pc infecté par un virus ? Résolu

Question

Bonjour,

je vous indique le resultat de mon scan hijackthis 
j'aimerais qu'il soit interprété s'il vous plait

je me mefie surtout des lignes suivantes :
O1 - Hosts: ::1 localhost 
13 gopher prefix



merci beaucoup de votre réponse

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 00:25:52, on 03/11/2008
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18000)
Boot mode: Normal

Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Windows Defender\MSASCui.exe
C:\Windows\SOUNDMAN.EXE
C:\Program Files\Alwil Software\Avast4\ashDisp.exe
C:\Program Files\HP\HP Software Update\hpwuSchd2.exe
C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
C:\Windows\system32	askeng.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CCC.exe
C:\Program Files\HP\Digital Imaging\bin\hpqSTE08.exe
C:\Program Files\HP\Digital Imaging\bin\hpqbam08.exe
C:\Program Files\HP\Digital Imaging\bin\hpqgpc01.exe
C:\Windows\system32\wbem\unsecapp.exe
C:\Windows\system32\conime.exe
c:\Users\Christophe\Downloads\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
O1 - Hosts: ::1 localhost
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: HP Smart BHO Class - {FFFFFFFF-CF4E-4F2B-BDC2-0E72E116A856} - C:\Program Files\HP\Digital Imaging\Smart Web Printing\hpswp_BHO.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [StartCCC] "C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [hpqSRMon] C:\Program Files\HP\Digital Imaging\bin\hpqSRMon.exe
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2\bin
pjpi142.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2\bin
pjpi142.dll
O9 - Extra button: Sélection intelligente HP - {DDE87865-83C5-48c4-8357-2F5B1AA84522} - C:\Program Files\HP\Digital Imaging\Smart Web Printing\hpswp_BHO.dll
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O13 - Gopher Prefix: 
O16 - DPF: {04CB5B64-5915-4629-B869-8945CEBADD21} (Module de délivrance de certificat MINEFI) - https://static.impots.gouv.fr/abos/static/securite/certdgi1.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/FR-FR/a-UNO1/GAME_UNO1.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O16 - DPF: {D0C0F75C-683A-4390-A791-1ACFD5599AB8} (Oberon Flash Game Host) - http://jeuxmultijoueurs.orange.fr/Gameshell/GameHost/1.0/OberonGameHost.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati External Event Utility - ATI Technologies Inc. - C:\Windows\system32\Ati2evxx.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Boonty Games - BOONTY - C:\Program Files\Common Files\BOONTY Shared\Service\Boonty.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: NMSAccessU - Unknown owner - C:\Program Files\CDBurnerXP\NMSAccessU.exe
O23 - Service: Steam Client Service - Valve Corporation - C:\Program Files\Common Files\Steam\SteamService.exe

anthony5151 · Answer

Bonsoir,



As-tu constaté des problèmes particuliers qui te font penser à une infection ? Ce rapport n'en montre pas.


Par contre, il y a cette ligne qui indique une collecte d'informations personnelles (mais ce n'est pas une infection, et tu l'as accepté) :
O23 - Service: Boonty Games - BOONTY - C:\Program Files\Common Files\BOONTY Shared\Service\Boonty.exe     

Conformément aux conditions générales d'utilisation que tu peux trouver sur leur site et que tu as acceptées lors du téléchargement d'un jeu, le service Boonty collecte des informations personnelles te concernant, et se réserve le droit de les fournir à des tiers (références de jeu, âge, genre, endroit géographique, éducation, métier, matériel informatique et en ligne et intérêts de jeu vidéo, activités et achats)




Si tu changes d'avis et que tu souhaites t'en débarrasser, fais ce qui suit :


UAC pour Vista : désactive le contrôle des comptes utilisateurs : Menu démarrer -->  panneau de configuration --> comptes utilisateurs --> activer ou désactiver le controle des comptes utilisateur --> décoche la case "utiliser le contrôle....."  Puis redémarre ton ordinateur.


Télécharge Ad-Remover (de C_XX) sur ton Bureau.

