Sujet Précédent Sujet Suivant

Que faire après hijackthis?

tophe03 Messages postés 328 Statut Membre -  
djian Messages postés 4 Statut Membre -
Voici le log hijackthis.

Logfile of HijackThis v1.99.0
Scan saved at 14:09:26, on 24/01/05
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FSMA32.EXE
C:\WINDOWS\EXPLORER.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FSMB32.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FCH32.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\BACKWEB\1044199\PROGRAM\FSBWSYS.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\BACKWEB\1044199\PROGRAM\BACKWEB-1044199.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FAMEH32.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\ANTI-VIRUS\FSGK32.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\DFW\PROGRAM\FSDFWD.EXE
C:\WINDOWS\SYSTEM\SISTRAY.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\ANTI-VIRUS\FSSM32.EXE
C:\WINDOWS\SYSTEM\KHOOKER.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\ANTI-VIRUS\FSAV32.EXE
C:\PROGRAM FILES\HEWLETT-PACKARD\HP SOFTWARE UPDATE\HPWUSCHD.EXE
C:\PROGRAM FILES\HP\HPCORETECH\HPCMPMGR.EXE
C:\WINDOWS\SYSTEM\HPZTSB09.EXE
C:\PROGRAM FILES\HEWLETT-PACKARD\DIGITAL IMAGING\BIN\HPOTDD01.EXE
C:\PROGRAM FILES\WANADOO\CNXMON.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\WINDOWS\SYSTEM\KEYHOOK.EXE
C:\WINDOWS\RUNDLL32.EXE
C:\WINDOWS\SYSTEM\MSCDEX32.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FSM32.EXE
C:\WINDOWS\SYSTEM32\XPSP2FW.EXE
C:\WINDOWS\RunDLL.exe
C:\WINDOWS\APPLICATION DATA\LASS.EXE
C:\WINDOWS\SYSTEM\LJPI.EXE
C:\PROGRAM FILES\WANADOO\ESPACEWANADOO.EXE
C:\PROGRAM FILES\SAGEM\SAGEM F@ST 800-840\DSLMON.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\PROGRAM FILES\MICROSOFT OFFICE\OFFICE\1036\MSOFFICE.EXE
C:\PROGRAM FILES\WANADOO\COMCOMP.EXE
C:\PROGRAM FILES\WANADOO\WATCH.EXE
C:\MES DOCUMENTS\TOPHE.STEPHAN\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://ms-find.com/sp.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.wanadoo.fr/go/page_recherche/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://ms-find.com/sp.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.fr
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://ms-find.com/sp.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,SearchURL = http://ms-find.com/sp.htm
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAM FILES\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O2 - BHO: (no name) - {12329C61-633A-11D9-82DD-000BB75CF70B} - C:\WINDOWS\SYSTEM\EIIP.DLL (file missing)
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\PROGRA~1\Google\GoogleToolbar1.dll (file missing)
O2 - BHO: (no name) - {E3756A16-84A0-D808-843E-8C4DF7A729C2} - C:\WINDOWS\SYSTEM\CXDVRW.DLL
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\PROGRA~1\Google\GoogleToolbar1.dll (file missing)
O4 - HKLM\..\Run: [SiS Tray] C:\WINDOWS\SYSTEM\SISTRAY.EXE
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [SiS KHooker] C:\WINDOWS\SYSTEM\khooker.exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [HP Software Update] "C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd.exe"
O4 - HKLM\..\Run: [HP Component Manager] "C:\PROGRAM FILES\HP\HPCORETECH\HPCMPMGR.EXE"
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\SYSTEM\hpztsb09.exe
O4 - HKLM\..\Run: [DeviceDiscovery] C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
O4 - HKLM\..\Run: [WooCnxMon] C:\PROGRA~1\WANADOO\CnxMon.exe
O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\WANADOO\Watch.exe
O4 - HKLM\..\Run: [SiS Windows KeyHook] C:\WINDOWS\SYSTEM\keyhook.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [mscdex32] C:\WINDOWS\SYSTEM\MSCDEX32.EXE
O4 - HKLM\..\Run: [F-Secure Manager] "C:\PROGRAM FILES\SECURITOO\AV_FW\Common\FSM32.EXE" /splash
O4 - HKLM\..\Run: [F-Secure TNB] "C:\PROGRAM FILES\SECURITOO\AV_FW\TNB\TNBUtil.exe" /CHECKALL
O4 - HKLM\..\Run: [MSXMIDI.EXE] MSXMIDI.EXE
O4 - HKLM\..\Run: [XPSP2 Firewall] C:\WINDOWS\system32\xpsp2fw.exe
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [fsaa] C:\PROGRAM FILES\SECURITOO\AV_FW\Common\fsaa.exe
O4 - HKLM\..\RunServices: [F-Secure Management Agent] C:\PROGRAM FILES\SECURITOO\AV_FW\Common\FSMA32.EXE
O4 - HKCU\..\Run: [Taskbar Display Controls] RunDLL deskcp16.dll,QUICKRES_RUNDLLENTRY
O4 - HKCU\..\Run: [Spyware Vanisher] C:\SPYWAREVANISHER-FREE\FREESCANNER.EXE -FastScan
O4 - HKCU\..\Run: [Windows Update Client ] C:\WINDOWS\system32\wuclient.exe
O4 - Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O4 - Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
O4 - Startup: Utility Tray.lnk = C:\WINDOWS\SYSTEM\sistray.exe
O4 - Global Startup: Securitoo AntiVirus Firewall.lnk = C:\Program Files\Securitoo\av_fw\backweb\1044199\Program\backweb-1044199.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - http://www.wanadoo.fr (file missing) (HKCU)
O12 - Plugin for .spop: C:\PROGRA~1\INTERN~1\Plugins\NPDocBox.dll
O15 - Trusted Zone: *.frame.crazywinnings.com
O15 - Trusted Zone: *.static.topconverting.com
O15 - Trusted Zone: *.frame.crazywinnings.com (HKLM)
O15 - Trusted Zone: *.static.topconverting.com (HKLM)
O15 - Trusted IP range: 206.161.125.149
O15 - Trusted IP range: 206.161.125.149 (HKLM)

