infecté ? rapport hijackthis Fermé

Question

Bonjour, 

Je voudrais savori si je suis infecté , je poste le rappot hijackthis. N'importe quel infection m'interesse mais ce serait peut etre "iminent.notifier.installer.msi software".

---------------------------------------------------------------------------------------------------
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:41:10, on 20/08/2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\System32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Intel\WiFi\bin\S24EvMon.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\Program Files\AVG\AVG9\avgchsvx.exe
C:\Program Files\AVG\AVG9\avgrsx.exe
C:\Program Files\AVG\AVG9\avgcsrvx.exe
C:\Program Files\CheckPoint\ZAForceField\IswSvc.exe
C:\Program Files\Lavasoft\Ad-Aware\AAWService.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Motorola\SMSERIAL\sm56hlpr.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\Intel\Intel(R) Rapid Storage Technology\IAStorIcon.exe
C:\PROGRA~1\AVG\AVG9\avgtray.exe
C:\Program Files\AVG\AVG9\avgwdsvc.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\Program Files\Intel\WiFi\bin\EvtEng.exe
C:\Program Files\AVG\AVG9\avgnsx.exe
C:\Program Files\Intel\WiFi\bin\ZCfgSvc.exe
C:\Program Files\Fichiers communs\Intel\WirelessCommon\iFrmewrk.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\system32\hasplms.exe
C:\Program Files\Intel\Intel(R) Rapid Storage Technology\IAStorDataMgrSvc.exe
C:\WINDOWS\system32\wbem\unsecapp.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Fichiers communs\Intel\WirelessCommon\RegSrvc.exe
C:\WINDOWS\system32\svchost.exe
C:\Documents and Settings\All Users\Application Data\UltraVNC\winvnc.exe
C:\Documents and Settings\All Users\Application Data\UltraVNC\winvnc.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Lavasoft\Ad-Aware\AAWTray.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Mozilla Firefox\plugin-container.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.01net.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.ca/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.google.fr/toolbar/ie8/sidebar.html
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.google.fr/keyword/%s
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = https://www.google.fr/?gws_rd=ssl
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Windows Internet Explorer fourni par 01net.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: AVG Security Toolbar BHO - {A3BC75A2-1F87-4686-AA43-5347D756017C} - C:\Program Files\AVG\AVG9\Toolbar\IEToolbar.dll
R3 - URLSearchHook: (no name) - *{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
R3 - URLSearchHook: (no name) - *{66f2e20d-0da8-4c11-a9c8-dd8477b88acd} - (no file)
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Program Files\AVG\AVG9\avgssie.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: ZoneAlarm Toolbar - {66f2e20d-0da8-4c11-a9c8-dd8477b88acd} - C:\Program Files\ZoneAlarm	bZone.dll
O2 - BHO: ZoneAlarm Security Engine Registrar - {8A4A36C2-0535-4D2C-BD3D-496CB7EED6E3} - C:\Program Files\CheckPoint\ZAForceField\TrustChecker\bin\TrustCheckerIEPlugin.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: AVG Security Toolbar BHO - {A3BC75A2-1F87-4686-AA43-5347D756017C} - C:\Program Files\AVG\AVG9\Toolbar\IEToolbar.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: AVG Security Toolbar - {CCC7A320-B3CA-4199-B1A6-9F516DD69829} - C:\Program Files\AVG\AVG9\Toolbar\IEToolbar.dll
O3 - Toolbar: (no name) - {32099AAC-C132-4136-9E9A-4E364A424E17} - (no file)
O3 - Toolbar: ZoneAlarm Security Engine - {EE2AC4E5-B0B0-4EC6-88A9-BCA1A32AB107} - C:\Program Files\CheckPoint\ZAForceField\TrustChecker\bin\TrustCheckerIEPlugin.dll
O4 - HKLM\..\Run: [SMSERIAL] C:\Program Files\Motorola\SMSERIAL\sm56hlpr.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [IAStorIcon] C:\Program Files\Intel\Intel(R) Rapid Storage Technology\IAStorIcon.exe
O4 - HKLM\..\Run: [AVG9_TRAY] C:\PROGRA~1\AVG\AVG9\avgtray.exe
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [ISW] "C:\Program Files\CheckPoint\ZAForceField\ForceField.exe" /icon="hidden"
O4 - HKLM\..\Run: [IntelZeroConfig] "C:\Program Files\Intel\WiFi\bin\ZCfgSvc.exe"
O4 - HKLM\..\Run: [IntelWireless] "C:\Program Files\Fichiers communs\Intel\WirelessCommon\iFrmewrk.exe" /tf Intel Wireless Tray
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\RunOnce: [Config] %systemroot%\system32un.cmd (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\RunOnce: [tscuninstall] %systemroot%\system32	scupgrd.exe (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\RunOnce: [Config] %systemroot%\system32un.cmd (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\RunOnce: [Config] %systemroot%\system32un.cmd (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\RunOnce: [Config] %systemroot%\system32un.cmd (User 'Default user')
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Program Files\AVG\AVG9\avgpp.dll
O20 - Winlogon Notify: !SASWinLogon - C:\Program Files\SUPERAntiSpyware\SASWINLO.dll
O20 - Winlogon Notify: avgrsstarter - C:\WINDOWS\SYSTEM32\avgrsstx.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: AVG Free WatchDog (avg9wd) - AVG Technologies CZ, s.r.o. - C:\Program Files\AVG\AVG9\avgwdsvc.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel(R) Corporation - C:\Program Files\Intel\WiFi\bin\EvtEng.exe
O23 - Service: HASP License Manager (hasplms) - Aladdin Knowledge Systems Ltd. - C:\WINDOWS\system32\hasplms.exe
O23 - Service: Intel(R) Rapid Storage Technology (IAStorDataMgrSvc) - Intel Corporation - C:\Program Files\Intel\Intel(R) Rapid Storage Technology\IAStorDataMgrSvc.exe
O23 - Service: ZoneAlarm Toolbar IswSvc (IswSvc) - Check Point Software Technologies - C:\Program Files\CheckPoint\ZAForceField\IswSvc.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: Lavasoft Ad-Aware Service - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware\AAWService.exe
O23 - Service: Ma-Config Service (maconfservice) - CybelSoft - C:\Program Files\ma-config.com\maconfservice.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel(R) Corporation - C:\Program Files\Fichiers communs\Intel\WirelessCommon\RegSrvc.exe
O23 - Service: Intel(R) PROSet/Wireless WiFi Service (S24EventMonitor) - Intel(R) Corporation - C:\Program Files\Intel\WiFi\bin\S24EvMon.exe
O23 - Service: UltraVNC Server (uvnc_service) - UltraVNC - C:\Documents and Settings\All Users\Application Data\UltraVNC\winvnc.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Check Point Software Technologies LTD - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

