Demande d'analyse d'un log hijackThis ...

avragorn -  
 avragorn -
Suite à mon message précédent , on me demandait de poster mon log HijackThis . En effet , je demandais si c'était normal que mon curseur souris clignote à chaque frappe de clavier , et je me demandais si ce n'était pas un keylogger malicieux que mes divers programmes ne trouvent pas . J'ai AD AWARE , SPYBOT , SPYWAREBLASTER , SPYWAREGUARD et A2FREE .
De + , il y a à chaque scan AD AWARE le même data miner trouvé qui revient sans cesse :

Vendor : Possible Browser Hijack attempt
Category : Data Miner
Object Type : Reg Data
Location : Software\Microsoft\Internet Explorer\Main "Start Page" ( " about blank " )
Risk Level : Medium

Et quand je le met en quarantaine , j'ai ce message de SPYWAREGUARD :
An attempt to change Internet Explorer settings has been detected .
-----
WARNING ! Your IE homepage has been changed !
Your internet explorer current user homepage has been changed from
about : blank
to
http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}.....


Je n'arrive pas à bloquer la page ...

Est-ce que tout ceci est normal ( changement de page d'accueil , curseur de souris qui clignote à chaque frappe de clavier , .... ) ?

Sinon voici donc mon log HijackThis :

Logfile of HijackThis v1.97.7
Scan saved at 21:26:02, on 06/07/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\FICHIE~1\AOL\ACS\AOLacsd.exe
C:\Norman\NVC\BIN\Zanda.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\wanmpsvc.exe
C:\WINDOWS\Explorer.EXE
C:\ATI-CPanel\atiptaxx.exe
C:\NORMAN\Nvc\BIN\ZLH.EXE
C:\Program Files\Analog Devices\SoundMAX\SMTray.exe
C:\NORMAN\Nvc\BIN\nvcoas.exe
C:\PROGRA~1\2DRV~1\Bore Poke Else.exe
C:\PROGRA~1\TECHCI~1\AOLSAV\AOLAgent.exe
C:\NORMAN\Nvc\BIN\NJEEVES.EXE
C:\Program Files\Fichiers communs\AOL\ACS\AOLDial.exe
C:\NORMAN\Nvc\BIN\NYMSE.EXE
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\AOL 9.0\aoltray.exe
C:\Program Files\AOL Compagnon\companion.exe
C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
C:\Program Files\Philips ToUcam Camera\GameCam SE\Program\RFTray.exe
C:\Program Files\SpywareGuard\sgmain.exe
C:\Program Files\SpywareGuard\sgbhp.exe
C:\Program Files\AOL 9.0\waol.exe
C:\Program Files\AOL 9.0\shellmon.exe
C:\Program Files\Fichiers communs\Aol\aoltpspd.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\HijackThis.exe

O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {CF532F04-8C95-1B6E-C3C3-AE92B411CA46} - C:\WINDOWS\ieax.dll (file missing)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Barre d'outils MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Toolbar\01.01.1629.0\fr\msntb.dll
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\ATI-CPanel\atiptaxx.exe
O4 - HKLM\..\Run: [SoundMAX] "C:\Program Files\Analog Devices\SoundMAX\Smax4.exe" /tray
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Norman ZANDA] C:\NORMAN\Nvc\BIN\ZLH.EXE /LOAD /SPLASH
O4 - HKLM\..\Run: [Smapp] C:\Program Files\Analog Devices\SoundMAX\SMTray.exe
O4 - HKLM\..\Run: [DRAWBITS] C:\PROGRA~1\2DRV~1\Bore Poke Else.exe
O4 - HKLM\..\Run: [AOLSAV] C:\PROGRA~1\TECHCI~1\AOLSAV\AOLAgent.exe
O4 - HKLM\..\Run: [AOLDialer] C:\Program Files\Fichiers communs\AOL\ACS\AOLDial.exe
O4 - HKLM\..\Run: [iekf.exe] C:\WINDOWS\iekf.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - Startup: SpywareGuard.lnk = C:\Program Files\SpywareGuard\sgmain.exe
O4 - Global Startup: AOL 9.0 Icône AOL.lnk = C:\Program Files\AOL 9.0\aoltray.exe
O4 - Global Startup: AOL Compagnon.lnk = C:\Program Files\AOL Compagnon\companion.exe
O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Reality Fusion GameCam SE.lnk = ?
O8 - Extra context menu item: &Recherche AOL Toolbar - res://C:\Program Files\AOL Toolbar\toolbar.dll/SEARCH.HTML
O9 - Extra button: AOL Toolbar (HKLM)
O9 - Extra 'Tools' menuitem: AOL Toolbar (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Messenger (HKLM)
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38095.3343287037
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{656E8016-BB42-4243-AF75-70B1B2683410}: NameServer = 205.188.146.146

Merci infiniment d'avance !
A voir également:

5 réponses

avragorn
 
Bonjour !