Que dois-je faire?
A voir également:

19 réponses

Réponse 1 / 19
bernie61
 
salut
ton log est incomplet, manque lignes 016 à 023
a+
0
Réponse 2 / 19
bernie61
 
salut
fais d'abord ceci pour ton infection ensuite refais un HijackThis

* tu charges Sysclean Package là:
http://fr.trendmicro-europe.com/enterprise/support/tsc.php
et le fichier dernière version signatures virus « LTPxxx.ZIP » (xxx représente les chiffres indiquant la version ) là
http://fr.trendmicro-europe.com/enterprise/support/pattern.php
*tu décomprimes le ltpxxx.zip et place le fichier ltp$vpn.xxx dans le même répertoire que Sysclean
* tu redémarres en mode sans échec
*tu lances le scan en cliquant sur sysclean.com et il est créé un fichier sysclean.log dans ce répertoire ;

a+
0
Réponse 3 / 19
tophe03 Messages postés 328 Statut Membre 5
 
Je viens de refaire un hijackthis, et j'obtiens la même chose: je n'ai pas de lignes de 016 à 023.
Par contre, comment décompresser un fichier?

merci
0
Réponse 4 / 19
bernie61
 
re
tu décomprime un fichier avec le logiciel winzip ou winrar
?? tu n'as pas sur ton ordi (cliq droit souris sur le fichier .zip et là tu vois au milieu "Extraire tout..."
a+
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 5 / 19
tophe03 Messages postés 328 Statut Membre 5
 
Je ne trouve pas winzip, ca me parait bizarre!
0
bernie61
 
re
vois là
http://www.winzip.com/downwzeval.htm

a+
0
Réponse 6 / 19
balltrap34 Messages postés 16241 Statut Contributeur sécurité 332
 
salut
il ne peut pas avoir de 023 il est sous 98
ta omis de regarder quelle version il utilise

la chasse et le balltrap ma vrai passion
voir site perso dans profil
0
tophe03 Messages postés 328 Statut Membre 5
 
Bonjour,

j'ai de nombreux problèmes apres avoir fait un hijackthis. Une persone de télécharger sysclean parceque je n'avait pas de lignes 016 à 023 dans le log hijackthis.
Apparemment, c'est normal puisque j'ai windows98. Du coup je ne sais pas quoi faire.

