Analyse rapport HijackThis

Question

Bonjour,

J'ai envie de me débarasser du virus "au travail! arrêtez de surfer" qui a monopolisé ma page d'accueil et qui fait régulièrement apparaitre une fenêtre sur mon écran "au travail!! ...ce n'est pas un mabraze ici"

Et un autre, c'est d'ailleurs peut être le même, qui semble être sur ma clé usb qui s'appelle "antinul.vbe" et contre lequel avast ne semble rien pouvoir faire.

En lisant quelques post semblables au mien, j'ai télécharger et executer HijackThis dont voici le rapport.

Merci beacoup de m'expliquer ce que je devrais faire maintenant.

Elisa

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 16:50:53, on 04/12/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wscript.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\VTTimer.exe
C:\WINDOWS\system32\VTtrayp.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\Program Files\Hp\HP Software Update\HPWuSchd2.exe
C:\Program Files\Hewlett-Packard\PrnStatusMX\PrnStatusMX.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Sensiva\Sensiva.exe
C:\WINDOWS\system32\WgaTray.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Microsoft Office\Office\WINWORD.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashQuick.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\ElisaD\Local Settings\Temporary Internet Files\Content.IE5\1KWZ5DC5\HiJackThis[1].exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = Travaillez plus.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Au travail !Arrêtez de surfer!
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\wscript.exe C:\WINDOWS\system32\antinul.vbe
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [VTTimer] VTTimer.exe
O4 - HKLM\..\Run: [VTTrayp] VTtrayp.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\Hp\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [PrnStatusMX] C:\Program Files\Hewlett-Packard\PrnStatusMX\PrnStatusMX.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [WhenUSave] "C:\Program Files\Save\Save.exe"
O4 - HKCU\..\Run: [WOOKIT] C:\PROGRA~1\WANADOO\Shell.exe appLaunchClientZone.shl|PARAM= cnx
O4 - HKCU\..\Run: [Sensiva] C:\Program Files\Sensiva\Sensiva.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe (file missing)
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe (file missing)
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://download.microsoft.com/download/E/5/6/E5611B10-0D6D-4117-8430-A67417AA88CD/LegitCheckControl.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: France Telecom Routing Table Service (FTRTSVC) - Unknown owner - C:\WINDOWS\System32\FTRTSVC.exe (file missing)
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Service de l'iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe

amd64 · Answer

O4 - HKCU\..\Run: [WhenUSave] "C:\Program Files\Save\Save.exe"


 	O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1


 	O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe (file missing)


 	O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe (file missing)


coches ces lignes et clic sur ;ficheket
sup le raport sur le bureau
redemare le pc 
refait un scan  et met le nouveau raprt

Utilisateur anonyme · Answer

Salut,

--> Télécharge UsbFix (de Chiquitine29) sur ton Bureau :
http://sd-1.archive-host.com/membres/up/116615172019703188/UsbFix.exe

--> Lance l'installation avec les paramètres par défaut.

--> Branche tes sources de données externes à ton PC (clé USB, disque dur externe, etc...) sans les ouvrir.

--> Double-clique sur le raccourci UsbFix sur ton Bureau.

--> Choisit l'option 1

--> Le PC va redémarrer.

--> Après redémarrage, poste le rapport UsbFix.txt

Note : le rapport UsbFix.txt est sauvegardé à la racine du disque.

(Si le Bureau ne réapparait pas, presse Ctrl+Alt+Suppr, Onglet "Fichier", "Nouvelle tâche", tape explorer.exe et valide)

elisa-91 · Answer

Merci de ta réponse,

une question néanmoins, ne devrais-je pas également cocher

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = Travaillez plus.com 
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Au travail !Arrêtez de surfer! 

puiqu'il s'agit bien de ce dont je veux me débarasser...

amd64 · Answer

ben si 

desoler de les avoir oublier , mais je suis avec quatre personnes en mm temps sur le site

elisa-91 · Answer

Pas de souci !

Encore un détail : pour refaire un scan après avoir cocher et redémarrer ; dois-je retélécharger Hijackthis ou bien je peux le retrouver qqpart sur mon pc et le relancer?

Merci
Elisa

amd64 · Answer

tu aurras le racourci sur le bureau puisque tu l'a deja telecharger

donc comme n'importe quel prog ; double clic dessus

elisa-91 · Answer

Et bien non, je n'ai pas de raccourci sur mon bureau peut-être parce que je l'ai directement éxecuter après l'avoir télécharger sans l'enregistrer...?

question un peu hors sujet je te l'accorde et surement basique mais importante pour la suite,

merci de ta réactivité, c'est un plaisir !

amd64 · Answer

??
regarde dans ;demarer tout les progs
tu doit l'avoir puisque tu l'a installer

elisa-91 · Answer

Non rien dans "tous les programmes"
si je fais une recherche "hijackthis" je trouve
1cookie
et quelquechose dans C:\WINDOWS\Prefetch et ça s'appelle HIJACKTHIS[1].EXE-...


enfin bref, tu comprendras que tt cela ne me parle pas beaucoup mais quoi qu'il en soit je me dis que je pourrais le relétécharger pour refaire le scan...

