM FILES\HEWLETT-PACKARD\DIGITAL IMAGING\BIN\HPOTDD01.EXE
    C:\PROGRAM FILES\WANADOO\CNXMON.EXE
    C:\WINDOWS\SYSTEM\KEYHOOK.EXE
    C:\WINDOWS\RUNDLL32.EXE
    C:\WINDOWS\SYSTEM\MSCDEX32.EXE
    C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FSM32.EXE
    C:\WINDOWS\RunDLL.exe
    C:\WINDOWS\SYSTEM\LJPI.EXE
    C:\PROGRAM FILES\SAGEM\SAGEM F@ST 800-840\DSLMON.EXE
    C:\WINDOWS\SYSTEM\WMIEXE.EXE
    C:\PROGRAM FILES\MICROSOFT OFFICE\OFFICE\1036\MSOFFICE.EXE
    C:\PROGRAM FILES\WANADOO\ESPACEWANADOO.EXE
    C:\PROGRAM FILES\WANADOO\COMCOMP.EXE
    C:\PROGRAM FILES\WANADOO\WATCH.EXE
    C:\PROGRAM FILES\INTERNET EXPLORER\IEXPLORE.EXE
    C:\MES DOCUMENTS\TOPHE.STEPHAN\HIJACKTHIS.EXE

    R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.wanadoo.fr/go/page_recherche/
    R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.fr
    O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAM FILES\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
    O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
    O4 - HKLM\..\Run: [SiS Tray] C:\WINDOWS\SYSTEM\SISTRAY.EXE
    O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
    O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
    O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
    O4 - HKLM\..\Run: [SiS KHooker] C:\WINDOWS\SYSTEM\khooker.exe
    O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
    O4 - HKLM\..\Run: [HP Software Update] "C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd.exe"
    O4 - HKLM\..\Run: [HP Component Manager] "C:\PROGRAM FILES\HP\HPCORETECH\HPCMPMGR.EXE"
    O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\SYSTEM\hpztsb09.exe
    O4 - HKLM\..\Run: [DeviceDiscovery] C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
    O4 - HKLM\..\Run: [WooCnxMon] C:\PROGRA~1\WANADOO\CnxMon.exe
    O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\WANADOO\Watch.exe
    O4 - HKLM\..\Run: [SiS Windows KeyHook] C:\WINDOWS\SYSTEM\keyhook.exe
    O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
    O4 - HKLM\..\Run: [F-Secure Manager] "C:\PROGRAM FILES\SECURITOO\AV_FW\Common\FSM32.EXE" /splash
    O4 - HKLM\..\Run: [F-Secure TNB] "C:\PROGRAM FILES\SECURITOO\AV_FW\TNB\TNBUtil.exe" /CHECKALL
    O4 - HKLM\..\Run: [ControlPanel] C:\WINDOWS\SYSTEM\twink64.exe internat.dll,LoadKeyboardProfile
    O4 - HKLM\..\Run: [XPSP2 Firewall] C:\WINDOWS\system32\xpsp2fw.exe
    O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
    O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
    O4 - HKLM\..\RunServices: [fsaa] C:\PROGRAM FILES\SECURITOO\AV_FW\Common\fsaa.exe
    O4 - HKLM\..\RunServices: [F-Secure Management Agent] C:\PROGRAM FILES\SECURITOO\AV_FW\Common\FSMA32.EXE
    O4 - HKCU\..\Run: [Taskbar Display Controls] RunDLL deskcp16.dll,QUICKRES_RUNDLLENTRY
    O4 - HKCU\..\Run: [Windows Update Client ] C:\WINDOWS\system32\wuclient.exe
    O4 - Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
    O4 - Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
    O4 - Startup: Utility Tray.lnk = C:\WINDOWS\SYSTEM\sistray.exe
    O4 - Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE
    O4 - Global Startup: Securitoo AntiVirus Firewall.lnk = C:\Program Files\Securitoo\av_fw\backweb\1044199\Program\backweb-1044199.exe
    O12 - Plugin for .spop: C:\PROGRA~1\INTERN~1\Plugins\NPDocBox.dll
    O15 - Trusted Zone: *.frame.crazywinnings.com
    O15 - Trusted Zone: *.static.topconverting.com
    O15 - Trusted Zone: *.frame.crazywinnings.com (HKLM)
    O15 - Trusted Zone: *.static.topconverting.com (HKLM)
    O15 - Trusted IP range: 206.161.125.149
    O15 - Trusted IP range: 206.161.125.149 (HKLM)

