Sujet Précédent Sujet Suivant

Logiciel pub - rapport Hijackthis

Résolu/Fermé
Drogo75 Messages postés 26 Date d'inscription lundi 25 février 2008 Statut Membre Dernière intervention 3 juillet 2008 - 30 mai 2008 à 23:10
Lyonnais92 Messages postés 25159 Date d'inscription vendredi 23 juin 2006 Statut Contributeur sécurité Dernière intervention 16 septembre 2016 - 8 juin 2008 à 16:55
Bonjour,

Je n'arrive pas à me débarrasser d'un logiciel publicitaire malgré l'installation de Kaspersky anti-virus et le firewall Sunbelt (installés après le pb, je sais c'est pas bien).

Sunbelt indique une injection de code à partir de rundll32.exe mais Kaspersky ne trouve rien.

J'ai essayé de sauvegarder ma base de registre en vue de modifs ultérieures mais j'ai le message : "la modif du registre a été désactivée par votre administrateur".

Un grand merci par avance pour votre aide !!!

***

Logfile of HijackThis v1.99.1
Scan saved at 22:16:04, on 30/05/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
C:\Program Files\CDBurnerXP\NMSAccessU.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe
C:\PROGRA~1\Wanadoo\TaskbarIcon.exe
C:\WINDOWS\system32\STacSV.exe
C:\PROGRA~1\Wanadoo\CnxMon.exe
C:\Program Files\Alcatel\SpeedTouch USB\Dragdiag.exe
C:\WINDOWS\sttray.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
C:\PROGRA~1\MESSAG~1\StartMessager.exe
C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\Rundll32.exe
C:\Program Files\Fichiers communs\LightScribe\LightScribeControlPanel.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\Program Files\Hijackthis Version Française\VERSION TRADUITE ORIGINALE.EXE
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\PROGRA~1\Wanadoo\EspaceWanadoo.exe
C:\PROGRA~1\Wanadoo\ComComp.exe
C:\PROGRA~1\Wanadoo\Watch.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = https://www.orange.fr/portail
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.orange.fr/portail
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
F2 - REG:system.ini: Shell=explorer.exe "C:\Program Files\Common Files\System\svchost.exe"
O2 - BHO: (no name) - {203A779B-4684-4C11-8A97-64300785B729} - C:\WINDOWS\system32\wvUkliIB.dll
O2 - BHO: (no name) - {9FB3EDF7-EAC2-4489-96AE-C943720B9C29} - C:\WINDOWS\system32\jkkHbbCV.dll (file missing)
O2 - BHO: {c1de8959-cfa7-bddb-5fd4-3d39c7cd34eb} - {be43dc7c-93d3-4df5-bddb-7afc9598ed1c} - C:\WINDOWS\system32\jyiwlxva.dll
O2 - BHO: (no name) - {F9DF827A-8FA7-48A3-B268-CA4DB563EA40} - C:\WINDOWS\system32\khfEtqpq.dll
O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\Wanadoo\Watch.exe
O4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\Wanadoo\TaskbarIcon.exe
O4 - HKLM\..\Run: [WooCnxMon] C:\PROGRA~1\Wanadoo\CnxMon.exe
O4 - HKLM\..\Run: [StartCCC] "C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe"
O4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Program Files\Alcatel\SpeedTouch USB\Dragdiag.exe" /icon
O4 - HKLM\..\Run: [SigmatelSysTrayApp] sttray.exe
O4 - HKLM\..\Run: [MessagerStarter Wanadoo] C:\PROGRA~1\MESSAG~1\StartMessager.exe Messager Wanadoo
O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe"
O4 - HKLM\..\Run: [autoload] C:\Documents and Settings\Christophe\cftmon.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [a4de167a] rundll32.exe "C:\WINDOWS\system32\qhfvonju.dll",b
O4 - HKLM\..\Run: [BMa7ed25e6] Rundll32.exe "C:\WINDOWS\system32\xpeopvtt.dll",s
O4 - HKCU\..\Run: [LightScribe Control Panel] C:\Program Files\Fichiers communs\LightScribe\LightScribeControlPanel.exe -hidden
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Fichiers communs\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [Ateo] "C:\DOCUME~1\CHRIST~1\MESDOC~1\PPATCH~1\smss.exe" -vt yazb
O4 - Startup: update.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: update.exe
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O7 - HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O9 - Extra button: Statistiques d’Anti-Virus Internet - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 7.0\SCIEPlgn.dll
O9 - Extra button: Messager Wanadoo - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\PROGRA~1\MESSAG~1\Messager Wanadoo.exe
O9 - Extra 'Tools' menuitem: Messager Wanadoo - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\PROGRA~1\MESSAG~1\Messager Wanadoo.exe
O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - https://www.orange.fr/portail (file missing) (HKCU)
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/...
O16 - DPF: {7FC1B346-83E6-4774-8D20-1A6B09B0E737} (Windows Live Photo Upload Control) - http://chrisvoyages.spaces.live.com/PhotoUpload/MsnPUpld.cab
O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} (HardwareDetection Control) - https://www.touslesdrivers.com/index.php?v_page=29
O20 - Winlogon Notify: khfEtqpq - C:\WINDOWS\SYSTEM32\khfEtqpq.dll
O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Kaspersky Anti-Virus 7.0 (AVP) - Unknown owner - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe" -r (file missing)
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
O23 - Service: NMSAccessU - Unknown owner - C:\Program Files\CDBurnerXP\NMSAccessU.exe
O23 - Service: Sunbelt Personal Firewall 4 (SPF4) - Sunbelt Software - C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe
O23 - Service: SigmaTel Audio Service (STacSV) - SigmaTel, Inc. - C:\WINDOWS\system32\STacSV.exe
A voir également:

