PC rame : log hijackRésolu/Fermé

Question

Bonjour,
Mon second PC rame à mort et après un long nettoyage (défrag, Ccleaner, etc...), divers examens infructueux (Kapersky on line, Malware's bytes, Spybot, etc...) rien n'y fait.
Smitfraudfix m'a bien viré un truc mais ça rame toujours, j'ai donc fait un scan Hijackthis que voici :

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:34:29, on 02/12/2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16735)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32
vsvc32.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Analog Devices\SoundMAX\Smtray.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Glary Utilities\memdefrag.exe
C:\Documents and Settings\Mon pc\Bureau\HiJackThis.exe
C:\WINDOWS\system32\wuauclt.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
 R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: DefaultSearchHook Class - {C94E154B-1459-4A47-966B-4B843BEFC7DB} - C:\Program Files\AskSearch\bin\DefaultSearch.dll
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre6\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [Smapp] C:\Program Files\Analog Devices\SoundMAX\Smtray.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Glary Memory Optimizer] "C:\Program Files\Glary Utilities\memdefrag.exe" /autostart
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {2D8ED06D-3C30-438B-96AE-4D110FDC1FB8} (ActiveScan 2.0 Installer Class) - http://www.pandasecurity.com/activescan/cabs/as2stubie.cab
 O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/...
 O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
 O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: Ma-Config Service (maconfservice) - CybelSoft - C:\Program Files\ma-config.com
 \maconfservice.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

anthony5151 · Answer

Bonsoir,


Tu as une barre d'outil infectée (la AskBar)


Télécharge Toolbar-S&D (Team IDN) sur ton Bureau. 
https://77b4795d-a-62cb3a1a-s-sites.googlegroups.com/site/eric71mespages/ToolBarSD.exe?attachauth=ANoY7cqJWPphpudyTqv7TRo5RQ3nm_Sx8JluVMO59X5E9cyE3j3LqKlmStIqiDqJdIgMJLi7MXn2nKVajQfoWuVvZZ2wIx_vkqO4k4P0K9jh-ra9jaKPXdZcoaVF2UqJZNH8ubL_42uIwh6f35xJ2GJMuzddVj2Qth1DgZ839lxEIFGkgWz3TdfvNMy-YtxfA3gqBUrj4U4LFeAPiWr3ClmjIP0t_Xs5PQ%3D%3D&attredirects=2 

* Lance l'installation du programme en exécutant le fichier téléchargé. 
* Double-clique maintenant sur le raccourci de Toolbar-S&D. 
* Sélectionne la langue souhaitée en tapant la lettre de ton choix puis en validant avec la touche Entrée. 
* Choisis maintenant l'option 1 (Recherche). Patiente jusqu'à la fin de la recherche. 
* Poste le rapport généré. (C:\TB.txt)

anthony5151 · Answer

Essaye de supprimer manuellement ce dossier : C:\Program Files\AskSearch


Si ça fonctionne, relance hijackthis et coche les lignes suivantes (sinon attends, on utilisera un programme pour supprimer ça) :

R3 - URLSearchHook: DefaultSearchHook Class - {C94E154B-1459-4A47-966B-4B843BEFC7DB} - C:\Program Files\AskSearch\bin\DefaultSearch.dll 
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe     
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')     
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')     
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')     
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')     

Toutes les lignes commençant par O16



Avast ne s'est pas désinstallé complètement... Ouvre le menu Démarrer --> Exécuter --> tape services.msc --> Double-clique sur tous les services suivants et place "type de démarrage" sur désactivé :

avast! iAVS4 Control Service
avast! Mail Scanner
avast! Web Scanner

(si d'autres services avast! sont présents, fais la même chose).

anthony5151 · Answer

Télécharge et installe Malwarebytes' Anti-Malware
- A la fin de l'installation, veille à ce que l'option « mettre a jour Malwarebyte's Anti-Malware » soit cochée
- Lance MBAM et laisse les Mises à jour se télécharger (sinon fais les manuellement au lancement du programme)
- Puis va dans l'onglet "Recherche", coche "Exécuter un examen rapide" puis "Rechercher"
- Sélectionne tes disques durs" puis clique sur "Lancer l’examen" 
- A la fin du scan, clique sur Afficher les résultats
- Coche tous les éléments  détectés puis clique sur Supprimer la sélection
- Enregistre le rapport
- S'il t'est demandé de redémarrer, clique sur Yes

Poste le rapport de scan après la suppression ici

anthony5151 · Answer

Re


Désolé pour le délai de réponse un peu long, mais je n'étais pas chez moi depuis vendredi.

