ANALYSE HIJACKTHIS pilz

Bonjour,

tu es infecté par LOP

* Télécharge LopXPMH sur ton Bureau.
http://perso.numericable.fr/%7Ealtshift/Info/Fichiers/lopxpMH2.zip

* Dézippe-le (clic droit >> Extraire ici) et double clique sur le fichier lopxpMH.bat.
* Poste le contenu du rapport qui va s'ouvrir.

ok voila ce que j'ai maintenant

Rapport fait à 15:14:35,33 le 23/02/2007

******************************************
## Répertoires Application Data

Le volume dans le lecteur C s'appelle Alexis
Le num‚ro de s‚rie du volume est 5C57-3DB3

R‚pertoire de C:\Documents and Settings\Alexis\Application Data

19/01/2006 10:51 <REP> .
19/01/2006 10:51 <REP> ..
07/02/2006 23:02 <REP> .bittorrent
11/02/2007 19:54 <REP> .gaim
01/02/2006 11:15 <REP> Adobe
01/02/2006 11:16 <REP> AdobeUM
02/11/2006 02:27 <REP> ATI
13/02/2007 15:09 <REP> buildwmapoll
09/01/2007 16:50 <REP> CodedColor
19/01/2006 11:09 <REP> CyberLink
15/02/2006 19:08 <REP> dvdcss
23/01/2006 15:22 <REP> Gearbox Software
20/10/2006 16:01 <REP> Help
19/01/2006 10:51 <REP> Identities
27/01/2006 14:07 <REP> Lavasoft
24/01/2006 00:29 <REP> Leadertech
19/01/2006 10:51 <REP> Macromedia
19/01/2006 10:51 <REP> Microsoft
31/01/2006 18:46 <REP> Microsoft Web Folders
19/01/2006 11:13 <REP> OD2
21/02/2007 10:26 <REP> PixelMetrics
19/01/2006 10:51 <REP> Real
05/02/2007 17:07 <REP> SecuROM
04/02/2006 16:38 <REP> Shareaza
23/01/2006 00:41 <REP> Skype
08/02/2006 10:32 <REP> Sonic
19/01/2006 10:51 <REP> Sun
19/01/2006 10:51 <REP> Symantec
23/01/2006 19:10 <REP> vlc
08/01/2007 18:10 <REP> Vso
19/01/2006 10:51 <REP> You've Got Pictures Screensaver
19/01/2006 10:51 62 desktop.ini
08/01/2007 18:10 87ÿ608 ezpinst.exe
27/01/2006 16:34 45ÿ328 GDIPFONTCACHEV1.DAT
08/01/2007 18:10 7ÿ824 pcouffin.cat
08/01/2007 18:10 1ÿ144 pcouffin.inf
08/01/2007 18:11 34 pcouffin.log
08/01/2007 18:10 47ÿ360 pcouffin.sys
08/01/2007 19:22 78 Printer.ini
8 fichier(s) 189ÿ438 octets
31 R‚p(s) 12ÿ686ÿ647ÿ296 octets libres
Le volume dans le lecteur C s'appelle Alexis
Le num‚ro de s‚rie du volume est 5C57-3DB3

R‚pertoire de C:\Documents and Settings\Alexis\Local Settings\Application Data

19/01/2006 10:51 <REP> .
19/01/2006 10:51 <REP> ..
19/01/2006 10:51 <REP> {7148F0A6-6813-11D6-A77B-00B0D0142050}
01/02/2006 11:15 <REP> Adobe
19/01/2006 10:51 <REP> ApplicationHistory
02/11/2006 02:27 <REP> ATI
08/01/2007 18:33 <REP> Google
25/01/2006 22:15 <REP> Help
30/01/2006 11:33 <REP> Identities
19/01/2006 10:51 <REP> Microsoft
19/01/2006 10:51 <REP> PowerCinema
23/01/2006 14:06 <REP> Skype
07/03/2006 22:32 <REP> Ubisoft
14/06/2006 19:21 <REP> WMTools Downloaded Files
19/01/2006 17:36 163ÿ328 DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini
19/01/2006 10:51 129 fusioncache.dat
19/01/2006 10:53 71ÿ584 GDIPFONTCACHEV1.DAT
19/01/2006 10:51 4ÿ805ÿ538 IconCache.db
4 fichier(s) 5ÿ040ÿ579 octets
14 R‚p(s) 12ÿ686ÿ647ÿ296 octets libres
Le volume dans le lecteur C s'appelle Alexis
Le num‚ro de s‚rie du volume est 5C57-3DB3