43 réponses

Précédent
Réponse 21 / 43
Drogo75 Messages postés 26 Date d'inscription lundi 25 février 2008 Statut Membre Dernière intervention 3 juillet 2008
5 juin 2008 à 13:49
Le voila ci-dessous.
Il est mention de Spybot et effectivement je l'avais utilisé avant mais comme ça ne résolvait pas mon pb, je l'ai désinstallé avant de m'adresser ici.

Je ne sais pas si cet update.exe a un rapport avec le fait que les MAJ Windows ne fonctionnent pas chez moi, mais je n'ai pas essayé de les faire fonctionner avant d'avoir une machine propre

Rapport OAD :

05/06/2008 ---- 13:40:20,85

----------------------------------
§§§§§§ [update.exe] §§§§§§
----------------------------------
[X] Registre

-------------- [ ] rapide
-- Fichier --- [ ] disque systeme
------------- [X] complete


********************
[Registre]
********************


[HKEY_USERS\S-1-5-21-1614895754-484763869-839522115-1004\Software\Microsoft\Windows\ShellNoRoam\MUICache]
"C:\\Program Files\\Spybot - Search & Destroy\\SDUpdate.exe"="Updater for Spybot-S&D"

[HKEY_USERS\S-1-5-21-1614895754-484763869-839522115-1004\Software\Microsoft\Windows\ShellNoRoam\MUICache]
"C:\\Program Files\\Spybot - Search & Destroy\\update.exe"="External updater"

[HKEY_USERS\S-1-5-21-1614895754-484763869-839522115-1004\Software\Microsoft\Windows\ShellNoRoam\MUICache]
"C:\\Documents and Settings\\All Users\\Menu Démarrer\\Programmes\\Démarrage\\update.exe"="update"

[HKEY_USERS\S-1-5-21-1614895754-484763869-839522115-1004\Software\Microsoft\Windows\ShellNoRoam\MUICache]
"C:\\Documents and Settings\\Christophe\\Menu Démarrer\\Programmes\\Démarrage\\update.exe"="update"

