Hijackthis à interpréter svp

chr3 -  
bonjours

pourriez-vous svp annalyser mon hijackthis problème avec about:blank

Logfile of HijackThis v1.99.1
Scan saved at 10:32:10, on 06/04/2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\winzz.exe
C:\Program Files\AVPersonal\AVGUARD.EXE
C:\Program Files\SlySoft\AnyDVD\AnyDVD.exe
C:\WINDOWS\system32\RunDll32.exe
C:\Program Files\AVPersonal\AVGNT.EXE
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Program Files\AVPersonal\AVWUPSRV.EXE
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\WINDOWS\system32\javacr32.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\lclock.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
C:\WINDOWS\system32\inetsrv\inetinfo.exe
C:\Program Files\InterMute\SpySubtract\SpySub.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Outlook Express\msimn.exe
C:\Program Files\WinRAR\WinRAR.exe
C:\DOCUME~1\lefief\LOCALS~1\Temp\Rar$EX01.546\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\hrigm.dll/sp.html#44768
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\hrigm.dll/sp.html#44768
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system32\hrigm.dll/sp.html#44768
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\hrigm.dll/sp.html#44768
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\hrigm.dll/sp.html#44768
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\hrigm.dll/sp.html#44768
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\hrigm.dll/sp.html#44768
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.google.fr/keyword/%s
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = NUMERICABLE
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {D77CC508-D635-4696-3365-3202DB071395} - C:\WINDOWS\ntcg32.dll
O4 - HKLM\..\Run: [AnyDVD] C:\Program Files\SlySoft\AnyDVD\AnyDVD.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [AVGCtrl] "C:\Program Files\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [IEXPLORE.EXE] C:\Program Files\Internet Explorer\IEXPLORE.EXE
O4 - HKLM\..\Run: [javacr32.exe] C:\WINDOWS\system32\javacr32.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [LClock] lclock.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: SpySubtract.lnk = C:\Program Files\InterMute\SpySubtract\SpySub.exe
O8 - Extra context menu item: Convertir les liens sélectionnés en fichier Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http:\\www.numericable.fr
O16 - DPF: {22A88341-AFCB-45F0-A856-C2BAE74F878E} (InstallX Class) - http://www.20x2p.com/d192abc1/enter.cab
O16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cab
O16 - DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} (Zylom Games Player) - http://game11.zylomgames.com/activex/zylomgamesplayer.cab
O23 - Service: Workstation NetLogon Service ( 11Fßä#·ºÄÖ`I) - Unknown owner - C:\WINDOWS\winzz.exe
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE

je vous en remercie d'avance
Configuration: windows xp

6 réponses

  1. moe
    salut chr3

    Télécharge ces logiciels et met les à jours (important):

    aboutbuster:
    http://www.malwarebytes.biz/index.php?page=downloads
    CWShredder:
    http://cwshredder.net/bin/CWShredder.exe
    http://www.majorgeeks.com/download3019.html
    Ad-aware:
    http://www.lavasoftusa.com/french/support/download/

    - désactive la restauration systéme:
    Clic droit sur poste de travail > propriétés > onglet restauration système puis cocher "désactiver la restauration système".

    - Afficher les dossiers cachés et fichiers système:
    panneau de configuration > options des dossiers > onglet affichage
    cocher " afficher les fichiers et dossiers cachés "
    décocher " masquer les extentions des fichiers dont le type est connu
    décocher " masquer les fichiers protégés du système"

    Dans le menu Demarrer>Executer >tape: Services.msc
    recherche le service avec cette orthographe exacte:

    Workstation NetLogon Service

    Double clic dessus et clic sur arreter puis dans type de demarrage selectionne désactivé.

