Balltrap i need your help

Résolu
stef69 -  
J'ai fait tourner adaware et spybot;je viens de lancer HIJACK THIS et voici le résultat:Logfile of HijackThis v1.99.1
Scan saved at 15:03:31, on 25/06/2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\SYS\WINDOWS\System32\smss.exe
C:\SYS\WINDOWS\system32\csrss.exe
C:\SYS\WINDOWS\system32\winlogon.exe
C:\SYS\WINDOWS\system32\services.exe
C:\SYS\WINDOWS\system32\lsass.exe
C:\SYS\WINDOWS\system32\ibmpmsvc.exe
C:\SYS\WINDOWS\system32\svchost.exe
C:\SYS\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
C:\SYS\WINDOWS\system32\spoolsv.exe
C:\Program Files\NavNT\Symantec antivirus\DefWatch.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\NetbackupPC\System\NBPClientSvcush.exe
C:\SYS\PSA\PsaSce1.exe
C:\SYS\WINDOWS\system32\regsvc.exe
C:\SYS\WINDOWS\system32\MSTask.exe
c:\sys\psa\pv3agcg.exe
C:\SYS\WINDOWS\system32\stisvc.exe
C:\Program Files\NavNT\Symantec antivirus\Rtvscan.exe
c:\sys\psa\pv3ag6.exe
C:\Program Files\Common Files\VERITAS Shared\ChangeLog\VChangeLogSvcu.exe
C:\SYS\WINDOWS\System32\WBEM\WinMgmt.exe
C:\SYS\WINDOWS\system32\mspmspsv.exe
C:\SYS\WINDOWS\system32\shnlog.exe
C:\SYS\WINDOWS\system32\intmon.exe
C:\SYS\WINDOWS\popuper.exe
C:\SYS\WINDOWS\system32\msole32.exe
C:\SYS\WINDOWS\AGRSMMSG.exe
C:\SYS\WINDOWS\system32\igfxtray.exe
C:\SYS\WINDOWS\system32\hkcmd.exe
C:\SYS\WINDOWS\system32\tp4serv.exe
C:\Program Files\AVENCIS\SSOX\watcher.exe
C:\PROGRA~1\ACDSYS~1\DEVDET~1\DEVDET~1.EXE
C:\SYS\WINDOWS\system32\rundll32.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\PROGRA~1\NavNT\SYMANT~1\VPTray.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\Sys\Pcom\tpam.exe
C:\SYS\WINDOWS\system32\qttask.exe
C:\Program Files\Roxio\Easy Media Creator 7\Drag to Disc\DrgToDsc.exe
C:\Program Files\Common Files\Roxio Shared\Project Selector\projselector.exe
C:\Program Files\Roxio\Easy CD Creator 6\AudioCentral\RxMon.exe
C:\Program Files\AntivirusGold\AntivirusGold.exe
C:\SYS\WINDOWS\system32\ctfmon.exe
C:\Program Files\AntivirusGold\AntivirusGold.exe
C:\Program Files\Roxio\Easy CD Creator 6\AudioCentral\Playlist.exe
C:\Program Files\OLYMPUS\CAMEDIA Master 4.1\CM_camera.exe
C:\Program Files\NetbackupPC\NBPClientush.exe
C:\user\U007113\Images\FotoStation Easy AutoLaunch.exe
C:\SYS\WINDOWS\system32\intmonp.exe
C:\SYS\WINDOWS\explorer.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\u007113\Desktop\pc infect\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.oneclicksearches.com/search.php?qq=%1
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.oneclicksearches.com/bar.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.oneclicksearches.com/search.php?qq=%1
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://home.free.fr/
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.oneclicksearches.com/search.php?qq=%1
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.oneclicksearches.com/search.php?qq=%1
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.oneclicksearches.com/search.php?qq=%1
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://www.oneclicksearches.com/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer fourni par PSA Peugeot - Citroën
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http.internetpsa.inetpsa.com:80
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = ;*.inetpsa.;<local>
F2 - REG:system.ini: UserInit=c:\sys\psa\prof.exe /userinit
O2 - BHO: VMHomepage Class - {FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFA} - C:\SYS\WINDOWS\system32\hp8176.tmp
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\SYS\WINDOWS\system32\msdxm.ocx
O3 - Toolbar: My &Search Bar - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} - C:\Program Files\MyWay\myBar\1.bin\MYBAR.DLL
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O3 - Toolbar: Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\ycomp5_5_7_0.dll (file missing)
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [IgfxTray] C:\SYS\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\SYS\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [TrackPointSrv] tp4serv.exe
O4 - HKLM\..\Run: [PSAPI_Prof] c:\sys\psa\prof.exe
O4 - HKLM\..\Run: [PV3MonitorV2] c:\sys\psa\PV3AgCG.exe
O4 - HKLM\..\Run: [_SSOX] "C:\Program Files\AVENCIS\SSOX\watcher.exe"
O4 - HKLM\..\Run: [Pshare] wscript.exe "c:\sys\psa\Pshare.vbs"
O4 - HKLM\..\Run: [ZInfoPeriph] c:\sys\psa\PV3Wait2InfoPeriph.exe
O4 - HKLM\..\Run: [parampdm] C:\SYS\psa\NetMeetingBUR\parampdm1nt5.exe /Q/S
O4 - HKLM\..\Run: [Camera Detector] C:\PROGRA~1\ACDSYS~1\DEVDET~1\DEVDET~1.EXE -autorun