*******************
[Fichier]
*******************

c:\spuninst\update\update.exe
c:\WINDOWS\$hf_mig$\KB911164\update\update.exe


*********************
[Même date]
*********************

[22/02/2008 ] --- REP ---> C:\Program Files\Alcatel
[22/02/2008 ] --- REP ---> C:\Program Files\ComPlus Applications
[22/02/2008 ] --- REP ---> C:\Program Files\InstallShield Installation Information
[22/02/2008 ] --- REP ---> C:\Program Files\Internet Explorer
[22/02/2008 ] --- REP ---> C:\Program Files\Messager Wanadoo
[22/02/2008 ] --- REP ---> C:\Program Files\Messenger
[22/02/2008 ] --- REP ---> C:\Program Files\microsoft frontpage
[22/02/2008 ] --- REP ---> C:\Program Files\Movie Maker
[22/02/2008 ] --- REP ---> C:\Program Files\MSN
[22/02/2008 ] --- REP ---> C:\Program Files\MSN Gaming Zone
[22/02/2008 ] --- REP ---> C:\Program Files\NetMeeting
[22/02/2008 ] --- REP ---> C:\Program Files\Outlook Express
[22/02/2008 ] --- REP ---> C:\Program Files\Uninstall Information
[22/02/2008 ] --- REP ---> C:\Program Files\Wanadoo
[22/02/2008 ] --- REP ---> C:\Program Files\Windows Media Player
[22/02/2008 ] --- REP ---> C:\Program Files\Windows NT
[22/02/2008 ] --- REP ---> C:\Program Files\WindowsUpdate
[22/02/2008 ] --- REP ---> C:\Program Files\xerox
[22/02/2008 ] ---> C:\AUTOEXEC.BAT
[22/02/2008 ] ---> C:\CONFIG.SYS
[22/02/2008 ] ---> C:\IO.SYS
[22/02/2008 ] ---> C:\MSDOS.SYS
[22/02/2008 ] ---> C:\WINDOWS\0.log
[22/02/2008 ] ---> C:\WINDOWS\bootstat.dat
[22/02/2008 ] ---> C:\WINDOWS\Bulles de savon.bmp
[22/02/2008 ] ---> C:\WINDOWS\cmsetacl.log
[22/02/2008 ] ---> C:\WINDOWS\control.ini
[22/02/2008 ] ---> C:\WINDOWS\desktop.ini
[22/02/2008 ] ---> C:\WINDOWS\DtcInstall.log
[22/02/2008 ] ---> C:\WINDOWS\Granit vert.bmp
[22/02/2008 ] ---> C:\WINDOWS\Jour de pˆche.bmp
[22/02/2008 ] ---> C:\WINDOWS\KB911164.log
[22/02/2008 ] ---> C:\WINDOWS\Mur de Santa Fe.bmp
[22/02/2008 ] ---> C:\WINDOWS\OEWABLog.txt
[22/02/2008 ] ---> C:\WINDOWS\Plume.bmp
[22/02/2008 ] ---> C:\WINDOWS\REGLOCS.OLD
[22/02/2008 ] ---> C:\WINDOWS\Rhododendron.bmp
[22/02/2008 ] ---> C:\WINDOWS\RiviŠre Sumida.bmp
[22/02/2008 ] ---> C:\WINDOWS\Rosace bleue 16.bmp
[22/02/2008 ] ---> C:\WINDOWS\SchedLgU.Txt
[22/02/2008 ] ---> C:\WINDOWS\sessmgr.setup.log
[22/02/2008 ] ---> C:\WINDOWS\system32\access.cpl
[22/02/2008 ] ---> C:\WINDOWS\system32\acctres.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\accwiz.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\amcompat.tlb
[22/02/2008 ] ---> C:\WINDOWS\system32\atrace.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\avmeter.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\avtapi.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\avwav.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\bitsprx2.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\bitsprx3.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\bopomofo.uce
[22/02/2008 ] ---> C:\WINDOWS\system32\calc.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\catsrv.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\catsrvps.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\catsrvut.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\cdmodem.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\cdplayer.exe.manifest
[22/02/2008 ] ---> C:\WINDOWS\system32\cfgbkend.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\charmap.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\clbcatex.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\clbcatq.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\clipbrd.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\cmprops.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\colbact.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\comaddin.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\comrepl.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\comsnap.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\comsvcs.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\comuid.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\CONFIG.NT
[22/02/2008 ] ---> C:\WINDOWS\system32\dcomcnfg.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\desktop.ini
[22/02/2008 ] ---> C:\WINDOWS\system32\drivers\alcacr.sys
[22/02/2008 ] ---> C:\WINDOWS\system32\drivers\alcan5wn.sys
[22/02/2008 ] ---> C:\WINDOWS\system32\drivers\alcaudsl.sys
[22/02/2008 ] ---> C:\WINDOWS\system32\drivers\alcawh.sys
[22/02/2008 ] ---> C:\WINDOWS\system32\drivers\fltMgr.sys
[22/02/2008 ] ---> C:\WINDOWS\system32\drivers\rdpdr.sys
[22/02/2008 ] ---> C:\WINDOWS\system32\drivers\rdpwd.sys
[22/02/2008 ] ---> C:\WINDOWS\system32\drivers\sr.sys
[22/02/2008 ] ---> C:\WINDOWS\system32\drivers\tdpipe.sys
[22/02/2008 ] ---> C:\WINDOWS\system32\drivers\tdtcp.sys
[22/02/2008 ] ---> C:\WINDOWS\system32\drivers\termdd.sys
[22/02/2008 ] ---> C:\WINDOWS\system32\emptyregdb.dat
[22/02/2008 ] ---> C:\WINDOWS\system32\fltlib.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\fltMc.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\freecell.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\gb2312.uce
[22/02/2008 ] ---> C:\WINDOWS\system32\getuname.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\hticons.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\hypertrm.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\icaapi.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\icfgnt5.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\icwdial.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\icwphbk.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\ideograf.uce
[22/02/2008 ] ---> C:\WINDOWS\system32\ils.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\inetcfg.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\inetcomm.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\inetres.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\isign32.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\isrdbg32.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\kanji_1.uce
[22/02/2008 ] ---> C:\WINDOWS\system32\kanji_2.uce
[22/02/2008 ] ---> C:\WINDOWS\system32\korean.uce
[22/02/2008 ] ---> C:\WINDOWS\system32\licwmi.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\logoff.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\logonui.exe.manifest
