touvabien
Messages postés493Date d'inscriptionmardi 26 mai 2009StatutMembreDernière intervention27 avril 2024
-
28 juil. 2009 à 22:31
touvabien
Messages postés493Date d'inscriptionmardi 26 mai 2009StatutMembreDernière intervention27 avril 2024
-
2 sept. 2009 à 13:44
Bonjour,
La discussion que j'avais ouverte sur ce topic semble avoir disparu
pourquoi ?
Je remet les résultats
de Hitjack this (log et info) puis de MBAM
1°) Log file
Logfile of random's system information tool 1.06 (written by random/random)
Run by SG at 2009-07-28 13:38:20
Microsoft Windows XP Professionnel
System drive C: has 35 GB (91%) free of 38 GB
Total RAM: 247 MB (43% free)
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"=C:\WINDOWS\System32\ctfmon.exe [2001-09-28 13312]
"MSMSGS"=C:\Program Files\Messenger\msmsgs.exe [2001-08-02 1077277]
"FrameWorkService"= []
"I just want to say I love Milko and I need a drink"=C:\Documents and Settings\SG\Local Settings\Application Data\svchost.exe [2009-04-12 540527]
"Yahoo Messengger"=C:\WINDOWS\System32\SSVICHOSST.exe [2009-04-09 402576]
C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage
Canon LASER SHOT LBP-1120 ª¬ºAµøµ¡.LNK - C:\WINDOWS\system32\spool\drivers\w32x86\3\CAP3LAK.EXE
Microsoft Office.lnk - C:\Program Files\Microsoft Office\Office10\OSA.EXE
C:\Documents and Settings\SGACQM\Menu Démarrer\Programmes\Démarrage
Dos Optimizer.pif
¡¡¡¡¡¡.lnk - C:\WINDOWS\system32\XP-0AABF98C.EXE
======List of services (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)======
R2 aswUpdSv;avast! iAVS4 Control Service; C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe [2008-07-19 16056]
R2 InCDsrv;InCD Helper; C:\Program Files\Ahead\InCD\InCDsrv.exe [2004-09-07 1151090]
R2 SLService;SmartLinkService; C:\WINDOWS\system32\slserv.exe [2003-01-16 45056]
R2 UStorage Server Service;UStorage Server Service; C:\WINDOWS\system32\UStorSrv.exe [2006-02-17 139264]
S2 avast! Antivirus;avast! Antivirus; C:\Program Files\Alwil Software\Avast4\ashServ.exe [2009-07-28 310311]
S3 avast! Mail Scanner;avast! Mail Scanner; C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe [2009-07-28 412711]
S3 avast! Web Scanner;avast! Web Scanner; C:\Program Files\Alwil Software\Avast4\ashWebSv.exe [2009-07-28 511015]
-----------------EOF-----------------
2° info
info.txt logfile of random's system information tool 1.06 2009-07-28 13:38:27
======Uninstall list======
-->C:\Program Files\Ahead\nero\uninstall\UNNERO.exe /UNINSTALL
-->C:\WINDOWS\NuNInst.exe /UNINSTALL
-->rundll32.exe setupapi.dll,InstallHinfSection DefaultUninstall 132 C:\WINDOWS\INF\PCHealth.inf
Adobe Acrobat 5.0-->C:\WINDOWS\ISUN040C.EXE -f"C:\Program Files\Fichiers communs\Adobe\Acrobat 5.0\NT\Uninst.isu" -c"C:\Program Files\Fichiers communs\Adobe\Acrobat 5.0\NT\Uninst.dll"
Ask Toolbar-->"C:\Program Files\AskBarDis\unins000.exe"
avast! Antivirus-->C:\Program Files\Alwil Software\Avast4\aswRunDll.exe "C:\Program Files\Alwil Software\Avast4\Setup\setiface.dll",RunSetup
Canon LASER SHOT LBP-1120-->C:\WINDOWS\System32\spool\drivers\w32x86\3\CAP3UNIK.EXE
CCleaner (remove only)-->"C:\Program Files\CCleaner\uninst.exe"
Composant Hmk-->C:\WINDOWS\IsUn040c.exe -f"C:\Program Files\Havas Medimedia\Communs\Hmk.isu"