Merci d'avance
0
balltrap34 Messages postés 16241 Statut Contributeur sécurité 332 > tophe03 Messages postés 328 Statut Membre
 
salut
vas ici fait un scan
http://www.ravantivirus.com/scan/
Cliquer sur "To continue without subscribing click here" et attendre quelques minutes.

Lorsque "Ready" est affiché dans "status", cocher la case "Autoclean" puis cliquer sur "Scan my PC"
A la fin de l'analyse, copier/coller le rapport ici.


la chasse et le balltrap ma vrai passion
voir site perso dans profil
0
tophe03 Messages postés 328 Statut Membre 5 > balltrap34 Messages postés 16241 Statut Contributeur sécurité
 
Voici le rapport d'analyse sur http://www.ravantivirus.com/scan/ :

Scan started at 24/01/05 18:54:01

Scanning memory...
c:\WINDOWS\Application Data\lass.exe - TrojanDownloader:Win32/PurityScan.R -> Infected

Scanned
============================
Objects: 14423
Directories: 753
Archives: 610
Size(Kb): 1289408
Infected files: 1

Found
============================
Viruses found: 1
Suspicious files: 0
Disinfected files: 0
Mail files: 56


Concernant hijackthis, je ne sais pas que faire après.

Merci.
0
Réponse 7 / 19
tophe03 Messages postés 328 Statut Membre 5
 
Dois-je alors utiliser sysclean?
Lorsque je redémarre en mode sans échec, et que je double-clic sur sysclean, il me met un message d'avertissement comme quoi je pourrais créer d'autres problèmes.
0
Réponse 8 / 19
tophe03 Messages postés 328 Statut Membre 5
 
j'ai un autre problème: je ne sais pas pourquoi les fenêtres des dossiers ne s'affichent plus comme une page web.
0
Réponse 9 / 19
bernie61
 
Salut tu es bien infecté

Fais rechercher puis vérifier Propriétés de ceux-ci, si inconnu (de toi ou non placé par toi) à Zipper (comprimer avec WinZip ou WinRar) puis effacer le .exe
C:\WINDOWS\SYSTEM\SPOOL32.EXE > vérifier car ça peut être trojan
C:\WINDOWS\SYSTEM\MSCDEX32.EXE >> aussi suspect
C:\WINDOWS\SYSTEM\LJPI.EXE
C:\WINDOWS\SYSTEM\CXDVRW.DLL >> ??nom aléatoire = virus
C:\WINDOWS\SYSTEM\SISTRAY.EXE >> ?? vérif car le bon serait sYstray ?
C:\WINDOWS\SYSTEM\khooker.exe >> ??
MSXMIDI.EXE ??
C:\WINDOWS\system32\wuclient.exe > vérif si c’est le bon Win Update

Rechercher et effacer ceux-ci

C:\WINDOWS\APPLICATION DATA\LASS.EXE
C:\WINDOWS\SYSTEM32\XPSP2FW.EXE > très suspect tu n’as pas XP

Relances HijackThis et cocher toutes ces lignes, puis FIX :
R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://ms-find.com/sp.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://ms-find.com/sp.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://ms-find.com/sp.htm

R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,SearchURL = http://ms-find.com/sp.htm
O2 - BHO: (no name) - {12329C61-633A-11D9-82DD-000BB75CF70B} - C:\WINDOWS\SYSTEM\EIIP.DLL (file missing)
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\PROGRA~1\Google\GoogleToolbar1.dll (file missing)
O2 - BHO: (no name) - {E3756A16-84A0-D808-843E-8C4DF7A729C2} - C:\WINDOWS\SYSTEM\CXDVRW.DLL >> si inconnu
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\PROGRA~1\Google\GoogleToolbar1.dll (file missing)
O4 - HKLM\..\Run: [SiS Tray] C:\WINDOWS\SYSTEM\SISTRAY.EXE > si inconnu

