High-Tech Santé Médecine Droit-Finances

Auto-Entrepreneur

Comment faire ?

Rechercher : dans
Par :

Aide interpretation analyse Hijack this!!!!

Dernière réponse le 20 jan 2005 à 19:19:09 timberjack, le 19 jan 2005 à 23:57:35 
 Signaler ce message aux modérateurs

Bonsoir, je souhaiterai avoir votre aide pour interpreter un résultat d'analyse Hijack this. Je suis infecté par un trojan downloader win 32 dont je n'arrive pas a me débarrasser !!!Je voudrai simplement savoir quelles sont les opérations a effectuer en fonction du résultat de l'analyse. Voici ma config: P4 2.6 C/ Kaspersky personnal 5.0, Kerio. tourne sous xp pro avec la sp1. Voici mon analyse:Logfile of HijackThis v1.99.0
Scan saved at 22:55:51, on 18/01/2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\System32\Ati2evxx.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\spoolsv.exe
D:\Program Files\Kerio\Personal Firewall\persfw.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\Ati2evxx.exe
D:\WINDOWS\Explorer.EXE
D:\Program Files\Classic PhoneTools\CapFax.EXE
D:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
D:\Program Files\QuickTime\qttask.exe
D:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\bundle.exe
D:\WINDOWS\System32\ctfmon.exe
D:\Program Files\Valve\Steam\Steam.exe
D:\PROGRA~1\INCRED~1\bin\IMApp.exe
D:\WINDOWS\System32\wuauclt.exe
D:\Program Files\Internet Explorer\iexplore.exe
D:\Program Files\WinRAR\WinRAR.exe
D:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\Rar$EX00.094\HijackThis.e­xe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.web--search.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - Default URLSearchHook is missing
O2 - BHO: CDownCom Class - {031B6D43-CBC4-46A5-8E46-CF8B407C1A33} - D:\WINDOWS\Downloaded Program Files\ipreg32.dll (file missing)
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - D:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: (no name) - {0E1230F8-EA50-42A9-983C-D22ABC2EED3B} - (no file)
O4 - HKLM\..\Run: [CapFax] D:\Program Files\Classic PhoneTools\CapFax.EXE
O4 - HKLM\..\Run: [ATIPTA] D:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [NeroFilterCheck] D:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [QuickTime Task] "D:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [loader32] D:\Documents and Settings\Administrateur\Application Data\SysDown\sys03144.exe
O4 - HKLM\..\Run: [SAHBundle] D:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\bundle.exe
O4 - HKLM\..\Run: [KAVPersonal50] D:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe /minimize
O4 - HKLM\..\Run: [Admanager Controller] D:\Program Files\Admanager Controller\AdManCtl.exe
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [IncrediMail] D:\PROGRA~1\INCRED~1\bin\IncMail.exe /c
O4 - HKCU\..\Run: [Steam] D:\Program Files\Valve\Steam\\Steam.exe -silent
O4 - HKCU\..\Run: [NBJ] "D:\Program Files\Ahead\Nero BackItUp\NBJ.exe"
O8 - Extra context menu item: &Add animation to IncrediMail Style Box - D:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - D:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - D:\WINDOWS\web\related.htm
O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/ClickYesToContinue/ie/bridge-c284.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1101329872031
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a936.g.akamai.net/7/936/537/00000002/housecall.antivirus.com/housecall/xscan53.cab
O16 - DPF: {DF4F4ED9-420B-4F40-AEE6-A620460306E7} (CantocheLivingActorInstaller2 Class) - http://ak.cdiscount.com/plug-ins/LivingActorInstaller2.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{4F33CF16-72DF-4B7B-BC46-F78265B0B42E}: NameServer = 213.36.80.1
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - D:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown - D:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Service d'administration du Gestionnaire de disque logique - Unknown - D:\WINDOWS\System32\dmadmin.exe
O23 - Service: Journal des événements - Unknown - D:\WINDOWS\system32\services.exe
O23 - Service: Service COM de gravage de CD IMAPI - Unknown - D:\WINDOWS\System32\imapi.exe
O23 - Service: kavsvc - Kaspersky Lab - D:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe
O23 - Service: Partage de Bureau à distance NetMeeting - Unknown - D:\WINDOWS\System32\mnmsrvc.exe
O23 - Service: DDE réseau - Unknown - D:\WINDOWS\system32\netdde.exe
O23 - Service: DSDM DDE réseau - Unknown - D:\WINDOWS\system32\netdde.exe
O23 - Service: Kerio Personal Firewall - Kerio Technologies - D:\Program Files\Kerio\Personal Firewall\persfw.exe
O23 - Service: Plug-and-Play - Unknown - D:\WINDOWS\system32\services.exe
O23 - Service: Gestionnaire de session d'aide sur le Bureau à distance - Unknown - D:\WINDOWS\system32\sessmgr.exe
O23 - Service: Prise en charge des cartes à puces - Unknown - D:\WINDOWS\System32\SCardSvr.exe
O23 - Service: Carte à puce - Unknown - D:\WINDOWS\System32\SCardSvr.exe
O23 - Service: Journaux et alertes de performance - Unknown - D:\WINDOWS\system32\smlogsvc.exe
O23 - Service: Telnet - Unknown - D:\WINDOWS\System32\tlntsvr.exe
O23 - Service: Cliché instantané de volume - Unknown - D:\WINDOWS\System32\vssvc.exe
O23 - Service: Carte de performance WMI - Unknown - D:\WINDOWS\System32\wbem\wmiapsrv.exe