    les 6 dernieres lignes reviennent de facon recurrente a chaque scan
    je ne sais pas comment m'en débarrasser.
    Merci pour votre aide
    0
  13. tophe03 Messages postés 328 Statut Membre 5
     
    aidez-moi svp
    merci
    0
  14. tophe03 Messages postés 328 Statut Membre 5
     
    A chaque fois que je fais un scan spybot, il trouve DSO Exploit et s'arrête juste avant la fin me mettant "Erreur lors des vérifications, Winpup32..."

    Merci
    0
  16. tophe03 Messages postés 328 Statut Membre 5
     
    Bonjour

    J'ai fait un scan anti-virus complet via HouseCall, il n'a rien trouvé et en plus je ne sais pas comment le désinstaller.

    Voici le nouveau log hijackthis:

    Logfile of HijackThis v1.99.0
    Scan saved at 17:01:20, on 25/01/05
    Platform: Windows 98 SE (Win9x 4.10.2222A)
    MSIE: Internet Explorer v6.00 (6.00.2600.0000)

    Running processes:
    C:\WINDOWS\SYSTEM\KERNEL32.DLL
    C:\WINDOWS\SYSTEM\MSGSRV32.EXE
    C:\WINDOWS\SYSTEM\SPOOL32.EXE
    C:\WINDOWS\SYSTEM\MPREXE.EXE
    C:\WINDOWS\SYSTEM\MSTASK.EXE
    C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FSMA32.EXE
    C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FSMB32.EXE
    C:\WINDOWS\SYSTEM\mmtask.tsk
    C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FCH32.EXE
    C:\PROGRAM FILES\SECURITOO\AV_FW\BACKWEB\1044199\PROGRAM\FSBWSYS.EXE
    C:\WINDOWS\EXPLORER.EXE
    C:\PROGRAM FILES\SECURITOO\AV_FW\BACKWEB\1044199\PROGRAM\BACKWEB-1044199.EXE
    C:\WINDOWS\SYSTEM\TAPISRV.EXE
    C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FAMEH32.EXE
    C:\PROGRAM FILES\SECURITOO\AV_FW\ANTI-VIRUS\FSGK32.EXE
    C:\PROGRAM FILES\SECURITOO\AV_FW\DFW\PROGRAM\FSDFWD.EXE
    C:\PROGRAM FILES\SECURITOO\AV_FW\ANTI-VIRUS\FSSM32.EXE
    C:\PROGRAM FILES\SECURITOO\AV_FW\ANTI-VIRUS\FSAV32.EXE
    C:\WINDOWS\SYSTEM\SISTRAY.EXE
    C:\WINDOWS\SYSTEM\DDHELP.EXE
    C:\WINDOWS\TASKMON.EXE
    C:\WINDOWS\SYSTEM\SYSTRAY.EXE
    C:\WINDOWS\SYSTEM\KHOOKER.EXE
    C:\PROGRAM FILES\HEWLETT-PACKARD\HP SOFTWARE UPDATE\HPWUSCHD.EXE
    C:\PROGRAM FILES\HP\HPCORETECH\HPCMPMGR.EXE
    C:\WINDOWS\SYSTEM\HPZTSB09.EXE
    C:\PROGRAM FILES\HEWLETT-PACKARD\DIGITAL IMAGING\BIN\HPOTDD01.EXE
    C:\PROGRAM FILES\WANADOO\CNXMON.EXE
    C:\WINDOWS\SYSTEM\KEYHOOK.EXE
    C:\WINDOWS\RUNDLL32.EXE
    C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FSM32.EXE
    C:\WINDOWS\RunDLL.exe
    C:\PROGRAM FILES\SAGEM\SAGEM F@ST 800-840\DSLMON.EXE
    C:\WINDOWS\SYSTEM\WMIEXE.EXE
    C:\PROGRAM FILES\MICROSOFT OFFICE\OFFICE\1036\MSOFFICE.EXE
    C:\PROGRAM FILES\WANADOO\ESPACEWANADOO.EXE
    C:\PROGRAM FILES\WANADOO\COMCOMP.EXE
    C:\PROGRAM FILES\WANADOO\WATCH.EXE
    C:\PROGRAM FILES\JAVA\J2RE1.4.2\BIN\JAVAW.EXE
    C:\PROGRAM FILES\JAVA\J2RE1.4.2\BIN\JAVAW.EXE
    C:\WINDOWS\SYSTEM\RNAAPP.EXE
    C:\PROGRAM FILES\INTERNET EXPLORER\IEXPLORE.EXE
    C:\MES DOCUMENTS\TOPHE.STEPHAN\HIJACKTHIS.EXE