[22/02/2008 ] ---> C:\WINDOWS\system32\mapi32.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\mmfutil.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\mnmdd.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\mnmsrvc.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\mplay32.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\msconf.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\msdtc.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\msdtclog.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\msdtcprf.h
[22/02/2008 ] ---> C:\WINDOWS\system32\msdtcprf.ini
[22/02/2008 ] ---> C:\WINDOWS\system32\msdtcprx.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\msdtctm.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\msdtcuiu.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\msg.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\msg723.acm
[22/02/2008 ] ---> C:\WINDOWS\system32\msh261.drv
[22/02/2008 ] ---> C:\WINDOWS\system32\mshearts.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\msoeacct.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\msoert2.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\mspaint.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\mstask.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\mstinit.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\mstsc.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\mstscax.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\mtxdm.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\mtxex.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\mtxlegih.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\mtxoci.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\ncpa.cpl.manifest
[22/02/2008 ] ---> C:\WINDOWS\system32\nmevtmsg.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\nmmkcert.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\nscompat.tlb
[22/02/2008 ] ---> C:\WINDOWS\system32\nwc.cpl.manifest
[22/02/2008 ] ---> C:\WINDOWS\system32\qappsrv.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\qmgr.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\qmgrprxy.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\qprocess.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\qwinsta.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\racpldlg.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\rdchost.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\rdpcfgex.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\rdpclip.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\rdpsnd.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\rdpwsx.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\rdsaddin.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\rdshost.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\regini.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\remotepg.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\reset.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\rwinsta.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\safrcdlg.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\safrdm.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\safrslv.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\sapi.cpl.manifest
[22/02/2008 ] ---> C:\WINDOWS\system32\schedsvc.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\servdeps.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\sessmgr.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\shadow.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\shiftjis.uce
[22/02/2008 ] ---> C:\WINDOWS\system32\sndrec32.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\sndvol32.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\sol.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\spider.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\srclient.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\srrstr.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\srsvc.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\stci.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\stclient.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\subrange.uce
[22/02/2008 ] ---> C:\WINDOWS\system32\termsrv.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\tscfgwmi.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\tscon.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\tscupgrd.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\tsdiscon.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\tskill.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\tslabels.h
[22/02/2008 ] ---> C:\WINDOWS\system32\tslabels.ini
[22/02/2008 ] ---> C:\WINDOWS\system32\tsshutdn.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\usrlogon.cmd
[22/02/2008 ] ---> C:\WINDOWS\system32\winchat.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\WindowsLogon.manifest
[22/02/2008 ] ---> C:\WINDOWS\system32\winmine.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\wmimgmt.msc
[22/02/2008 ] ---> C:\WINDOWS\system32\WooDial2000.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\write.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\wuapi.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\wuauclt.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\wuauclt1.exe
[22/02/2008 ] ---> C:\WINDOWS\system32\wuaucpl.cpl
[22/02/2008 ] ---> C:\WINDOWS\system32\wuaucpl.cpl.manifest
[22/02/2008 ] ---> C:\WINDOWS\system32\wuaueng.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\wuaueng1.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\wuauserv.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\wucltui.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\wups.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\wuweb.dll
[22/02/2008 ] ---> C:\WINDOWS\system32\xolehlp.dll
[22/02/2008 ] ---> C:\WINDOWS\Tasse … caf‚.bmp
[22/02/2008 ] ---> C:\WINDOWS\vb.ini
[22/02/2008 ] ---> C:\WINDOWS\vbaddin.ini
[22/02/2008 ] ---> C:\WINDOWS\Vent de prairie.bmp
[22/02/2008 ] ---> C:\WINDOWS\WindowsShell.Manifest
[22/02/2008 ] ---> C:\WINDOWS\WindowsUpdate.log
[22/02/2008 ] ---> C:\WINDOWS\winnt.bmp
[22/02/2008 ] ---> C:\WINDOWS\winnt256.bmp
[22/02/2008 ] ---> C:\WINDOWS\wmsetup.log
[22/02/2008 ] ---> C:\WINDOWS\WMSysPr9.prx
[22/02/2008 ] ---> C:\WINDOWS\Zapotec.bmp