O4 - HKLM\..\Run: [New.net Startup] rundll32 C:\PROGRA~1\NEWDOT~1\NEWDOT~2.DLL,NewDotNetStartup -s
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [vptray] C:\PROGRA~1\NavNT\SYMANT~1\VPTray.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [Tpam.exe] "C:\Sys\Pcom\tpam.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\SYS\WINDOWS\system32\qttask.exe" -atboottime
O4 - HKLM\..\Run: [RoxioDragToDisc] "C:\Program Files\Roxio\Easy Media Creator 7\Drag to Disc\DrgToDsc.exe"
O4 - HKLM\..\Run: [projselector] "C:\Program Files\Common Files\Roxio Shared\Project Selector\projselector.exe" -r
O4 - HKLM\..\Run: [RoxioEngineUtility] "C:\Program Files\Common Files\Roxio Shared\System\EngUtil.exe"
O4 - HKLM\..\Run: [RoxioAudioCentral] "C:\Program Files\Roxio\Easy CD Creator 6\AudioCentral\RxMon.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_06\bin\jusched.exe
O4 - HKLM\..\Run: [RegSvr32] C:\SYS\WINDOWS\system32\msmsgs.exe
O4 - HKLM\..\Run: [AntivirusGold] C:\Program Files\AntivirusGold\AntivirusGold.exe /h
O4 - HKLM\..\RunOnce: [AAW] "C:\PROGRA~1\Lavasoft\AD-AWA~1\Ad-Aware.exe" "+b1"
O4 - HKCU\..\Run: [ctfmon.exe] ctfmon.exe
O4 - HKCU\..\Run: [Yahoo! Pager] C:\Program Files\Yahoo!\Messenger\ypager.exe -quiet
O4 - HKCU\..\Run: [Intel system tool] C:\SYS\WINDOWS\system32\hookdump.exe
O4 - Global Startup: CAMEDIA Master.lnk = OLYMPUS\CAMEDIA Master 4.1\CM_camera.exe
O4 - Global Startup: Client NetBackup Professional.lnk = NetbackupPC\NBPClientush.exe
O4 - Global Startup: FotoStation Easy AutoLaunch.lnk = C:\user\U007113\Images\FotoStation Easy AutoLaunch.exe
O8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MsOffice\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Pages liées - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Pages similaires - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.html
O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://c:\program files\google\GoogleToolbar2.dll/cmcache.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\SYS\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\SYS\WINDOWS\System32\msjava.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MsOffice\OFFICE11\REFIEBAR.DLL
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O14 - IERESET.INF: START_PAGE_URL=http://home.free.fr/
O15 - Trusted Zone: http://pyaieb.inetpsa.com
O16 - DPF: {1E2941E3-8E63-11D4-9D5A-00902742D6E0} (iNotes Class) - https://portail.inetpsa.com/http://MAILZ7.DOMINO.inetpsa.com/iNotes.cab
O16 - DPF: {9b935470-ad4a-11d5-b63e-00c04faedb18} (Oracle JInitiator 1.1.8.16) -
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = inetpsa.com
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = inetpsa.com
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = inetpsa.com
O20 - Winlogon Notify: atmgrtok - atmgrtok.dll (file missing)
O20 - Winlogon Notify: igfxcui - C:\SYS\WINDOWS\SYSTEM32\igfxsrvc.dll
O20 - Winlogon Notify: NavLogon - C:\SYS\WINDOWS\system32\NavLogon.dll
O20 - Winlogon Notify: pcsinst - C:\SYS\WINDOWS\SYSTEM32\pcsinst.dll
O23 - Service: AppnNode - IBM Corporation - C:\SYS\WINDOWS\system32\Drivers\appnnode.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
O23 - Service: Symantec AntiVirus Definition Watcher (DefWatch) - Symantec Corporation - C:\Program Files\NavNT\Symantec antivirus\DefWatch.exe
O23 - Service: Logical Disk Manager Administrative Service (dmadmin) - VERITAS Software Corp. - C:\SYS\WINDOWS\System32\dmadmin.exe
O23 - Service: IBM PM Service (IBMPMSVC) - Unknown owner - C:\SYS\WINDOWS\system32\ibmpmsvc.exe
O23 - Service: IBM Enterprise Extender (ldlcserv) - IBM Corporation - C:\SYS\WINDOWS\system32\Drivers\ldlcserv.exe
O23 - Service: Service du client VERITAS NetBackup Professional (NBPClientSvc) - VERITAS Software Corporation - C:\Program Files\NetbackupPC\System\NBPClientSvcush.exe
O23 - Service: PsaSce1 - PSA Peugeot Citroën - C:\SYS\PSA\PsaSce1.exe
O23 - Service: SAVRoam (SavRoam) - symantec - C:\Program Files\NavNT\Symantec antivirus\SavRoam.exe
O23 - Service: Inforeseau CISCO (Situation) - Unknown owner - C:\SYS\WINDOWS\Situation.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec AntiVirus - Symantec Corporation - C:\Program Files\NavNT\Symantec antivirus\Rtvscan.exe
O23 - Service: Utilitaire de trace IBM (TrcBoot) - Unknown owner - C:\SYS\WINDOWS\system32\Drivers\trcboot.exe (file missing)
O23 - Service: VERITAS NetBackup Professional Persistent Change Journal Service (VChangeLogSvc) - VERITAS Software Corporation - C:\Program Files\Common Files\VERITAS Shared\ChangeLog\VChangeLogSvcu.exe