R‚pertoire de C:\Documents and Settings\All Users\Application Data

16/08/2004 16:54 <REP> .
16/08/2004 16:54 <REP> ..
08/09/2005 20:52 <REP> Adobe
08/09/2005 20:53 <REP> AOL
09/01/2007 16:50 <REP> CodedColor
08/09/2005 20:46 <REP> CyberLink
26/01/2007 15:56 <REP> Macromedia
26/01/2007 14:32 <REP> Messenger Plus!
16/08/2004 16:54 <REP> Microsoft
08/09/2005 20:54 <REP> OD2
08/09/2005 20:54 <REP> QuickTime
16/08/2004 17:28 <REP> SBSI
23/01/2006 00:41 <REP> Skype
17/01/2007 15:12 <REP> Spybot - Search & Destroy
08/09/2005 20:48 <REP> Symantec
17/01/2007 14:32 <REP> TEMP
13/02/2007 15:10 <REP> TypeHeartFiveGram
03/10/2006 17:43 <REP> Ubisoft
08/09/2005 20:54 <REP> Viewpoint
06/07/2006 12:30 <REP> Windows Genuine Advantage
08/01/2007 18:07 <REP> Yahoo! Companion
16/08/2004 16:55 62 desktop.ini
1 fichier(s) 62 octets
21 R‚p(s) 12ÿ686ÿ643ÿ200 octets libres
Le volume dans le lecteur C s'appelle Alexis
Le num‚ro de s‚rie du volume est 5C57-3DB3

R‚pertoire de C:\Documents and Settings\Default User\Application Data

16/08/2004 16:54 <REP> .
16/08/2004 16:54 <REP> ..
19/01/2006 10:50 <REP> Identities
19/01/2006 10:50 <REP> Macromedia
16/08/2004 16:54 <REP> Microsoft
19/01/2006 10:50 <REP> Real
19/01/2006 10:50 <REP> Sun
19/01/2006 10:50 <REP> Symantec
19/01/2006 10:50 <REP> You've Got Pictures Screensaver
16/08/2004 16:54 62 desktop.ini
1 fichier(s) 62 octets
9 R‚p(s) 12ÿ686ÿ643ÿ200 octets libres
Le volume dans le lecteur C s'appelle Alexis
Le num‚ro de s‚rie du volume est 5C57-3DB3

R‚pertoire de C:\Documents and Settings\Default User\Local Settings\Application Data

16/08/2004 16:55 <REP> .
16/08/2004 16:55 <REP> ..
19/01/2006 10:50 <REP> {7148F0A6-6813-11D6-A77B-00B0D0142050}
19/01/2006 10:50 <REP> ApplicationHistory
16/08/2004 17:10 <REP> Microsoft
19/01/2006 10:50 <REP> PowerCinema
19/01/2006 10:50 135 fusioncache.dat
19/01/2006 10:50 2ÿ691ÿ500 IconCache.db
2 fichier(s) 2ÿ691ÿ635 octets
6 R‚p(s) 12ÿ686ÿ643ÿ200 octets libres
Le volume dans le lecteur C s'appelle Alexis
Le num‚ro de s‚rie du volume est 5C57-3DB3

R‚pertoire de C:\Documents and Settings\eimagerecoverysetup_fr

Le volume dans le lecteur C s'appelle Alexis
Le num‚ro de s‚rie du volume est 5C57-3DB3

R‚pertoire de C:\Documents and Settings\LocalService\Application Data

16/08/2004 17:18 <REP> .
16/08/2004 17:18 <REP> ..
16/08/2004 17:18 <REP> Microsoft
0 fichier(s) 0 octets
3 R‚p(s) 12ÿ686ÿ643ÿ200 octets libres
Le volume dans le lecteur C s'appelle Alexis
Le num‚ro de s‚rie du volume est 5C57-3DB3

R‚pertoire de C:\Documents and Settings\LocalService\Local Settings\Application Data

16/08/2004 17:18 <REP> .
16/08/2004 17:18 <REP> ..
16/08/2004 17:18 <REP> Microsoft
0 fichier(s) 0 octets
3 R‚p(s) 12ÿ686ÿ643ÿ200 octets libres
Le volume dans le lecteur C s'appelle Alexis
Le num‚ro de s‚rie du volume est 5C57-3DB3

R‚pertoire de C:\Documents and Settings\NetworkService\Application Data

16/08/2004 17:18 <REP> .
16/08/2004 17:18 <REP> ..
16/08/2004 17:18 <REP> Microsoft
0 fichier(s) 0 octets
3 R‚p(s) 12ÿ686ÿ643ÿ200 octets libres
Le volume dans le lecteur C s'appelle Alexis
Le num‚ro de s‚rie du volume est 5C57-3DB3

