"Demande d'analyse d'un log HijackThis"

Question

Bonjour!J'aimerais solliciter vos lumières pcq g depuis peu un spy concernant searchpage ki revient sans cesse en page d'accueil. De plus, je ne c plus rien télécharger en cliquant sur un lien!! Je me ss donc procuré HijackThis et c pourquoi j'appelle au secours pcq je ne sais pas quoi supprimer aaprès avoir fait un "scan".Voici ce ki est mis après ce "scan":Logfile of HijackThis v1.97.7Scan saved at 20:15:31, on 17/04/2004Platform: Windows XP  (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 (6.00.2600.0000)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exeC:\WINDOWS\System32\DRIVERS\CDANTSRV.EXEC:\PROGRA~1\Iomega\System32\AppServices.exeC:\Program Files\Norton AntiVirus
avapsvc.exeC:\WINDOWS\System32
vsvc32.exeC:\Program Files\Analog Devices\SoundMAX\SMAgent.exeC:\WINDOWS\System32\svchost.exeC:\Program Files\Iomega\AutoDisk\ADService.exeC:\WINDOWS\system32\mdmdll.exeC:\WINDOWS\System32undll32.exeC:\Program Files\Winamp3\winampa.exeC:\PROGRA~1\COMMON~2\Toolbar\winnet.exeC:\Program Files\Fichiers communs\Symantec Shared\ccApp.exeC:\WINDOWS\System32\NotifyPhoneBook.exeC:\Program Files\Ohé\OHE.exeC:\PROGRA~1\COMMON~2\Toolbar\comwiz.exeC:\Program Files\Internet Optimizer\optimize.exeC:\Program Files\Iomega\AutoDisk\ADUserMon.exeC:\Program Files\Iomega\DriveIcons\ImgIcon.exeC:\WINDOWS\System32\MMTray.exeC:\WINDOWS\System32\MMTray2k.exeC:\WINDOWS\System32\MMTrayLSI.exeC:\WINDOWS\System32\qttask.exeC:\windows\system32\mscnt.exeC:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I0K2.EXEC:\Program Files\Save\Save.exeC:\Program Files\webHancer\Programs\whSurvey.exeC:\WINDOWS\System32undll32.exeC:\Program Files
-CASE\msbb.exeC:\PROGRA~1\ezula\mmod.exeC:\WINDOWS\System32\shellexpi.exeC:\Program Files\ClockSync\Sync.exeC:\Program Files\FinePixViewer\QuickDCF.exeC:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\wkcalrem.exeC:\Program Files\Messenger\msmsgs.exeC:\Program Files\MSN Messenger\msnmsgr.exeC:\WINDOWS\explorer.exeC:\Program Files\Overnet\overnet.exeC:\Program Files\mozilla.org\Mozilla\mozilla.exeC:\Documents and Settings\user\Mes documents\Laurent\Pgrammes\HijackThis\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = c:\searchpage.htmlR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = c:\searchpage.htmlR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = c:\searchpage.htmlR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = c:\searchpage.htmlR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\searchpage.htmlR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = c:\searchpage.htmlR1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = c:\searchpage.htmlR1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = c:\searchpage.htmlR0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = c:\searchpage.htmlR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.be/R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = c:\searchpage.htmlR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = c:\searchpage.htmlR0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = c:\searchpage.htmlR0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = c:\searchpage.htmlR1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = http://66.250.57.28/R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensR1 - HKCU\Software\Microsoft\Internet Explorer,Search = c:\searchpage.htmlR1 - HKLM\Software\Microsoft\Internet Explorer,Search = c:\searchpage.htmlF1 - win.ini: run=c:\windows\system32\mdmdll.exeF2 - REG:system.ini: UserInit=C:\WINDOWS\System32\Userinit.exeO2 - BHO: BabeIE - {00000000-0000-0000-0000-000000000000} - C:\PROGRA~1\COMMON~2\Toolbar\cnbabe.dllO2 - BHO: IE Agent - {00000000-0000-0000-0000-000000000221} - C:\Program Files\ClearSearch\CSIE.DLLO2 - BHO: (no name) - {000006B1-19B5-414A-849F-2A3C64AE6939} - C:\WINDOWS\bi.dllO2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dllO2 - BHO: (no name) - {1F48AA48-C53A-4E21-85E7-AC7CC6B5FFAF} - C:\DOCUME~1\user\LOCALS~1\Temp\wdmegem.dllO2 - BHO: (no name) - {4A2AACF3-ADF6-11D5-98A9-00E018981B9E} - C:\Program Files\NewDotNet