86 réponses

Résumé de la discussion

La problématique porte sur une infection potentielle après l'exécution d'AdAware et Spybot, le fichier HijackThis rapportant de nombreuses modifications du navigateur et des services système. Le log détaille notamment des paramètres modifiés (pages d'accueil et proxy), des barres d'outils et des éléments de démarrage qui semblent indésirables, ainsi que des services et composants réseaux potentiellement malveillants. Parmi les pistes évoquées, plusieurs répondants suggèrent de reprendre la procédure de nettoyage en mode sans échec pour supprimer les fichiers indésirables, et de traiter les éléments détectés dans l'ordre recommandé. D'autres mentionnent l'utilisation de SmitFraud et soulignent des indices comme des exécutions automatisées, des entrées de registre modifiées et des composants tels que New.Net, suggérant une approche combinée de suppression et de vérification.

Bobot (l’IA à votre service)
  1. balltrap34 Contributeur sécurité
    merci cela fait plaisir de voir qu ont se demene pas pour rien
    1. Utilisateur anonyme
      si si c est simpa ce que tu fais !!
      ben je penses oui d apres le <75> lol
      ------>resolu donc

      a bientot balltrap, t es super :-)
      1. balltrap34 Contributeur sécurité
        de rien
        bonjour la derive du post je crois qu il est resolu?
        3. balltrap34 Contributeur sécurité
          lol j ai rectif je te l est mis haut dessus
          1. Utilisateur anonyme
            ca c est la demo oui, elle marche mais le lien pour le telecharger que je voudrais en fait, tu vois? merci
            2. Utilisateur anonyme
              ok merci,
              par contre pour le lien de clean up que je met lors de l analyse hijack this ne marche pas, normal? celui qui provient de ton site?
              tu peux me remettre le lien? je remet tout a neuf lol
              1. balltrap34 Contributeur sécurité
                oki des que je les moditie je te tient au courant
                de toutes facon il garderont le meme lien donc quand tu les citera
                si je les est modifier tu auras direct la modif
                1. Utilisateur anonyme
                  fais moi signe si tu les ameliore :-)
                  c est bien pense, comme ca pas besoin d expliquer 10ans et c est du concret, direct les gens pigent lol
                  1. balltrap34 Contributeur sécurité
                    no soucis c est les premieres je les ameliorerais
                    3. Utilisateur anonyme
                      mais si, un peu de reconnaissance pour ce travail formidable
                      toi c est ? celle d hijack this
                      moe c est ad aware?

                      a+
                      2. Utilisateur anonyme
                        ok merci balltrap
                        je vais indiqué que cela provient de toi quand meme lol

                        a++
                        1. balltrap34 Contributeur sécurité
                          pour steph
                          merci a++

                          pour regis
                          oui tous se que je met sur le forum vous pouvez vous en servir
                          sans me demander
                          1. Utilisateur anonyme
                            salut moe, balltrap
                            pour vos 2 demos, peux ton s en servir pour les mettre lorsque nous proposons hijack et le logiciel ad aware?

                            merci de me repondre

                            a+
                            1. balltrap34 Contributeur sécurité
                              merci
                              1. stef69 Auteur
                                Balltrap,Moe je tenais à vous exprimer toute ma gratitude pour les competence que vous mettez à la dispo des debutants comme des plus chevronnés;vraiment chapeau bas.Merci.
                                A bient'
                                Stef
                            • 1
                            • 2
                            • 3
                            • 4
                            • 5

                            Discussions similaires

                            Comment faire un i tréma
                            Johanna

                            11 réponses
                            Page bleue : your PC ran into a problem and needs to restart
                            pitchalou

                            2 réponses
                            ''e'' et ''i'' Tréma
                            Rick

                            7 réponses
                            Bouton ON/OFF : O ou I, quel côté est allumé
                            Stargirlfr

                            12 réponses
                            i tréma
                            Anonyme

                            6 réponses