Quelques bugs + log HijackThis

Question

Bonjour

Je viens d'installer XP sur mon ordinateur, avec le Service Pack 2, bien entendu.
J'ai remarqué quelques bugs, en vrac :
- Clavier et souris inactifs lors de certains redémarrages
- Un message d'erreur "Can't load service" (c'est pas exactement ça, mais ça s'en rapproche) apparaît au démarrage
- Des pop-up Internet Explorer apparaissent (alors que j'utilise Firefox). L'une d'entre elles est une fenêtre IE avec un message écrit en blanc sur fond bleu m'avertissant que des spywares pourraient être installés sur mon ordinateur et me proposant de télécharger un logiciel pour les éliminer (ce que je n'ai pas fait, bien entendu).

Voilà, donc rien de bien méchant mais bon...

J'ai passé un coup de SpyBot et d'AntiVir...

Voici mon log HijackThis pour ceux qui pourraient m'en dire plus :

Logfile of HijackThis v1.99.1
Scan saved at 18:16:06, on 19/08/2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\AVPersonal\AVGUARD.EXE
C:\Program Files\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\system32\slserv.exe
C:\Program Files\AVPersonal\AVGNT.EXE
C:\WINDOWS\etb\pokapoka63.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\csrssrs.exe
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Documents and Settings\Ilan C\Bureau\HijackThis.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [AVGCtrl] "C:\Program Files\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [Microsoftf DDEs Control] soff.pif
O4 - HKLM\..\Run: [Windows File System Checkd] ntfsckd.exe
O4 - HKLM\..\Run: [Win32 Csrss Service For Windows] csrssrs.exe
O4 - HKLM\..\Run: [System service63] C:\WINDOWS\etb\pokapoka63.exe
O4 - HKLM\..\RunServices: [Microsoftf DDEs Control] soff.pif
O4 - HKLM\..\RunServices: [Windows File System Checkd] ntfsckd.exe
O4 - HKLM\..\RunServices: [Win32 Csrss Service For Windows] csrssrs.exe
O4 - HKLM\..\RunOnce: [Win32 Csrss Service For Windows] csrssrs.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Generic Host Process8 System Backup] scvhost8.exe
O4 - HKCU\..\Run: [Winx Firewall] sxw.exe
O4 - HKCU\..\Run: [Win32 Csrss Service For Windows] csrssrs.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\RunOnce: [Win32 Csrss Service For Windows] csrssrs.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1124289923943
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE
O23 - Service: SmartLinkService (SLService) - Smart Link - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: Win32 Csrss Service For Windows (Win32) - Unknown owner - C:\WINDOWS\system32\C:\WINDOWS\system32\csrssrs.exe" -netsvcs (file missing)

Merci d'avance pour votre aide

Configuration: Packard Bell imedia 6000i
Pentium III 1 Ghz
640 Mo RAM
Windows XP Service Pack 2

jean38 · Answer

salut,peux tu te rendre sur le sitehttp://virusscan.jotti.org et tester le fichier exe suivant:sxw.exe (utilise l'eplorateur window pour le trouver)et colle le rapport.

Ilan · Answer

Merci pour ta réponse.Je n'ai pas trouvé sxw.exe, Pourtant j'ai fait une recherche avancée et les fichiers cachés ne sont pas masqués :/

jean38 · Answer

je suis pris d'un dote (en fait sur que c'est une cochonnerie mais je trouve rien dessus alors retourne sur le site

http://virusscan.jotti.org et teste le fichier

C:\WINDOWS\system32\csrssrs.exe

et la suite et prete.

Ilan · Answer

Voilà pour csrssrs (à pas confondre avec csrss, qui lui semble normal...)

File: csrssrs.exe
Status:
POSSIBLY INFECTED/MALWARE (Note: this file was only classified as malware by scanners known to generate more false positives than the average scanner. Do not consider these results definately accurate. Also, because of this, results of this scan will not be recorded in the database.)
MD5 eefb989d2bd2a1e8ed91db781b0e8ab8
Packers detected:
-
Scanner results

AntiVir
Found nothing

ArcaVir
Found nothing

Avast
Found nothing

AVG Antivirus
Found nothing

BitDefender
Found nothing

ClamAV
Found Trojan.Spybot-123

Dr.Web
Found nothing

F-Prot Antivirus
Found nothing

Fortinet
Found nothing

Kaspersky Anti-Virus
Found nothing

NOD32
Found nothing

Norman Virus Control
Found nothing

UNA
Found nothing

VBA32
Found nothing

jean38 · Answer

alors la il y a doute, bouge pas je vais a la peche et je reviens avec des infos.

balltrap34 · Answer

salutperso un truc dans se' genre je suppret si vraiment tu as un gros doute tu le renomme comme cecicsrssrs.exe_

jean38 · Answer

perso j'avais tout preparé pour (meme que je t'ai ecrit donc pas besoin de repondre).

donc Ilan, le MAITRE à nous tous et du même avis que moi, je te donne donc la manip que nous pensons juste.

