Analyse de mon log Hijack this

Résolu
Yohang -  
Bonjour à tous,

Suite à certains dysfonctionnements de mon ordinateur (messages inhabituels indiquant spyware, trojan, page de démarrage modifiée par des annonces pour achat d'antivirus), j'ai fait un log hijack this (j'ignorais ce que c'était il y a encore 1heure).
J'ai préalablement effectué un nettoyage via AdAware et SpyBot. Je suis maintenant les indications figurant sur ce site et vous remercie donc de bien vouloir jeter un oeil sur mon log pour m'indiquer la marche à suivre.

Je vous remercie pour votre réponse et votre collaboration.

Yohan

P.S. : Je vous avoue n'être qu'un novice en informatique. Merci d'avance d'en tenir compte dans la formulation de votre réponse.

Mon log :

Logfile of HijackThis v1.99.1
Scan saved at 20:51:44, on 05/24/2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Trend Micro\PC-cillin 9\Tmntsrv.exe
C:\Program Files\Trend Micro\PC-cillin 9\PCCPFW.exe
C:\WINDOWS\system32\logonui.exe
C:\WINDOWS\System32\shnlog.exe
C:\WINDOWS\System32\msole32.exe
C:\PROGRA~1\MOUSEW~1\SYSTEM\EM_EXEC.EXE
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\System32\intmon.exe
C:\WINDOWS\explorer.exe
C:\Program Files\Trend Micro\PC-cillin 9\pccguide.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\Guardiennet\Bureau\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.startsearches.net/search.php?qq=%1
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.startsearches.net/bar.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.startsearches.net/search.php?qq=%1
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = www.packardbell.fr/center
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.startsearches.net/search.php?qq=%1
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.startsearches.net/search.php?qq=%1
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.startsearches.net/search.php?qq=%1
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://www.startsearches.net/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer fourni par modulo Net
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: VMHomepage Class - {FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFA} - C:\WINDOWS\System32\hp6C86.tmp
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKLM\..\Run: [pccguide.exe] "C:\Program Files\Trend Micro\PC-cillin 9\pccguide.exe"
O4 - HKLM\..\Run: [PCCClient.exe] "C:\Program Files\Trend Micro\PC-cillin 9\PCCClient.exe"
O4 - HKLM\..\Run: [Pop3trap.exe] "C:\Program Files\Trend Micro\PC-cillin 9\Pop3trap.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [eCarteBleue-LP-P1] "C:\Program Files\e-Carte Bleue\LA POSTE\CVD ADESIO\ECB.exe" /dontopenmycards
O4 - HKLM\..\Run: [MSN Messenger] C:\WINDOWS\System32\msmsgs.exe
O4 - HKLM\..\Run: [Security iGuard] C:\Program Files\Security iGuard\Security iGuard.exe
O4 - HKLM\..\Run: [SpySpotter] C:\PROGRA~1\SPYSPO~1\SpySpotter.exe -onreboot
O4 - HKLM\..\RunOnce: [SpybotSnD] "C:\Program Files\Spybot - Search & Destroy\SpybotSD.exe" /autocheck
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Pages liées - res://c:\program files\google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Pages similaires - res://c:\program files\google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://c:\program files\google\GoogleToolbar1.dll/cmcache.html
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O14 - IERESET.INF: START_PAGE_URL=www.packardbell.fr/center
O16 - DPF: teleir_cert - https://static.ir.dgi.minefi.gouv.fr/secure/connexion/archives/ie4n4/teleir_cert.cab
O16 - DPF: {8F48147B-78D9-40F9-ACC0-BDDE59B246F4} (UpgradeTool Class) - https://clients.modulonet.fr/UpgradeTool.cab
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: PC-cillin PersonalFirewall (PCCPFW) - Trend Micro Inc. - C:\Program Files\Trend Micro\PC-cillin 9\PCCPFW.exe
O23 - Service: Trend NT Realtime Service (Tmntsrv) - Trend Micro Inc. - C:\Program Files\Trend Micro\PC-cillin 9\Tmntsrv.exe

31 réponses

Résumé de la discussion

Des dysfonctionnements informatiques et des messages d'alerte indiquent une infection supposée par spyware et trojan, assortis d'une page de démarrage modifiée et de résultats de recherche redirigeant l'utilisateur. Le log HijackThis et les nettoyages préalables avec Ad-Aware et SpyBot montrent de nombreuses entrées de démarrage, outils et barres d'outils, signifiant une compromission multiple et des paramètres système modifiés. Plusieurs interlocuteurs évoquent des solutions simples pour les novices, comme une restauration système ou l'usage combiné des outils existants, tout en signalant que les nettoyages peuvent être insuffisants. Enfin, une nuance utile souligne que les nettoyages peuvent être inefficaces face à certaines infections persistantes et insiste sur l'importance des sauvegardes, des mises à jour système et d'une vérification approfondie.