--_------------------------------------------------------------------------------------------

Merci beaucoup !


Configuration: Windows XP / Firefox 3.6.8

gen-hackman · Answer

salut

vire spybot
vire Ad-Aware

Télécharge ici :OTL

&#9654 enregistre le sur ton Bureau.

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur OTL.exe pour le lancer.

&#9654 Coche les 2 cases Lop et Purity

&#9654 Coche la case devant tous les utilisateurs

&#9654 règle age du fichier sur "60 jours"

&#9654 dans la moitié gauche , mets tout sur "tous"

ne modifie pas ceci : 

"fichiers créés" et "fichiers Modifiés" 

&#9654Clic sur Analyse.

A la fin du scan, le Bloc-Notes va s'ouvrir avec le rapport (OTL.txt).

Ce fichier est sur ton Bureau (en général C:\Documents and settings\le_nom_de_ta_session\OTL.txt)

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/

&#9654 Clique sur Parcourir et cherche le fichier ci-dessus.

&#9654 Clique sur Ouvrir.

&#9654 Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

est ajouté dans la page.

&#9654 Copie ce lien dans ta réponse.

&#9654&#9654 Tu feras la meme chose avec le "Extra.txt" qui logiquement sera aussi sur ton bureau.

jacques.gache · Answer

bonjour, perso je vois pas d'infection , mais un doute sur la légalité de ta licence windows ???

gen-hackman · Answer

disons que j aurai plus de precisions avec OTL

par contre , si comme le dit Jacques.gache ton windows est "modifié" , je te con,seille vivement d'acheter une license

legyptien · Answer

http://www.cijoint.fr/cjlink.php?file=cj201008/cijqbeP00N.txt    EXTRA

http://www.cijoint.fr/cjlink.php?file=cj201008/cijjJ3HbnC.txt      OTL


Merci :)

legyptien · Answer

un truc que j aimerai vraiment a faire, c est decripter un fichier LOG de Hijackthis. Parce qu a chaque fois je poste sur des forums. Si quelqu un a faim, ne lui donne pas a manger, apprend lui a pecher... :)

Y a un lien qui explique le decriptage de hijackthis ?

gen-hackman · Answer

si tu as XP => double clique 
si tu as Vista ou windows 7 => clic droit "executer en tant que...."  

sur OTL.exe pour le lancer. 