Si se prog te parle garde le mais plein de doutes et surtout il est inconnu y compris dans la recherche de bases fiables.

donc voici la manip:

un conseil, imprime ce poste pour ne rien oublier.

si à une etape, tu ne trouves pas le fichier, continue sans en tenir compte on verra par la suite.
A/ si tu ne les as pas, telecharge:

Ad-Aware SE 1.06
http://www.lavasoftusa.com/software/adaware/
Spybot S&D 1.4
http://www.safer-networking.org/fr/index.html
-aide en image:(merci a Balltrap34)
http://pageperso.aol.fr/Balltrap34/demo%20spybot.htm

puis Clean Up 40 :
http://pageperso.aol.fr/balltrap34/CleanUp40.exe
-aide en image:(merci a Balltrap34)
http://pageperso.aol.fr/balltrap34/democleanup.htm
ne les utilise pas tout de suite

idem si tu ne l’as pas A2 free sur http://www.emsisoft.net/fr/software/download/

met à jour spybot, ad aware et a2 free sur internet (tu trouves l’option dans les menus) mais ne lance pas les scan.

1) clic droit sur poste de travail
propriété
restauration systeme
coche desactivé puis appliquer

2) demarrer
panneau de configuration
outil
option des dossiers
affichage,
coche afficher dossier cachés
decoche : masquer extension des fichiers dont le type est connu
masquer les fichiers protégés du systeme d'exploitation.

3) demarre en mode sans echec.
Soit tu tapotte sur la touche F8 alancement de Windows et tu choisi sans echec (pas d’inquiétude pour l’aspect de l’ecran)

4) lance hijack, ferme le bloc note et coche les cases devant les lignes, à la fin valide à l’aide du bouton fix checked:

O4 - HKLM\..\Run: [Microsoftf DDEs Control] soff.pif

O4 - HKLM\..\Run: [Windows File System Checkd] ntfsckd.exe

O4 - HKLM\..\Run: [Win32 Csrss Service For Windows] csrssrs.exe

O4 - HKLM\..\Run: [System service63] C:\WINDOWS\etb\pokapoka63.exe

O4 - HKLM\..\RunServices: [Microsoftf DDEs Control] soff.pif

O4 - HKLM\..\RunServices: [Windows File System Checkd] ntfsckd.exe

O4 - HKLM\..\RunServices: [Win32 Csrss Service For Windows] csrssrs.exe

O4 - HKLM\..\RunOnce: [Win32 Csrss Service For Windows] csrssrs.exe

O4 - HKCU\..\Run: [Generic Host Process8 System Backup] scvhost8.exe

O4 - HKCU\..\Run: [Win32 Csrss Service For Windows] csrssrs.exe

O4 - HKCU\..\RunOnce: [Win32 Csrss Service For Windows] csrssrs

O23 - Service: Win32 Csrss Service For Windows (Win32) - Unknown owner - C:\WINDOWS\system32\C:\WINDOWS\system32\csrssrs.exe" -netsvcs (file missing)

5) Dans le menu Demarrer>Executer >tape: Services.msc
recherche le service avec cette orthographe exacte:
Win32 Csrss Service For Windows
Double clic dessus (Win32) et clic sur arreter puis dans type de demarrage selectionne désactivé

6) supprime les fichiers
C:\WINDOWS\system32\C:\WINDOWS\system32\csrssrs.exe
C:\WINDOWS\etb < le dossier
scvhost8.exe
ntfsckd.exe
soff.pif

7) execute cleanup40.exe

tu relances tes scan ad aware
puis spy boot
puis a2 free
et vire tout ce qu'ils trouvent (c'est un peu long mais tu devrais t'en sortir).

vide ta poubelle et redemarre en mode normal, c'est à dire avant de redemarrer, tu refais les manip de départ (1) et (2) mais en recochant ... pour retrouver la config de départ.

Redemarre
Lance hijachthis et fais un copier coller du log entier ici.

A+

Jean

Ilan · Answer

Ok, merci beaucoup, je fais tout ça et je vous donne des nouvelles après :)

Ilan · Answer

Voilà le log :

Logfile of HijackThis v1.99.1
Scan saved at 21:43:38, on 19/08/2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\AVPersonal\AVGUARD.EXE
C:\Program Files\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\AVPersonal\AVGNT.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Documents and Settings\Ilan C\Bureau\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [AVGCtrl] "C:\Program Files\AVPersonal\AVGNT.EXE" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Winx Firewall] sxw.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1124289923943
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE
O23 - Service: SmartLinkService (SLService) - Smart Link - C:\WINDOWS\SYSTEM32\slserv.exe

Je crois que c'est bon non ?

4) J'ai suivi toutes tes instructions, mais la ligne
O23 - Service: Win32 Csrss Service For Windows (Win32) - Unknown owner - C:\WINDOWS\system32\C:\WINDOWS\system32\csrssrs.exe" -netsvcs (file missing)
avait disparu toute seule (je n'ai aps eue à la cocher)

5) Et dans Services.msc, pas de Win32 Csrss Service For Windows

6) Pas de scvhost8.exe, mais un svchost.exe (je ne l'ai pas effacé)
ntfsckd.exe et soff.pif introuvables, par contre il y avait des ntfsckd.VIR et soff.VIR dans le dossier "Infected" d'AntiVir.

7) AdAware et SpyBot n'ont rien trouvé mais a2 free m'a viré une bonne trentaine de malware.

Merci beaucoup en tout cas, je sais pas si ça a tout réglé car mes petits bugs ne sont pas systématiques, mais ça m'a déja viré une Toolbar néfaste dans Internet Explorer...

Merci encore !!!

Quelques bugs + log HijackThis

9 réponses

Discussions similaires

Newsletters