ewdotnet6_22.dllO2 - BHO: (no name) - {8F4E5661-F99E-4B3E-8D85-0EA71C0748E4} - C:\WINDOWS\wsem217.dllO2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dllO2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dllO2 - BHO: (no name) - {c900b400-cdfe-11d3-976a-00e02913a9e0} - C:\Program Files\webHancer\programs\whiehlpr.dllO2 - BHO: OsbornTech Popup Blocker - {FF1BF4C7-4E08-4A28-A43F-9D60A9F7A880} - C:\WINDOWS\System32\mshelper.dllO3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocxO3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dllO3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dllO4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exeO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartupO4 - HKLM\..\Run: [nwiz] nwiz.exe /installO4 - HKLM\..\Run: [AME_CSA] rundll32 amecsa.cpl,RUN_DLLO4 - HKLM\..\Run: [WinampAgent] "C:\Program Files\Winamp3\winampa.exe"O4 - HKLM\..\Run: [winnet] C:\PROGRA~1\COMMON~2\Toolbar\winnet.exeO4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"O4 - HKLM\..\Run: [ccRegVfy] "C:\Program Files\Fichiers communs\Symantec Shared\ccRegVfy.exe"O4 - HKLM\..\Run: [OHE] C:\Program Files\Ohé\OHE.exeO4 - HKLM\..\Run: [Internet Optimizer] "C:\Program Files\Internet Optimizer\optimize.exe"O4 - HKLM\..\Run: [REGSHAVE] C:\Program Files\REGSHAVE\REGSHAVE.EXE /AUTORUNO4 - HKLM\..\Run: [ADUserMon] C:\Program Files\Iomega\AutoDisk\ADUserMon.exeO4 - HKLM\..\Run: [Iomega Drive Icons] C:\Program Files\Iomega\DriveIcons\ImgIcon.exeO4 - HKLM\..\Run: [Deskup] C:\Program Files\Iomega\DriveIcons\deskup.exe /IMGSTARTO4 - HKLM\..\Run: [MMTray] MMTray.exeO4 - HKLM\..\Run: [MMTray2K] MMTray2k.exeO4 - HKLM\..\Run: [MMTrayLSI] MMTrayLSI.exeO4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\System32\qttask.exe" -atboottimeO4 - HKLM\..\Run: [Mscnt] c:\windows\system32\mscnt.exe /noconnectO4 - HKLM\..\Run: [blss] C:\Program Files\blss\blss.exeO4 - HKLM\..\Run: [EPSON Stylus Photo RX500] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I0K2.EXE /P24 "EPSON Stylus Photo RX500" /O6 "USB001" /M "Stylus Photo RX500"O4 - HKLM\..\Run: [WhenUSave] C:\Program Files\Save\Save.exeO4 - HKLM\..\Run: [webHancer Survey Companion] "C:\Program Files\webHancer\Programs\whSurvey.exe"O4 - HKLM\..\Run: [ClrSchLoader] C:\Program Files\ClearSearch\Loader.exeO4 - HKLM\..\Run: [Belt] C:\WINDOWS\Belt.exeO4 - HKLM\..\Run: [DJQWAGNT] C:\WINDOWS\DJQWAGNT.exeO4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Real Alternative\Update_OBealsched.exe" -osbootO4 - HKLM\..\Run: [webHancer Agent] "C:\Program Files\webHancer\Programs\whAgent.exe"O4 - HKLM\..\Run: [MessengerPlus2] "C:\Program Files\Messenger Plus! 2\MsgPlus.exe"O4 - HKLM\..\Run: [NsUpdate] C:\WINDOWS\NsUpdate.exe UPDATEO4 - HKLM\..\Run: [New.net Startup] rundll32 C:\PROGRA~1\NEWDOT~1\NEWDOT~2.DLL,NewDotNetStartupO4 - HKLM\..\Run: [Mdmdll] c:\windows\system32\mdmdll.exeO4 - HKLM\..\Run: [msbb] C:\Program Files