Bobot (l’IA à votre service)
  1. imad93
    slt Yohang coche c est ligne :
    R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.startsearches.net/search.php?qq=%1

    R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.startsearches.net/bar.html

    R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.startsearches.net/search.php?qq=%1

    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = www.packardbell.fr/center

    R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.startsearches.net/search.php?qq=%1

    R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.startsearches.net/search.php?qq=%1

    R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.startsearches.net/search.php?qq=%1

    O4 - HKLM\..\Run: [MSN Messenger] C:\WINDOWS\System32\msmsgs.exe

    psss; je te conseil de changer ton antivirus parce que pc-cilin c pas la forme prend plutot avast ou avg ou macff
    1. Utilisateur anonyme
      Salut yohang

      telecharge ceci:
      http://www.bleepingcomputer.com/files/reg/smitfraud.reg

      Déconnecte toi d'internet:

      Vide le cache d'Internet Explorer et supprime les cookies:

      * Panneau de configuration >> Options internet >> Onglet "Général"
      - Clic sur [supprimer les cookies]
      - Clic sur [Supprimer les fichiers] et coche la case "Supprimer tout le contenu hors connexion"
      Valide avec ok

      Pour ne pas se retrouver avec des points de restauration systeme infectés il vaut mieux la désactiver:

      Désactive la restauration systéme.
      Clic droit sur poste de travail > propriétés > onglet restauration système
      puis cocher "désactiver la restauration système".
      clic sur ok pour valider
      (accepte le redemarrage).

      Redémarre en mode sans échec
      Laisse passer l'écran du bios, puis tapote sur la touche F8 avant l'écran de chargement de windows.
      Choisis le mode sans échec dans les options et valide avec entrée.

      Rend visible les fichiers cachés et systeme
      panneau de configuration > options des dossiers > onglet affichage
      Cocher " afficher les fichiers et dossiers cachés "
      Décocher " masquer les extentions des fichiers dont le type est connu
      Décocher " masquer les fichiers protégés du système"
      clic sur ok pour valider

      -_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_

      Lance hijackthis et clic sur "do a system scan only"
      cocher la case au début des lignes suivantes:

      R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
      R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.startsearches.net/search.php?qq=%1
      R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.startsearches.net/bar.html
      R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.startsearches.net/search.php?qq=%1
      R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = www.packardbell.fr/center
      R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.startsearches.net/search.php?qq=%1
      R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.startsearches.net/search.php?qq=%1
      R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.startsearches.net/search.php?qq=%1
      R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://www.startsearches.net/

      O2 - BHO: VMHomepage Class - {FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFA} - C:\WINDOWS\System32\hp6C86.tmp<- il est possible qu'une fois en mode sans echec ce fichier ai changé de nom, note son nouveau nom pour pouvoir le supprimer ensuite.

      O4 - HKLM\..\Run: [Security iGuard] C:\Program Files\Security iGuard\Security iGuard.exe
      O4 - HKLM\..\Run: [SpySpotter] C:\PROGRA~1\SPYSPO~1\SpySpotter.exe -onreboot

      valider avec [fix checked]

      -_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_

      Rechercher et supprimer:
      Dans le cas ou tu utiliserais la fonction Rechercher:
      Assure toi que dans:
      Tous les fichiers et tous les dossiers >> Options avancées
      • Rechercher dans les dossiers systemes <- DOIT ETRE COCHE !
      • Rechercher dans les fichiers et les dossiers cachés <- DOIT ETRE COCHE !
      • Rechercher dans les sous-dossiers <- DOIT ETRE COCHE !