&#9654Copie la liste qui se trouve en gras ci-dessous, 

&#9654 colle-la dans la zone sous "Personnalisation" : 

 
:processes 
explorer.exe 
iexplore.exe 
firefox.exe 
msnmsgr.exe 
Teatimer.exe 

:OTL 
IE - HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyServer" = 192.168.0.106:8080  
IE - HKU\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyServer" = 192.168.0.106:8080  
IE - HKU\S-1-5-21-1993962763-1844237615-725345543-1003\..\URLSearchHook: *{66f2e20d-0da8-4c11-a9c8-dd8477b88acd} - Reg Error: Key error. File not found 
IE - HKU\S-1-5-21-1993962763-1844237615-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyOverride" = <local>  
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - No CLSID value found.      
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - No CLSID value found.      
O2 - BHO: (ZoneAlarm Toolbar) - {66f2e20d-0da8-4c11-a9c8-dd8477b88acd} - C:\Program Files\ZoneAlarm	bZone.dll (Conduit Ltd.)      
O3 - HKLM\..\Toolbar: (no name) - {32099AAC-C132-4136-9E9A-4E364A424E17} - No CLSID value found.      
O3 - HKU\S-1-5-21-1993962763-1844237615-725345543-1003\..\Toolbar\WebBrowser: (ZoneAlarm Toolbar) - {66F2E20D-0DA8-4C11-A9C8-DD8477B88ACD} - C:\Program Files\ZoneAlarm	bZone.dll (Conduit Ltd.)      
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Infodelivery present  
O33 - MountPoints2\{7b6ee38c-a74a-11df-bbdc-444553544200}\Shell\AutoRun\command - "" = E:\PortableApps\StartPortableApps.exe -- File not found 

:Reg 
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run] 
"Adobe Reader Speed Launcher"=- 
"RTHDCPL"=- 

:Files 
C:\WINDOWS\System32\dllcache\sessmgr.exe      
C:\WINDOWS\System32\dllcache\smss.exe      
C:\Program Files\Conduit      
C:\Documents and Settings\amer\Local Settings\Application Data\Conduit  
     
:commands 
[emptytemp] 
[start explorer] 
[reboot] 


&#9654 Clique sur "Correction" pour lancer la suppression. 


&#9654 Poste le rapport qui logiquement s'ouvrira tout seul en fin de travail appres le redemarrage. 

?G3?-?@¢??@?(TM)©®?

legyptien · Answer

Bon je voudrais dire quelque chose. Avant la correction j etais avec des pilotes graphiques a jour. Maintenant mon gestionnaire me montre le peripherique graphique avec un point  d exclamation.  

http://www.cijoint.fr/cjlink.php?file=cj201008/cijpv7Vvn8.txt 

merci

gen-hackman · Answer

d'autant plus bizarre qu'on a pas touché au graphique....

legyptien · Answer

ok c est pas un probleme, je peux reinstaller les drivers graphiques, je les ai gardé. Tu pense qu il etait infecté ?

Tu as un lien pour que j apprenne a interpreter les logs de Hijackthis. 

Merci :)

gen-hackman · Answer

c'est pas fini :


&#9654 Télécharge ici : Ad-remover sur ton bureau : 


&#9654 Déconnecte toi et ferme toutes applications en cours ! 

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

&#9654 sur "Ad-R.exe" pour lancer l'installation et laisse les paramètres d'installation par défaut . 

&#9654 clique le raccourci Ad-remover qui est sur ton bureau pour lancer l'outil .
 
&#9654 Au menu principal choisis "option Nettoyer" et tape sur [entrée] .

&#9654 Laisse travailler l'outil et ne touche à rien ... 

&#9654 Poste le rapport qui apparait à la fin , sur le forum ...

( Le rapport est sauvegardé aussi sous C:\Ad-report.log ) 
( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller ) 

&#9654 Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. 
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. 
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

legyptien · Answer

======= RAPPORT D'AD-REMOVER 2.0.0.1,D | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par C_XX le 26/07/10 à 12:00
Contact: AdRemover.contact[AT]gmail.com
Site web: http://pagesperso-orange.fr/NosTools/ad_remover.html

C:\Program Files\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 20:34:34 le 20/08/2010, Mode normal

Microsoft Windows XP Professionnel Service Pack 3 (X86) 
amer@AMER ( ) 
 
============== ACTION(S) ==============



(!) -- Fichiers temporaires supprimés.


