Hijackthis. Et après?

Question

Bonjour

j'ai quelques problèmes avec hijackthis. J'ai quelques scan après avoir fixé quelques lignes. Mais les lignes 015 reviennent perpétuellement.
Voici le dernier log:

Logfile of HijackThis v1.99.0
Scan saved at 16:09:51, on 26/01/05
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FSMA32.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FSMB32.EXE
C:\WINDOWS\EXPLORER.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\BACKWEB\1044199\PROGRAM\FSBWSYS.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FCH32.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\BACKWEB\1044199\PROGRAM\BACKWEB-1044199.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FAMEH32.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\ANTI-VIRUS\FSGK32.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\DFW\PROGRAM\FSDFWD.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\ANTI-VIRUS\FSSM32.EXE
C:\WINDOWS\SYSTEM\SISTRAY.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\ANTI-VIRUS\FSAV32.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\SYSTEM\KHOOKER.EXE
C:\PROGRAM FILES\HEWLETT-PACKARD\HP SOFTWARE UPDATE\HPWUSCHD.EXE
C:\PROGRAM FILES\HP\HPCORETECH\HPCMPMGR.EXE
C:\WINDOWS\SYSTEM\HPZTSB09.EXE
C:\PROGRAM FILES\HEWLETT-PACKARD\DIGITAL IMAGING\BIN\HPOTDD01.EXE
C:\PROGRAM FILES\WANADOO\CNXMON.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\WINDOWS\SYSTEM\KEYHOOK.EXE
C:\WINDOWS\RUNDLL32.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FSM32.EXE
C:\WINDOWS\RunDLL.exe
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\PROGRAM FILES\SAGEM\SAGEM F@ST 800-840\DSLMON.EXE
C:\PROGRAM FILES\MICROSOFT OFFICE\OFFICE\1036\MSOFFICE.EXE
C:\WINDOWS\WINHLP32.EXE
C:\MES DOCUMENTS\TOPHE.STEPHAN\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.fr/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAM FILES\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O4 - HKLM\..\Run: [SiS Tray] C:\WINDOWS\SYSTEM\SISTRAY.EXE
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [SiS KHooker] C:\WINDOWS\SYSTEM\khooker.exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [HP Software Update] "C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd.exe"
O4 - HKLM\..\Run: [HP Component Manager] "C:\PROGRAM FILES\HP\HPCORETECH\HPCMPMGR.EXE"
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\SYSTEM\hpztsb09.exe
O4 - HKLM\..\Run: [DeviceDiscovery] C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
O4 - HKLM\..\Run: [WooCnxMon] C:\PROGRA~1\WANADOO\CnxMon.exe
O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\WANADOO\Watch.exe
O4 - HKLM\..\Run: [SiS Windows KeyHook] C:\WINDOWS\SYSTEM\keyhook.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [F-Secure Manager] "C:\PROGRAM FILES\SECURITOO\AV_FW\Common\FSM32.EXE" /splash
O4 - HKLM\..\Run: [F-Secure TNB] "C:\PROGRAM FILES\SECURITOO\AV_FW\TNB\TNBUtil.exe" /CHECKALL
O4 - HKLM\..\Run: [ControlPanel] C:\WINDOWS\SYSTEM\twink64.exe internat.dll,LoadKeyboardProfile
O4 - HKLM\..\Run: [XPSP2 Firewall] C:\WINDOWS\system32\xpsp2fw.exe
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [fsaa] C:\PROGRAM FILES\SECURITOO\AV_FW\Common\fsaa.exe
O4 - HKLM\..\RunServices: [F-Secure Management Agent] C:\PROGRAM FILES\SECURITOO\AV_FW\Common\FSMA32.EXE
O4 - HKCU\..\Run: [Taskbar Display Controls] RunDLL deskcp16.dll,QUICKRES_RUNDLLENTRY
O4 - HKCU\..\Run: [Windows Update Client ] C:\WINDOWS\system32\wuclient.exe
O12 - Plugin for .spop: C:\PROGRA~1\INTERN~1\Plugins\NPDocBox.dll
O15 - Trusted Zone: *.frame.crazywinnings.com
O15 - Trusted Zone: *.static.topconverting.com
O15 - Trusted Zone: *.frame.crazywinnings.com (HKLM)
O15 - Trusted Zone: *.static.topconverting.com (HKLM)
O15 - Trusted IP range: 206.161.125.149
O15 - Trusted IP range: 206.161.125.149 (HKLM)

Merci d'avance pour votre aide.

Configuration: Windows98 (version2)

moe · Answer

salut tophe03

1) Dans les options d'affichage,il faut que tu rendes visible les fichiers cachés et systeme.