R‚pertoire de C:\Documents and Settings\NetworkService\Local Settings\Application Data

16/08/2004 17:18 <REP> .
16/08/2004 17:18 <REP> ..
16/08/2004 17:18 <REP> Microsoft
0 fichier(s) 0 octets
3 R‚p(s) 12ÿ686ÿ643ÿ200 octets libres
Le volume dans le lecteur C s'appelle Alexis
Le num‚ro de s‚rie du volume est 5C57-3DB3

R‚pertoire de C:\Documents and Settings\Propri‚taire

Le volume dans le lecteur C s'appelle Alexis
Le num‚ro de s‚rie du volume est 5C57-3DB3

R‚pertoire de C:\WINDOWS\system32\config\systemprofile\Application Data

16/08/2004 17:16 <REP> .
16/08/2004 17:16 <REP> ..
19/01/2006 10:50 <REP> Identities
19/01/2006 10:50 <REP> Macromedia
16/08/2004 17:16 <REP> Microsoft
19/01/2006 10:50 <REP> Real
19/01/2006 10:50 <REP> Sun
19/01/2006 10:50 <REP> Symantec
19/01/2006 10:50 <REP> You've Got Pictures Screensaver
16/08/2004 17:16 62 desktop.ini
1 fichier(s) 62 octets
9 R‚p(s) 12ÿ686ÿ639ÿ104 octets libres
Le volume dans le lecteur C s'appelle Alexis
Le num‚ro de s‚rie du volume est 5C57-3DB3

R‚pertoire de C:\WINDOWS\system32\config\systemprofile\Local Settings\Application Data

16/08/2004 17:16 <REP> .
16/08/2004 17:16 <REP> ..
19/01/2006 10:50 <REP> {7148F0A6-6813-11D6-A77B-00B0D0142050}
19/01/2006 10:50 <REP> ApplicationHistory
16/08/2004 17:16 <REP> Microsoft
19/01/2006 10:50 <REP> PowerCinema
19/01/2006 10:50 135 fusioncache.dat
19/01/2006 10:50 2ÿ691ÿ500 IconCache.db
2 fichier(s) 2ÿ691ÿ635 octets
6 R‚p(s) 12ÿ686ÿ639ÿ104 octets libres

******************************************
Recherche des taches planifiées dans C:\WINDOWS\tasks

Le volume dans le lecteur C s'appelle Alexis
Le num‚ro de s‚rie du volume est 5C57-3DB3

R‚pertoire de C:\WINDOWS\Tasks

13/02/2007 15:10 272 B0ED2D5491BED58C.job
30/05/2006 20:51 348 At7.job
30/05/2006 20:51 344 At6.job
30/05/2006 20:51 346 At4.job
12/03/2006 23:43 192 HDReg.job
19/01/2006 10:50 258 Rappel d'enregistrement 1.job
16/08/2004 17:18 6 SA.DAT
16/08/2004 17:06 <REP> ..
16/08/2004 17:06 <REP> .
16/08/2004 16:40 65 desktop.ini
8 fichier(s) 1ÿ831 octets
2 R‚p(s) 12ÿ686ÿ639ÿ104 octets libres

******************************************
## Répertoires de C:\Program Files

Le volume dans le lecteur C s'appelle Alexis
Le num‚ro de s‚rie du volume est 5C57-3DB3

