Interpretation de hijackthis

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:58:05, on 26/05/2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Unable to get Internet Explorer version!
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast5\AvastSvc.exe
C:\PROGRA~1\ALWILS~1\Avast5\avastUI.exe
C:\WINDOWS\system32\wscript.exe
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\Program Files\Analog Devices\Core\smax4pnp.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\Program Files\Analog Devices\SoundMAX\Smax4.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Fichiers communs\Ahead\lib\NMBgMonitor.exe
C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\Program Files\Gadget\TrueTransparency\TrueTransparency.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\Gadget\VisualTaskTips\VisualTaskTips.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\explorer.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\M'BRAH\Bureau\Téléchargements\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [avast5] C:\PROGRA~1\ALWILS~1\Avast5\avastUI.exe /nogui
O4 - HKLM\..\Run: [regdiit] C:\WINDOWS\system32\winxp.exe
O4 - HKLM\..\Run: [CTFMON] C:\WINDOWS\system32\wscript.exe /E:vbs C:\WINDOWS\system32\imwin.jpg
O4 - HKLM\..\Run: [userini] C:\WINDOWS\system32\userini.exe
O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Program Files\Analog Devices\Core\smax4pnp.exe
O4 - HKLM\..\Run: [SoundMAX] "C:\Program Files\Analog Devices\SoundMAX\Smax4.exe" /tray
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Fichiers communs\Ahead\lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [uqqlcc] C:\WINDOWS\system32\tpffbrrndd.exe
O4 - HKCU\..\Run: [jeeaa9] C:\WINDOWS\system32\gmiiduupggb.exe
O4 - HKCU\..\Run: [eezqqlc] C:\WINDOWS\system32\dttpffbr.exe
O4 - HKCU\..\Run: [userini] C:\WINDOWS\system32\userini.exe
O4 - HKLM\..\Policies\Explorer\Run: [userini] C:\WINDOWS\system32\userini.exe
O4 - HKCU\..\Policies\Explorer\Run: [userini] C:\WINDOWS\system32\userini.exe
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-20\..\RunOnce: [_nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [_nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [_nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'Default user')
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
O4 - Global Startup: Effet Aero de fenêtres.lnk = C:\Program Files\Gadget\TrueTransparency\TrueTransparency.exe
O4 - Global Startup: Menu Vista.lnk = C:\Program Files\Gadget\ViStart\ViStart.exe
O4 - Global Startup: sidebar.lnk = C:\Program Files\Windows Sidebar\sidebar.exe
O4 - Global Startup: Visual Task Tips.lnk = C:\Program Files\Gadget\VisualTaskTips\VisualTaskTips.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~1\Office12\EXCEL.EXE/3000
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~1\Office12\REFIEBAR.DLL
O9 - Extra button: Barre de recherche Encarta - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Program Files\Fichiers communs\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{344255AF-F01E-4682-8C03-F6478417073B}: NameServer = 196.201.78.13 196.201.78.25
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast5\AvastSvc.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast5\AvastSvc.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast5\AvastSvc.exe
O23 - Service: Ma-Config Service (maconfservice) - CybelSoft - C:\Program Files\ma-config.com\maconfservice.exe

Salut,

Effectivement, il y a des saletés à virer !

Quels sont les symptômes ?

@+

impossible d'utiliser tous les outils systeme gestionnaire de tache regedit et autre

Ok, des noms de saltés en particulier détecter par avast ?

je prépare la 1er manip :)

je peux pas en donner un en particulier mais presque tous se termine par .exe

Ok, c'est parti !

Télécharge USBFIX de Chiquitine29, C_xx et Chimay8

http://pagesperso-orange.fr/NosTools/Chiquitine29/UsbFix.exe
ou ici :
https://www.ionos.fr/?affiliate_id=77097

/!\ Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d'avoir été infectées sans les ouvrir

* Double clic sur le raccourci UsbFix présent sur ton bureau .
* Choisis l'option 2(suppression)
* Laisse travailler l'outil.
* Ensuite post le rapport UsbFix.txt qui apparaîtra.
* Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque. ( C:\UsbFix.txt )

( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller )

* Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.