Free PDF to Word Doc Converter v1.1-->"C:\Program Files\Free PDF to Word Doc Converter\unins000.exe"
Glary Utilities 2.11.0.638-->"C:\Program Files\Glary Utilities\unins000.exe"
Intel(R) Extreme Graphics Driver-->RUNDLL32.EXE C:\WINDOWS\System32\ialmrem.dll,UninstallW2KIGfx PCI\VEN_8086&DEV_2562
LM-I56N-->C:\WINDOWS\Modio\SLAMR2KV\Setup.exe /Remove
Microsoft Office XP Professional avec FrontPage-->MsiExec.exe /I{9028040C-6000-11D3-8CFE-0050048383C9}
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17-->MsiExec.exe /X{9A25302D-30C0-39D9-BD6F-21E6EC160475}
Nero Suite-->C:\Program Files\Fichiers communs\Nero\Uninstall\Setupx.exe /uninstall ExtraUninstallID=""
PCI Audio Driver-->cmuninst.exe
PowerDVD-->RunDll32 C:\PROGRA~1\FICHIE~1\INSTAL~1\engine\6\INTEL3~1\Ctor.dll,LaunchSetup "C:\Program Files\InstallShield Installation Information\{6811CAA0-BF12-11D4-9EA1-0050BAE317E1}\Setup.exe" -uninstall
UsbFix-->C:\UsbFix\Uninstal.exe
Yahoo! Install Manager-->C:\WINDOWS\System32\regsvr32 /u C:\PROGRA~1\Yahoo!\Common\YINSTH~1.DLL
Yahoo! Toolbar avec bloqueur de fenêtres pop-up-->C:\PROGRA~1\Yahoo!\Common\unyt.exe
Zain Internet Mobile-->C:\Program Files\Zain Internet Mobile\uninst.exe
======System event log======
Computer Name: WINDOWS-Z5HQ2EZ
Event Code: 64001
Message: Tentative de remplacement du fichier système protégé c:\windows\system32\osk.exe.
Ce fichier a été restauré en utilisant sa version initiale pour maintenir la stabilité du
système.
La version du fichier incorrect est 5.1.2600.0, la version du fichier
système actuel est 5.1.2600.0.
Record Number: 28581
Source Name: Windows File Protection
Time Written: 20090728131456.000000+120
Event Type: Informations
User:
Computer Name: WINDOWS-Z5HQ2EZ
Event Code: 64001
Message: Tentative de remplacement du fichier système protégé c:\windows\system32\mobsync.exe.
Ce fichier a été restauré en utilisant sa version initiale pour maintenir la stabilité du
système.
La version du fichier incorrect est 5.1.2600.0, la version du fichier
système actuel est 5.1.2600.0.
Record Number: 28580
Source Name: Windows File Protection
Time Written: 20090728131456.000000+120
Event Type: Informations
User:
Computer Name: WINDOWS-Z5HQ2EZ
Event Code: 64001
Message: Tentative de remplacement du fichier système protégé c:\windows\system32\cmd.exe.
Ce fichier a été restauré en utilisant sa version initiale pour maintenir la stabilité du
système.
La version du fichier incorrect est 5.1.2600.0, la version du fichier
système actuel est 5.1.2600.0.
Record Number: 28579
Source Name: Windows File Protection
Time Written: 20090728131455.000000+120
Event Type: Informations
User:
Computer Name: WINDOWS-Z5HQ2EZ
Event Code: 64001
Message: Tentative de remplacement du fichier système protégé c:\program files\outlook express\msimn.exe.
Ce fichier a été restauré en utilisant sa version initiale pour maintenir la stabilité du
système.
La version du fichier incorrect est 6.0.2600.0, la version du fichier
système actuel est 6.0.2600.0.
Record Number: 28578
Source Name: Windows File Protection
Time Written: 20090728131455.000000+120
Event Type: Informations
User:
Computer Name: WINDOWS-Z5HQ2EZ
Event Code: 64001
Message: Tentative de remplacement du fichier système protégé c:\program files\internet explorer\iexplore.exe.