O4 - HKLM\..\Run: [SiS KHooker] C:\WINDOWS\SYSTEM\khooker.exe > si inconnu
O4 - HKLM\..\Run: [mscdex32] C:\WINDOWS\SYSTEM\MSCDEX32.EXE > si inconnu
O4 - HKLM\..\Run: [MSXMIDI.EXE] MSXMIDI.EXE > si inconnu
O4 - HKLM\..\Run: [XPSP2 Firewall] C:\WINDOWS\system32\xpsp2fw.exe > t’as pas XP
O4 - HKCU\..\Run: [Windows Update Client ] C:\WINDOWS\system32\wuclient.exe > si inconnu
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm > suspect
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm > suspect
O15 - Trusted Zone: *.frame.crazywinnings.com > cocher toutes les lignes 015

a+
0
Réponse 10 / 19
balltrap34 Messages postés 16241 Statut Contributeur sécurité 332
 
salut bernie lit se que j ai mis plus haut c est marquer en haut du log hijack il a 98 donc pas de 023

la chasse et le balltrap ma vrai passion
voir site perso dans profil
0
bernie61
 
salut
j'ai lu, merci
a+
0
Réponse 11 / 19
tophe03 Messages postés 328 Statut Membre 5
 
Bonjour

Voici le dernier log hijackthis

Logfile of HijackThis v1.99.0
Scan saved at 23:50:48, on 24/01/05
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FSMA32.EXE
C:\WINDOWS\EXPLORER.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FSMB32.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FCH32.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\BACKWEB\1044199\PROGRAM\FSBWSYS.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\BACKWEB\1044199\PROGRAM\BACKWEB-1044199.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FAMEH32.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\ANTI-VIRUS\FSGK32.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\DFW\PROGRAM\FSDFWD.EXE
C:\WINDOWS\SYSTEM\SISTRAY.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\ANTI-VIRUS\FSSM32.EXE
C:\WINDOWS\SYSTEM\KHOOKER.EXE
C:\PROGRAM FILES\HEWLETT-PACKARD\HP SOFTWARE UPDATE\HPWUSCHD.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\ANTI-VIRUS\FSAV32.EXE
C:\PROGRAM FILES\HP\HPCORETECH\HPCMPMGR.EXE
C:\WINDOWS\SYSTEM\HPZTSB09.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\PROGRAM FILES\HEWLETT-PACKARD\DIGITAL IMAGING\BIN\HPOTDD01.EXE
C:\PROGRAM FILES\WANADOO\CNXMON.EXE
C:\WINDOWS\SYSTEM\KEYHOOK.EXE
C:\WINDOWS\RUNDLL32.EXE
C:\WINDOWS\SYSTEM\MSCDEX32.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FSM32.EXE
C:\WINDOWS\RunDLL.exe
C:\WINDOWS\SYSTEM\LJPI.EXE
C:\PROGRAM FILES\SAGEM\SAGEM F@ST 800-840\DSLMON.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\PROGRAM FILES\MICROSOFT OFFICE\OFFICE\1036\MSOFFICE.EXE
C:\PROGRAM FILES\WANADOO\ESPACEWANADOO.EXE
C:\PROGRAM FILES\WANADOO\COMCOMP.EXE
C:\PROGRAM FILES\WANADOO\WATCH.EXE
C:\PROGRAM FILES\INTERNET EXPLORER\IEXPLORE.EXE
C:\MES DOCUMENTS\TOPHE.STEPHAN\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.wanadoo.fr/go/page_recherche/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.fr
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAM FILES\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\Run: [SiS Tray] C:\WINDOWS\SYSTEM\SISTRAY.EXE
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [SiS KHooker] C:\WINDOWS\SYSTEM\khooker.exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [HP Software Update] "C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd.exe"
O4 - HKLM\..\Run: [HP Component Manager] "C:\PROGRAM FILES\HP\HPCORETECH\HPCMPMGR.EXE"
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\SYSTEM\hpztsb09.exe
O4 - HKLM\..\Run: [DeviceDiscovery] C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
O4 - HKLM\..\Run: [WooCnxMon] C:\PROGRA~1\WANADOO\CnxMon.exe
O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\WANADOO\Watch.exe
O4 - HKLM\..\Run: [SiS Windows KeyHook] C:\WINDOWS\SYSTEM\keyhook.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [F-Secure Manager] "C:\PROGRAM FILES\SECURITOO\AV_FW\Common\FSM32.EXE" /splash
O4 - HKLM\..\Run: [F-Secure TNB] "C:\PROGRAM FILES\SECURITOO\AV_FW\TNB\TNBUtil.exe" /CHECKALL
O4 - HKLM\..\Run: [ControlPanel] C:\WINDOWS\SYSTEM\twink64.exe internat.dll,LoadKeyboardProfile
O4 - HKLM\..\Run: [XPSP2 Firewall] C:\WINDOWS\system32\xpsp2fw.exe
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [fsaa] C:\PROGRAM FILES\SECURITOO\AV_FW\Common\fsaa.exe
O4 - HKLM\..\RunServices: [F-Secure Management Agent] C:\PROGRAM FILES\SECURITOO\AV_FW\Common\FSMA32.EXE
O4 - HKCU\..\Run: [Taskbar Display Controls] RunDLL deskcp16.dll,QUICKRES_RUNDLLENTRY
O4 - HKCU\..\Run: [Windows Update Client ] C:\WINDOWS\system32\wuclient.exe
O4 - Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O4 - Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
O4 - Startup: Utility Tray.lnk = C:\WINDOWS\SYSTEM\sistray.exe
O4 - Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE
O4 - Global Startup: Securitoo AntiVirus Firewall.lnk = C:\Program Files\Securitoo\av_fw\backweb\1044199\Program\backweb-1044199.exe
O12 - Plugin for .spop: C:\PROGRA~1\INTERN~1\Plugins\NPDocBox.dll
O15 - Trusted Zone: *.frame.crazywinnings.com
O15 - Trusted Zone: *.static.topconverting.com
O15 - Trusted Zone: *.frame.crazywinnings.com (HKLM)
O15 - Trusted Zone: *.static.topconverting.com (HKLM)
O15 - Trusted IP range: 206.161.125.149
O15 - Trusted IP range: 206.161.125.149 (HKLM)