Elisa

Utilisateur anonyme · Answer

Salut,

Désoler de l'intrusion.

@ELISA:

--> Télécharge UsbFix (de Chiquitine29) sur ton Bureau :
http://sd-1.archive-host.com/membres/up/116615172019703188/UsbFix.exe

--> Lance l'installation avec les paramètres par défaut.

--> Branche tes sources de données externes à ton PC (clé USB, disque dur externe, etc...) sans les ouvrir.

--> Double-clique sur le raccourci UsbFix sur ton Bureau.

--> Choisit l'option 1

--> Le PC va redémarrer.

--> Après redémarrage, poste le rapport UsbFix.txt

Note : le rapport UsbFix.txt est sauvegardé à la racine du disque.

(Si le Bureau ne réapparait pas, presse Ctrl+Alt+Suppr, Onglet "Fichier", "Nouvelle tâche", tape explorer.exe et valide)

Utilisateur anonyme · Answer

Re,

"a la racine du disque" veut dire:

Tu clic sur poste de travail ou "ordinateur",ensuite clic droit sur ton disque dur ,ensuite tu déroule et la tu "explore" et normalement tu devrait le trouver.

@+

elisa-91 · Answer

Youhouu,

ça a marché !! enfin en tout cas je peux de nouveau choisir ma page d'accueil
merci merci !

bon voici le rapport usbfix

A présent qu'est ce que je fais ?

 

-------------- UsbFix V2.413.2 ---------------

* User : ElisaD - ELISA
* Outils mis a jours le 01/12/2008 par Chiquitine29 et Chimay8
* Recherche effectuée à 21:11:02 le 04/12/2008
* Windows Xp - Internet Explorer 6.0.2900.2180 
  
  
--------------- [ Processus actifs ] ----------------   
  
 
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\logonui.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\userinit.exe
C:\WINDOWS\system32\wscript.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\DOCUME~1\ElisaD\LOCALS~1\Temp\1.tmp\b2e.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
  
--------------- [ Informations lecteurs ] ----------------   
  
C: - Lecteur fixe

D: - Lecteur fixe

G: - Lecteur amovible

 
+- Contenu de l'autorun : G:\autorun.inf  

[autorun]
open=wscript.exe antinul.vbe
shell\open=Open
shell\open\Command=wscript.exe antinul.vbe


--------------- [ Lecteur C ] ---------------- 

C: - Lecteur fixe


+- Listing des fichiers présents :

[21/04/2007 19:19][---hs----] C:\AUTOEXEC.BAT   
[23/02/2007 11:49][-rahs----] C:\NTDETECT.COM   
[23/02/2007 11:55][-rahs----] C:\boot.ini   
[23/02/2007 11:12][--a------] C:\FSC-DeskUpdate.txt   
[23/02/2007 11:12][--a------] C:\UsbFix.txt   
[23/02/2007 10:58][--a------] C:\CONFIG.SYS   
[23/02/2007 10:58][--a------] C:\IO.SYS   
[23/02/2007 10:58][--a------] C:\MSDOS.SYS   
[23/02/2007 10:58][--a------] C:\pagefile.sys   

--------------- [ Lecteur D ] ---------------- 

D: - Lecteur fixe


+- Listing des fichiers présents :

[19/08/2004 16:10][--a------] D:\setupSNK.exe   

--------------- [ Lecteur G ] ---------------- 

G: - Lecteur amovible


+- Listing des fichiers présents :

[04/12/2008 21:11][-rahs----] G:\autorun.inf   
[04/12/2008 19:47][-rahs----] G:\antinul.vbe   
  
--------------- [ Registre / Startup ] ----------------   
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 
"Userinit"="C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\wscript.exe C:\WINDOWS\system32\antinul.vbe"
  
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main] 
"Search Page"="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch"
"Start Page"="http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome"
  
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersionun]
   CTFMON.EXE=C:\WINDOWS\system32\ctfmon.exe
   Tok-Cirrhatus=
   WhenUSave="C:\Program Files\Save\Save.exe"
   WOOKIT=C:\PROGRA~1\WANADOO\Shell.exe appLaunchClientZone.shl|PARAM= cnx
   Sensiva=C:\Program Files\Sensiva\Sensiva.exe

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersionun]
   VTTimer=VTTimer.exe
   VTTrayp=VTtrayp.exe
   SoundMan=SOUNDMAN.EXE
   avast!=C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
   QuickTime Task="C:\Program Files\QuickTime\qttask.exe" -atboottime
   iTunesHelper="C:\Program Files\iTunes\iTunesHelper.exe"
   HP Software Update=C:\Program Files\Hp\HP Software Update\HPWuSchd2.exe
   <NO NAME>=
   PrnStatusMX=C:\Program Files\Hewlett-Packard\PrnStatusMX\PrnStatusMX.exe
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversionun\OptionalComponents=
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversionun\OptionalComponents\IMAIL=
   Installed=1
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversionun\OptionalComponents\MAPI=
   NoChange=1
   Installed=1
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversionun\OptionalComponents\MSFS=
   Installed=1
  