-CASE\msbb.exeO4 - HKCU\..\Run: [eZmmod] C:\PROGRA~1\ezula\mmod.exeO4 - HKCU\..\Run: [Explorer] C:\WINDOWS\System32\shellexpi.exe enO4 - HKCU\..\Run: [MoneyAgent] "C:\Program Files\Microsoft Money\System\Money Express.exe"O4 - HKCU\..\Run: [ClockSync] C:\Program Files\ClockSync\Sync.exe /qO4 - HKCU\..\Run: [IncrediMail] C:\PROGRA~1\INCRED~1\bin\IncMail.exe /cO4 - HKCU\..\Run: [Mdmdll] c:\windows\system32\mdmdll.exeO4 - HKCU\..\Run: [Gadwin PrintScreen 2.6] C:\Program Files\Gadwin Systems\PrintScreen\PrintScreen.exe /nosplashO4 - Startup: PowerReg Scheduler V3.exeO4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exeO4 - Global Startup: Exif Launcher.lnk = C:\Program Files\FinePixViewer\QuickDCF.exeO4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXEO4 - Global Startup: Rappels du Calendrier Microsoft Works.lnk = ?O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions presentO8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\binesources\WebMenuImg.htmO8 - Extra context menu item: &Google Search - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.htmlO8 - Extra context menu item: Add A Page Note - C:\Program Files\CommonName\Toolbar\createnote.htmO8 - Extra context menu item: Backward &Links - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.htmlO8 - Extra context menu item: Bookmark This Page - C:\Program Files\CommonName\Toolbar\createbookmark.htmO8 - Extra context menu item: Cac&hed Snapshot of Page - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.htmlO8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000O8 - Extra context menu item: Email This Link - C:\Program Files\CommonName\Toolbar\emaillink.htmO8 - Extra context menu item: Search using CommonName - C:\Program Files\CommonName\Toolbar
avigate.htmO8 - Extra context menu item: Si&milar Pages - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.htmlO9 - Extra button: Related (HKLM)O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)O9 - Extra button: Messenger (HKLM)O9 - Extra 'Tools' menuitem: Messenger (HKLM)O10 - Hijacked Internet access by New.NetO10 - Hijacked Internet access by New.NetO10 - Hijacked Internet access by New.NetO11 - Options group: [CommonName] CommonNameO13 - DefaultPrefix: c:\searchpage.html?page=O13 - WWW Prefix: c:\searchpage.html?page=O13 - Home Prefix: c:\searchpage.html?page=O13 - Mosaic Prefix: c:\searchpage.html?page=O15 - Trusted Zone: *.msn.comO16 - DPF: FortisCzPc - https://www.fortisbanking.be/FortisCzPC.cabO16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://active.macromedia.com/director/cabs/sw.cabO16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cabO16 - DPF: {41F17733-B041-4099-A042-B518BB6A408C} - http://a1540.g.akamai.net/7/1540/52/20030530/qtinstall.info.apple.com/bonnie/us/win/QuickTimeInstaller.exeO16 - DPF: {459729AC-727D-4D97-B18A-72EE224EFEC0} - http://defender.veloz.com//pub/download/scandl_cnry.cabO16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/29e2101088d4154aae06/netzip/RdxIE601_fr.cabO16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cabO16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37818.3502777778O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash5r42.cabO16 - DPF: {E8EDB60C-951E-4130-93DC-FAF1AD25F8E7} (MoneyTree Dialer) - http://xbs.mtreexxx.nl/mt/dialers/fc/UniDist.CABO16 - DPF: {EFB22865-F3BC-4309-ADFA-C8E078A7F762} (SysWebTelecomInt Class) - http://www.sponsoradulto.com/es/SysWebTelecom.cabO16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IMDownloader Class) - http://www2.incredimail.com/contents/setup/downloader/imloader.cabO16 - DPF: {F58E1CEF-A068-4C15-BA5E-587CAF3EE8C6} (MSN Chat Control 4.5) - http://fdl.msn.com/public/chat/msnchat45.cabO16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cabO16 - DPF: {FC87A650-207D-4392-A6A1-82ADBC56FA64} (MultiDist) - http://xbs.climaxbucks.com/internet-optimizer/080703/MultiDist.CABO17 - HKLM\System\CCS\Services\Tcpip\..\{9E97802E-62B6-4FFC-84FF-AD5D59F60429}: NameServer = 62.235.14.4 62.235.13.199O19 - User stylesheet: C:\WINDOWS\Web\oslogo.bmp (file missing)O19 - User stylesheet: C:\WINDOWS\Web\oslogo.bmp (file missing) (HKLM) D'avance, je vous remercie de bien vouloir  m'aider pcq je n'y connais ps gd choz et donc g bien peur de faire qqch ki foire. Merci

