[HACKTOOL] HackTool/EvID

Je ne savais que vous alliez me répondre rapidement. J'avais donc commencer à faire quelques scans :

1. Adware Spybot
2. SPybot
3. Ewido
4. A2
5. Regcleaner
6. Antivirus en ligne - Bitdef + Panda + Secuser

J'ai juste commencer par Spybot qui m'a aussi détecté un trojan...
Si vous voulez le rapport, je peux aussi le poster, à moins que vous me conseillez de procéder dans un ordre auquel cas j'attend vos remarques et conseils. En tout cas merci pour ce premier contact.

Bref... y'a pas mal de choses... un hack tool et un trojan...
Ceci explique sans doute l'instabilité de windows et les coupures à internet en phase d'upload...

Commencons dans l'ordre. Votre demande à propos du hijack :

Voici le log.

Logfile of HijackThis v1.99.1
Scan saved at 19:24:39, on 09/05/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Adobe\Photoshop Elements 4.0\PhotoshopElementsFileAgent.exe
C:\Program Files\Symantec_Client_Security\Symantec AntiVirus\DefWatch.exe
C:\Program Files\ewido anti-malware\ewidoctrl.exe
C:\WINDOWS\System32\gearsec.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\Symantec_Client_Security\Symantec AntiVirus\Rtvscan.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\SYMANT~1\SYMANT~1\vptray.exe
C:\WINDOWS\vsnpstd.exe
C:\Program Files\Cegetel\C-BOX\Wizard\QuickAccess.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\Foxmail50fr\Foxmail.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Lavasoft\Ad-Aware SE Personal\Ad-Aware.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\Program Files\Hijackthis Version Française\VERSION TRADUITE ORIGINALE.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: DgnWebIE - {2843DAC1-05EF-11D2-95BA-0060083493D6} - C:\Program Files\Dragon Systems\NaturallySpeaking\Program\web_ie.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [vptray] C:\PROGRA~1\SYMANT~1\SYMANT~1\vptray.exe
O4 - HKLM\..\Run: [PrinTray] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\printray.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [snpstd] C:\WINDOWS\vsnpstd.exe
O4 - HKCU\..\Run: [Configuration de la C-BOX] C:\Program Files\Cegetel\C-BOX\Wizard\QuickAccess.exe
O4 - HKCU\..\Run: [Foxmail] "C:\Program Files\Foxmail50fr\Foxmail.exe" -min
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Télécharger avec FlashGet - C:\Program Files\FlashGet\jc_link.htm
O8 - Extra context menu item: Télécharger tout avec FlashGet - C:\Program Files\FlashGet\jc_all.htm
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab
O16 - DPF: {6E5A37BF-FD42-463A-877C-4EB7002E68AE} (Housecall ActiveX 6.5) - http://eu-housecall.trendmicro-europe.com/housecall/applet/html/native/x86/win32/...
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{6144FB50-4C11-434E-A4BD-FF0B611136B4}: NameServer = 192.168.30.1,192.168.30.100
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: NavLogon - C:\WINDOWS\System32\NavLogon.dll
O23 - Service: Adobe Active File Monitor V4 (AdobeActiveFileMonitor4.0) - Unknown owner - C:\Program Files\Adobe\Photoshop Elements 4.0\PhotoshopElementsFileAgent.exe
O23 - Service: DefWatch - Symantec Corporation - C:\Program Files\Symantec_Client_Security\Symantec AntiVirus\DefWatch.exe
O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido anti-malware\ewidoctrl.exe
O23 - Service: gearsec - GEAR Software - C:\WINDOWS\System32\gearsec.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: Symantec AntiVirus Client (Norton AntiVirus Server) - Symantec Corporation - C:\Program Files\Symantec_Client_Security\Symantec AntiVirus\Rtvscan.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

Salut

Telecharge ceci :

http://www.infos-du-net.com/telecharger/HijackThis.html = lien

http://pageperso.aol.fr/balltrap34/demohijack.htm = démo

( Merci à Balltrap )

Choisis l'option "do a scan and a logfile", il va te générer un rapport, copie et colle sur le forum.

++

***j'ai decidé d'être heureux parce que c'est bon pour la santé ! ( Voltaire )***

re

as tu un prog du nom de : Foxmail ???

de plus, à part des lignes inutiles, ton log est ok pour ma part ...

colle un rapport de ewido + bitdefener stp

++

J'ai réussi à lancer Bitdefender et il n'a rien repéré.

Que dois je faire svp ?

Merci.

Oui j'utilise Foxmail pour gérer mes mails.

Je procéde au scan que tu me demandes et t'affiche le log dès que c'est ok.

Par contre tu me dis que le log est bon pour Hijack.

Pourtant, avec Panda Antivirus, le test me révèle la présence de l'hacktool suivant : EvID. De plus, quand je fais un nettoyage avec spybot, j'ai aussi deux traces de trojan. Je sais pas si c'est normal qu'on ne le voit pas avec le log hijack... ?