R‚pertoire de C:\Program Files

21/02/2007 10:26 <REP> .
21/02/2007 10:26 <REP> ..
24/12/2006 21:54 <REP> Act-3D
08/09/2005 20:52 <REP> Adobe
13/06/2006 16:50 <REP> Alwil Software
18/07/2006 17:02 <REP> AOL 9.0
08/09/2005 20:54 <REP> AOL Compagnon
02/11/2006 02:14 <REP> ATI Technologies
13/02/2007 15:09 <REP> buildwmapoll
05/02/2007 17:07 <REP> Call of Juarez SP Demo
21/02/2007 10:26 <REP> CaptureWiz
08/01/2007 18:02 <REP> CCleaner
09/01/2007 16:53 <REP> CodedColor
11/02/2007 19:52 <REP> Common Files
16/08/2004 17:05 <REP> ComPlus Applications
08/09/2005 20:45 <REP> CyberLink
12/02/2006 00:43 <REP> EA GAMES
08/02/2006 19:40 <REP> Empire Interactive
06/02/2007 09:56 <REP> eMule
17/01/2007 15:31 <REP> Enigma Software Group
15/02/2007 11:20 <REP> Fichiers communs
19/01/2006 12:32 <REP> Friendly Technologies
09/01/2007 18:25 <REP> Google
16/02/2007 19:42 <REP> Internet Explorer
11/01/2007 02:23 <REP> IrfanView
24/01/2007 09:27 <REP> Java
19/01/2006 12:32 <REP> Kit ADSL
08/02/2006 19:09 <REP> KONAMI
27/01/2006 14:06 <REP> Lavasoft
08/09/2005 20:54 <REP> Learn2.com
10/02/2007 19:57 <REP> LimeWire
26/01/2007 16:03 <REP> Macromedia
14/06/2006 19:59 <REP> Media Access
07/02/2006 00:57 <REP> Messenger
19/12/2006 02:12 <REP> Messenger Plus! Live
31/01/2006 18:45 <REP> microsoft frontpage
14/06/2006 19:12 <REP> microsoft office
14/06/2006 19:12 <REP> Microsoft Visual Studio
14/06/2006 19:11 <REP> Microsoft.NET
16/08/2004 17:06 <REP> Movie Maker
16/08/2004 17:03 <REP> MSN
16/08/2004 17:03 <REP> MSN Gaming Zone
07/02/2007 15:54 <REP> MSN Messenger
16/08/2004 17:06 <REP> NetMeeting
09/01/2007 17:30 <REP> NewPhotoRecovforDMfr
09/02/2006 12:09 <REP> Objects
16/08/2004 17:03 <REP> Online Services
17/12/2006 16:22 <REP> Outlook Express
17/01/2007 16:56 <REP> PHOTORECOVERY DEMO
08/09/2005 20:54 <REP> QuickTime
08/09/2005 20:47 <REP> Real
08/09/2005 20:34 <REP> Realtek
16/08/2006 12:26 <REP> SAGEM
15/08/2006 13:43 <REP> Securitoo
16/08/2004 17:07 <REP> Services en ligne
08/09/2005 20:57 <REP> Sonic
26/01/2007 14:17 <REP> Spybot - Search & Destroy
22/06/2006 17:14 <REP> SuperCopier
08/09/2005 20:35 <REP> Synaptics
24/01/2007 11:30 <REP> t@b
23/01/2007 10:59 <REP> TRELLIAN
05/07/2005 16:47 40ÿ448 trial_setup.exe
05/07/2005 16:47 777 trial_setup.ini
05/07/2005 16:47 5ÿ133ÿ312 trial_setup.msi
03/10/2006 17:28 <REP> Ubisoft
23/01/2006 19:09 <REP> VideoLAN
05/03/2006 22:56 <REP> Vietcong2
08/09/2005 20:54 <REP> Viewpoint
21/11/2006 17:19 <REP> VirtualDJ
08/01/2007 18:10 <REP> vso
09/12/2006 16:26 <REP> Windows Media Connect 2
09/12/2006 18:27 <REP> Windows Media Player
16/08/2004 17:03 <REP> Windows NT
05/02/2006 19:20 <REP> WinRAR
16/08/2004 17:11 <REP> xerox
08/01/2007 18:02 <REP> Yahoo!
3 fichier(s) 5ÿ174ÿ537 octets
73 R‚p(s) 12ÿ686ÿ635ÿ008 octets libres

******************************************
## Popups autorisées

* Internet Explorer

! REG.EXE VERSION 3.0

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\New Windows\Allow
www.packardbell.com REG_NONE
www.packardbell.co.uk REG_NONE
www.packardbell.at REG_NONE
www.packardbell.dk REG_NONE
www.packardbell.fi REG_NONE
www.packardbell.fr REG_NONE
www.packardbell.de REG_NONE
www.packardbell.it REG_NONE
www.packardbell.no REG_NONE
www.packardbell.es REG_NONE
www.packardbell.se REG_NONE
www.packardbell.ch REG_NONE
*.abgraphix.com REG_BINARY
webmessenger.msn.com REG_BINARY
startnow.com REG_SZ
www.startnow.com REG_SZ

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\New Windows\Allow\*.od2.com
<SANS NOM> REG_SZ 0

* Mozilla Firefox (1 autorisé 2 interdit)

******************************************
## Registre

* [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
five gram roam heck REG_SZ C:\Documents and Settings\All Users\Application Data\TypeHeartFiveGram\Benddart.exe

* [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
Wait Jump REG_SZ C:\DOCUME~1\Alexis\APPLIC~1\BUILDW~1\campface.exe

******************************************
## Zones de sécurité

* HKCU Domains (4)

* P3P History (5)