/!\ Déconnecte toi et ferme toutes les applications en cours /!\

&#9679; Double clique sur le programme d'installation , et installe le dans son emplacement par défaut. ( C:\Program files ) 
&#9679; Double clique sur l'icône Ad-remover située sur ton Bureau 
&#9679; Au menu principal choisis l'option "A" 
&#9679; Poste le rapport qui apparait à la fin (il est aussi sauvegardé sous C:\Ad-report(date).log )

anthony5151 · Answer

Si je ne te parle pas de ces deux lignes, c'est parce qu'elles sont normales ;)
J'avais précisé que le rapport ne montrait pas d'infection.

Si tu souhaites vérifier, fais ceci :

Télécharge et installe Malwarebytes' Anti-Malware
- A la fin de l'installation, veille à ce que l'option « mettre a jour Malwarebyte's Anti-Malware » soit cochée
- Lance MBAM et laisse les Mises à jour se télécharger (sinon fais les mises à jour manuellement au lancement du programme)
- Puis va dans l'onglet "Recherche", coche "Exécuter un examen rapide" puis "Rechercher"
- Sélectionne tes disques durs" puis clique sur "Lancer l’examen" 
- A la fin du scan, clique sur Afficher les résultats
- Coche tous les éléments  détectés puis clique sur Supprimer la sélection
- Enregistre le rapport
- S'il t'est demandé de redémarrer, clique sur Yes

Poste le rapport de scan après la suppression ici



Pour Boonty, tu as supprimé le service ET les fichiers ?

efikas · Answer

bonsoir

et d'abord merci pour ton aide


pour boonty
j'ai supprimé les fichiers et le service par contre il reste une trace quand je fais recherche et que je tapes boonty.exe
le fichier apparait mais il n'est pas actif... clic droit dessus ne declenche rien et clic gauche ouvre une fenetre d'alerte qui me dit : windows ne trouve pas 'C:\Program' verifiez que vous avez entré le nom corrrect, puis réessayez.

j'ai refait un scan hijackthis apres la  suppresion  du service et des fichiers et un redemarrage ordi et la ligne boonty est encore présente dans ce rapport



je n'ai pas eu le temps encore de voir malwarebytes'anti malware pour le reste mais ayant mis internet explorer dans la corbeille  (sans suppression definitive) et utilisant mozilla à la place je n'ai aucun pbme de surf ni d'ordi
du moins en apparence 
Tu ne m'a s pas repondu à propos de mon rapport netstat qui fait état de nombreuses lignes (des 127.0.0.1:49...
et des 192.168.1.3 :49... et autres du meme tonneau

anthony5151 · Answer

Pour Boonty, tu devrais essayer Ad-Remover qui est conçu spécialement pour supprimer toute trace de logiciel litigieux, dont celui-ci.

Je t'ai proposé MalwareBytes pour vérification, mais à toi de voir, si tu es certain qu'il n'y a pas d'infection (ne compte pas sur des logiciels dépassés comme Avast ou Spybot pour t'en avertir en tout cas...)


En ce qui concerne ton rapport netstat :

127.0.0.1 ==> localhost

192.168.... ==> réservé à un usage local (certaines applications l'utilise pour faire communiquer ses différents modules etc...)

Donc rien d'anormal ;)

anthony5151 · Answer

Cette ligne est légitime sous Vista, aucun soucis de ce côté ;)

anthony5151 · Answer

De rien ;)

Je me permets de te donner quelques conseils pour sécuriser ton ordinateur, tu peux les suivre si tu le souhaites :


- Anti-virus : 
Avast était un antivirus convenable il y a quelques années, mais il est dépassé aujourd'hui. Il existe d'autres antivirus gratuits plus efficaces (Antivir ou AVG)
Désinstalle Avast : Commence par supprimer ce qu'il y a en quarantaine, puis fais clic droit sur l'icone d'Avast près de l'horloge --> désactive la protection résidente.
Puis Menu démarrer --> Panneau de configuration --> ajout/suppression de programmes --> désinstalle Avast. 
Si ça ne fonctionne pas, consulte ce lien : Désinstallation d'Avast

Si tu choisis Antivir pour le remplacer, tu peux trouver un tutoriel et un lien pour le télécharger ici.
Note : cette version est en anglais, mais une pré-version en français est disponible en français ici