les 6 dernieres lignes reviennent de facon recurrente a chaque scan
je ne sais pas comment m'en débarrasser.
Merci pour votre aide
0
Réponse 12 / 19
tophe03 Messages postés 328 Statut Membre 5
 
aidez-moi svp
merci
0
Réponse 13 / 19
tophe03 Messages postés 328 Statut Membre 5
 
A chaque fois que je fais un scan spybot, il trouve DSO Exploit et s'arrête juste avant la fin me mettant "Erreur lors des vérifications, Winpup32..."

Merci
0
Réponse 14 / 19
djian Messages postés 4 Statut Membre
 
Salut,

D'après le site de Trendmicro :
- http://fr.trendmicro-europe.com/consumer/security_info/ve_detail.php?id=82899&VName=TROJ_GHETTO.A&VSect=T

Fais donc un scan anti-virus complet via HouseCall sur le site de Trendmicro :
- http://fr.trendmicro-europe.com/index_consumer.php

Une fois ta machine un peu plus propre, renvoie un log hijackthis.

a+
0
Réponse 15 / 19
tophe03 Messages postés 328 Statut Membre 5
 
Bonjour

J'ai fait un scan anti-virus complet via HouseCall, il n'a rien trouvé et en plus je ne sais pas comment le désinstaller.

Voici le nouveau log hijackthis:

Logfile of HijackThis v1.99.0
Scan saved at 17:01:20, on 25/01/05
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FSMA32.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FSMB32.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FCH32.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\BACKWEB\1044199\PROGRAM\FSBWSYS.EXE
C:\WINDOWS\EXPLORER.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\BACKWEB\1044199\PROGRAM\BACKWEB-1044199.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FAMEH32.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\ANTI-VIRUS\FSGK32.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\DFW\PROGRAM\FSDFWD.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\ANTI-VIRUS\FSSM32.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\ANTI-VIRUS\FSAV32.EXE
C:\WINDOWS\SYSTEM\SISTRAY.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\SYSTEM\KHOOKER.EXE
C:\PROGRAM FILES\HEWLETT-PACKARD\HP SOFTWARE UPDATE\HPWUSCHD.EXE
C:\PROGRAM FILES\HP\HPCORETECH\HPCMPMGR.EXE
C:\WINDOWS\SYSTEM\HPZTSB09.EXE
C:\PROGRAM FILES\HEWLETT-PACKARD\DIGITAL IMAGING\BIN\HPOTDD01.EXE
C:\PROGRAM FILES\WANADOO\CNXMON.EXE
C:\WINDOWS\SYSTEM\KEYHOOK.EXE
C:\WINDOWS\RUNDLL32.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FSM32.EXE
C:\WINDOWS\RunDLL.exe
C:\PROGRAM FILES\SAGEM\SAGEM F@ST 800-840\DSLMON.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\PROGRAM FILES\MICROSOFT OFFICE\OFFICE\1036\MSOFFICE.EXE
C:\PROGRAM FILES\WANADOO\ESPACEWANADOO.EXE
C:\PROGRAM FILES\WANADOO\COMCOMP.EXE
C:\PROGRAM FILES\WANADOO\WATCH.EXE
C:\PROGRAM FILES\JAVA\J2RE1.4.2\BIN\JAVAW.EXE
C:\PROGRAM FILES\JAVA\J2RE1.4.2\BIN\JAVAW.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\PROGRAM FILES\INTERNET EXPLORER\IEXPLORE.EXE
C:\MES DOCUMENTS\TOPHE.STEPHAN\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.wanadoo.fr/go/page_recherche/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.fr
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAM FILES\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O4 - HKLM\..\Run: [SiS Tray] C:\WINDOWS\SYSTEM\SISTRAY.EXE
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [SiS KHooker] C:\WINDOWS\SYSTEM\khooker.exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [HP Software Update] "C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd.exe"
O4 - HKLM\..\Run: [HP Component Manager] "C:\PROGRAM FILES\HP\HPCORETECH\HPCMPMGR.EXE"
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\SYSTEM\hpztsb09.exe
O4 - HKLM\..\Run: [DeviceDiscovery] C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
O4 - HKLM\..\Run: [WooCnxMon] C:\PROGRA~1\WANADOO\CnxMon.exe
O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\WANADOO\Watch.exe
O4 - HKLM\..\Run: [SiS Windows KeyHook] C:\WINDOWS\SYSTEM\keyhook.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [F-Secure Manager] "C:\PROGRAM FILES\SECURITOO\AV_FW\Common\FSM32.EXE" /splash
O4 - HKLM\..\Run: [F-Secure TNB] "C:\PROGRAM FILES\SECURITOO\AV_FW\TNB\TNBUtil.exe" /CHECKALL
O4 - HKLM\..\Run: [ControlPanel] C:\WINDOWS\SYSTEM\twink64.exe internat.dll,LoadKeyboardProfile
O4 - HKLM\..\Run: [XPSP2 Firewall] C:\WINDOWS\system32\xpsp2fw.exe
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [fsaa] C:\PROGRAM FILES\SECURITOO\AV_FW\Common\fsaa.exe
O4 - HKLM\..\RunServices: [F-Secure Management Agent] C:\PROGRAM FILES\SECURITOO\AV_FW\Common\FSMA32.EXE
O4 - HKCU\..\Run: [Taskbar Display Controls] RunDLL deskcp16.dll,QUICKRES_RUNDLLENTRY
O4 - HKCU\..\Run: [Windows Update Client ] C:\WINDOWS\system32\wuclient.exe
O4 - Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O4 - Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
O4 - Startup: Utility Tray.lnk = C:\WINDOWS\SYSTEM\sistray.exe
O4 - Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE
O4 - Global Startup: Securitoo AntiVirus Firewall.lnk = C:\Program Files\Securitoo\av_fw\backweb\1044199\Program\backweb-1044199.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\SYSTEM\MSJAVA.DLL
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\SYSTEM\MSJAVA.DLL
O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - http://www.wanadoo.fr (file missing) (HKCU)
O12 - Plugin for .spop: C:\PROGRA~1\INTERN~1\Plugins\NPDocBox.dll
O15 - Trusted Zone: *.frame.crazywinnings.com
O15 - Trusted Zone: *.static.topconverting.com
O15 - Trusted Zone: *.frame.crazywinnings.com (HKLM)
O15 - Trusted Zone: *.static.topconverting.com (HKLM)
O15 - Trusted IP range: 206.161.125.149
O15 - Trusted IP range: 206.161.125.149 (HKLM)

les 6 dernieres lignes (016) sont toujours présentes. Je ne sais pas quoi faire. Et y a-t-il d'autres lignes à virer?