1,Clé supprimée: HKLM\Software\Classes\Interface\{FFB96CC1-7EB3-449D-B827-DB661701C6BB}
0,Clé supprimée: HKLM\Software\Classes\Toolbar.CT2611275
0,Clé supprimée: HKLM\Software\AskBarDis
0,Clé supprimée: HKLM\Software\Conduit
0,Clé supprimée: HKCU\Software\Conduit
3,Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}


============== SCAN ADDITIONNEL ==============

** Internet Explorer Version [8.0.6001.18702] **

[HKCU\Software\Microsoft\Internet Explorer\Main] 
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Do404Search: 0x01000000
Enable Browser Extensions: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
Show_ToolBar: yes
Start Page: hxxp://fr.msn.com/
Use Search Asst: no

[HKLM\Software\Microsoft\Internet Explorer\Main] 
Default_Page_URL: hxxp://go.microsoft.com/fwlink/?LinkId=54896
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Delete_Temp_Files_On_Exit: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search bar: hxxp://search.msn.com/spbasic.htm
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Start Page: hxxp://fr.msn.com/

[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS] 
Tabs: res://ieframe.dll/tabswelcome.htm
Blank: res://mshtml.dll/blank.htm

========================================

C:\Program Files\Ad-Remover\Quarantine: 0 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 13 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 20/08/2010 (487 Octet(s)) 

Fin à: 20:36:33, 20/08/2010 
 
============== E.O.F ==============

gen-hackman · Answer

DESACTIVE TON ANTIVIRUS ET TON PAREFEU SI PRESENTS !!!!!(car il est detecté a tort comme infection)

&#9654 Télécharge ici :List_Kill'em

 et enregistre le sur ton bureau 

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur le raccourci sur ton bureau pour lancer l'installation

Laisse coché :

&#9830 Executer List_Kill'em

une fois terminée , clic sur "terminer" et le programme se lancera seul

choisis l'option Search

&#9654 laisse travailler l'outil

il se peut qu'une boite de dialogue s'ouvre , dans ce cas clique sur "ok" ou "Agree"

à l'apparition de la fenetre blanche , c'est un peu long , c'est normal ,c'est une recherche supplementaire de fichiers cachés , le programme n'est pas bloqué.

&#9654 Poste le contenu du rapport qui s'ouvre aux 100 % du scan à l'ecran "COMPLETED"

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM 

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/ 

&#9654 Clique sur Parcourir et cherche le fichier ci-dessus. 

&#9654 Clique sur Ouvrir. 

&#9654 Clique sur "Cliquez ici pour déposer le fichier". 

Un lien de cette forme : 

http://www.cijoint.fr/cjlink.php?file=265368/cijSKAP5fU.txt 

est ajouté dans la page. 

&#9654 Copie ce lien dans ta réponse. 

&#9654 Fais de même avec more.txt qui se trouve sur ton bureau

legyptien · Answer

avant le scan j ai eu un message disant "nom_fichier n est pas une application win 32" où nom_fichier est un nom d'un programme dont je me souviens plus, c est passé  vite. le scannage a pu commencer tout de meme.

 http://www.cijoint.fr/cjlink.php?file=cj201008/cijxEI3wnO.txt
http://www.cijoint.fr/cjlink.php?file=cj201008/cijaWFDjNm.txt

gen-hackman · Answer

Fais analyser le(s) fichier(s) suivants sur Virustotal :

Virus Total

    *  * Colle directement le chemin des fichiers , un par un , dans l'espace "Parcourir"

C:\WINDOWS\System32\ffnd.exe 
C:\WINDOWS\System32\wwb9_32a.dll 
C:\WINDOWS\System32\wwb9_32w.dll 



    * Clique maintenant sur Envoyer le fichier. et laisse travailler tant que "Situation actuelle : en cours d'analyse" est affiché.
    * Il est possible que le fichier soit mis en file d'attente en raison d'un grand nombre de demandes d'analyses. En ce cas, il te faudra patienter sans actualiser la page.
    * Lorsque l'analyse est terminée colle le lien de la page  dans ta prochaine réponse.

ensuite :

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

&#9654 Relance List_Kill'em,avec le raccourci sur ton bureau.

mais cette fois-ci :