Angel · Answer

Salut, Tu peux analyser ton log Hijackthis à cette adresse : http://prcwin.free.fr/

balltrap34 · Answer

saluttu a des trojans et virusalors action numero 1 telecharger ce fichier : ftp://www.renonce.com/pub/renonce/RimouveXPFr.exe Action numero 2 :o) Demarrer en mode sans echec : tapotter sur la touche F8 sans arret desque tu allume ton PC Appliquer le fichier dans le mode sans echec le PC redemarre a la fin si c'est pas le cas tu fais un reboot tu ne touche plus a F8 et le PC reviendra tout seul en mode normal Action numero 3 copier ici le contenu du fichier resulata.txt qui se trouve dans le dossier tmp que le fichier rimouveur.exe vas creer ...ca feras un peu le menageensuiteFaite scan en ligne et coller le rapport ici sur le postutiliser l'antivirus en ligne suivant : http://www.ravantivirus.com/scan/  Cliquer sur "To continue without subscribing click here" et attendre quelques minutes.   Lorsque "Ready" est affiché dans "status", cocher la case "Autoclean" puis cliquer sur "Scan my PC"A la fin de l'analyse, copier/coller le rapport ici.

snou_snou · Answer

merci bcp pr ton aide. Voila ce ke dit le fichier "Résultat": Taches effectués sur le PC :  Elément(s) supprimé(s) :Dossier C:\Program Files\bargain buddy\ supprimé (Virus BargainBuddy)Fichier C:\WINDOWS\*.tmp supprimé (Fichiers Temporaire -Peut cacher des virus ...-)Fichier belt.exe supprimé (Virus Stubby)Fichier nsupdate.exe supprimé (Virus Dialer)Fichier msbb*.* supprimé (Virus BargainBuddy) :msbb.exemsbb321.dllFichier nwiz.exe supprimé (Virus Agobot/Gaobot)Attendez que le technicien vous demande de fermer cette fenetreafin de poursuivre les opérations Je continue l'action n°3 pr le scan et te donnerai des news par la suite

