HijackThis v1.97.7 <-- version périmée

recommence
http://www.zebulon.fr/articles/HijackThis.php


sûr et certain que Spybot est bien à jour??


*Devise : Je m'intéresse à l'avenir parceque
c'est là que je vais passer le reste de ma vie*

Spybot est ok je viens d'essayer spytract et apparemment plus de favoris indesirables ni de coolwwwsearch mais pour combien de tps?? lol

merci pour la version
Logfile of HijackThis v1.98.2
Scan saved at 13:54:41, on 19/11/2004
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\sgbzyf5k9m7g.exe
C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
C:\Program Files\InterMute\SpySubtract\SpySub.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\wuauclt.exe
C:\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.msn.fr/Default.asp?Ath=f
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: (no name) - {467FAEB2-5F5B-4c81-BAE0-2A4752CA7F4E} - C:\WINDOWS\system32\gvsf9oho1iz.dll
O4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Program Files\Fichiers communs\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot
O4 - HKLM\..\Run: [PDF Converter Registry Controller] "C:\Program Files\ScanSoft\PDFConverter 2.0 Professional\PDFConv\\RegistryController.exe"
O4 - HKLM\..\Run: [Security iGuard] C:\Program Files\Security iGuard\Security iGuard.exe
O4 - HKLM\..\Run: [Network Security Guard] C:\WINDOWS\System32\sgbzyf5k9m7g.exe
O4 - HKLM\..\Run: [Disc Detector] C:\Program Files\Creative\ShareDLL\CtNotify.exe
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [cleaner] C:\WINDOWS\System32\clv0ayv9y8w9.exe
O4 - HKLM\..\Run: [Register MediaRing Talk] C:\Program Files\MediaRing Talk\register.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [uninstal] regsvr32 /u /s image.dll
O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Desktop Messenger\8876480\Program\LDMConf.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: SpySubtract.lnk = C:\Program Files\InterMute\SpySubtract\SpySub.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Ouvrir le fichier PDF dans Word (PDF Converter 2.0) - res://C:\Program Files\ScanSoft\PDFConverter 2.0 Professional\PDFConv\IEShellExt.dll /300
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {9EB320CE-BE1D-4304-A081-4B4665414BEF} - http://www.mt-download.com/MediaTicketsInstaller.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = capmethodes.local
O17 - HKLM\Software\..\Telephony: DomainName = capmethodes.local
O20 - AppInit_DLLs: zgv8ud4cbx3.tlb f2znukhhro3.tlb du6w23824fcui.tlb ntihguzhz4m.tlb dvb94di1d95.tlb 8nz9zl1s3xn.tlb t062jw7m2iom.tlb 31s4otoz3h6.tlb ce2up1lipmhe8i.tlb ooitv7omkbot63.tlb 49oa9t73bc.tlb nr67ejabyvr98b.tlb d538oo1k3kv.tlb 6urkscp41z.tlb 9tlz9y27r4onsf.tlb y0z0x477wlnu34.tlb a9nsifbg9s7.tlb 9ajhl6tf9pu.tlb 8uh8xz6u6yf5.tlb 1k4z8lntkkt8dy.tlb g5ufvogeyu6pv.tlb 668hxv0t05s8.tlb 4i5fyatc8pk.tlb zbt86mr9u1uw.tlb d6gnup1ve6.tlb 0sukzhrxfw8v9f.tlb 1d5pg00ujn.tlb 4el42k2h8ijkxj.tlb 75nklhltox.tlb n33hxwuklp2.tlb knb2ohcrx8m.tlb 1bbuoo0yr6u.tlb y91in6wt88.tlb 9jml4jw7t48m4o.tlb tztwi3dp7pzf.tlb 5p88bh42jm4j4.tlb rih76o9ov7wkgt.tlb 03ooosfitlmw0o.tlb 858dgze9yeldg.tlb 4ovaor4v0vj.tlb

Re

fixe
O2 - BHO: (no name) - {467FAEB2-5F5B-4c81-BAE0-2A4752CA7F4E} - C:\WINDOWS\system32\gvsf9oho1iz.dll
<--google = 0!
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O16 - DPF: {9EB320CE-BE1D-4304-A081-4B4665414BEF} - http://www.mt-download.com/MediaTicketsInstaller.cab

ouille-ouille! t'as vu le nombre?