Apparemment ton PC est sain, est-ce qu'il rame encore ?
Je peux te donner des conseils pour le sécuriser, mais aussi pour améliorer ses performances, si tu le souhaites.
Si oui, poste un nouveau rapport hijackthis stp

anthony5151 · Answer

Effectivement, 128 Mo de mémoire sur Windows XP c'était trop juste ;)



1) Sécurise ton ordinateur 

- Anti-virus : 
Antivir est un excellent choix, garde le. Juste deux petites remarques :
- Je ne sais pas quelle version tu as téléchargé, mais une traduction française d'Antivir est disponible depuis le 1 décembre. Donc si tu as la version anglaise, tu peux en changer si tu le souhaites.
- petit réglage à faire : double clique sur l'icone d'Antivir près de l'horloge --> Configuration --> Coche « Mode expert » --> coche « Rech. Rootkits au dem de la recherche » 

Pour supprimer les traces restantes d'Avast, essaye d'utiliser ceci : Désinstallation d'Avast

- Anti-spyware :
Tu n'as apparemment pas d'anti-spyware actif : 
* Installe Spyware Blaster : il ne prend pas de mémoire, c'est juste un logiciel qui vaccine ton pc contre certaines infections. Il faut le mettre à jour manuellement, tous les 10 jours environ, et activer toutes les protections (« Enable all protection ») 
* En complément, garde MalwareBytes pour son scan de nettoyage performant.

- Pour naviguer sur internet plus en sécurité et à l’abri des publicités, je te conseille d’installer et d'utiliser le navigateur Firefox 3 avec l’extension « AdBlockPlus ». Tu peux trouver des explications ici

- Vérifie que ta version de Java est bien la plus récente (6 update 11)
Ouvre le menu démarrer --> panneau de configuration --> ajout/suppression de programmes --> si tu as une ou plusieurs versions de java antérieures à la version 6 update 11, désinstalle les.
Si tu n'as pas la dernière, télécharge la sur le site officiel de java : https://java.com/fr/



2) Relance Hijackthis (pour la dernière fois), fais "scan system only" et coche ces lignes (pas dangereuses mains inutiles) : 

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)    
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install    
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe    

Ensuite, clique sur "Fix checked" 



3) Télécharge ToolsCleaner sur ton bureau pour supprimer hijackthis et toutes ses traces : ToolsCleaner
Lance le, clique sur Recherche et laisse le scan se finir, puis clique sur Suppression pour nettoyer. 
Tu peux aussi supprimer les fichiers temporaires.
Ensuite, supprime manuellement ToolsCleaner (mets le à la corbeille).



4) Tu peux également faire ceci pour désactiver certains services (extrait du site malekal.com) : 

Menu Démarrer --> exécuter --> tape services.msc --> clique sur OK 

Dans la liste, double-clique sur les services suivants (si tu les trouves) puis positionne le démarrage sur ce qui est indiqué ici : 

Accès à distance au registre: Mettre en dans la zone "type de démarrage" le mode "manuel". 
Accès au périphérique d'interface utilisateur : Mettre en "désactivé" si vous ne possédez pas de clavier avec 40000 touches inutiles. 
Acquisition d'image Windows : désactiver si vous n'avez pas de scanneur. 
Affichage des messages : "désactiver" 
Aide et support : si vous êtes un fan de l'aide de windows, laissez "automatique", autrement Mettre en "désactivé". 
Assistance TCP/IP NETBios : Mettre désactiver si votre ordinateur n'est pas en réseau (partage fichier/imprimante) 
Avertissement : Mettre en "désactivé". 
Carte à puce : Mettre en "désactivé". 
Carte de performance WMI : Mettre en "désactivé". 
Centre de sécurité. Mettre en "Manuel" 
Client de suivi de lien distribué : Mettre en "désactivé". 
Compatibilité avec le changement rapide d'utilisateur : Mettre en "désactivé". 
Configuration automatique sans fil : si vous n'avez pas de réseau sans fil ou de matériel sans fil, Mettre en "désactivé". 
DDE réseau : Mettre en "désactivé". 
DSDM DDE réseau : Mettre en "désactivé". 
Emplacement protégé : Mettre en "désactivé".
Fournisseur de la prise en charge de sécurité LM NT : Mettre en "manuel". 
Gestion d'applications : Mettre en "manuel". 
Gestionnaire de connexion automatique d'accès distant : Mettre en "manuel". 
Gestionnaire de connexion d'accès distant : Mettre en "manuel". 
Gestionnaire de l'album : Mettre en "manuel". 
Gestionnaire de session d'aide sur le Bureau à distance : Mettre en "désactivé". 
Journaux et alertes de performances : Mettre en "désactivé". 
Numéro de série du média portable : Mettre en "désactivé". 
Onduleur : si vous n'en avez pas un Mettre en "désactivé" (sauf si vous possédez un onduleur) 
Ouverture de session réseau : Mettre en "désactivé". 
Partage de bureau à distance Neet Meeting : Mettre en "désactivé". 
Prise en charge des cartes à puce : Mettre en "désactivé". 
Qos RSVP : Mettre en "désactivé". 
Routage et accès distant : Mettre en "désactivé". 
Service COM de gravage de CD IMAPI : si vous n'avez pas de graveur, Mettre en "désactivé". 
Service de rapports d'erreurs : Mettre en "désactivé". 
Service d'indexation : Mettre en "désactivé". 
Telnet : Mettre en "désactivé". 
Web Client : Mettre en "automatique". 