C'est encore moi !

Je voudrais aussi savoir comment on fait pour mettre hors restauration système .

J'avais lu qu'il fallait décocher la case de gauche , mais moi voici ce que j'ai :
quand j'ouvre la rubrique "restauration du système" , j'ai une colonne à droite avec une 1ère case COCHEE "restaurer mon ordinateur à une heure antérieure" et une 2ème NON COCHEE avec "créer un point de restauration" .
Par-contre colonne de gauche , il y a un lien pour ouvrir "Paramètres de la restauration système" et quand je l'ouvre , je tombe sur une page " restauration du système " avec une case en haut à gauche NON COCHEE "Désactiver la restauration du système" .
Que faut-il donc cocher ou ne pas cocher , SVP ?

Sinon , revoici mon log HijackThis :
Logfile of HijackThis v1.97.7
Scan saved at 15:01:29, on 07/07/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\FICHIE~1\AOL\ACS\AOLacsd.exe
C:\Norman\NVC\BIN\Zanda.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\wanmpsvc.exe
C:\NORMAN\Nvc\BIN\nvcoas.exe
C:\NORMAN\Nvc\BIN\NJEEVES.EXE
C:\WINDOWS\Explorer.EXE
C:\ATI-CPanel\atiptaxx.exe
C:\NORMAN\Nvc\BIN\ZLH.EXE
C:\Program Files\Analog Devices\SoundMAX\SMTray.exe
C:\PROGRA~1\2DRV~1\Bore Poke Else.exe
C:\PROGRA~1\TECHCI~1\AOLSAV\AOLAgent.exe
C:\NORMAN\Nvc\BIN\NYMSE.EXE
C:\Program Files\Fichiers communs\AOL\ACS\AOLDial.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\AOL 9.0\aoltray.exe
C:\Program Files\AOL Compagnon\companion.exe
C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
C:\Program Files\Philips ToUcam Camera\GameCam SE\Program\RFTray.exe
C:\Program Files\SpywareGuard\sgmain.exe
C:\Program Files\SpywareGuard\sgbhp.exe
C:\Program Files\AOL 9.0\waol.exe
C:\Program Files\AOL 9.0\shellmon.exe
C:\Program Files\Fichiers communs\Aol\aoltpspd.exe
C:\HijackThis.exe

O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {CF532F04-8C95-1B6E-C3C3-AE92B411CA46} - C:\WINDOWS\ieax.dll (file missing)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Barre d'outils MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Toolbar\01.01.1629.0\fr\msntb.dll
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\ATI-CPanel\atiptaxx.exe
O4 - HKLM\..\Run: [SoundMAX] "C:\Program Files\Analog Devices\SoundMAX\Smax4.exe" /tray
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Norman ZANDA] C:\NORMAN\Nvc\BIN\ZLH.EXE /LOAD /SPLASH
O4 - HKLM\..\Run: [Smapp] C:\Program Files\Analog Devices\SoundMAX\SMTray.exe
O4 - HKLM\..\Run: [DRAWBITS] C:\PROGRA~1\2DRV~1\Bore Poke Else.exe
O4 - HKLM\..\Run: [AOLSAV] C:\PROGRA~1\TECHCI~1\AOLSAV\AOLAgent.exe
O4 - HKLM\..\Run: [AOLDialer] C:\Program Files\Fichiers communs\AOL\ACS\AOLDial.exe
O4 - HKLM\..\Run: [iekf.exe] C:\WINDOWS\iekf.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - Startup: SpywareGuard.lnk = C:\Program Files\SpywareGuard\sgmain.exe
O4 - Global Startup: AOL 9.0 Icône AOL.lnk = C:\Program Files\AOL 9.0\aoltray.exe
O4 - Global Startup: AOL Compagnon.lnk = C:\Program Files\AOL Compagnon\companion.exe
O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Reality Fusion GameCam SE.lnk = ?
O8 - Extra context menu item: &Recherche AOL Toolbar - res://C:\Program Files\AOL Toolbar\toolbar.dll/SEARCH.HTML
O9 - Extra button: AOL Toolbar (HKLM)
O9 - Extra 'Tools' menuitem: AOL Toolbar (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Messenger (HKLM)
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38095.3343287037
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{656E8016-BB42-4243-AF75-70B1B2683410}: NameServer = 205.188.146.146