O20 - AppInit_DLLs: zgv8ud4cbx3.tlb f2znukhhro3.tlb du6w23824fcui.tlb ntihguzhz4m.tlb dvb94di1d95.tlb 8nz9zl1s3xn.tlb t062jw7m2iom.tlb 31s4otoz3h6.tlb ce2up1lipmhe8i.tlb ooitv7omkbot63.tlb 49oa9t73bc.tlb nr67ejabyvr98b.tlb d538oo1k3kv.tlb 6urkscp41z.tlb 9tlz9y27r4onsf.tlb y0z0x477wlnu34.tlb a9nsifbg9s7.tlb 9ajhl6tf9pu.tlb 8uh8xz6u6yf5.tlb 1k4z8lntkkt8dy.tlb g5ufvogeyu6pv.tlb 668hxv0t05s8.tlb 4i5fyatc8pk.tlb zbt86mr9u1uw.tlb d6gnup1ve6.tlb 0sukzhrxfw8v9f.tlb 1d5pg00ujn.tlb 4el42k2h8ijkxj.tlb 75nklhltox.tlb n33hxwuklp2.tlb knb2ohcrx8m.tlb 1bbuoo0yr6u.tlb y91in6wt88.tlb 9jml4jw7t48m4o.tlb tztwi3dp7pzf.tlb 5p88bh42jm4j4.tlb rih76o9ov7wkgt.tlb 03ooosfitlmw0o.tlb 858dgze9yeldg.tlb 4ovaor4v0vj.tlb <-- Translation Lookaside Buffer?

fixe cette ligne qui a l'air plus que suspecte et si tu rencontres un problème quelconque, reverse la ligne par le biais du *Backup (sauvegarde) d'Hijack
(screenshot)<--*
http://www.ordi-netfr.org/tutorialhijackthis.html

utilise SpywareBlaster, tu le trouves dans Spybot 1.3 aussi ça va t'empêcher l'installation des activX des spywares
http://www.ordi-netfr.org/tutorialspywareblaster.html

+ la machine virtuelle de Java de Microsoft à remplacer par celle de Sun
*CoolWebSearch est un nom générique donné à tout un éventail de hijackers. Son installation exploite 2 failles de sécurité de la machine virtuelle Java de Microsoft corrigées de longue date:
la vulnérabilité ByteCodeVerifier dont le patch est pourtant disponible. Lire "ByteVerify exploit in the MS Java VM" dans le MS-security bulletin 03-011. Lire également Java.Shinwow.*
attaquants>coolwebsearch
http://assiste.free.fr/p/frameset/12.php

Java M$ vs Sun
http://www.pcastuces.com/pratique/internet/ie/java.htm
Sun J2SE v 1.4.2_06 JRE<--dernière version patchée
http://java.sun.com/j2se/1.4.2/download.html

avec tout ça tu seras à l'abri de CWS @+


*Devise : Je m'intéresse à l'avenir parceque
c'est là que je vais passer le reste de ma vie*

Merci pour ton aide precieuse....c super sympa
@+

J'ai cherché sur Google : résultats : 0
O20 - AppInit_DLLs: zgv8ud4cbx3.tlb f2znukhhro3.tlb du6w23824fcui.tlb ntihguzhz4m.tlb dvb94di1d95.tlb 8nz9zl1s3xn.tlb .....
peut être Spytract qui a rajouté ça, je sais pas du tout, fait comme plus haut, fixe et reverse la ligne si ça merdoie ^_^

sur le tuto Hijack :
O20 - Valeur de Registre AppInit_DLLs en démarrage automatique (des tlb???)
Ce à quoi çà ressemble :
O20 - AppInit_DLLs: msconfd.dll
Que faire :
Cette valeur de la base de Registre située dans HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows charge une DLL en mémoire lorsque l'utilisateur se loggue, après quoi elle y reste jusqu'au logoff. Très peu de programmes réguliers l'utilise (Norton CleanSweep emploie APITRAP.DLL), le plus souvent elle est utilisée par des chevaux de Troie ou des pirates de navigateurs agressifs.
Dans le cas de DLL 'cachée' se chargeant à partir de cette valeur de Registre (visible seulement quand on utilise la fonction d'édition de donnée binaire de Regedit), le nom de la dll peut être précédé d'un caractère 'pipe' | pour la rendre visible dans le log.


@+


*Devise : Je m'intéresse à l'avenir parceque
c'est là que je vais passer le reste de ma vie*

J'ai regarde dans mon registre mais pas trouve de dll ds HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows
j'espere que c partie...
merci @+

Salut

C:\WINDOWS\System32\sgbzyf5k9m7g.exe

avec un nom comme ca..............mefiance,mefiance.........

Ah bon tu crois?

Ca n'appartient ni au systeme,ni a une application.......

pour le moment vois si tout marche comme tu veux,et sinon penser a se rabattre sur lui(terminer ce processus et peut etre supprimer le fichier correspondant)

Ah ok donc si les pb continus je le supp alors merci

Par contre qd je re scan avec hijack ca me remets des fichiers 020 .tlb et O2 - BHO: (no name) - {467FAEB2-5F5B-4c81-BAE0-2A4752CA7F4E} - C:\WINDOWS\system32\gvsf9oho1iz.dll

Fixes le et supprimes le fichier s'il est toujours dans system 32 puis reverifies......