Outil Aide Diagnostic By !aur3n7 Version 1.1
----------------------------------
§§§§§ Fin Rapport §§§§§
----------------------------------
0
Réponse 22 / 43
Drogo75 Messages postés 26 Date d'inscription lundi 25 février 2008 Statut Membre Dernière intervention 3 juillet 2008
5 juin 2008 à 19:37
Autre chose. Quand je vois ça :
http://chrisvoyages.spaces.live.com/PhotoUpload/MsnPUpld.cab

ça me fait penser que mes problèmes ont commencé au moment où j'ai téléchargé leur module pour ajouter des photos sur mon blog.
Je ne sais pas ce que tu en penses...
0
Réponse 23 / 43
Lyonnais92 Messages postés 25159 Date d'inscription vendredi 23 juin 2006 Statut Contributeur sécurité Dernière intervention 16 septembre 2016 1 536
5 juin 2008 à 19:48
Re,

fais ça :

Rends toi sur ce site :

https://www.virustotal.com/gui/

Clique sur parcourir et cherche ce fichier : C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\update.exe

Clique sur Send File.

Un rapport va s'élaborer ligne à ligne.

Attends la fin. Il doit comprendre la taille du fichier envoyé.

Sauvegarde le rapport avec le bloc-note.

Copie le dans ta réponse.

Si VirusTotal indique que le fichier a déjà été analysé, cliquer sur le bouton Reanalyse le fichier maintenant
0
Réponse 24 / 43
Drogo75 Messages postés 26 Date d'inscription lundi 25 février 2008 Statut Membre Dernière intervention 3 juillet 2008
5 juin 2008 à 22:14
Bonsoir,

Je le trouve pas ni dans les 2 autres comptes (Christophe et admin). L'option "cacher les fichiers systèmes" est décochée et ça donne rien non plus quand je copie-colle le nom du fichier dans la fenêtre de Totalvirus.
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 25 / 43
Lyonnais92 Messages postés 25159 Date d'inscription vendredi 23 juin 2006 Statut Contributeur sécurité Dernière intervention 16 septembre 2016 1 536
5 juin 2008 à 22:38
Re,

Rends toi sur ce site :

https://www.virustotal.com/gui/

Clique sur parcourir et cherche ce fichier : C:\DOCUME~1\CHRIST~1\MESDOC~1\PPATCH~1\smss.exe

Clique sur Send File.

Un rapport va s'élaborer ligne à ligne.

Attends la fin. Il doit comprendre la taille du fichier envoyé.

Sauvegarde le rapport avec le bloc-note.

Copie le dans ta réponse.

Si VirusTotal indique que le fichier a déjà été analysé, cliquer sur le bouton Reanalyse le fichier maintenant


Ta version de Kaspersky comporte un parefeu ?