2) Ouvre le gestionnaire des taches (ctrl+alt+supp)
Termine les processus suivant (s'ils sont présents):

twink64.exe
xpsp2fw.exe
wuclient.exe

3) lance hijackthis:
coche et fixe:

O4 - HKLM\..\Run: [ControlPanel] C:\WINDOWS\SYSTEM\twink64.exe internat.dll,LoadKeyboardProfile
O4 - HKLM\..\Run: [XPSP2 Firewall] C:\WINDOWS\system32\xpsp2fw.exe
O4 - HKCU\..\Run: [Windows Update Client ] C:\WINDOWS\system32\wuclient.exe
O15 - Trusted Zone: *.frame.crazywinnings.com
O15 - Trusted Zone: *.static.topconverting.com
O15 - Trusted Zone: *.frame.crazywinnings.com (HKLM)
O15 - Trusted Zone: *.static.topconverting.com (HKLM)
O15 - Trusted IP range: 206.161.125.149
O15 - Trusted IP range: 206.161.125.149 (HKLM)

4) Recherche en suivant le chemin des fichiers et supprime les processus en gras:

C:\WINDOWS\SYSTEM\twink64.exe
C:\WINDOWS\system32\xpsp2fw.exe
C:\WINDOWS\system32\wuclient.exe

Redemarre et relance hijack pour vérif

a+

moe · Answer

re

fixe les quand meme.
Si une fois fixé, quand tu auras redemarré ils sont toujours présent dans ton log fait un scan ici:
http://www.ravantivirus.com
et ici:
http://www.pandasoftware.com/activescan/fr/activescan_principal.htm

a+

tophe03 · Answer

En plus, lorsque fait un scan Spybot, j'ai toujours la présence de "DSO Exploit". Le scan s'arrête juste avant la fin m'indiquant "une erreur lors des vérifications-Winpup32 (Ungültiger Datentyp für ")".

D'avance merci pour l'aide.

bernie61 · Answer

saluttu fais rechercher winpup32.exe et tu effaces (virus)a+

bernie61 · Answer

salut
pour corriger le pbm DSO exploit tu applique ceci
il existe màj logicielle pour DSOexploit à charger là http://www.majorgeeks.com/download4392.html
Pour DSOexploit correction manuelle, regarde là
http://www.auditmypc.com/DSO-exploit.asp
tu dois renommer les lignes HKEY_USERS ….. avec regedit : dans panneau droite renommer 1004 en 1003
ensuite redémarrer ordi et refaire SpybotS&D et c’est parti ;

a+

tophe03 · Answer

J'ai un autre petit souci. Lorsque je veux effectuer une maintenance, le défragmenteur de disque reprend à zero toutes les 30 secondes parce que le contenu du disque est modifié. Par contre en mode sans echec, ca marche. Est-ce normal?

Teddy-Bear · Answer

Bonjour,Une petite remarque  ......Installe vite un Firewall  !!!!!!(Zone Alarm,Sygate ..etc)0+

tophe03 · Answer

J'ai déjà un firewall. Mais concernant les lignes 015 du log hijackthis, comment puis-je les enlever?

Logfile of HijackThis v1.99.0
Scan saved at 22:11:42, on 26/01/05
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FSMA32.EXE
C:\WINDOWS\EXPLORER.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FSMB32.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FCH32.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\BACKWEB\1044199\PROGRAM\FSBWSYS.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\BACKWEB\1044199\PROGRAM\BACKWEB-1044199.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FAMEH32.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\ANTI-VIRUS\FSGK32.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\DFW\PROGRAM\FSDFWD.EXE
C:\WINDOWS\SYSTEM\SISTRAY.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\ANTI-VIRUS\FSSM32.EXE
C:\WINDOWS\SYSTEM\KHOOKER.EXE
C:\PROGRAM FILES\HEWLETT-PACKARD\HP SOFTWARE UPDATE\HPWUSCHD.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\ANTI-VIRUS\FSAV32.EXE
C:\PROGRAM FILES\HP\HPCORETECH\HPCMPMGR.EXE
C:\WINDOWS\SYSTEM\HPZTSB09.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\PROGRAM FILES\HEWLETT-PACKARD\DIGITAL IMAGING\BIN\HPOTDD01.EXE
C:\PROGRAM FILES\WANADOO\CNXMON.EXE
C:\WINDOWS\SYSTEM\KEYHOOK.EXE
C:\WINDOWS\RUNDLL32.EXE
C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FSM32.EXE
C:\WINDOWS\RunDLL.exe
C:\PROGRAM FILES\SAGEM\SAGEM F@ST 800-840\DSLMON.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\PROGRAM FILES\MICROSOFT OFFICE\OFFICE\1036\MSOFFICE.EXE
C:\MES DOCUMENTS\TOPHE.STEPHAN\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.fr/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAM FILES\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O4 - HKLM\..\Run: [SiS Tray] C:\WINDOWS\SYSTEM\SISTRAY.EXE
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [SiS KHooker] C:\WINDOWS\SYSTEM\khooker.exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [HP Software Update] "C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd.exe"
O4 - HKLM\..\Run: [HP Component Manager] "C:\PROGRAM FILES\HP\HPCORETECH\HPCMPMGR.EXE"
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\SYSTEM\hpztsb09.exe
O4 - HKLM\..\Run: [DeviceDiscovery] C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
O4 - HKLM\..\Run: [WooCnxMon] C:\PROGRA~1\WANADOO\CnxMon.exe
O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\WANADOO\Watch.exe
O4 - HKLM\..\Run: [SiS Windows KeyHook] C:\WINDOWS\SYSTEM\keyhook.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [F-Secure Manager] "C:\PROGRAM FILES\SECURITOO\AV_FW\Common\FSM32.EXE" /splash
O4 - HKLM\..\Run: [F-Secure TNB] "C:\PROGRAM FILES\SECURITOO\AV_FW\TNB\TNBUtil.exe" /CHECKALL
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [fsaa] C:\PROGRAM FILES\SECURITOO\AV_FW\Common\fsaa.exe
O4 - HKLM\..\RunServices: [F-Secure Management Agent] C:\PROGRAM FILES\SECURITOO\AV_FW\Common\FSMA32.EXE
O4 - HKCU\..\Run: [Taskbar Display Controls] RunDLL deskcp16.dll,QUICKRES_RUNDLLENTRY
O4 - Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O4 - Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
O4 - Startup: Utility Tray.lnk = C:\WINDOWS\SYSTEM\sistray.exe
O4 - Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE
O4 - Global Startup: Securitoo AntiVirus Firewall.lnk = C:\Program Files\Securitoo\av_fw\backweb\1044199\Program\backweb-1044199.exe
O12 - Plugin for .spop: C:\PROGRA~1\INTERN~1\Plugins\NPDocBox.dll
O15 - Trusted Zone: *.frame.crazywinnings.com
O15 - Trusted Zone: *.frame.crazywinnings.com (HKLM)
O15 - Trusted IP range: 206.161.125.149
O15 - Trusted IP range: 206.161.125.149 (HKLM)
O16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cab.