    - Redémarre en mode sans échec en appuyant sur la touche F8 au démarrage de ton PC(apres l'ecran du bios)

    Vérifie si ce ou ces procéssus apparaissent dans le gestionnaire des taches.(CTRL+ALT+SUPPR)
    S'ils sont présent: clic droit dessus puis clic sur "terminer le processus"

    winzz.exe
    javacr32.exe

    Lance hijackthis et Fixe:
    cocher au début de chaques lignes valider avec fix checked:

    R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\hrigm.dll/sp.html#44768
    R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\hrigm.dll/sp.html#44768
    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system32\hrigm.dll/sp.html#44768
    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\hrigm.dll/sp.html#44768
    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\hrigm.dll/sp.html#44768
    R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\hrigm.dll/sp.html#44768
    R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\hrigm.dll/sp.html#44768
    R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) =
    res://C:\WINDOWS\system32\hrigm.dll/sp.html#44768

    R3 - Default URLSearchHook is missing
    O4 - HKLM\..\Run: [javacr32.exe] C:\WINDOWS\system32\javacr32.exe

    O16 - DPF: {22A88341-AFCB-45F0-A856-C2BAE74F878E} (InstallX Class) - http://www.20x2p.com/d192abc1/enter.cab
    O16 - DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} (Zylom Games Player) - http://game11.zylomgames.com/activex/zylomgamesplayer.cab
    O23 - Service: Workstation NetLogon Service ( 11Fßä#·ºÄÖ`I) - Unknown owner - C:\WINDOWS\winzz.exe

    Puis recherche et supprime si présent:

    C:\WINDOWS\system32\javacr32.exe
    C:\WINDOWS\system32\hrigm.dll
    C:\WINDOWS\winzz.exe

    Ensuite:

    Fais un nettoyage des fichiers temps...etc avec ce programme:
    http://pageperso.aol.fr/Balltrap34/CleanUp312.exe

    ou manuellement:

    Supprimer tout les fichiers à l'intérieur des dossiers suivants:

    * C:\Temp
    * C:\Windows (ou WinNT)\Temp
    * C:\WINDOWS\Prefetch <= sauf le fichier layout.ini
    * C:\Documents and Settings\tous les utilisateurs\Local Settings\Temp
    * C:\Documents and Settings\tous les utilisateurs \Local Settings\Temporary Internet Files
    * C:\Documents and Settings\tous les utilisateurs \Cookies
    * Vider la corbeille !

    Nettoyage du disque:
    Démarrer > Tous les programmes > accessoires > outils système > nettoyage du disque
    cocher:
    - fichiers et programmes téléchargés
    - fichiers internet temporaires
    - corbeille
    - fichier temporaires
    valider ok

    Une fois fait, lance aboutbuster 2 fois
    puis lance cwshredder(clic sur fix)

    Redemarre normalement et lance ad-aware
    choisir analyse complète du systeme, et supprimer tout ce qu'il trouve.

    reposte un hijack pour vérifier

    Ne pas oublier après les manips de recocher " masquer les fichiers protégés du système" dans les options des dossiers

    a+
    0
    1. chr3
      salut j'ai fait ce que tu m'as dit mais ça n'a pas marché voici mon hijackthis

      Logfile of HijackThis v1.99.1
      Scan saved at 13:55:09, on 06/04/2005
      Platform: Windows XP SP2 (WinNT 5.01.2600)
      MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

