Analyse de log hijack

Question

Merci les amis, mais j'ai un soucis de fenêtres indésirables sous Firefox...

Logfile of HijackThis v1.99.1
Scan saved at 04:21:28, on 08/05/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16414)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\INCRED~1\bin\IMApp.exe
C:\WINDOWS\System32\FTRTSVC.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://home.sweetim.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\Wanadoo\SEARCH~1.DLL
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O3 - Toolbar: Vue HP - {B2847E28-5D7D-4DEB-8B67-05D28BCF79F5} - c:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpdtlk02.dll
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [szjaeki] c:\windows\system32\szjaeki.exe szjaeki
O4 - HKCU\..\Run: [IncrediMail] C:\PROGRA~1\INCRED~1\bin\IncMail.exe /c
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {09C21411-B9A2-4DE6-8416-4E3B58577BE0} (France Telecom MDM ActiveX Control) - http://minitelweb.minitel.com/imin_data/ocx/MDM.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://solange10400.spaces.live.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {6AA85413-165C-4200-8154-71166077B22E} - https://www.afternic.com/domains/downloadv3.com
O16 - DPF: {B2B0AEDF-7CDF-4792-BB67-7654AD1E1B13} - https://www.afternic.com/domains/downloadv3.com
O16 - DPF: {C5E28B9D-0A68-4B50-94E9-E8F6B4697516} (NsvPlayX Control) - http://www.nullsoft.com/nsv/embed/nsvplayx_vp6_mp3.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Firebird Server - MAGIX Instance (FirebirdServerMAGIXInstance) - MAGIX® - C:\MAGIX\Common\Database\bin\fbserver.exe
O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom - C:\WINDOWS\System32\FTRTSVC.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPod Service - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32
vsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe

Utilisateur anonyme · Answer

Hello l'homme X :P

Bah alors toi aussi tu es tombé sous l'infection :-(
Et ton pare-feu il est où, dis moi pas t'as le SP2 ou j'te tire les oreilles ;o)


¤ Relance HijackThis, choisis "do a scan only" coche la case devant les lignes ci-dessous et clic en bas sur "fix checked"

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe 
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [szjaeki] c:\windows\system32\szjaeki.exe szjaeki
O16 - DPF: {6AA85413-165C-4200-8154-71166077B22E} - https://www.afternic.com/domains/downloadv3.com 
O16 - DPF: {B2B0AEDF-7CDF-4792-BB67-7654AD1E1B13} - https://www.afternic.com/domains/downloadv3.com 
O16 - DPF: {C5E28B9D-0A68-



¤ Clic sur "démarrer", "exécuter", tape: services.msc 
Cherche dans la liste les lignes ci-dessous, tu fais un clic droit dessus choisis "propriétés" et régle les sur "désactivé"

- France Telecom Routing Table Service (inutile pas de souci)
- InstallDriver Table Manager
- NVIDIA Driver Helper Service



¤ Fais un clic droit sur ce lien : Enregistrer la cible (du lien) sous... et enregistre-le sur ton bureau. 
http://perso.orange.fr/il.mafioso/Navifix/navilog1.zip 

Fais un clic droit sur navilog1.zip et choisis "tout extraire" 

Ensuite double clique sur navilog1.bat 
Laisses-toi guider. Au menu principal, choisis 1 et valides. 
(Ne fais pas le choix 2 sans notre avis/accord) 

Patientes jusqu'au message : *** Analyse Termine le ..... *** 
Appuies sur une touche comme demandé, le bloc note va s'ouvrir. 

Copies-colles le rapport ici


A++

3x · Answer

Merci Boule, j'aurais vu pour le SP2 ! 5h passées du mat'  quand même mais il est bien présent le SP2 ! 
Tu vas pas me tirer les oreilles !!! Et tu sais quoi ? C'est pas mon PC ! Na !

Pour le log Hijack, je ne trouve pas la ligne : 
O4 - HKLM\..\Run: [szjaeki] c:\windows\system32\szjaeki.exe szjaeki 

Elle est apparemment remplacée par :
O4 - HKLM\..\Run: [mddqili] c:\windows\system32\mddqili.exe mddqili


En tout cas merci, voici le log Navilog :

Search Navipromo version 1.1.6 commencé le 08/05/2007 à 20:20:26,01
 
!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!
!!! Poster ce rapport sur le forum pour le faire analyser !!!
!!! Ne pas lancer la partie désinfection sans l'avis d'un spécialiste !!!

Fix lancé depuis C:\Navilog
Mise a jour le 02.05.2007 a 08h00 by IL-MAFIOSO

Executé en mode normal

*** Recherche Programmes installes *** 

 


*** Recherche dossiers dans C:\WINDOWS ***


C:\WINDOWS\msskinner trouvé !