Si oui il est activé ou désactivé ?
0
Réponse 26 / 43
Drogo75 Messages postés 26 Date d'inscription lundi 25 février 2008 Statut Membre Dernière intervention 3 juillet 2008
6 juin 2008 à 00:58
Non pour les deux :

- le dossier PPATCH (on en avait déjà parlé) a été supprimé depuis déjà qq jours (par l'un de tes outils je pense)
- j'ai Kaspersky anti-virus pas la suite sécurité internet


Allez bonne nuit et désolé de te filer du fil à retordre, bien malgré moi !
0
Réponse 27 / 43
Lyonnais92 Messages postés 25159 Date d'inscription vendredi 23 juin 2006 Statut Contributeur sécurité Dernière intervention 16 septembre 2016 1 536
6 juin 2008 à 08:37
Bonjour,

alors on en termine.

Relance HijackThis.

Choisis Do a scan only

Coche la case devant les lignes suivantes

O2 - BHO: (no name) - {9FB3EDF7-EAC2-4489-96AE-C943720B9C29} - C:\WINDOWS\system32\jkkHbbCV.dll (file missing)
O4 - HKCU\..\Run: [Ateo] "C:\DOCUME~1\CHRIST~1\MESDOC~1\PPATCH~1\smss.exe" -vt yazb

Ferme toutes les fenêtres (hormis HijackThis), y compris ton navigateur.

Clique sur fix checked.

Ferme Hijackthis.
____________

Mets à jour Internet Explorer
____________

* Télécharge ToolsCleaner de A.Roshtein sur ton Bureau.

http://a-rothstein.changelog.fr/TC/ToolsCleaner2.exe
hxxp://pagesperso-orange.fr/AceRothstein/ToolsCleaner2.exe

* Clique sur Recherche et laisse le scan se terminer.

* Clique, sur Suppression pour finaliser.

* Tu peux, si tu le souhaites, te servir des Options facultatives.

* Clique sur Quitter, pour que le rapport puisse se créer.

* Poste moi le rapport (TCleaner.txt) qui se trouve à la racine de ton disque dur( C:\).
0
Réponse 28 / 43
Drogo75 Messages postés 26 Date d'inscription lundi 25 février 2008 Statut Membre Dernière intervention 3 juillet 2008
6 juin 2008 à 17:53
Salut,

Le rapport :

-->- Recherche:

C:\SDFIX: trouvé !
C:\Combofix: trouvé !
C:\Qoobox: trouvé !
C:\Documents and Settings\All Users\Menu Démarrer\Programmes\HijackThis: trouvé !
C:\Documents and Settings\All Users\Menu Démarrer\Programmes\HijackThis\HijackThis.lnk: trouvé !
C:\Documents and Settings\Christophe\Bureau\Dss.exe: trouvé !
C:\Documents and Settings\Christophe\Bureau\HijackThis.lnk: trouvé !
C:\Documents and Settings\Christophe\Bureau\ComboFix.exe: trouvé !
C:\Documents and Settings\Christophe\Mes documents\Mes logiciels\Navilog1.exe: trouvé !
C:\Documents and Settings\Christophe\Recent\HijackThis.lnk: trouvé !
C:\Program Files\HijackThis: trouvé !
C:\Program Files\HijackThis\HijackThis.exe: trouvé !

---------------------------------
-->- Suppression:

C:\Documents and Settings\All Users\Menu Démarrer\Programmes\HijackThis\HijackThis.lnk: supprimé !
C:\Documents and Settings\Christophe\Bureau\Dss.exe: supprimé !
C:\Documents and Settings\Christophe\Bureau\HijackThis.lnk: supprimé !
C:\Documents and Settings\Christophe\Bureau\ComboFix.exe: supprimé !
C:\Documents and Settings\Christophe\Mes documents\Mes logiciels\Navilog1.exe: supprimé !
C:\Documents and Settings\Christophe\Recent\HijackThis.lnk: supprimé !
C:\Program Files\HijackThis\HijackThis.exe: supprimé !
C:\SDFIX: supprimé !
C:\Combofix: supprimé !
C:\Qoobox: supprimé !
C:\Documents and Settings\All Users\Menu Démarrer\Programmes\HijackThis: supprimé !
C:\Program Files\HijackThis: supprimé !
0
Réponse 29 / 43
Lyonnais92 Messages postés 25159 Date d'inscription vendredi 23 juin 2006 Statut Contributeur sécurité Dernière intervention 16 septembre 2016 1 536
6 juin 2008 à 19:13
Bonjour,

tu supprimes ToolsCleaner sur ton Bureau et C:\Tcleaner.txt.