      Running processes:
      C:\WINDOWS\System32\smss.exe
      C:\WINDOWS\system32\winlogon.exe
      C:\WINDOWS\system32\services.exe
      C:\WINDOWS\system32\lsass.exe
      C:\WINDOWS\system32\Ati2evxx.exe
      C:\WINDOWS\system32\svchost.exe
      C:\WINDOWS\System32\svchost.exe
      C:\WINDOWS\system32\spoolsv.exe
      C:\WINDOWS\system32\Ati2evxx.exe
      C:\WINDOWS\Explorer.EXE
      C:\Program Files\AVPersonal\AVGUARD.EXE
      C:\Program Files\AVPersonal\AVWUPSRV.EXE
      C:\WINDOWS\system32\inetsrv\inetinfo.exe
      C:\WINDOWS\system32\svchost.exe
      C:\WINDOWS\system32\ZoneLabs\vsmon.exe
      C:\WINDOWS\crlf32.exe
      C:\WINDOWS\system32\RunDll32.exe
      C:\Program Files\AVPersonal\AVGNT.EXE
      C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
      C:\WINDOWS\system32\sysqw.exe
      C:\WINDOWS\system32\ctfmon.exe
      C:\WINDOWS\lclock.exe
      C:\Program Files\MSN Messenger\msnmsgr.exe
      C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
      C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
      C:\Program Files\InterMute\SpySubtract\SpySub.exe
      C:\Program Files\Zone Labs\ZoneAlarm\zonealarm.exe
      C:\WINDOWS\system32\wuauclt.exe
      C:\PROGRA~1\PowerIE6\PowerIE6.exe
      C:\Program Files\WinRAR\WinRAR.exe
      C:\DOCUME~1\lefief\LOCALS~1\Temp\Rar$EX00.578\HijackThis.exe

      R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\mbhki.dll/sp.html#44768
      R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\mbhki.dll/sp.html#44768
      R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
      R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system32\mbhki.dll/sp.html#44768
      R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\mbhki.dll/sp.html#44768
      R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\mbhki.dll/sp.html#44768
      R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\mbhki.dll/sp.html#44768
      R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\mbhki.dll/sp.html#44768
      R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.google.fr/keyword/%s
      R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = NUMERICABLE
      R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
      R3 - Default URLSearchHook is missing
      O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
      O2 - BHO: (no name) - {37FEC172-7D9F-A669-CCD9-E33BBFC88EDD} - C:\WINDOWS\system32\sysqw.dll
      O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
      O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
      O4 - HKLM\..\Run: [AVGCtrl] "C:\Program Files\AVPersonal\AVGNT.EXE" /min
      O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
      O4 - HKLM\..\Run: [sysqw.exe] C:\WINDOWS\system32\sysqw.exe
      O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
      O4 - HKCU\..\Run: [LClock] lclock.exe
      O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
      O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
      O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
      O4 - Global Startup: SpySubtract.lnk = C:\Program Files\InterMute\SpySubtract\SpySub.exe
      O4 - Global Startup: ZoneAlarm.lnk = C:\Program Files\Zone Labs\ZoneAlarm\zonealarm.exe
      O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
      O8 - Extra context menu item: Convertir les liens sélectionnés en fichier Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
      O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
      O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
      O14 - IERESET.INF: START_PAGE_URL=http:\\www.numericable.fr
      O23 - Service: Remote Procedure Call (RPC) Helper ( 11Fßä#·ºÄÖ`I) - Unknown owner - C:\WINDOWS\system32\javahk.exe" /s (file missing)
      O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE
      O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe
      O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
      O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE
      O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exe
      0
      1. moe
        Salut chr3

        tu as une serieuse infection, faudra surement plusieurs nettoyages pour en venir à bout.

        ferme tout tes programmes en cours (surtout IE).

        telecharge fxagentB ici, et enregistre le dans ton bureau:
        http://securityresponse.symantec.com/avcenter/FxAgentB.exe

        hors connection:

        -> Rend visible les fichiers cachés et systeme
        panneau de configuration > options des dossiers > onglet affichage
        cocher " afficher les fichiers et dossiers cachés "
        décocher " masquer les extentions des fichiers dont le type est connu
        décocher " masquer les fichiers protégés du système"

        -> désactive la restauration systéme
        Clic droit sur poste de travail > propriétés > onglet restauration système
        puis cocher "désactiver la restauration système".

        Dans le menu Demarrer>Executer >tape: Services.msc
        recherche le service avec cette orthographe exacte:

        Remote Procedure Call (RPC) Helper

        Double clic dessus et clic sur arreter puis dans type de demarrage selectionne désactivé.