&#9654 choisis l'Option Clean

ton PC va redemarrer,

laisse travailler l'outil.

en fin de scan la fenetre se ferme , et tu as un rapport du nom de Kill'em.txt sur ton bureau ,

&#9654 colle le contenu dans ta reponse

legyptien · Answer

désolé j ai envoyés les fichiers mais ca prend plus d une heure!!! je pense que j ai mal fait. je dors et je vois demain. merci

gen-hackman · Answer

ok salut sinon tant pis passe à la suite :)

legyptien · Answer

http://www.virustotal.com/file-scan/report.html?id=848528ebdff0cd8616c1324b0161e2b47834a869fbb5a364b7c1deb597593f68-1282392605 

http://www.virustotal.com/file-scan/report.html?id=cd65cfd7ac3719a30054f3f5dcca2f002f7f01f9b6228c585bb9bf3eb130dc54-1282392823 

http://www.virustotal.com/file-scan/report.html?id=87334c9a6c60fc90a8b3309b67d60c2d3f8e732d35d947faa67b86e6b2e98c4c-1282392984 
----------------------------------------------------------------------------------------------- 
Alors a la fin du scan, j ai eu la periode de nettoyage et j ai eu plusieurs messages d'erreur disant la meme chose: "find.exe n est pas une application win32 valide" avec des "acces refusé" sur la fenetre du scan.  NORMAL ?
-------------------------------------------------------------------------------------------------- 

¤¤¤¤¤¤¤¤¤¤ Kill'em by g3n-h@ckm@n 2.0.3.2 ¤¤¤¤¤¤¤¤¤¤  
  
User : amer ()  
Update on 20/08/2010 by g3n-h@ckm@n ::::: 14.45 
Start at: 08:27:23 | 21/08/2010 

Intel(R) Core(TM)2 Duo CPU     T7250  @ 2.00GHz 
Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 3 
Internet Explorer 8.0.6001.18702 
Windows Firewall Status : Enabled 
AV : AVG Anti-Virus Free 9.0 [ Enabled | Updated ] 
FW : ZoneAlarm Firewall[ (!) Disabled ]9.2.057.000 

C:\ -> Disque fixe local | 146,48 Go (81,04 Go free) | NTFS 
D:\ -> Disque CD-ROM 
F:\ -> Disque fixe local | 86,4 Go (82,83 Go free) [donnee pers] | NTFS 
  

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Processes ------- Memory(Ko) 

C:\WINDOWS\System32\smss.exe ----428 Ko 
C:\WINDOWS\system32\csrss.exe ----3508 Ko 
C:\WINDOWS\System32\winlogon.exe ----4180 Ko 
C:\WINDOWS\system32\services.exe ----3500 Ko 
C:\WINDOWS\system32\lsass.exe ----5556 Ko 
C:\WINDOWS\system32\Ati2evxx.exe ----3624 Ko 
C:\WINDOWS\system32\svchost.exe ----3520 Ko 
C:\WINDOWS\system32\svchost.exe ----4220 Ko 
C:\WINDOWS\System32\svchost.exe ----17040 Ko 
C:\Program Files\Intel\WiFi\bin\S24EvMon.exe ----15352 Ko 
C:\WINDOWS\system32\svchost.exe ----7260 Ko 
C:\WINDOWS\system32\ZoneLabs\vsmon.exe ----20832 Ko 
C:\WINDOWS\System32\logonui.exe ----3768 Ko 
C:\WINDOWS\System32\Ati2evxx.exe ----4052 Ko 
C:\Program Files\AVG\AVG9\avgchsvx.exe ----30484 Ko 
C:\Program Files\AVG\AVG9\avgrsx.exe ----2900 Ko 
C:\Program Files\AVG\AVG9\avgcsrvx.exe ----31072 Ko 
C:\WINDOWS\Explorer.EXE ----13728 Ko 
C:\WINDOWS\system32\cmd.exe ----1920 Ko 
C:\Program Files\CheckPoint\ZAForceField\IswSvc.exe ----4916 Ko 
C:\WINDOWS\system32\spoolsv.exe ----4808 Ko 
C:\Program Files\CheckPoint\ZAForceField\ForceField.exe ----9452 Ko 
C:\WINDOWS\system32\wbem\wmiprvse.exe ----6820 Ko 
C:\Program Files\AVG\AVG9\avgwdsvc.exe ----8428 Ko 
C:\Program Files\Intel\WiFi\bin\EvtEng.exe ----17320 Ko 
C:\Program Files\AVG\AVG9\avgnsx.exe ----240 Ko 
C:\Program Files\List_Kill'em\ERUNT.EXE ----3340 Ko 
C:\Program Files\List_Kill'em\pv.exe ----2784 Ko 
C:\WINDOWS\system32\hasplms.exe ----13020 Ko 
C:\Program Files\Intel\Intel(R) Rapid Storage Technology\IAStorDataMgrSvc.exe ----11004 Ko 
C:\WINDOWS\system32\wbem\unsecapp.exe ----3824 Ko 
  