--------------- [ Registre / Mountpoint2 ] ----------------   
  
Supprimé ! - HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{41ee1751-9cf7-11dc-8616-00c0a8b9ee8a}\Shell\AutoRun\command  
Supprimé ! - HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{8e241c73-f976-11db-8572-00140b0701df}\Shell\AutoRun\command  
Supprimé ! - HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{a113e724-c208-11dc-8636-00c0a8b9ee8a}\Shell\AutoRun\command  
Supprimé ! - HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{a113e724-c208-11dc-8636-00c0a8b9ee8a}\Shell\open\Command  
Supprimé ! - HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{b8bbca76-ccf0-11db-8514-00140b0701df}\Shell\AutoRun\command  
Supprimé ! - HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{e16f4ef6-280e-11dc-85b8-00c0a8b9ee8a}\Shell\AutoRun\command  
  
--------------- [ Nettoyage des disques ] ----------------   
   
Supprimé ! - [03/10/2008 18:19][-rahs----] C:\WINDOWS\system32\antinul.vbe    
G:\autorun.inf ~> fichier appelé : "G:\wscript.exe antinul.vbe" ( absent ! )  
Supprimé ! - [23/02/2007 11:09][d--------] C:\fsc.tmp    
Supprimé ! - [04/12/2008 21:11][-rahs----] G:\autorun.inf    
Supprimé ! - [04/12/2008 19:47][-rahs----] G:\antinul.vbe    
Supprimé ! - [08/03/2008 14:48][dr-hs----] G:\Recycler\Recycler    
  
--------------- [ Resumé ] ----------------   
  
 -> /!\ Le resultat doit etre interprété par un spécialiste  /!\   
  
[21/04/2007 19:19][---hs----] C:\AUTOEXEC.BAT   
[23/02/2007 11:49][-rahs----] C:\NTDETECT.COM   
[23/02/2007 11:55][-rahs----] C:\boot.ini   
[19/08/2004 16:10][--a------] D:\setupSNK.exe   
 
--------------- ! Fin du rapport ! ----------------

Utilisateur anonyme · Answer

Re,

Fait ceci maintenant STP.

-Télécharge et installe MalwareByte's Anti-Malware
Malwarebyte

- Mets le à jour

---
- Double clique sur le raccourci de MalwareByte's Anti-Malware qui est sur le bureau.
- Sélectionne Exécuter un examen complet si ce n'est pas déjà fait
- clique sur Rechercher

- Une fois le scan terminé, une fenêtre s'ouvre, clique sur sur Ok

- Si MalwareByte's n'a rien détecté, clique sur Ok Un rapport va apparaître ferme-le.

- Si MalwareByte's a détecté des infections, clique sur Afficher les résultats ensuite sur Supprimer la sélection

- Enregistre le rapport sur ton Bureau comme cela il sera plus facile à retrouver, poste ensuite ce rapport.

Note : Si MalwareByte's a besoin de redémarrer pour terminer la suppression, accepte en cliquant sur Ok

@+

elisa-91 · Answer

Ok je vais faire ça mais c'est quoi Malwarebyte? grosso modo ça servira à quoi?

Merci
Elisa

Utilisateur anonyme · Answer

Re,


Sa va servir a finir le nettoyage "en gros" de ton pc.

Ensuite tu referas un rapport hijackthis pour contrôler cela.

@+

elisa-91 · Answer

ok ok !

bon j'ai installé malwarebyte, par contre "échec de la mise à jour", il me demande si mon pare feu est paramétrer pour autoriser malwarebyte à accéder à internet...?

qu'en penses-tu?

elisa-91 · Answer

Je peux lancer l'examen complet sans le mettre à jour?

Utilisateur anonyme · Answer

Re,

non tu doit le mettre à jour ,mais normalement au chargement il ce fait tout seul si tu n'as pas toucher au réglage.

Met fait le quand même au cas où.

@+

elisa-91 · Answer

oui effectvement il a essayé de leur faire tt seul lors du chargement mais ça a échoué 

et maintenant quand je l'ouvre et que je vais sur "mise à jour" il réessaie et une fenetre s'affiche : 
"echec de la mise à jour. Verrifiez que vous êtes connecté à Internet et que votre pare feu est paramétré pour autoriser malwarebyte's anti malware à accéder à internet.

donc quand tu me dit "fais le quand même au cas où"
tu veux dite :
- la mise jour (et dans ce cas là comment?)
- ou l'examen complet même sans mise à jour?

Merci bcp !

Utilisateur anonyme · Answer

Re,

Bon 

Quel version tu as de marquer?=>normalement c'est la 1.31.

@+

Analyse rapport HijackThis

39 réponses

Discussions similaires

Newsletters