Ad-Aware SE Build 1.06r1
Logfile Created on:mardi 9 mai 2006 19:02:24
Created with Ad-Aware SE Personal, free for private use.
Using definitions file:SE1R107 09.05.2006
»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»

References detected during the scan:
»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»
MRU List(TAC index:0):19 total references
Tracking Cookie(TAC index:3):2 total references
Win32.Trojan.Downloader(TAC index:10):2 total references
»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»

Ad-Aware SE Settings
===========================
Set : Search for negligible risk entries
Set : Safe mode (always request confirmation)
Set : Scan active processes
Set : Scan registry
Set : Deep-scan registry
Set : Scan my IE Favorites for banned URLs
Set : Scan my Hosts file

Extended Ad-Aware SE Settings
===========================
Set : Unload recognized processes & modules during scan
Set : Scan registry for all users instead of current user only
Set : Always try to unload modules before deletion
Set : During removal, unload Explorer and IE if necessary
Set : Let Windows remove files in use at next reboot
Set : Delete quarantined objects after restoring
Set : Include basic Ad-Aware settings in log file
Set : Include additional Ad-Aware settings in log file
Set : Include reference summary in log file
Set : Include alternate data stream details in log file
Set : Play sound at scan completion if scan locates critical objects

09-05-2006 19:02:24 - Scan started. (Full System Scan)

MRU List Object Recognized!
Location: : C:\Documents and Settings\Dada&Lili\recent
Description : list of recently opened documents

MRU List Object Recognized!
Location: : S-1-5-21-1708537768-152049171-839522115-1003\software\adobe\adobe acrobat\6.0\avgeneral\crecentfiles
Description : list of recently used files in adobe acrobat

MRU List Object Recognized!
Location: : S-1-5-21-1708537768-152049171-839522115-1003\software\microsoft\direct3d\mostrecentapplication
Description : most recent application to use microsoft direct3d

MRU List Object Recognized!
Location: : software\microsoft\direct3d\mostrecentapplication
Description : most recent application to use microsoft direct3d

MRU List Object Recognized!
Location: : S-1-5-21-1708537768-152049171-839522115-1003\software\microsoft\direct3d\mostrecentapplication
Description : most recent application to use microsoft direct X

re

je rajoute ça à ta liste :

6) CleanUp40 (qui élimine les fichiers temporaires + cookies : gratuit )
http://pageperso.aol.fr/Balltrap34/CleanUp40.exe

tuto : (merci à Balltrap) http://pageperso.aol.fr/balltrap34/democleanup.htm

++

Pour le log, jai pas réussi à l'avoir pour bitdefender.

Mais voici ce qu'il indique (j'ai recopié à la main) :

Indentified viruses :0
Infected viruses :0
Suspect files : 0
Warnings : 0
Disinfected files : 0
Deleted files :0

Voilà l'état des deux scan que tu m'as demandé.

Que faire alors si Bit Defender ne détecte rien ?

Dois je procéder aux 6 étapes maintenant à ton avis ? ou as-tu une autre idée ou test à me soumettre ?

Merci pour ta patience et ton aide.

re :)

pour le scan en ligne, c'est ok !

en faisant des ptites recherches rapides, j'ai cru comprendre qu'il n'apparait pas dans le log, et qu'il se cache dans des processus legitimes ...

où est-ce qu'il te le localise ???

++

PS : je coupe pour ce soir

***j'ai decidé d'être heureux parce que c'est bon pour la santé ! ( Voltaire )***

Re!

Les trojan repérés par adware n'apparaissent plus. j'ai redémarré la bécan, r.a.s. de ce côté.

Par contre, un nouveau scan avec panda me donne ceci :

Hacktool:HackTool/EvID Not disinfected
C:\Program Files\echamblard\config\last.zip[EvID4226Patch.exe]

Hacktool:HackTool/EvID Not disinfected
C:\Program Files\echamblard\EvID4226Patch.exe

Deux fois cet EvID ! ce truc me provoque une instabilité et des coupures toutes les 5 minutes dès que j'utilise ce programme.

Voilà pour ce soir.

A demain pour de nouvelles aventures au pays des malwares...

Bye

Re!

Selon mes recherches, c'est pas grave. La présence de cet hack tool est un patch utilisé pour le SP2. Donc rien n'anormal. Je ne peux pas développer davantage mais c'est lié à la technologie p to p.

Par contre les deux trojan.downloader pouvaient-ils infectés mon système en me déconnectant de serveurs, d'internet et de MSN ?

Merci d'avance pour vos renseignements.

Bien cordialement.

Salut.

Quel est ton firewall ?

Sauf s'il est intégré dans ton antivirus, on n'en voit pas dans ton log hijack ....
Et si tu n'utilises que celui de WinXP, il semble préférable d'en prendre un "à part".
=> https://www.commentcamarche.net/faq/2432-securite-proteger-un-ordinateur-contre-les-malwares

A+

Bonjour,

J'utilise le "parefeu" windows du sp2. Mais sur vos conseils je vais réinstaller un pare feu.

Par contre, je pense que je vais devoir poster un nouveau message car là, malgré le nettoyage (notamment des trojan), j'ai encore ces problèmes de déconnexions.

Selon les posts publiés sur plusieurs forum, ceci est dû à la mis à jour du firmware de mon FAI.

Bref...

Merci en tout cas pour la réponse et le conseil.