Merci d'avance
0
Réponse 16 / 19
bernie61
 
salut
Tu n’avais pas suivi ce que j’avais mis plus haut ou c’est revenu XPSP2FW.EXE ??

Fais rechercher puis vérifier Propriétés de ceux-ci, si inconnu (de toi ou non placé par toi) à Zipper (comprimer avec WinZip ou WinRar) puis effacer le .exe
C:\WINDOWS\SYSTEM\SISTRAY.EXE
C:\WINDOWS\system32\xpsp2fw.exe
C:\WINDOWS\system32\wuclient.exe >> vérif si c’est bien l’update de WIN

Relances HijackThis et cocher toutes ces lignes, puis FIX :
O4 - HKLM\..\Run: [XPSP2 Firewall] C:\WINDOWS\system32\xpsp2fw.exe

O4 - Startup: Utility Tray.lnk = C:\WINDOWS\SYSTEM\sistray.exe > si inconnu
O4 - HKCU\..\Run: [Windows Update Client ] C:\WINDOWS\system32\wuclient.exe > si inconnu
O15 - Trusted Zone: *.frame.crazywinnings.com > à cocher et toutes autres 015 aussi

a+
0
tophe03
 
Je ne trouve pas les deux applications suivantes:

C:\WINDOWS\system32\xpsp2fw.exe
C:\WINDOWS\system32\wuclient.exe

Quant à SISTRAY.EXE, j'ai en description "SiS Compatible Super VGA Tray Application"
Quant aux lignes 015, elles reviennent à chaque fois.
0
tophe03 Messages postés 328 Statut Membre 5
 
Y a-t-il quelqu'un pour m'aider svp?
0
Réponse 17 / 19
tophe03 Messages postés 328 Statut Membre 5
 
J'ai beau fixé les lignes 015, elles reviennent toujours. Que faire?
0
Réponse 18 / 19
djian Messages postés 4 Statut Membre
 
Salut,

Me voila rentré.
Description de TROJ_GHETTO.A (dont voici une solution théorique):
- http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=TROJ%5FGHETTO%2EA&VSect=Sn

Essaye de faire l'opération décrite manuellement, en mode sans echec (on sait jamais). Suivi immédiatement après, sans avoir rebooté d'un Hijackthis pour voir si les 6 lignes 015 ont bien disparues.
Puis reboot et refais un Hijackthis avant d'avoir ouvert une fenetre IE, puis après. Si tu vois les lignes, alors reposte le nouveau Hijackthis ici, en indiquant quand tu l'as fait.
Si ca se trouve, on a une nouvelle version du trojan... :/

Sinon, as-tu bien fixé les lignes indiquées par tophe03 ?

a+
0
djian Messages postés 4 Statut Membre
 
Sinon, as-tu bien fixé les lignes indiquées par tophe03 ?

Il faut bien sur lire "bernie61" et non tophe03 :-p

a+
0
Réponse 19 / 19
balltrap34 Messages postés 16241 Statut Contributeur sécurité 332
 
salut
demarre en mode sans echec
relance hijack coche et fix les lignes que bernie ta dit
pour suppr les exe il faut avant verifier ceci pour pouvoir le faire

Affiche tous les fichiers et dossiers :
cliquer sur démarrer/panneau de configuration/option des dossiers/affichage
Cocher afficher les dossiers cacher
Décoche la case "Masquer les fichiers protégés du système d'exploitation (recommandé)"
Puis fais «Ok» pour valider les changements.
Décocher masquer les extensions dont le type est connu
Et appliquer

la tu recherche les exe et tu suppr
0

Discussions similaires

Analyse des logs hijackthis
philnoug -
nayas13 -

35 réponses
spywar
stephane74 -
stephane74 -

4 réponses
Processus et démarrage
baptcollot -
baptcollot -

4 réponses
Analyse logs hijackthis
embêté -
Utilisateur anonyme -

21 réponses
rapport Hijackthis
kawito33 -
kawito33 -

87 réponses