*** Recherche dossiers dans C:\Program Files ***




*** Recherche dossiers dans C:\Documents and Settings\All Users\Application Data ***




*** Recherche dossiers dans C:\Documents and Settings\Propri‚taire\Application Data ***



*** Recherche avec BlackLight Engine/F-secure ***
BlackLight Engine est un produit de F-secure, pour + d'infos :
https://www.f-secure.com/en

Fichier(s) caché(s) dans C:\WINDOWS\system32 :

c:\WINDOWS\system32\szjaeki.dat 
C:\windows\system32\szjaeki.exe 
c:\WINDOWS\system32\szjaeki_nav.dat 
c:\WINDOWS\system32\szjaeki_navps.dat 

Processus caché(s) dans C:\WINDOWS\system32 :

C:\windows\system32\szjaeki.exe 


*** Recherche fichiers *** 


C:\WINDOWS\pack.epk trouvé !
C:\WINDOWS	mlpcert2007 trouvé !
C:\WINDOWS\system32
vs2.inf trouvé !
C:\WINDOWS\prefetch\MAILSKINNER.EXE-022A1D0B.pf trouvé !


*** Recherche cles registre ***


Recherche dans [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs] 
 
 

Recherche dans [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ModuleUsage] 
 
 

Recherche Clé Magic Control 
 
HKEY_CURRENT_USER\Software\Lanconfig trouvé ! 
 
 
*** Module de Recherche complémentaire *** 
(Recherche fichiers spécifiques) 
 
1)Recherche fichiers connus:


2)Recherche Heuristique :
* 
C:\WINDOWS\system32\mddqili.dat trouvé !
C:\WINDOWS\system32\szjaeki.dat trouvé !
** 
C:\WINDOWS\system32\mddqili.dat trouvé !
C:\WINDOWS\system32\szjaeki.dat trouvé !
*** 
**** 
C:\WINDOWS\system32\mddqili_navps.dat trouvé !
C:\WINDOWS\system32\szjaeki_navps.dat trouvé !
***** 
C:\WINDOWS\system32\mddqili_nav.dat trouvé !
C:\WINDOWS\system32\szjaeki_nav.dat trouvé !
****** 
******* 
******** 
C:\WINDOWS\system32\mddqili.exe trouvé !
C:\WINDOWS\system32hggcgx.exe trouvé !
C:\WINDOWS\system32\szjaeki.exe trouvé !
 
 
*** Analyse Terminé le 08/05/2007 à 20:30:32,23 ***

blondin777 · Answer

Salut 3 x.

Juste pour avancer Boulepate que je salus au passage.

Redémarres en mode sans échec :

Pour cela, tu tapotes la touche F8 ou F5 dès le début de l’allumage du pc sans t’arrêter
Déplaces toi avec les flèches du clavier sur démarrer en mode sans échec et tu valides.

Double clique sur navilog1.bat
Laisses-toi guider. Au menu principal, choisis 2 et valides.
Ton bureau va disparaître, c'est normal.
Indique le mode de nettoyage "automatique"
Laisses toi guider et réponds aux questions éventuelles
Patientes jusqu'au message :

"Nettoyage Termine le ..... "

Appuies sur une touche comme demandé, le bloc note va s'ouvrir.
Sauvegardes le rapport de manière à le retrouver
Refermes le bloc note. Ton bureau va réapparaître
Redémarres normalement et copies-colles l'intégralité dans une réponse.
Le rapport est sauvegardé à la racine du disque (cleannavi.txt)

PS:Si ton bureau ne réapparaît pas, fais CTRL+ALT+SUPP pour ouvrir le gestionnaire de tâches.
Puis rends-toi à l'onglet "processus". Cliques en haut à gauche sur fichiers et choisis "exécuter"
Tapes explorer et valides. 
Ton bureau devrais réapparaitre.

A+

3x · Answer

Oulà, attends blondin !

Pour vous 2, j'ai trouvé ces 2 trucs dans le msconfig :

szjaeki.exe 

et  mddqili.exe 

Je les désactive, on va bien voir. Ensuite, si le soucis est réglé, je les vire car ils se sont fichus dans system32...

--------------------------------
Bon, après désactivation et redémarrage, j'ai szjaeki qui revient Grrrr !!!

blondin777 · Answer

T'as passé navipromo en option 2 ou pas?

Utilisateur anonyme · Answer

Salut Blondin ;-)

Oui, fais l'option 2 le cas échéant ton problème ne se réglera pas ;-)

blondin777 · Answer

Dis, 3x, tu ne serais pas aussi tétu qu'un célêbre logiciel de partage de fichiers, par hasard? ;-))

Non , plus sérieusement, passes l'option 2, tu en as grandemenr besoin...

Analyse de log hijack

7 réponses

Votre réponse

Discussions similaires

Newsletters