        Puis:

        Lance hijackthis et Fixe:
        cocher au début de chaques lignes valider avec fix checked:

        R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\mbhki.dll/sp.html#44768
        R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\mbhki.dll/sp.html#44768
        R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
        R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system32\mbhki.dll/sp.html#44768
        R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\mbhki.dll/sp.html#44768
        R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\mbhki.dll/sp.html#44768
        R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\mbhki.dll/sp.html#44768
        R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\mbhki.dll/sp.html#44768
        R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.google.fr/keyword/%s

        R3 - Default URLSearchHook is missing

        O2 - BHO: (no name) - {37FEC172-7D9F-A669-CCD9-E33BBFC88EDD} - C:\WINDOWS\system32\sysqw.dll

        O4 - HKLM\..\Run: [sysqw.exe] C:\WINDOWS\system32\sysqw.exe

        O23 - Service: Remote Procedure Call (RPC) Helper ( 11Fßä#·ºÄÖ`I) - Unknown owner - C:\WINDOWS\system32\javahk.exe" /s (file missing)

        puis redemarre en mode sans échec en appuyant sur la touche F8 au démarrage de ton PC (apres l'ecran du bios)

        recherche et supprime si présent:

        C:\WINDOWS\crlf32.exe
        C:\WINDOWS\system32\sysqw.exe
        C:\WINDOWS\system32\javahk.exe
        C:\WINDOWS\system32\mbhki.dll

        et:
        lance fixagentb.exe
        lance aboutbuster
        lance cwshredder

        Ensuite:

        Fais un nettoyage des fichiers temps...etc avec ce programme:
        http://pageperso.aol.fr/Balltrap34/CleanUp312.exe

        ou manuellement:

        Supprimer tout les fichiers à l'intérieur des dossiers suivants:

        * C:\Temp
        * C:\Windows \Temp
        * C:\WINDOWS\Prefetch <= sauf le fichier layout.ini
        * C:\Documents and Settings\tous les utilisateurs\Local Settings\Temp
        * C:\Documents and Settings\tous les utilisateurs \Local Settings\Temporary Internet Files
        * C:\Documents and Settings\tous les utilisateurs \Cookies
        * Vider la corbeille !

        Nettoyage du disque:
        Démarrer > Tous les programmes > accessoires > outils système > nettoyage du disque
        cocher:
        - fichiers et programmes téléchargés
        - fichiers internet temporaires
        - corbeille
        - fichier temporaires
        valider ok

        -----------------------------

        Redemarre normalement, et ensuite fais un scan AV ici:
        http://www.ravantivirus.com/scan/
        Clic sur "To continue without subscribing click here"
        Lorsque "Ready" est affiché dans "status", clic sur "Scan my PC".
        A la fin de l'analyse, copier/coller le rapport ici + un nouveau rapport hijackthis

        Ne pas oublier après les manips de recocher " masquer les fichiers
        0
        1. chr3
          voici le résultat :

          Scan started at 06/04/2005 19:34:19

          Scanning memory...
          Scanning boot sectors...
          Scanning files...
          C:\WINDOWS\jjazc.dll - TrojanDownloader:Win32/WinShow.AK -> Suspicious
          C:\WINDOWS\KB886185.log->ADS:qkwnvp - TrojanDownloader:Win32/WinShow.AK -> Suspicious
          C:\WINDOWS\win.ini->ADS:lrvhwi - TrojanDownloader:Win32/WinShow.AK -> Suspicious
          C:\WINDOWS\_default.pif->ADS:xlzfmx - TrojanDownloader:Win32/WinShow.AK -> Suspicious
          C:\WINDOWS\system32\qknlb.dll - TrojanDownloader:Win32/WinShow.AK -> Suspicious

          Scanned
          ============================
          Objects: 17944
          Directories: 1722
          Archives: 477
          Size(Kb): 773985
          Infected files: 0

          Found
          ============================
          Viruses found: 0
          Suspicious files: 5
          Disinfected files: 0
          Mail files: 275

          et mon hijacjthis :