Merci de votre aide!!!

Posez votre question Répondre

1

Richard1, le 20 jan 2005 à 10:46:51

Bonjour timberjack,

Assure-toi de ne pas être en mode de démarrage sélectif.
Si tu ne comprends pas ma recommandation, laisse faire et continue dans ce que je te suggère:


D:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\bundle.exe = mets un crochet et clic sur Fix Checked pour supprimer


R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.web--search.com = supprime

R3 - Default URLSearchHook is missing = pas dangereux mais supprime quand même

O2 - BHO: CDownCom Class - {031B6D43-CBC4-46A5-8E46-CF8B407C1A33} - D:\WINDOWS\Downloaded Program Files\ipreg32.dll (file missing) = même chose que le precedent fichier = supprime


O3 - Toolbar: (no name) - {0E1230F8-EA50-42A9-983C-D22ABC2EED3B} - (no file = supprime


O4 - HKLM\..\Run: [SAHBundle] D:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\bundle.exe = supprime


O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/ClickYesToContinue/ie/brid­ge-c284.cab = supprime

O16 - DPF: {DF4F4ED9-420B-4F40-AEE6-A620460306E7} (CantocheLivingActorInstaller2 Class) - http://ak.cdiscount.com/plug-ins/LivingActorInstaller2.cab = supprime

Redémarre ton ordinateur.

Bien modestement

Richard1 (Montréal, Canada)

   
Répondre à Richard1

2

dolly.dagger, le 20 jan 2005 à 11:12:46

Hello timberjack

hello richard

si justement il faut absolument cocher
R3 - Default URLSearchHook is missing (redirection automatique) , si cette ligne n'est pas suivi de la mention d'un FAI (wanadoo ou aol utilise cette URL - Copernic aussi)
sinon il sera systèmatiquement redirigé vers l'url infectée
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http$$://www.web--search.com

rajouter ça au fix

les lignes 04, il faut arrêter les processus (ctrl/alt/supp) avant de repasser sur le log et de fixer les lignes
O4 - HKLM\..\Run: [Admanager Controller] D:\Program Files\Admanager Controller\AdManCtl.exe<--x variantes de Wupdate

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - D:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - D:\WINDOWS\web\related.htm <--adware Alexa Related, pas virulent mais bon! , se corrige (et recorrige/revient régulièrement parfois) avec Ad-Aware SE


Bonne journée ^_^


*Devise : Je m'intéresse à l'avenir parceque
c'est là que je vais passer le reste de ma vie*

   
Répondre à dolly.dagger

3

Richard1, le 20 jan 2005 à 11:33:04

Grand bonjour à Dolly.dagger,

Je ne croyais sincèrement pas que le fait d'être dirigé vers un lien forçait automatiquement l'ouverture d'un autre lien.