******************************************
## Recherche C:\WINDOWS\*.htm, "C:\WINDOWS\*.gif"

*************** Fin du rapport ****************

re

Note comment démarrer en mode sans échec

https://docs.microsoft.com/en-us/?mfr=true

1* Télécharge : - CCleaner
http://www.filehippo.com/download_ccleaner.html

("Download Latest Version", sur la droite). Ce logiciel va permettre de supprimer tous les fichiers temporaires. Avant de cliquer sur le bouton "installer", décoche toutes les "options supplémentaires". Ensuite, Clique sur "Options", "Avancé" et décoche la case "Effacer uniquement les fichiers, du dossier Temp de Windows, plus vieux que 48 heures". Par la suite, laisse-le avec ses réglages par défaut. C'est tout.

* Crée un nouveau document texte :

clic droit de souris sur le bureau, "Nouveau"> "Document Texte".

Ouvre-le et copie-colle dedans de ce qui est en citation ci-dessous, (copie tout d'un trait) :

REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"five gram roam heck"=-
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Wait Jump"=-
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\New Windows\Allow]
"*.od2.com"=-
"<SANS NOM> REG_SZ 0"=-
"*.abgraphix.com REG_BINARY"=-
"webmessenger.msn.com REG_BINARY"=-
"startnow.com REG_SZ"=-
"www.startnow.com REG_SZ"=-


Puis "fichier"/"enregistrer sous" :
dans : sur le bureau
Nom du fichier : reglop.reg
Type de fichier : "tous les fichiers"
clique sur "enregistrer"

*****Copie ce qui suit dans un fichier texte et redémarre en mode sans échec (choisis ta session habituelle, pas le compte "Administrateur" ou autre)*****

/ désinstalle via "Ajout/Suppression de programmes", si tu trouves :
(si l'un de ces programmes ne figure pas dans la liste ajout/suppression de programmes, recherche un fichier "uninstall..." dans un répertoire du même nom, dans C:\Program Files et exécute-le)

buildwmapoll
/ Assure toi d'avoir accès aux dossiers/fichiers cachés :

Ouvrir un dossier, n'importe lequel. Aller dans :
Outils/Options des dossiers/Affichage et
- cocher "afficher les dossiers et fichiers cachés",
- décocher "masquer les extensions des fichiers dont le type est connu".
- décocher masquer les fichiers protégés du système d'exploitation (recommandé)"
"appliquer" et "ok"

/ recherche et supprime ces dossiers ou fichiers, si tu les trouves :

C:\Documents and Settings\Alexis\Application Data\.bittorrent
C:\Documents and Settings\Alexis\Application Data \buildwmapoll
C:\Documents and Settings\All Users\Application Data \TypeHeartFiveGram
C:\programfiles\buildwmapoll
C:\Documents and Settings\Alexis\Application Data\buildwmapoll

/ démarrer/exécuter, tape cmd et valide par entrée. Colle la ligne suivante dans la fenêtre noire qui s'ouvre :

del /a C:\WINDOWS\Tasks\B0ED2D5491BED58C.job

valide par entrée, puis ferme la fenêtre de commande.

/ double clique sur reglop.reg => tu dois obligatoirement avoir un message "voulez-vous vraiment ajouter les informations contenues dans ce fichier .reg au registre ?"
Si c'est bien le cas, clique sur "oui"

/ Lance CCleaner : "Nettoyeur"/"lancer le nettoyage" et c'est tout.

*Redémarre normalement

et
lance Hijackthis puis coche celles que tu trouves encore :

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [five gram roam heck] C:\Documents and Settings\All Users\Application Data\TypeHeartFiveGram\Benddart.exe
O4 - HKLM\..\Run: [RavAV] C:\WINDOWS\AdobeR.exe
O4 - HKCU\..\Run: [Wait Jump] C:\DOCUME~1\Alexis\APPLIC~1\BUILDW~1\campface.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O11 - Options group: [INTERNATIONAL] International*

clique sur fix checked

puis supprime :

C:\WINDOWS\AdobeR.exe

poste un nouveau rapport HijackThis, toutes fenêtres et applications fermées.
Précise les difficultés que tu as eu (ce que tu n'as pas pu faire...) ainsi que l'évolution de la situation.

c long mais je vais essayer...

Un autre moyen connu pour supprimer ces pubs ??

c long mais je vais essayer...
et moi j'ai mis combien de temps à chercher tes fichiers infectés et à te préparer la manip ?

Un autre moyen connu pour supprimer ces pubs ??

non j'en ai pas, le moyen le + rapide, c'st de ne pas être infecté. Je t'assure que c'est possible