    R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.wanadoo.fr/go/page_recherche/
    R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.fr
    O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAM FILES\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
    O4 - HKLM\..\Run: [SiS Tray] C:\WINDOWS\SYSTEM\SISTRAY.EXE
    O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
    O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
    O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
    O4 - HKLM\..\Run: [SiS KHooker] C:\WINDOWS\SYSTEM\khooker.exe
    O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
    O4 - HKLM\..\Run: [HP Software Update] "C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd.exe"
    O4 - HKLM\..\Run: [HP Component Manager] "C:\PROGRAM FILES\HP\HPCORETECH\HPCMPMGR.EXE"
    O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\SYSTEM\hpztsb09.exe
    O4 - HKLM\..\Run: [DeviceDiscovery] C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
    O4 - HKLM\..\Run: [WooCnxMon] C:\PROGRA~1\WANADOO\CnxMon.exe
    O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\WANADOO\Watch.exe
    O4 - HKLM\..\Run: [SiS Windows KeyHook] C:\WINDOWS\SYSTEM\keyhook.exe
    O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
    O4 - HKLM\..\Run: [F-Secure Manager] "C:\PROGRAM FILES\SECURITOO\AV_FW\Common\FSM32.EXE" /splash
    O4 - HKLM\..\Run: [F-Secure TNB] "C:\PROGRAM FILES\SECURITOO\AV_FW\TNB\TNBUtil.exe" /CHECKALL
    O4 - HKLM\..\Run: [ControlPanel] C:\WINDOWS\SYSTEM\twink64.exe internat.dll,LoadKeyboardProfile
    O4 - HKLM\..\Run: [XPSP2 Firewall] C:\WINDOWS\system32\xpsp2fw.exe
    O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
    O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
    O4 - HKLM\..\RunServices: [fsaa] C:\PROGRAM FILES\SECURITOO\AV_FW\Common\fsaa.exe
    O4 - HKLM\..\RunServices: [F-Secure Management Agent] C:\PROGRAM FILES\SECURITOO\AV_FW\Common\FSMA32.EXE
    O4 - HKCU\..\Run: [Taskbar Display Controls] RunDLL deskcp16.dll,QUICKRES_RUNDLLENTRY
    O4 - HKCU\..\Run: [Windows Update Client ] C:\WINDOWS\system32\wuclient.exe
    O4 - Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
    O4 - Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
    O4 - Startup: Utility Tray.lnk = C:\WINDOWS\SYSTEM\sistray.exe
    O4 - Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE
    O4 - Global Startup: Securitoo AntiVirus Firewall.lnk = C:\Program Files\Securitoo\av_fw\backweb\1044199\Program\backweb-1044199.exe
    O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\SYSTEM\MSJAVA.DLL
    O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\SYSTEM\MSJAVA.DLL
    O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - http://www.wanadoo.fr (file missing) (HKCU)
    O12 - Plugin for .spop: C:\PROGRA~1\INTERN~1\Plugins\NPDocBox.dll
    O15 - Trusted Zone: *.frame.crazywinnings.com
    O15 - Trusted Zone: *.static.topconverting.com
    O15 - Trusted Zone: *.frame.crazywinnings.com (HKLM)
    O15 - Trusted Zone: *.static.topconverting.com (HKLM)
    O15 - Trusted IP range: 206.161.125.149
    O15 - Trusted IP range: 206.161.125.149 (HKLM)

    les 6 dernieres lignes (016) sont toujours présentes. Je ne sais pas quoi faire. Et y a-t-il d'autres lignes à virer?