5) Télécharge et installe CCleaner  (si ce n’est déjà fait) : https://www.ccleaner.com/ccleaner/download

Lance CCleaner
Option --> avancé --> décoche « effacer uniquement les fichiers plus vieux que 48h »
Puis nettoyeur --> Analyse > Lancer le nettoyage, puis sur OK dans la fenêtre qui s' affiche.
Enfin, registre --> corrige toutes les erreurs, et recommence jusqu'à ce qu'il ne trouve plus d'erreurs.

(Tu peux garder ce logiciel et l'utiliser régulièrement).



6) Tu peux ensuite supprimer les anciens points de restauration système :

* Fais un clic droit sur poste de travail (qui est sur ton bureau ou dans le menu démarrer), puis propriétés. 
* Sélectionne l'onglet restauration du système 
* Coche l'option Désactiver la restauration du système sur tous les lecteurs 
* Clique sur OK. 

Puis refais la manipulation inverse pour réactiver la restauration système. 



7) Télécharge JkDefrag sur ton bureau : http://www.kessels.com/JkDefrag/ 
Ce petit programme permet de défragmenter le disque dur (plus efficace que l'utilitaire de défragmentation de Windows). 

Je te conseille de le lancer en mode sans échec pour augmenter son efficacité : pour cela, redémarre ton ordinateur et tapote sur la touche F8 jusqu'à l'affichage du menu des options avancées de Windows, et sélectionne "Mode sans échec". Choisis ta session habituelle et double clique sur le fichier Jkdefreg.exe présent dans le dossier Jkdefrag (si tu as choisis la version sans installation). 
La défragmentation peut durer plusieurs heures, et il ne faut pas utiliser l'ordinateur pendant ceci (tu peux le faire de nuit s'il faut). 

Redémarre ton ordinateur, et dis moi si tu constates une amélioration. 



8) Enfin, si tu n as pas d'autres problèmes, tu peux changer le statut du sujet en résolu : Aide

anthony5151 · Answer

La désinstallation d'Avast a été encore plus incomplète que je ne le pensais : le module d'auto-protection (qui est sensé empêcher une infection de pouvoir désactiver Avast) est encore présent...

Il faut utiliser l'utilitaire de désinstallation en mode sans échec, il n'y a pas d'autre choix ici.
Pour redémarrer en mode sans échec : redémarre ton ordinateur, puis tapote sur la touche F8 (F5 sur certains PC) avant l’apparition du logo Windows, un menu va apparaître, tu devra choisir de démarrer en mode sans échec. Choisis ta session habituelle, et ne t'inquiète pas si la taille des icones et les couleurs changent par rapport à d'habitude (ça reviendra en redémarrant).



Pour JKDefrag, il suffit de regarder l'image pour voir ce qu'il fait ;)  Ca représente ton disque dur, et tu dois voir les carrés changer de couleur et se déplacer ? (vert = fichier défragmentés / jaune = fichier fragmentés, à ranger / noir = vide / rouge = fichiers indéplaçable)



Pour l'erreur dans le registre trouvée par CCleaner, c'est toujours comme ça, j'avais la même chose quand j'utilisais ZoneAlarm... Je ne sais pas pourquoi, mais ne t'inquiète pas, ce n'est pas grave ;)

anthony5151 · Answer

Avast a disparu et il n'y a plus de ligne infectieuses ni de lignes inutiles. Ce rapport est parfait ;)

PC rame : log hijack

7 réponses

Newsletters