Fini.

________

Je mets le post en résolu.

Mais tu le réouvres si nécessaire

Bon surf.
0
Réponse 30 / 43
Drogo75 Messages postés 26 Date d'inscription lundi 25 février 2008 Statut Membre Dernière intervention 3 juillet 2008
7 juin 2008 à 00:15
Merci infiniment !

J'ai juste un truc : une tentative de connexion sortante d'une appli inconnue. Sunbelt me dit :

[06/06/2008 23:55:47]
Direction: sortant
Point local: 82.120.64.27, port 1051
Matériel: N/A
Point distant: 85.12.57.81 [85.12.57.81], port http [80]
Protocole: TCP

Je l'empêche et il ne se passe rien. ça peut être encore un spyware ou maintenant tt est nettoyé sûr ?
0
Réponse 31 / 43
Lyonnais92 Messages postés 25159 Date d'inscription vendredi 23 juin 2006 Statut Contributeur sécurité Dernière intervention 16 septembre 2016 1 536
7 juin 2008 à 00:40
Bonsoir,

ton destinataire est Euroaccess.

Sais tu quel programme cherche à communiquer ?
0
Réponse 32 / 43
Drogo75 Messages postés 26 Date d'inscription lundi 25 février 2008 Statut Membre Dernière intervention 3 juillet 2008
7 juin 2008 à 03:33
Non, sunbelt ne l'indique pas. Il y a une icône d'un programme mais anonyme. Et Euroaccess est inconnu au bataillon. J'ai regardé sur Google, cette entité-là ne me paraît pas bien claire, genre compte aux îles Caïmans.

Juste avant la dernière étape, j'avais eu aussi une tentative de connexion extérieure, origine anonyme mais le destinataire était paypal et là c'est sûr que c'était un spyware. Je ne l'ai pas revu depuis le dernier redémarrage après la mise à jour Windows., mais je crains qu'il y ait un rapport avec EuroAccess et autres baigneurs.

Question : si j'autorise ces connexions suspectes, ça aiderait à trouver la source ou alors il ne faut surtout pas le faire ?
0
Réponse 33 / 43
Lyonnais92 Messages postés 25159 Date d'inscription vendredi 23 juin 2006 Statut Contributeur sécurité Dernière intervention 16 septembre 2016 1 536
7 juin 2008 à 10:12
Bonjour,

non, il ne faut surtout pas le faire.

Tu bloques.

Tu as créé une règle pour bloquer l'IP ?
0
Réponse 34 / 43
Drogo75 Messages postés 26 Date d'inscription lundi 25 février 2008 Statut Membre Dernière intervention 3 juillet 2008
7 juin 2008 à 14:57
Bonjour,

Non, ne sachant pas si c'est normal ou pas.
Là au démarrage je viens d'en avoir un autre, avec l'icône d'un programme mais identifié "system" :

[07/06/2008 14:38:39]
Direction: sortant
Point local: 90.2.116.207, port 1231
Matériel: N/A
Point distant: 213.199.167.250 [213.199.167.250], port https [443]
Protocole: TCP

J'ai regardé sur http://outils-rezo.info/ et apparemment c'est adressé à Microsoft, donc sans doute normal quoique je vois pas très bien pourquoi...

Pour arrêter de t'embêter et clore le fil, quelle règle appliquer ? Je pensais à :

- vérifier l'adresse IP
- créer une règle OK pour Microsoft et refuser pour toutes les autres

J'ai bon ?
0
Réponse 35 / 43
Lyonnais92 Messages postés 25159 Date d'inscription vendredi 23 juin 2006 Statut Contributeur sécurité Dernière intervention 16 septembre 2016 1 536
7 juin 2008 à 16:19
Re,

tu as bien positionné "autres programmes" sur "demander" ?

si oui, il me semble que tu dois avoir le nom du programme qui demande à envoyer des informations.