      Supprime en suivant le chemin des fichiers infectés

      si présent:

      C:\WINDOWS\System32\hp6C86.tmp<- ou le nom que tu auras trouvé dans le rapport hijackthis
      C:\wp.exe
      C:\wp.bmp
      C:\bws.exe
      C:\Windows\sites.ini
      C:\Windows\popuper.exe
      C:\Windows\System32\helper.exe
      C:\WINDOWS\System32\intmon.exe
      C:\Windows\System32\intmonp.exe
      C:\Windows\System32\msmsgs.exe
      C:\Windows\System32\ole32vbs.exe
      C:\Windows\system32\msole32.exe
      C:\WINDOWS\System32\shnlog.exe
      C:\Program Files\Search Maid
      C:\Program Files\Virtual Maid
      C:\Windows\System32\Log Files
      C:\Program Files\Security IGuard
      C:\Program Files\Spyspotter

      -_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_

      Ensuite, tres important:

      :: Supprimer les fichiers temporaires ::

      * C:\Documents and Settings\ton compte\Local Settings\Temp
      * C:\Documents and Settings\tous les autres comptes\Local Settings\Temp
      * C:\Temp
      * C:\Windows\Temp
      vider tout le contenu des dossiers en gras.

      :: Le contenu du dossier prefetch ::

      * C:\WINDOWS\Prefetch <= sauf le fichier layout.ini

      * Ne pas oublier de vider la corbeille !

      -_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_

      double clic sur le fichier que tu as telechargé au début: smitfraud.reg et accepte de fusionner.

      Redemarre normalement, et remet tes parametres web:
      panneau de configuration >> options internet >> programmes
      clic sur "rétablir les parametres web"
      et reposte un log hijack pour vérifier l'évolution

      Ne pas oublier après les manips de recocher" masquer les fichiers protégés du système" dans les options des dossiers

      a+
      1. balltrap34 Contributeur sécurité
        salut moe
        a se que je vois smitfraud regne toujours
        1. Utilisateur anonyme
          salut balltrap

          oui, il commence à y avoir beaucoup de variantes !!
          2. balltrap34 Contributeur sécurité
            je vois cela je vient de renter et petit tour sur le net et il traine un peu partout
            2.  balltrap34 Contributeur sécurité
              je suis allez jeter un oeil avec l aide de mon traducteur de page web
              il vont continuer a en sortir
              2. balltrap34 Contributeur sécurité
                quelque bon reg
                sinon pas mal de prog qui date un peu mais bien
                1. Utilisateur anonyme
                  ouais, certains sont updatés, mais tres peu en fait
                  apparement de temps en temps ils rajoutent quelques reg ou fix interressants

                  a+
                  1. balltrap34 Contributeur sécurité
                    a garder en favori
                    au faite tu m avais demander si mon traduc etais bien il est pas mal il traduit la totalite des pages web que je lui demande
                    c est reverso pro
                    3. Yohang Auteur
                      Merci sincèrement pour ces indications,

                      Nouveau log :

                      Logfile of HijackThis v1.99.1
                      Scan saved at 22:44:56, on 05/24/2005
                      Platform: Windows XP SP1 (WinNT 5.01.2600)
                      MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

                      Running processes:
                      C:\WINDOWS\System32\smss.exe
                      C:\WINDOWS\system32\winlogon.exe
                      C:\WINDOWS\system32\services.exe
                      C:\WINDOWS\system32\lsass.exe
                      C:\WINDOWS\System32\Ati2evxx.exe
                      C:\WINDOWS\system32\svchost.exe
                      C:\WINDOWS\System32\svchost.exe
                      C:\WINDOWS\system32\spoolsv.exe
                      C:\WINDOWS\system32\Ati2evxx.exe
                      C:\WINDOWS\Explorer.EXE
                      C:\PROGRA~1\MOUSEW~1\SYSTEM\EM_EXEC.EXE
                      C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
                      C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
                      C:\Program Files\Winamp\winampa.exe
                      C:\Program Files\Trend Micro\PC-cillin 9\pccguide.exe
                      C:\Program Files\Trend Micro\PC-cillin 9\PCCClient.exe
                      C:\Program Files\Trend Micro\PC-cillin 9\Pop3trap.exe
                      C:\Program Files\QuickTime\qttask.exe
                      C:\Program Files\Messenger\msmsgs.exe
                      C:\Program Files\Trend Micro\PC-cillin 9\Tmntsrv.exe
                      C:\Program Files\Trend Micro\PC-cillin 9\PCCPFW.exe
                      C:\Program Files\Internet Explorer\iexplore.exe
                      C:\Program Files\Internet Explorer\iexplore.exe
                      C:\Program Files\Spybot - Search & Destroy\SpybotSD.exe
                      C:\Documents and Settings\Guardiennet\Bureau\HijackThis.exe