J'ai un sérieux doûte à ce sujet...
Mais, étant donné que tu me le confirmes, je m'écrase sans honte ni gêne.

Je suis ici pour aider du mieux que je peux et AUSSI pour apprendre et je t'en remercie SINCÈREMENT.

C'est avec des claques sur les doigts qu'on apprend de temps en temps. Merci Dolly.dagger pour ton aimable intervention.

Bien modestement

Richard1

   
Répondre à Richard1

4

dolly.dagger, le 20 jan 2005 à 11:48:47

Si si ^_^

*Pour les éléments R3, corrigez les toujours sauf si çà concerne un programme que vous reconnaissez, comme Copernic.*
http://www.zebulon.fr/articles/HijackThis.php
http://www.spywareinfo.com/~merijn/htlogtutorial.html

- ceci dit Copernic jamais vu perso à cet emplacement, juste en 03 ToolBar ; par contre wanadoo et aol, 2 logiciels propriétaires qui squattent ici, vu! yep!

2 avis valent mieux qu'un, c'est un forum d'entraide, alors profitons d'échanger nos savoirs :-)


*Devise : Je m'intéresse à l'avenir parceque
c'est là que je vais passer le reste de ma vie*

   
Répondre à dolly.dagger

5

Richard1, le 20 jan 2005 à 11:52:31

OK ( J'apprécie ta réponse)
Richard1

   
Répondre à Richard1

6

Timberjack, le 20 jan 2005 à 12:55:24

Bonjour a Richard1 et a tous ceux qui viennent m'aider !!! Ayez l('obligeance d'excuser mon ignorance mais je ne sais pas ou l'on doit se rendre pour supprimer les infos, faut-il suivre les liens retourner dans le programme Hijack? J'ai essayé d'acceder aux adresses infectées par l'intermediaire de mon poste de travail, mais n'y suis pas arrivé. J'attends un petit coup de pouce un peu plus explicite de votre part mais je ne souhaite pas abuser de votre temps ainsi que de votre gentillesse. EN tous cas, merci a tous pour votre disponibilité et votre savoir faire. A plus tard..........

   
Répondre à Timberjack

9

 Richard1, le 20 jan 2005 à 19:19:09

Bonjour dolly.dagger,

Merci pour les deux liens d'informations.
Le premier: je l'ai depuis longtemps mais je ne m'y réfère pas souvent malheureusement.

Le deuxième: Dire que je communique avec le patron depuis quelque temps pour franciser une partie de son site et que je ne pense pas à y visionner l'information qui est la sienne.

Ton message me réveille. Merci!

Bien amicalement

Richard1

   
Répondre à Richard1

7

dolly.dagger, le 20 jan 2005 à 13:20:32

Regarde comment on fait ici

(screenshot)
http://www.bleepingcomputer.com/forums/index.php?showtutoria­l=42
http://www.ordi-netfr.org/tutorialhijackthis.html <- en français

*ferme TOUS les programmes
*fixe(cochez les cases) les lignes trouvées dans l'hijack
*ferme l'hijack
*reboot ton ordi
*nettoie le cache internet (options internet : supprimer cookies et temps) vide ta corbeille
*effectue un nettoyage de disque (démarrer/program./accessoires/outils système/répondre OK à TOUT)

les liens c'était pour richard, mais tu peux les consulter aussi si tu veux, ce sont les tutos hijack


*Devise : Je m'intéresse à l'avenir parceque
c'est là que je vais passer le reste de ma vie*

   
Répondre à dolly.dagger

8

nicolas foa, le 20 jan 2005 à 17:28:17

Salut dolly dagger, j'ai suivi tes instructions fidelement mais je n'arrive pas a faire apparaitre les lignes D:/docume..... et D:/windos....... afin de pouvoir les cocher pour les faire disparaitre, mon log avec les cases a cocher ne commence qu' a partir de R0. Comment dois-je faire ? Merci encore pour ton aide précieuse !!! Amicalement. Nicolas.

   
Répondre à nicolas foa
Posez votre question Répondre
Ils ont besoin de votre aide