erci d'avance

Teddy-Bear · Answer

Bonjouren plus des lignes 15la ligne suivante est douteuseC:\WINDOWS\SYSTEM\KHOOKER.EXEKhooker.exe devrait etre dans "systeme32"

tophe03 · Answer

Il n'ya pas de khooker.exe dans system32. Faut-il vraiment le déplacer?
Comment je peux me débarrasser définitivement des lignes 015?
La présence de la ligne 016 est-elle normale? Elle ne s'y trouvait pas hier.

Merci d'avance à tous ceux qui pourront m'aider.

tophe03 · Answer

Depuis avant hier, j'essaie de me débarrasser des lignes 015 dans le log hijackthis. Rien y fait. Elles reviennent toujours. Comment m'en débarrasser définitivement?Merci d'avance.

moe · Answer

salut tophe03

Essayes en faisant:

panneau de config> options internet> sécurité
clic sur "sites de confiances" puis sur le bouton [sites]
et efface les entrées qui correspondent à tes 015 dans hijack.

Redemarre et refais un hijack.

Si tu veux les virer à la main, va voir dans le registre à:
HKCU,"Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges"
HKCU,"Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains"
HKLM,"Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains"
HKLM,"Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges"
Ne supprime que se qui est mentionné dans les 015
Avant d'effacer quoi que se soit, n'oublie pas de faire sauvegarde de la clé que tu vas modifier.(onglet fichier ->exporter)

A+

tophe03 · Answer

re

Dans HKLM,"Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains", j'ai un dossier "frame.crazywinnings.com" dans lequel se trouve "0x00000002 (2)". C'est ce dernier que je dois virer?
Dans HKLM,"Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges", j'ai un dossier "range1" dans lequel se trouvent "0x00000002 (2)" et "206.161.125.149". Je dois aussi virer ces 2 derniers?

Avant de les virer, je les exporte où?

Merci

moe · Answer

re

deploie la cle jusqu'a domain,t oujours sur domain tu fais un clic droit et tu choisis exporter.Enregistre la ou tu veux(dans tes documents, bureau ..)
Donne un nom a ta sauvegarde et valide.
Il te suffiras de double cliquer dessus pour retablir la clé comme elle était avant de supprimer les valeurs.

HKLM,"Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains \-> dans la fenetre de droite, tu fais un clic droit sur crazywinning et choisis supprimer.

Meme topo pour l'ip (206.161.125.149)de l'autre clé.

J'espere que ca suffiras pour virer cette merde..

a+

moe · Answer

ouais vire leje viens de vérifier sur mon registre et j'ai pas mal d'entées moi aussi a cette clé.je vais faire un tour sur google pour voir si c'est normal.

moe · Answer

Pour éviter pas mal de spy de ce type, je serais tenté de te répondre : utilise mozilla et ne surfe plus avec internet explorer(sauf pour tes mises a jour systeme).
Perso, je l'utilise depuis quelques mois, et toujours pas de spywares à l'horizon...

Quand je dis"je vais faire un tour sur google pour voir si c'est normal", je vais rentrer le nom de la clé et me renseigner sur les différent sites qui traite du sujet, histoire de voir si on peut nettoyer la clé de tout les dossiers superflux

J'espere que tes 015 ne reviendront pas.

a+

tophe03 · Answer

Salut à tousEst-il normal d'avoir, dans le log hijackthis,  des lignes 09 du type "Extra buttuon" ou "extra "tools""?Merci

Hijackthis. Et après?

17 réponses

Discussions similaires

Newsletters