                      R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
                      R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = www.packardbell.fr/center
                      R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer fourni par modulo Net
                      R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
                      O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
                      O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
                      O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\MOUSEW~1\SYSTEM\EM_EXEC.EXE
                      O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
                      O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
                      O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
                      O4 - HKLM\..\Run: [pccguide.exe] "C:\Program Files\Trend Micro\PC-cillin 9\pccguide.exe"
                      O4 - HKLM\..\Run: [PCCClient.exe] "C:\Program Files\Trend Micro\PC-cillin 9\PCCClient.exe"
                      O4 - HKLM\..\Run: [Pop3trap.exe] "C:\Program Files\Trend Micro\PC-cillin 9\Pop3trap.exe"
                      O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
                      O4 - HKLM\..\Run: [eCarteBleue-LP-P1] "C:\Program Files\e-Carte Bleue\LA POSTE\CVD ADESIO\ECB.exe" /dontopenmycards
                      O4 - HKLM\..\Run: [MSN Messenger] C:\WINDOWS\System32\msmsgs.exe
                      O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
                      O8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar1.dll/cmsearch.html
                      O8 - Extra context menu item: Pages liées - res://c:\program files\google\GoogleToolbar1.dll/cmbacklinks.html
                      O8 - Extra context menu item: Pages similaires - res://c:\program files\google\GoogleToolbar1.dll/cmsimilar.html
                      O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://c:\program files\google\GoogleToolbar1.dll/cmcache.html
                      O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
                      O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
                      O14 - IERESET.INF: START_PAGE_URL=www.packardbell.fr/center
                      O16 - DPF: teleir_cert - https://static.ir.dgi.minefi.gouv.fr/secure/connexion/archives/ie4n4/teleir_cert.cab
                      O16 - DPF: {8F48147B-78D9-40F9-ACC0-BDDE59B246F4} (UpgradeTool Class) - https://clients.modulonet.fr/UpgradeTool.cab
                      O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
                      O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
                      O23 - Service: PC-cillin PersonalFirewall (PCCPFW) - Trend Micro Inc. - C:\Program Files\Trend Micro\PC-cillin 9\PCCPFW.exe
                      O23 - Service: Trend NT Realtime Service (Tmntsrv) - Trend Micro Inc. - C:\Program Files\Trend Micro\PC-cillin 9\Tmntsrv.exe

                      A priori, plus de dérangements intempestifs. Sinon, simple curiosité : c'est un type de trojan répandu d'après votre discussion ? Quelle pourrait être la raison de son apparition sur mon ordinateur.

                      Encore merci. Ce site m'est d'un grand secours à chaque besoin.

                      Yohan
                      1. Yohang Auteur
                        Petit ajout,

                        La page du 2nd utilisateur de mon ordinateur présente un fond d'écran noir avec un gros Warning qui redirige vers une pub pour un Antivirus AVGold. une icône figure également en bas et indique "Your computer is infected" (croix rouge à l'appui). j'ai également un "Computer security" illustré par un stop rouge qui redirige vers www.wowdirs.com. Ai-je oublié quelque chose lors de mon nettoyage ? Cet oubli est-il visible dans mon nouveau log ?

                        Merci de votre réponse.

                        Bonne soirée.

                        Yohan
                        1. Utilisateur anonyme
                          salut

                          pour ton log, il n'y a plus rien de suspect dessus.
                          installe hijackthis sur le second compte et reposte un log
                          1. Yohang Auteur
                            Voici le log du second compte :

                            Logfile of HijackThis v1.99.1
                            Scan saved at 23:15:11, on 24/05/2005
                            Platform: Windows XP SP1 (WinNT 5.01.2600)
                            MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

                            Running processes:
                            C:\WINDOWS\System32\smss.exe
                            C:\WINDOWS\system32\winlogon.exe
                            C:\WINDOWS\system32\services.exe
                            C:\WINDOWS\system32\lsass.exe
                            C:\WINDOWS\System32\Ati2evxx.exe
                            C:\WINDOWS\system32\svchost.exe
                            C:\WINDOWS\System32\svchost.exe
                            C:\WINDOWS\system32\spoolsv.exe
                            C:\WINDOWS\system32\Ati2evxx.exe
                            C:\Program Files\Trend Micro\PC-cillin 9\Tmntsrv.exe
                            C:\Program Files\Trend Micro\PC-cillin 9\PCCPFW.exe
                            C:\WINDOWS\system32\winlogon.exe
                            C:\WINDOWS\system32\Ati2evxx.exe
                            C:\WINDOWS\Explorer.EXE
                            C:\PROGRA~1\MOUSEW~1\SYSTEM\EM_EXEC.EXE
                            C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
                            C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
                            C:\Program Files\Winamp\winampa.exe
                            C:\Program Files\Trend Micro\PC-cillin 9\pccguide.exe
                            C:\Program Files\Trend Micro\PC-cillin 9\PCCClient.exe
                            C:\Program Files\QuickTime\qttask.exe
                            C:\Program Files\Messenger\msmsgs.exe
                            C:\WINDOWS\System32\winnook.exe
                            C:\Documents and Settings\Guardiennet\Bureau\HijackThis.exe