    Merci d'avance
    0
  17. bernie61
     
    salut
    Tu n’avais pas suivi ce que j’avais mis plus haut ou c’est revenu XPSP2FW.EXE ??

    Fais rechercher puis vérifier Propriétés de ceux-ci, si inconnu (de toi ou non placé par toi) à Zipper (comprimer avec WinZip ou WinRar) puis effacer le .exe
    C:\WINDOWS\SYSTEM\SISTRAY.EXE
    C:\WINDOWS\system32\xpsp2fw.exe
    C:\WINDOWS\system32\wuclient.exe >> vérif si c’est bien l’update de WIN

    Relances HijackThis et cocher toutes ces lignes, puis FIX :
    O4 - HKLM\..\Run: [XPSP2 Firewall] C:\WINDOWS\system32\xpsp2fw.exe

    O4 - Startup: Utility Tray.lnk = C:\WINDOWS\SYSTEM\sistray.exe > si inconnu
    O4 - HKCU\..\Run: [Windows Update Client ] C:\WINDOWS\system32\wuclient.exe > si inconnu
    O15 - Trusted Zone: *.frame.crazywinnings.com > à cocher et toutes autres 015 aussi

    a+
    0
    1. tophe03
       
      Je ne trouve pas les deux applications suivantes:

      C:\WINDOWS\system32\xpsp2fw.exe
      C:\WINDOWS\system32\wuclient.exe

      Quant à SISTRAY.EXE, j'ai en description "SiS Compatible Super VGA Tray Application"
      Quant aux lignes 015, elles reviennent à chaque fois.
      0
    2. tophe03 Messages postés 328 Statut Membre 5
       
      Y a-t-il quelqu'un pour m'aider svp?
      0
  18. tophe03 Messages postés 328 Statut Membre 5
     
    J'ai beau fixé les lignes 015, elles reviennent toujours. Que faire?
    0
  19. djian Messages postés 4 Statut Membre
     
    Salut,

    Me voila rentré.
    Description de TROJ_GHETTO.A (dont voici une solution théorique):
    - http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=TROJ%5FGHETTO%2EA&VSect=Sn

    Essaye de faire l'opération décrite manuellement, en mode sans echec (on sait jamais). Suivi immédiatement après, sans avoir rebooté d'un Hijackthis pour voir si les 6 lignes 015 ont bien disparues.
    Puis reboot et refais un Hijackthis avant d'avoir ouvert une fenetre IE, puis après. Si tu vois les lignes, alors reposte le nouveau Hijackthis ici, en indiquant quand tu l'as fait.
    Si ca se trouve, on a une nouvelle version du trojan... :/

    Sinon, as-tu bien fixé les lignes indiquées par tophe03 ?

    a+
    0
    1. djian Messages postés 4 Statut Membre
       
      Sinon, as-tu bien fixé les lignes indiquées par tophe03 ?

      Il faut bien sur lire "bernie61" et non tophe03 :-p

      a+
      0
  20. balltrap34 Messages postés 16241 Statut Contributeur sécurité 332
     
    salut
    demarre en mode sans echec
    relance hijack coche et fix les lignes que bernie ta dit
    pour suppr les exe il faut avant verifier ceci pour pouvoir le faire

    Affiche tous les fichiers et dossiers :
    cliquer sur démarrer/panneau de configuration/option des dossiers/affichage
    Cocher afficher les dossiers cacher
    Décoche la case "Masquer les fichiers protégés du système d'exploitation (recommandé)"
    Puis fais «Ok» pour valider les changements.
    Décocher masquer les extensions dont le type est connu
    Et appliquer

    la tu recherche les exe et tu suppr
    0

Discussions similaires

Analyse des logs hijackthis
philnoug -
nayas13 -

35 réponses
Hijackthis
brioche95 -
sKe69 -

2 réponses
Hijackthis
The Dj -
Regis59 -

4 réponses
Rapport Hijackthis après nettoyage
Dannlethellier -
Dannlethellier -

10 réponses
Log HIJACKTHIS
Thi83 -
geoffrey5 -

13 réponses