- Pare-feu :
Tu n’as apparemment aucun pare-feu (sauf peut-être celui de Windows, qui est inefficace et ne filtre pas les connections sortantes utilisées par beaucoup d'infections...) : Télécharges-en un vrai. En gratuit, les plus simples sont Kerio et surtout PC Tools Firewall. Tu peux t'aider des tuto suivants pour utiliser celui que tu choisiras : 
- Tutoriel PcTools
- Tutoriel Kerio

- Anti-spyware :
Installe Spyware Blaster : il ne prend pas de mémoire, c'est juste un logiciel qui vaccine ton pc contre certaines infections. Il faut le mettre à jour manuellement, tous les 10 jours environ, et activer toutes les protections (« Enable all protection ») 

- Pour naviguer sur internet plus en sécurité et à l’abri des publicités, je te conseille d’installer et d'utiliser le navigateur Firefox 3 avec l’extension « AdBlockPlus ». Tu peux trouver des explications ici

- Java n'est pas à jour, c'est une faille de sécurité.
Il faut d'abord désinstaller l'ancienne version : Ouvre le menu démarrer --> panneau de configuration --> ajout/suppression de programmes --> sélectionne toutes les versions de java présentes et désinstalle les.
Ensuite, télécharge et installe la nouvelle version depuis le site officiel de java : https://java.com/fr/

- Adobe Reader n’est pas à jour, c’est une faille de sécurité. Désinstalle le en allant dans menu démarrer --> panneau de configuration --> ajout/suppression de programmes. Puis télécharge et installe la nouvelle version.





De plus, hijackthis n'est pas installé au bon emplacement (il est dans tes documents...) : désinstalle le, puis si tu le souhaites, réinstalle le dans l'emplacement proposé par défaut.

Lyonnais92 · Answer

Bonjour,

salut anthony,

poste le rapport de VirusTotal

Télécharge ici :

http://images.malwareremoval.com/random/RSIT.exe

random's system information tool (RSIT) par random/random et sauvegarde-le sur le Bureau.

Double-clique sur RSIT.exe afin de lancer RSIT.

Lis le contenu de l'écran Disclaimer puis clique sur Continue (si tu acceptes les conditions).

Si l'outil HijackThis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera (autorise l'accès dans ton pare-feu, si demandé) et tu devras accepter la licence.

Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront.

Poste le contenu de log.txt

Lyonnais92 · Answer

Re,

fais ce que je demande !

Lyonnais92 · Answer

Re,

l'installation de wally semble dater du 31 août à 1h54 du matin.

Si tu ne l'utilise pas, ouvre l'explorateur, recherche C:\wally , fais un clic droit et Supprimer.

Vide ta Corbeille.

============

C'est toi qui a modifié le fichier Hosts en introduisant les lignes ?

Lyonnais92 · Answer

Re,

tu n'étais pas sur CCM !!!!!!!!!!!!!!!!!!!!!

Fais un scan minutieux avec Avast et poste le rapport.

===============================

Attention de ne pas cliquer sur le lien du post ci-dessus :

faux site et piégé par un malware.
================================

Lyonnais92 · Answer

Re,

Rends toi sur ce site :

https://www.virustotal.com/gui/

Clique sur parcourir et cherche ce fichier  c:/christophe/apdata/local/mozzila/firefox/profiles/.../37a40962do1

Clique sur Send File.

Un rapport va s'élaborer ligne à ligne.

Attends la fin. Il doit comprendre la taille du fichier envoyé.

Sauvegarde le rapport avec le bloc-note.

Copie le dans ta réponse. 

Si VirusTotal indique que le fichier a déjà été analysé, cliquer sur le bouton Reanalyse le fichier maintenant

Lyonnais92 · Answer

Re,

analyse un des 6 autres sur Virustotal.

Tu auras noté que Avast sur VirusTotal n'a rien signalé.

Lyonnais92 · Answer

Re,

tu as la taille de tes data?.cab ?

Le plus petit fait combien ?

Lyonnais92 · Answer

Re,

tu as raison, on arrête les scans.