* Tuto : http://pagesperso-orange.fr/nostools/tuto_usbfix2.html

@+

mes resultats

############################## | UsbFix V6.115 |

User : M'BRAH (Administrateurs) # LAETITIA-03824E
Update on 26/05/2010 by El Desaparecido , C_XX & Chimay8
Start at: 19:03:00 | 26/05/2010
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

Intel(R) Pentium(R) M processor 1.60GHz
Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 3
Internet Explorer 8.0.6001.18241
Windows Firewall Status : Disabled

C:\ -> Disque fixe local # 9,77 Go (5,42 Go free) # NTFS
D:\ -> Disque fixe local # 27,49 Go (9,07 Go free) # NTFS
E:\ -> Disque CD-ROM

################## | Elements infectieux |

Supprimé ! C:\WINDOWS\System32\winxp.exe
Supprimé ! C:\DOCUME~1\M'BRAH\LOCALS~1\Temp\798.exe
Supprimé ! C:\DOCUME~1\M'BRAH\LOCALS~1\Temp\827.exe
Supprimé ! C:\Program Files\System
Supprimé ! C:\autorun.inf
Supprimé ! C:\image.jpg
Supprimé ! C:\Recycler\S-1-5-21-1482476501-616249376-1417001333-1002
Supprimé ! C:\Recycler\S-1-5-21-4382588359-3071809186-017826702-6953
Supprimé ! C:\Recycler\S-1-5-21-7674544567-0106498832-253246132-5522
Supprimé ! C:\Recycler\S-1-5-21-8569866645-5547178852-121905684-9379
Supprimé ! D:\autorun.inf
Supprimé ! D:\image.jpg
Supprimé ! D:\Recycler\S-1-5-21-1078081533-448539723-1417001333-500
Supprimé ! D:\Recycler\S-1-5-21-1482476501-616249376-1417001333-1002
Supprimé ! D:\Recycler\S-1-5-21-515967899-1972579041-1417001333-1003
Supprimé ! C:\Documents and Settings\M'BRAH\Application Data\vgdoqo.exe
Supprimé ! C:\Documents and Settings\M'BRAH\Local Settings\Temporary Internet Files\Content.IE5\X5OCDXCR\lele[1].exe

################## | Mabezat |

Supprimé ! C:\DOCUME~1\M'BRAH\APPLIC~1\tazebama\zPharaoh.dat
Supprimé ! C:\DOCUME~1\M'BRAH\APPLIC~1\tazebama

################## | Registre |

Supprimé ! [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] "regdiit"
Supprimé ! [HKLM\software\microsoft\shared tools\msconfig\startupreg\CTFMON]
Supprimé ! [HKLM\software\microsoft\shared tools\msconfig\startupreg\regdiit]
Supprimé ! [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\drwtsn32.exe]
Supprimé ! [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\dwwinxp.exe]
Supprimé ! [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.exe]
Supprimé ! [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\procexp.exe]
Supprimé ! [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.exe]
Supprimé ! [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rstrui.exe]
Supprimé ! [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe]
Supprimé ! [HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore] "DisableSR"
Supprimé ! [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoRecentDocsHistory"
Supprimé ! [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoRecentDocsMenu"

################## | Mountpoints2 |

Supprimé ! HKCU\...\Explorer\MountPoints2\F\Shell\AutoRun\Command
Supprimé ! HKCU\...\Explorer\MountPoints2\{eb5b67e1-66c9-11df-8598-0050dad33486}\Shell\AutoRun\Command

################## | Listing des fichiers présent |

[19/05/2010 19:47|--a------|0] C:\AUTOEXEC.BAT
[19/05/2010 19:40|---hs----|212] C:\boot.ini
[28/08/2001 18:00|-rahs----|4952] C:\Bootfont.bin
[19/05/2010 19:47|--a------|0] C:\CONFIG.SYS
[25/05/2010 11:48|--a------|275] C:\Disque local (D).lnk
[19/05/2010 19:47|-rahs----|0] C:\IO.SYS
[19/05/2010 19:47|-rahs----|0] C:\MSDOS.SYS
[13/04/2008 08:43|-rahs----|47564] C:\NTDETECT.COM
[13/04/2008 10:31|-rahs----|252240] C:\ntldr
[?|?|?] C:\pagefile.sys
[26/05/2010 19:13|--a------|3862] C:\UsbFix.txt
[18/05/2010 15:11|--a------|10423] D:\DOCUMENT TRES IMPORTANT.docx

################## | Vaccination |

# C:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido).
# D:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido).

################## | ! Fin du rapport # UsbFix V6.115 ! |

Très bien,

Télécharge Malwarebytes : http://www.malwarebytes.org/mbam/program/mbam-setup.exe

Installe le
Lance malwarebytes
Clique pour commencer sur Mise à jour et ensuite sur Rechercher des mises à jour
Coche "Exécuter un examen complet"
Si tu es en présence d'une infection à la fin de l'examen clique sur "ok"
Clique sur Supprimer la sélection
Pour poster le rapport Clique sur l'onglet Rapports/Logs, sélectionne celui t'intéresse et clique sur Ouvrir
Fait copier coller et poste le rapport stp

@+

Chaque voyage est le rêve d'une nouvelle naissance (Jean Royer)