          Logfile of HijackThis v1.99.1
          Scan saved at 19:45:52, on 06/04/2005
          Platform: Windows XP SP2 (WinNT 5.01.2600)
          MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

          Running processes:
          C:\WINDOWS\System32\smss.exe
          C:\WINDOWS\system32\winlogon.exe
          C:\WINDOWS\system32\services.exe
          C:\WINDOWS\system32\lsass.exe
          C:\WINDOWS\system32\Ati2evxx.exe
          C:\WINDOWS\system32\svchost.exe
          C:\WINDOWS\System32\svchost.exe
          C:\WINDOWS\system32\Ati2evxx.exe
          C:\WINDOWS\Explorer.EXE
          C:\WINDOWS\system32\spoolsv.exe
          C:\Program Files\AVPersonal\AVGUARD.EXE
          C:\Program Files\AVPersonal\AVWUPSRV.EXE
          C:\WINDOWS\system32\inetsrv\inetinfo.exe
          C:\WINDOWS\system32\svchost.exe
          C:\WINDOWS\system32\ZoneLabs\vsmon.exe
          C:\WINDOWS\system32\RunDll32.exe
          C:\Program Files\AVPersonal\AVGNT.EXE
          C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
          C:\WINDOWS\system32\ctfmon.exe
          C:\WINDOWS\lclock.exe
          C:\Program Files\MSN Messenger\msnmsgr.exe
          C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
          C:\Program Files\InterMute\SpySubtract\SpySub.exe
          C:\Program Files\Zone Labs\ZoneAlarm\zonealarm.exe
          C:\Program Files\Internet Explorer\iexplore.exe
          C:\Program Files\WinRAR\WinRAR.exe
          C:\DOCUME~1\lefief\LOCALS~1\Temp\Rar$EX00.703\HijackThis.exe

          R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer fourni par NUMERICABLE
          R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = ;<local>
          R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
          O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
          O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
          O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
          O4 - HKLM\..\Run: [AVGCtrl] "C:\Program Files\AVPersonal\AVGNT.EXE" /min
          O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
          O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
          O4 - HKCU\..\Run: [LClock] lclock.exe
          O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
          O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
          O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
          O4 - Global Startup: SpySubtract.lnk = C:\Program Files\InterMute\SpySubtract\SpySub.exe
          O4 - Global Startup: ZoneAlarm.lnk = C:\Program Files\Zone Labs\ZoneAlarm\zonealarm.exe
          O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
          O8 - Extra context menu item: Convertir les liens sélectionnés en fichier Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
          O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
          O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
          O14 - IERESET.INF: START_PAGE_URL=http:\\www.numericable.fr
          O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE
          O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe
          O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
          O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE
          O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exe
          0
          2. chr3
            voici le résultat :

            Scan started at 06/04/2005 19:34:19

            Scanning memory...
            Scanning boot sectors...
            Scanning files...
            C:\WINDOWS\jjazc.dll - TrojanDownloader:Win32/WinShow.AK -> Suspicious
            C:\WINDOWS\KB886185.log->ADS:qkwnvp - TrojanDownloader:Win32/WinShow.AK -> Suspicious
            C:\WINDOWS\win.ini->ADS:lrvhwi - TrojanDownloader:Win32/WinShow.AK -> Suspicious
            C:\WINDOWS\_default.pif->ADS:xlzfmx - TrojanDownloader:Win32/WinShow.AK -> Suspicious
            C:\WINDOWS\system32\qknlb.dll - TrojanDownloader:Win32/WinShow.AK -> Suspicious

            Scanned
            ============================
            Objects: 17944
            Directories: 1722
            Archives: 477
            Size(Kb): 773985
            Infected files: 0

            Found
            ============================
            Viruses found: 0
            Suspicious files: 5
            Disinfected files: 0
            Mail files: 275

            et mon hijacjthis :

            Logfile of HijackThis v1.99.1
            Scan saved at 19:45:52, on 06/04/2005
            Platform: Windows XP SP2 (WinNT 5.01.2600)
            MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