snou_snou · Answer

je viens d'aller sur www.ravantivirus.com/scan/ et après avoir cliké sur "to continue without subscribing click here", une nouvelle page c ouverte avec... SEARCHPAGE, la page d'accueil forçée!!!!Je l'ai dc fermée et ai attendu sur le site de ravantivirus ms il ne se passe rien. Px-tu me dire aussi ou dois-je retrouver "ready" et "status" pcq je ne les trouve pas? (j'utilise maintenant Modzilla)1.000 mercixx

balltrap34 · Answer

requand tu est sur rave tu click sur click here en bleue je croisla soit il charge les actives x soit il vas te demander l autorisation de les charger apres avoir charger il vas marquer ready et la tu click sur scan my pc un peu plus haur a droite

snou_snou · Answer

voilà le résultat du scan: Scanning memory...process://C:\Program Files\Internet Optimizer\optimize.exe - TrojanDownloader:Win32/Dyfica.AK -> InfectedScanning boot sectors...Scanning files...C:\Program Files\C2Media\Setup.exe - TrojanDownloader:Win32/Swizzor.G -> InfectedC:\Program Files\ClearSearch\Loader.exe - Backdoor:Win32/Ruledor.B -> InfectedC:\Program Files\dialers\optimize.exe - TrojanDownloader:Win32/Dyfica.AB -> InfectedC:\Program Files\dialers\stmtdlr.exe - TrojanDownloader:Win32/Dyfica.AK -> InfectedC:\Program Files\Internet Explorer\iexplorer.exe - TrojanDownloader:Win32/Crypt -> InfectedC:\Program Files\Internet Optimizer\optimize.exe - TrojanDownloader:Win32/Dyfica.AK -> InfectedC:\Program Files\Internet Optimizer\update\optimize.exe - TrojanDownloader:Win32/Dyfica.AE -> InfectedC:\WINDOWS\biprep.exe - TrojanSpy/Win32.BiSpy.A -> InfectedC:\WINDOWS\wsem216.dll - TrojanDownloader:Win32/Dyfuca.Z -> InfectedC:\WINDOWS\Downloaded Program Files\UniDist.ocx - TrojanDownloader:Win32/Dyfica.T -> InfectedC:\WINDOWS\iNetPal\m3tsp8.exe - TrojanDropper:Win32/Small.FF -> SuspiciousC:\WINDOWS\system32\ClrSchP052.exe - Backdoor:Win32/Ruledor.B -> InfectedC:\WINDOWS\system32\jg4gs.dll - TrojanDownloader:Win32/Rameh.B -> InfectedC:\WINDOWS\system32\mdmdll.exe - TrojanDownloader:Win32/Crypt -> InfectedC:\WINDOWS\system32\mscnt.exe - TrojanDownloader:Win32/Dluca.M -> InfectedC:\WINDOWS\system32\mscolour.exe - TrojanDownloader:Win32/Crypt -> InfectedC:\WINDOWS\system32\shellexpi.exe->(ASPack 2.12) - Backdoor:Win32/Sheldor.B -> InfectedScanned============================	Objects: 51449	Directories: 4856	Archives: 1172	Size(Kb): -986087	Infected files: 17Found============================	Viruses found: 13	Suspicious files: 1	Disinfected files: 0	Mail files: 360

balltrap34 · Answer

salutoui jolieessai ceci et refait scan par la suite sur ravalors action numero 1 telecharger ce fichier : ftp://www.renonce.com/pub/renonce/RimouveXPFr.exe Action numero 2 :o) Demarrer en mode sans echec : tapotter sur la touche F8 sans arret desque tu allume ton PC ou f5si f8 ne marche pasAppliquer le fichier dans le mode sans echec le PC redemarre a la fin si c'est pas le cas tu fais un reboot tu ne touche plus a F8 et le PC reviendra tout seul en mode normal sans les virusAction numero 3 copier ici le contenu du fichier resulata.txt qui se trouve dans le dossier tmp que le fichier rimouveur.exe vas creer ...

"Demande d'analyse d'un log HijackThis"

7 réponses

Votre réponse

Discussions similaires

Newsletters