Ce fichier a été restauré en utilisant sa version initiale pour maintenir la stabilité du
système.
La version du fichier incorrect est 6.0.2600.0, la version du fichier
système actuel est 6.0.2600.0.
Record Number: 28577
Source Name: Windows File Protection
Time Written: 20090728131454.000000+120
Event Type: Informations
User:
=====Application event log=====
Computer Name: WINDOWS-Z5HQ2EZ
Event Code: 0
Message:
Record Number: 3946
Source Name: UStorage Server Service
Time Written: 20081117181047.000000+060
Event Type: Informations
User:
Computer Name: WINDOWS-Z5HQ2EZ
Event Code: 2001
Message: Le service EAPOL a été démarré correctement
Record Number: 3945
Source Name: EAPOL
Time Written: 20081117181036.000000+060
Event Type: Informations
User:
Computer Name: WINDOWS-Z5HQ2EZ
Event Code: 1516
Message: Windows a déchargé le Registre utilisateur WINDOWS-Z5HQ2EZ\SG lorsqu'il a reçu une notification qu'aucune application ou aucun service n'utilisait le profil.
Record Number: 3944
Source Name: Userenv
Time Written: 20081117175828.000000+060
Event Type: Informations
User: AUTORITE NT\SYSTEM
Computer Name: WINDOWS-Z5HQ2EZ
Event Code: 1517
Message: Windows a sauvegardé le Registre utilisateur WINDOWS-Z5HQ2EZ\SG alors qu'une application ou un service utilisait toujours le Registre pendant la fermeture de la session. La mémoire utilisée par le Registre de l'utilisateur n'a pas été libérée. le Registre sera déchargé lorsqu'il ne sera plus utilisé.
Cela est souvent causé par des services s'exécutant en tant que compte d'utilisateur, essayez de configurer les services pour s'exécuter dans le compte service réseau ou service local.
Record Number: 3943
Source Name: Userenv
Time Written: 20081117175827.000000+060
Event Type: Avertissement
User: AUTORITE NT\SYSTEM
Computer Name: WINDOWS-Z5HQ2EZ
Event Code: 4354
Message: Le système d'événements de COM+ n'a pas pu déclencher la méthode StartShell de l'abonnement {A5978620-5B3F-F1D1-8ED2-00FA0035B753}-{00000000-0000-0000-0000-000000000000}-{00000000-0000-0000-0000-000000000000}. L'abonné a renvoyé HRESULT 80004001.
Record Number: 3942
Source Name: EventSystem
Time Written: 20081117175813.000000+060
Event Type: Avertissement
User:
======Environment variables======
"ComSpec"=%SystemRoot%\system32\cmd.exe
"Path"=%SystemRoot%\system32;%SystemRoot%;%SystemRoot%\System32\Wbem
"windir"=%SystemRoot%
"OS"=Windows_NT
"PROCESSOR_ARCHITECTURE"=x86
"PROCESSOR_LEVEL"=15
"PROCESSOR_IDENTIFIER"=x86 Family 15 Model 2 Stepping 9, GenuineIntel
"PROCESSOR_REVISION"=0209
"NUMBER_OF_PROCESSORS"=1
"PATHEXT"=.COM;.EXE;.BAT;.CMD;.VBS;.VBE;.JS;.JSE;.WSF;.WSH
"TEMP"=%SystemRoot%\TEMP
"TMP"=%SystemRoot%\TEMP
-----------------EOF-----------------
3°) MBAM
Malwarebytes' Anti-Malware 1.36
Version de la base de données: 1945
Windows 5.1.2600
Type de recherche: Examen complet (C:\|)
Eléments examinés: 81371
Temps écoulé: 28 minute(s), 23 second(s)
Processus mémoire infecté(s): 3
Module(s) mémoire infecté(s): 1
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 5
Elément(s) de données du Registre infecté(s): 4
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 15
Processus mémoire infecté(s):
C:\Documents and Settings\tazebama.dl_ (Worm.Mabezat) -> No action taken.