¤¤¤¤¤¤¤¤¤¤ Files/folders :  

Quarantined & Deleted !! : C:\Program Files\DAEMON Tools Toolbar  
  
Quarantined & Deleted !! : C:\WINDOWS\System32\DRIVERS\aksfridge.sys  
Quarantined & Deleted !! : C:\WINDOWS\System32\drivers\etc\hosts.msn  
Quarantined & Deleted !! : C:\WINDOWS\Temp\ZLT01dca.TMP  
Quarantined & Deleted !! : C:\Documents and Settings\amer\Application Data\GDIPFONTCACHEV1.DAT  
Quarantined & Deleted !! : C:\Documents and Settings\amer\Local Settings\Temporary Internet Files\SuggestedSites.dat  
  
======= 
Hosts : 
======= 

127.0.0.1       localhost    

======== 
Registry 
======== 

Deleted : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser : {0E5CBF21-D15F-11D0-8301-00AA005B4383}   
Deleted : HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer : NoClose   
Deleted : "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Install.exe"   
Deleted : "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Setup.exe"   
Deleted : HKCR\CLSID\{9afb8248-617f-460d-9366-d71cdeda3179}   

================= 
Internet Explorer 
================= 

[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main] 
Start Page =          https://www.msn.com/fr-fr/?ocid=iehp 
Local Page =          C:\WINDOWS\system32\blank.htm 
Default_Search_URL =          https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF 
Default_Page_URL =          https://www.msn.com/fr-fr/?ocid=iehp 
Search Page =          https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF 

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main] 
Start Page =          https://www.google.com/?gws_rd=ssl 
Local Page =          C:\WINDOWS\system32\blank.htm 
Search Page =          http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch 

=============== 
Security Center 
=============== 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]  
FirstRunDisabled =       1 (0x1)  
AntiVirusOverride =       1 (0x1)  
FirewallOverride =       1 (0x1)  
DisablePagingExecutive =       1 (0x1)  
LargeSystemCache =       0 (0x0)  
SecondLevelDataCache =       512 (0x200)  
AntiVirusDisableNotify =       0 (0x0)  
FirewallDisableNotify =       0 (0x0)  
UpdatesDisableNotify =       0 (0x0)  
  
======== 
Services 
========= 


============ 
Disk Cleaned 
anti-ver blaster : OK  
Prefetch cleaned  
================  

FEATURE_BROWSER_EMULATION | svchost :  
==================================== 
  

  
  
  
  
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤( EOF )¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

gen-hackman · Answer

normal tu n'avais pas coupé AVG

legyptien · Answer

ah mince. ben il a redemarrer apres j avais acces a rien du tout. apres redemmarage, je ne pouvais cliquer sur rien je crois. je dois refaire ?

gen-hackman · Answer

non 


Imprime ces instructions car il faudra fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.



&#9654 Télécharge ici :

Malwarebytes  

ou  :

Malwarebytes

&#9654 Installe le ( choisis bien "francais" ; ne modifie pas les paramètres d'installe ) et mets le à jour .

(NB : Si tu as un message d'erreur t'indiquant qu'il te manque "COMCTL32.OCX" lors de l'installe, alors télécharge le ici : COMCTL32.OCX

&#9654 Potasses le Tuto pour te familiariser avec le prg :


( cela dit, il est très simple d'utilisation ).

relance malwarebytes en suivant scrupuleusement ces consignes :

! Déconnecte toi et ferme toutes applications en cours !

&#9654 Lance Malwarebyte's .

Fais un examen dit "Complet" .

&#9654 Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ).
&#9654 à la fin tu cliques sur "résultat" .
&#9654 Vérifie que tous les objets infectés soient validés, puis clique sur " suppression " .

&#9654 Note : si il faut redémarrer ton PC pour finir le nettoyage, fais le !


&#9654 Poste le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwarebytes, le dernier en date)

Infecté ? rapport hijackthis

21 réponses

Discussions similaires