                            R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
                            R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.startsearches.net/search.php?qq=%1
                            R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.startsearches.net/bar.html
                            R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.startsearches.net/search.php?qq=%1
                            R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.voila.fr/
                            R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = www.packardbell.fr/center
                            R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.startsearches.net/search.php?qq=%1
                            R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.startsearches.net/search.php?qq=%1
                            R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.startsearches.net/search.php?qq=%1
                            R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://www.startsearches.net/
                            R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.packardbell.fr/center
                            R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer fourni par Planetis
                            R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
                            O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
                            O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
                            O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\MOUSEW~1\SYSTEM\EM_EXEC.EXE
                            O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
                            O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
                            O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
                            O4 - HKLM\..\Run: [pccguide.exe] "C:\Program Files\Trend Micro\PC-cillin 9\pccguide.exe"
                            O4 - HKLM\..\Run: [PCCClient.exe] "C:\Program Files\Trend Micro\PC-cillin 9\PCCClient.exe"
                            O4 - HKLM\..\Run: [Pop3trap.exe] "C:\Program Files\Trend Micro\PC-cillin 9\Pop3trap.exe"
                            O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
                            O4 - HKLM\..\Run: [eCarteBleue-LP-P1] "C:\Program Files\e-Carte Bleue\LA POSTE\CVD ADESIO\ECB.exe" /dontopenmycards
                            O4 - HKLM\..\Run: [MSN Messenger] C:\WINDOWS\System32\msmsgs.exe
                            O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
                            O4 - HKCU\..\Run: [MoneyAgent] "C:\Program Files\Microsoft Money\System\Money Express.exe"
                            O4 - HKCU\..\Run: [Update Service] C:\PROGRA~1\FICHIE~1\TEKNUM~1\update.exe /startup
                            O4 - HKCU\..\Run: [Intel system tool] C:\WINDOWS\System32\winnook.exe
                            O4 - HKCU\..\Run: [WindowsFY] c:\bsw.exe
                            O8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.html
                            O8 - Extra context menu item: Pages liées - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.html
                            O8 - Extra context menu item: Pages similaires - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.html
                            O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://c:\program files\google\GoogleToolbar2.dll/cmcache.html
                            O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
                            O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
                            O9 - Extra button: Microsoft AntiSpyware helper - {D7733A9C-A649-4B9E-B912-434B2DF23470} - (no file) (HKCU)
                            O9 - Extra 'Tools' menuitem: Microsoft AntiSpyware helper - {D7733A9C-A649-4B9E-B912-434B2DF23470} - (no file) (HKCU)
                            O14 - IERESET.INF: START_PAGE_URL=www.packardbell.fr/center
                            O16 - DPF: teleir_cert - https://static.ir.dgi.minefi.gouv.fr/secure/connexion/archives/ie4n4/teleir_cert.cab
                            O16 - DPF: {8F48147B-78D9-40F9-ACC0-BDDE59B246F4} (UpgradeTool Class) - https://clients.modulonet.fr/UpgradeTool.cab
                            O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
                            O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
                            O23 - Service: PC-cillin PersonalFirewall (PCCPFW) - Trend Micro Inc. - C:\Program Files\Trend Micro\PC-cillin 9\PCCPFW.exe
                            O23 - Service: Trend NT Realtime Service (Tmntsrv) - Trend Micro Inc. - C:\Program Files\Trend Micro\PC-cillin 9\Tmntsrv.exe

                            Merci pour ton aide.