            Running processes:
            C:\WINDOWS\System32\smss.exe
            C:\WINDOWS\system32\winlogon.exe
            C:\WINDOWS\system32\services.exe
            C:\WINDOWS\system32\lsass.exe
            C:\WINDOWS\system32\Ati2evxx.exe
            C:\WINDOWS\system32\svchost.exe
            C:\WINDOWS\System32\svchost.exe
            C:\WINDOWS\system32\Ati2evxx.exe
            C:\WINDOWS\Explorer.EXE
            C:\WINDOWS\system32\spoolsv.exe
            C:\Program Files\AVPersonal\AVGUARD.EXE
            C:\Program Files\AVPersonal\AVWUPSRV.EXE
            C:\WINDOWS\system32\inetsrv\inetinfo.exe
            C:\WINDOWS\system32\svchost.exe
            C:\WINDOWS\system32\ZoneLabs\vsmon.exe
            C:\WINDOWS\system32\RunDll32.exe
            C:\Program Files\AVPersonal\AVGNT.EXE
            C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
            C:\WINDOWS\system32\ctfmon.exe
            C:\WINDOWS\lclock.exe
            C:\Program Files\MSN Messenger\msnmsgr.exe
            C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
            C:\Program Files\InterMute\SpySubtract\SpySub.exe
            C:\Program Files\Zone Labs\ZoneAlarm\zonealarm.exe
            C:\Program Files\Internet Explorer\iexplore.exe
            C:\Program Files\WinRAR\WinRAR.exe
            C:\DOCUME~1\lefief\LOCALS~1\Temp\Rar$EX00.703\HijackThis.exe

            R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer fourni par NUMERICABLE
            R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = ;<local>
            R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
            O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
            O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
            O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
            O4 - HKLM\..\Run: [AVGCtrl] "C:\Program Files\AVPersonal\AVGNT.EXE" /min
            O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
            O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
            O4 - HKCU\..\Run: [LClock] lclock.exe
            O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
            O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
            O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
            O4 - Global Startup: SpySubtract.lnk = C:\Program Files\InterMute\SpySubtract\SpySub.exe
            O4 - Global Startup: ZoneAlarm.lnk = C:\Program Files\Zone Labs\ZoneAlarm\zonealarm.exe
            O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
            O8 - Extra context menu item: Convertir les liens sélectionnés en fichier Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
            O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
            O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
            O14 - IERESET.INF: START_PAGE_URL=http:\\www.numericable.fr
            O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE
            O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe
            O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
            O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE
            O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exe
            0
            1. moe
              salut chr3

              Nettement mieux !

              il ne reste plus qu'a supprimer les fichiers trouvés par Rav.
              Le mieux serait en mode sans echec..
              possible aussi qu'il faille afficher les fichiers cachés et systeme pour les virer.

              supprime:

              C:\WINDOWS\jjazc.dll
              C:\WINDOWS\system32\qknlb.dll

              Par contre pour ceux là, il faut passer par hijackthis:

              C:\WINDOWS\win.ini:lrvhwi
              C:\WINDOWS\KB886185.log:qkwnvp
              C:\WINDOWS\_default.pif:xlzfmx

              lance hijackthis et clic sur "open the misc tools selection"
              clic sur "open ADS Spy"
              assure toi que:
              Quick scan et ignore safe system info streams
              soient cochés
              puis clic sur scan
              a la fin du scan tu devrais voir les fichiers detectés par rav.
              tu les selectionnes et clic sur "remove selected"

              Si tout c'est bien déroulé, remet toi un page de demarrage et reactive la restauration systeme.

              a+
              0

              Discussions similaires

              Interprétation Hijackthis
              R1

              1 réponse
              hijackthis aidez moi svp
              pedji

              5 réponses
              Analyse des logs hijackthis
              philnoug

              35 réponses
              Analyse log hijackthis svp
              turtos

              12 réponses
              Hijackthis
              brioche95

              2 réponses