Peux pas le supp acces refuse
j'en ai plein ds systeme 32 des comme ca exemple



6xrxgp0v09e2nwb.exe
6xrxgp0v09e2nwb.exe
7xrivrddpaw.exe
8rh5gishglp5m.exe

Logfile of HijackThis v1.98.2
Scan saved at 16:08:02, on 19/11/2004
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\sgbzyf5k9m7g.exe
C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
C:\Program Files\InterMute\SpySubtract\SpySub.exe
C:\Program Files\AutoCAD LT 2004\aclt.exe
C:\Program Files\Fichiers communs\Autodesk Shared\WSCommCntr1.exe
C:\WINDOWS\System32\sgbzyf5k9m7g.exe
C:\WINDOWS\System32\sgbzyf5k9m7g.exe
C:\WINDOWS\System32\sgbzyf5k9m7g.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\System32\sgbzyf5k9m7g.exe
C:\HijackThis.exe
C:\WINDOWS\system32\NOTEPAD.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.msn.fr/Default.asp?Ath=f
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: (no name) - {467FAEB2-5F5B-4c81-BAE0-2A4752CA7F4E} - C:\WINDOWS\system32\gvsf9oho1iz.dll
O4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Program Files\Fichiers communs\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot
O4 - HKLM\..\Run: [PDF Converter Registry Controller] "C:\Program Files\ScanSoft\PDFConverter 2.0 Professional\PDFConv\\RegistryController.exe"
O4 - HKLM\..\Run: [Security iGuard] C:\Program Files\Security iGuard\Security iGuard.exe
O4 - HKLM\..\Run: [Network Security Guard] C:\WINDOWS\System32\sgbzyf5k9m7g.exe
O4 - HKLM\..\Run: [Disc Detector] C:\Program Files\Creative\ShareDLL\CtNotify.exe
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [cleaner] C:\WINDOWS\System32\clv0ayv9y8w9.exe
O4 - HKLM\..\Run: [Register MediaRing Talk] C:\Program Files\MediaRing Talk\register.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [uninstal] regsvr32 /u /s image.dll
O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Desktop Messenger\8876480\Program\LDMConf.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: SpySubtract.lnk = C:\Program Files\InterMute\SpySubtract\SpySub.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Ouvrir le fichier PDF dans Word (PDF Converter 2.0) - res://C:\Program Files\ScanSoft\PDFConverter 2.0 Professional\PDFConv\IEShellExt.dll /300
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = capmethodes.local
O17 - HKLM\Software\..\Telephony: DomainName = capmethodes.local
O20 - AppInit_DLLs: c56ssib77xv.tlb
ca n'arrete pas a chq scan

Re

accès refusé : tu dois te donner la main sur tous les fichiers M$
affiche les dossiers cachés :
Clique sur "Démarrer" >> "Panneau de Configuration" >> "Options des Dossiers"
Clique sur l'onglet "Affichage">> Dans la liste des "Paramètre avancés", sous la rubrique "Fichiers et dossiers cachés">> coche "Afficher les fichiers et dossiers cachés"
Pour afficher les autres fichiers cachés>> décoche la case "Masquer les fichiers protégés du système d'exploitation (recommandé)" *

supprime-les fichiers vérolés dans le stystem32 à la main ou en mode sans échec pour plus de réussite, la restauration système désactivée

C:\WINDOWS\System32\sgbzyf5k9m7g.exe
C:\WINDOWS\System32\sgbzyf5k9m7g.exe
C:\WINDOWS\System32\sgbzyf5k9m7g.exe
C:\WINDOWS\System32\sgbzyf5k9m7g.exe
C:\WINDOWS\System32\sgbzyf5k9m7g.exe <-- c'est la même exe, peut être qu'elle se multiplie au reboot aussi, faut faire gaffe

O2 - BHO: (no name) - {467FAEB2-5F5B-4c81-BAE0-2A4752CA7F4E} - C:\WINDOWS\system32\gvsf9oho1iz.dll <--recherche cette dll idem


*Devise : Je m'intéresse à l'avenir parceque
c'est là que je vais passer le reste de ma vie*

Ok ,je serais d'avis de tous les supprimer en mode sans echec(des l'allumage du pc presser F8)puis de reHijack et les refixer , mais en meme temps je peux pas affirmer qu'ils soient nocifs........si tu n'as plus le pb de CWSEARCH,alors a toi de prendre la decision......

Ok je le fais de suite et c'est fichier dans c/windows je les supp ou pas?
6xrxgp0v09e2nwb.exe
6xrxgp0v09e2nwb.exe
7xrivrddpaw.exe
8rh5gishglp5m.exe

......supprimes....

Ok je le fais