                            Yohan
                            2. Yohang Auteur
                              Voilà :

                              Jotti's malware scan 2.99-TRANSITION_TO_3.00

                              File to upload & scan:
                              Service
                              Service load: 0% 100%

                              File: winnook.exe
                              Status: INFECTED/MALWARE (Note: this file has been scanned before. Therefore, this file's scan results will not be stored in the database)
                              MD5 86b1254f9d2bb4aa20d4d63b065cb141
                              Packers detected: -
                              Scanner results
                              AntiVir Found nothing
                              Avast Found nothing
                              AVG Antivirus Found nothing
                              BitDefender Found nothing
                              ClamAV Found nothing
                              Dr.Web Found Trojan.Click.438
                              F-Prot Antivirus Found unknown virus (probable variant)
                              Fortinet Found nothing
                              Kaspersky Anti-Virus Found Trojan.Win32.TopAntiSpyware.l
                              mks_vir Found nothing
                              NOD32 Found probably unknown NewHeur_PE (probable variant)
                              Norman Virus Control Found nothing
                              VBA32 Found Trojan.Click.438
                              1. Utilisateur anonyme
                                copie smitfraud.reg sur le second compte

                                Redémarre en mode sans échec
                                Laisse passer l'écran du bios, puis tapote sur la touche F8 avant l'écran de chargement de windows.
                                Choisis le mode sans échec dans les options et valide avec entrée.
                                choisis le compte utilisateur ou tu viens d'installer hijackthis

                                Rend visible les fichiers cachés et systeme
                                panneau de configuration > options des dossiers > onglet affichage
                                Cocher " afficher les fichiers et dossiers cachés "
                                Décocher " masquer les extentions des fichiers dont le type est connu
                                Décocher " masquer les fichiers protégés du système"
                                clic sur ok pour valider

                                -_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_

                                Lance hijackthis et clic sur "do a system scan only"
                                cocher la case au début des lignes suivantes:

                                R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
                                R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.startsearches.net/search.php?qq=%1
                                R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.startsearches.net/bar.html
                                R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.startsearches.net/search.php?qq=%1
                                R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.startsearches.net/search.php?qq=%1
                                R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.startsearches.net/search.php?qq=%1
                                R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.startsearches.net/search.php?qq=%1
                                R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://www.startsearches.net/
                                O4 - HKLM\..\Run: [MSN Messenger] C:\WINDOWS\System32\msmsgs.exe
                                O4 - HKCU\..\Run: [Intel system tool] C:\WINDOWS\System32\winnook.exe
                                O4 - HKCU\..\Run: [WindowsFY] c:\bsw.exe
                                O9 - Extra button: Microsoft AntiSpyware helper - {D7733A9C-A649-4B9E-B912-434B2DF23470} - (no file) (HKCU)
                                O9 - Extra 'Tools' menuitem: Microsoft AntiSpyware helper - {D7733A9C-A649-4B9E-B912-434B2DF23470} - (no file) (HKCU)

                                valider avec [fix checked]

                                recherche et supprime exactement les memes fichier que tout à l'heure, s'ils existent

                                C:\WINDOWS\System32\winnook.exe
                                C:\bws.exe
                                C:\Windows\System32\msmsgs.exe
                                C:\wp.exe
                                C:\wp.bmp
                                C:\Windows\sites.ini
                                C:\Windows\popuper.exe
                                C:\Windows\System32\helper.exe
                                C:\WINDOWS\System32\intmon.exe
                                C:\Windows\System32\intmonp.exe
                                C:\Windows\System32\ole32vbs.exe
                                C:\Windows\system32\msole32.exe
                                C:\WINDOWS\System32\shnlog.exe

                                -_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_

                                double clic sur le fichier smitfraud.reg et accepte de fusionner.

                                Redemarre normalement, et remet tes parametres web:
                                panneau de configuration >> options internet >> programmes
                                clic sur "rétablir les parametres web"
                                et reposte un log hijack pour vérifier l'évolution

                                Ne pas oublier après les manips de recocher" masquer les fichiers protégés du système" dans les options des dossiers

                                a+
                                1. Yohang Auteur
                                  Ok, je vais procéder de la sorte.
                                  Question :winnook.exe du system32 a été créé aujourd'hui. Est-ce un fichier qu'on peut effacer ?

                                  Merci
                              • 1
                              • 2

                              Discussions similaires

                              Nouveau tag ajouté | Nouvelle option activé sans permission?
                              BountyFullChest

                              1 réponse
                              Huawei P8 Lite "nouveau tag ajouté"
                              ArianeKathleen

                              25 réponses
                              Nouveau tag ajouté - Utilité
                              Eerfers

                              1 réponse
                              Google Chrome "  Échec de l'analyse antivirus "
                              jmpower

                              18 réponses
                              " Échec de l'analyse antivirus " la solution.
                              bazfile

                              0 réponse