C'est des fichiers de ça :

https://www.ubisoft.com/fr-fr/

Le jeu est installé.

Fais ça :

========================================
Arrête ces services

AMDMSRI

Boonty Games

pour ça fais cette manip :

Démarrer -> executer tape services.msc clic droit sur le service cité - > propriétés et dans "type de démarrage" et mets le sur « arrêté » et « désactivé ».

=======================================
si ce répertoire existe encore : C:\Program Files\Common Files\BOONTY Shared supprime le.

Si tout se passe bien, on en aura terminé.

Lyonnais92 · Answer

Re,

erreur, j'ai failli oublier amsdata.dat.

Tu peux me donner le nom du ou des fichiers et les scanner sur VirusTotal.

Lyonnais92 · Answer

Re,

pas de relations Boonty Games et Oblivion (à ma connaissance)

mais il n'y a plus de fichier derrière le service Boonty.

Même chose, mais c'est un pilote, pas un service, il n'y a plus de fichier derrière AMDMSRI.

Les modifications sur ton fichier Hosts sont positives. Elles t'empêchent d'accéder à des sites infectieux. Mais je ne sais pas quel outil les a créées.

Je voudrais avoir le rapport de VT pour le fichier amsdata.dat

Le fichier Hosts servait de répertoire  : échanger une adresse IP (très compliquée à retenir) contre un nom (de domaine) : on tapait un nom de domaine et le fichier "appellait" l'IP.

Si l'IP est fausse, tu ne vas pas où tu veux.

127.0.0.1 est ton PC, donc les lignes qui commencent par ça n'aboutiront nulle part (donc te protègent des sites infectés).

Inversement, on peut mettre une mauvaise IP à la place de celle du site.

Lyonnais92 · Answer

Re,

Clic droit sur Démarrer, Rechercher.

Tu cherches amsdata.dat

dans les disques durs

Tu vérifies qu'il cherche aussi dans les fichiers et dossiers cachés .

Le chemin exact devrait s'afficher dans la fenêtre de droite.

Lyonnais92 · Answer

Re,

ce répertoire est lié à un driver lui même associé à un produit de la société TRENDNet :

http://www.trendnet.com/asp/download_manager/list_subcategory.asp?SUBTYPE_ID=1062

Tout ceci me semble très légitime. Le fichier .dat est protégé, ce qui n'est pas suffisant pour en faire un risque.

Tu remets un rapport RSIT. Je le regarderai ce soir.

Mais je crois que tout va bien.

Lyonnais92 · Answer

Bonjour,

le rapport RSIT est bon.

Je pense que tu peux effacer ces 2 certificats.

je ne sais pas quelles conséquences peut avoir l'effacement de cette commande.

On ne fais rien pour le fichier.

Par contre,

* Télécharge ToolsCleaner par A.Rothstein & dj QUIOU sur ton Bureau.

http://pc-system.fr/
hxxp://a-rothstein.changelog.fr/TC/ToolsCleaner2.exe
hxxp://pagesperso-orange.fr/AceRothstein/ToolsCleaner2.exe

* tu le lances par un clic droit et exécuter en tant qu'administrateur.

* Clique sur Recherche et laisse le scan se terminer.

* Clique, sur Suppression pour finaliser.

* Tu peux, si tu le souhaites, te servir des Options facultatives.

* Clique sur Quitter, pour que le rapport puisse se créer.

* Poste moi le rapport (TCleaner.txt) qui se trouve à la racine de ton disque dur( C:\).

Lyonnais92 · Answer

Bonjour,

à avoir regardé un peu plus, ces 2 certificats semblent courants. Tu peux les conserver.

Sinon, en cliquant sur un, le bouton Supprimer devrait s'activer.

Pour le reste, tu exécutes les 3 recommandations.

Lyonnais92 · Answer

Bonsoir,

ta dernière question n'est pas de ma spécialité.

Tu peux ouvrir un topic dans Internet ou t'adresser à ton FAI.

Lyonnais92 · Answer

Re,

De rien pour l'aide.

J'espère que tu pourras résoudre ton problème de vitesse de connexion.

Bon surf.

Pc infecté par un virus ? - Page 2

Newsletters