Merci infiniment d'avance ,

Gilles
0
Badger Messages postés 591 Statut Contributeur 11
 
salut Gilles,

O4 - HKLM\..\Run: [iekf.exe] C:\WINDOWS\iekf.exe

vérifie de quoi il s'agit, le nom est plutôt étrange...
0
avragorn
 
Salut Badger !

Je n'arrive pas à savoir ce que c'est , je recherche par-hasard sur google et j'ai que des résultats du style "nqoojdbzédlsqnx*ùdzu" !!!

Mais AD AWARE et SPYBOT ne détectent rien d'anormal !

Mais peut-être faudrait-il les passer hors restauration système pour être + sûr .

C'est pour cela que j'aimerais savoir ce qu'il faut cocher ou décocher ( voir messages précédents ) !!!!

Sinon pour le Data Miner dont je parle aussi , est-il dangereux ?
Parce que c'est bizarre , il est dans mon fichier " Software/Microsoft/Internet Explorer/Main "Start Page" ( "about blank" ) et il est considéré par AD AWARE comme un mouchard ( DATA MINER , REG DATA , possible Hijack attempt , risk level=medium ) , et donc quand je le met en quarantaine , SPYWAREGUARD m'avertit que ma page d'accueil de Internet Explorer a changé ( en "http://www.microsoft.com/isapi/redir.dll?... " ) . Et SPYBOT ne détecte pas ce Data Miner ( si c'en est vraiment un !!! ) .

Peut-être en passant AD AWARE et SPYBOT hors restauration en mode sans échec ....

Mille Mercis !
0
Badger Messages postés 591 Statut Contributeur 11
 
O4 - HKLM\..\Run: [iekf.exe] C:\WINDOWS\iekf.exe
vu le nom, je pense qu'il faut le virer.. de plus sur un forum anglophone j'ai vu qu'il fallait le supprimer.. ( en mode sans echec : F5 ou F8 au demarrage)

ensuite pour la restauraton, quelques info :
Pour désactiver la restauration système, rendez-vous dans le Panneau de configuration puis dans Système. Ensuite, dans l'onglet Restauration du sytème, cochez la case Désactiver la Restauration du système sur tous les lecteurs.

j'espère que celà pourra t'être utile.....

des data miner, avec ad aware il m'arrive également d'en trouver, tu peux toujours essayer en mode sans echec et sans la restauration...
0
avragorn
 
merci à toi :)
0
avragorn
 
c'est encore moi ....

Je viens de démarrer mon ordi hors restauration système et sans échec ...

J'ai fait passer : AD AWARE , SPYBOT , A2FREE , CWShredder , et HijackThis ( pour supprimer la ligne pré-citée ) .

J'ai vidé la corbeille , supprimé fichiers temps , cookies , ...

J'ai redémarré en normal , et AD AWARE continue de me trouver ce DATA MINER toujours avec la même localisation .

SPYBOT ne le trouve pas , par contre !

A croire que ce n'est pas vraiment un DATA MINER :(

Mais bon , AD AWARE met que c'est un "possible browser hijack attempt" , avec risque medium , donc c'est bizarre :(

Voilà !

Merci !
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
avragorn
 
Mon Data Miner reste tout le temps ...

Je viens de refaire passer AD AWARE et il me met que sa précédente activité date d'aujourd'hui :(

Bizarre :(

Même en redémarrant mon ordi en mode sans échec , hors restauration système , ... rien n'y fait .

Et ce qui est bizarre , c'est que seul AD AWARE le trouve , et pas SPYBOT , A2FREE , ... :(

AD AWARE met que le risque est quand même medium :(

:(
0