Pour tout te dire, il circule l'idée que si le parefeu de Microsoft ne contrôle pas les connexions sortantes, c'est que cela permet à Microsoft d'avoir des informations en provenance des ordis.

Il me semble que les seuls programmes autorisés à "parler" à Microsoft sont les programmes de vérification automatique des mises à jour.

Pour le reste, bloque. Tu verras bien si cela a des effets négatifs. A ce moment là, autorise.
0
Réponse 36 / 43
Drogo75 Messages postés 26 Date d'inscription lundi 25 février 2008 Statut Membre Dernière intervention 3 juillet 2008
7 juin 2008 à 20:16
Je ne sais pas où régler la position "autres programmes" sur "demander". ça m'évoque rien et le mode d'emploi est en anglais, je maîtrise très peu.
J'ai parfois le nom du programme en clair, comme sunbelt ou microsoft ou IE avec l'icone qui va bien, mais pas toujours. Des fois anonyme avec juste une adresse IP, des fois avec des trucs genre "generic host process", qui me renseignent pas plus.

Les programmes de vérification automatique des mises à jour ont des noms qui ressemblent à quoi ? L'info est quelque part sur le site Microsoft ?


Tiens, une tentative de connexion entrante par
CHINANET JIANGSU !!!
Bon, rien d'étonnant remarque.
0
Réponse 37 / 43
Lyonnais92 Messages postés 25159 Date d'inscription vendredi 23 juin 2006 Statut Contributeur sécurité Dernière intervention 16 septembre 2016 1 536
7 juin 2008 à 20:58
Re,

le mieux que je puisse faire est de t'envoyer ici :

http://kerio.probb.fr/logiciels-et-tutoriels-f6/tutoriel-kerio-42-pare-feu-firewall-t201.htm

le tuto est très bien fait et il a des illustrations. Ca devrait beaucoup t'aider.

en particulier, sur les alertes, tu dois avoir le nom du programme.

Même si il est ésotérique pour toi, j'ai de bonnes chances de trouver à quoi il correspond.
0
Réponse 38 / 43
Drogo75 Messages postés 26 Date d'inscription lundi 25 février 2008 Statut Membre Dernière intervention 3 juillet 2008
8 juin 2008 à 00:25
OK j'ai compris, merci pour le tuto.

Est-ce que tu vois l'image :

http://imageshack-france.com/out.php/i119271_Sunbelt060608.JPG

2 trucs bizarres, un "pem" que je trouve pas en utilisant la recherche et un autre programme non renseigné...
Sinon je vais virer Mozilla, maintenant que ça va avec IE.
0
Réponse 39 / 43
Lyonnais92 Messages postés 25159 Date d'inscription vendredi 23 juin 2006 Statut Contributeur sécurité Dernière intervention 16 septembre 2016 1 536
8 juin 2008 à 00:48
Re,

ouvre ce lien :

https://www.virscan.org/

clique sur Parcourir, cherche c:\pem

Clique sur envoyer.

Donne moi le résultat.

Je n'utilise pas ce scanner multiple mais les autres ont des problèmes.

Pour celui qui n'a pas de nom, tu interdit tout.


Je te conseille d'utiliser préférentiellement Firefox dont la sécurité est meilleure et de ne garder IE que pour les mises à jour de Windows et les applications nécessitant un ActiveX.
0
Réponse 40 / 43
Drogo75 Messages postés 26 Date d'inscription lundi 25 février 2008 Statut Membre Dernière intervention 3 juillet 2008
8 juin 2008 à 01:58
Je le trouve pas sur ma machine. Il se pourrait que Sunbelt garde la trace de programmes ayant tenté une connexion même s'ils ont été supprimés ?

Enfin je pense que ça devrait être bon maintenant, je commence à m'y repèrer.

Un dernier truc : j'avais mis en veille et j'ai eu un écran bleu au redémarrage "driver IRQL not less or equal". J'ai déjà eu cet écran mais il me semble que c'était avant la MAJ Windows. Lorsque ça m'était arrivé j'avais plein d'appli ouvertes, alors peut-être que mon PC n'aime pas trop ça ni la mise en veille ?
0

Discussions similaires

écrire un rapport de travail
asi -
REGINALD -

3 réponses