C:\WINDOWS\system32\SSVICHOSST.exe (Worm.Sohanad) -> No action taken.
C:\Documents and Settings\SG\Local Settings\Application Data\svchost.exe (Heuristics.Reserved.Word.Exploit) -> No action taken.
Module(s) mémoire infecté(s):
C:\Documents and Settings\tazebama.dll (Worm.Mabezat) -> No action taken.
Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)
Valeur(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\xp-0aabf98c (Trojan.Agent) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\i just want to say i love milko and i need a drink (Trojan.Agent) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\yahoo messengger (Worm.Sohanad) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\FrameWorkService (Trojan.Delf) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\FrameWorkService (Trojan.Delf) -> No action taken.
Elément(s) de données du Registre infecté(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSetFolders (Hijack.Explorer) -> Bad: (1) Good: (0) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools (Hijack.Regedit) -> Bad: (1) Good: (0) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr (Hijack.TaskManager) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Hijack.Shell) -> Bad: (Explorer.exe SSVICHOSST.exe) Good: (Explorer.exe) -> No action taken.
Fichier(s) infecté(s):
C:\Documents and Settings\tazebama.dll (Worm.Mabezat) -> No action taken.
C:\WINDOWS\system32\XP-0AABF98C.EXE (Trojan.Agent) -> No action taken.
C:\Documents and Settings\SG\Local Settings\Application Data\svchost.exe (Trojan.Agent) -> No action taken.
C:\WINDOWS\system32\krnln.fnr (Trojan.Agent) -> No action taken.
C:\Documents and Settings\tazebama.dl_ (Worm.Mabezat) -> No action taken.
C:\Documents and Settings\hook.dl_ (Worm.Mabezat) -> No action taken.
C:\Documents and Settings\SG\Application Data\tazebama\zPharaoh.dat (Worm.Mabezat) -> No action taken.
C:\Documents and Settings\SYSTEM\Application Data\tazebama\zPharaoh.dat (Worm.Mabezat) -> No action taken.
C:\zPharaoh.exe (Worm.Mabezat) -> No action taken.
C:\Documents and Settings\SG\Application Data\svchost.exe (Trojan.Agent) -> No action taken.
C:\WINDOWS\system32\SSVICHOSST.exe (Worm.Sohanad) -> No action taken.
C:\WINDOWS\SSVICHOSST.exe (Worm.Sohanad) -> No action taken.
C:\Documents and Settings\SG\Application Data\lsass.exe (Trojan.Delf) -> No action taken.
C:\WINDOWS\inf\smss.exe (Trojan.Delf) -> No action taken.
C:\WINDOWS\system32\Sexy Girls.scr (Trojan.Delf) -> No action taken.
Il s'agit du PC d'une connaissance Windows XP sans internet
l'appareil est devenu instable et se déconnecte dès qu'allumé
même en mode sans échec
normalement protégé par avast
antivir qui a eté installé à la place à indentifié 484 infections
essentiellement worm mazebat
(!) Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d'avoir été infectées sans les ouvrir
• Double clic sur le raccourci UsbFix présent sur ton bureau .
• Choisis l'option 1 ( Recherche )
• Laisse travailler l'outil.
• Ensuite post le rapport UsbFix.txt qui apparaitra.
• Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque. ( C:\UsbFix.txt )
( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )
• Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.
• Tuto : http://pagesperso-orange.fr/NosTools/usbfix.html
touvabien
Messages postés493Date d'inscriptionmardi 26 mai 2009StatutMembreDernière intervention27 avril 20242 2 sept. 2009 à 13:44
Bonjour,
Merci pour ta réponse.
Mon fournisseur d'accès s'est mis en grève avant que je puisse la lire.
Dans l'intervalle, je suis partie en vaccances et n'ai pas pu me reconnecter avant aujourd'hui.
De toute façon l'appareil en question n'acceptait plus de se rallumer convenablement
et mon propre PC a été temporairement infecté.
Ayant jeté l'éponge pour l'appareil tiers,
ce topic peut être arrété.
