besoin d'aide - faux anti spy ware analyse rapport hitjackth

Murielle la puce · le 03 Sep 2008 07:36

bonjour
merci d'avance pour votre aide..

depuis ce matin un faux spyware m'a infecté.
j'ai téléchargé hijackthis, installé et voici le rapport..

Code: Tout sélectionner: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 08:28:28, on 03/09/2008 Platform: Windows Vista SP1 (WinNT 6.00.1905) MSIE: Internet Explorer v7.00 (7.00.6001.18000) Boot mode: Normal Running processes: C:Windowssystem32Dwm.exe C:Windowssystem32 askeng.exe C:WindowsExplorer.EXE C:Program FilesGrisoftAVG7avgcc.exe C:Program FilesOrangeHSSSystraySystrayApp.exe C:WindowsRtHDVCpl.exe C:Program FilesPC Tools Firewall PlusFirewallGUI.exe C:Program FilesWindows Sidebarsidebar.exe C:Windowsehomeehtray.exe C:Program FilesSpybot - Search & DestroyTeaTimer.exe C:Windowsehomeehmsas.exe C:UsersmoiAppDataLocaljfavr.exe C:PROGRA~1COMMON~1France TelecomShared ModulesAlertModule6AlertModule.exe C:AcerEmpowering TechnologyACER.EMPOWERING.FRAMEWORK.SUPERVISOR.EXE C:AcerEmpowering TechnologyeRecoveryERAGENT.EXE C:Program FilesOrangeHSSLauncherLauncher.exe C:Program FilesOrangeHSSconnectivityconnectivitymanager.exe C:Program FilesOrangeHSSDeskboarddeskboard.exe C:Program FilesOrangeHSSconnectivityCoreComCoreCom.exe C:Program FilesOrangeHSSconnectivityCoreComOraConfigRecover.exe C:PROGRA~1COMMON~1France TelecomShared ModulesFTCOMModule\0FTCOMModule.exe C:WindowsSystem32mobsync.exe C:Program FilesOrangeHSSrowserrowser.exe C:Windowssystem32SearchFilterHost.exe C:Program FilesTrend MicroHijackThisHijackThis.exe R1 - HKCUSoftwareMicrosoftInternet ExplorerMain,Search Page = http://fr.rd.yahoo.com/customize/ycomp/defaults/sp/*http://fr.yahoo.com R0 - HKCUSoftwareMicrosoftInternet ExplorerMain,Start Page = http://www.orange.fr/ R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Page_URL = http://fr.fr.acer.yahoo.com R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLMSoftwareMicrosoftInternet ExplorerMain,Start Page = http://fr.fr.acer.yahoo.com R0 - HKLMSoftwareMicrosoftInternet ExplorerSearch,SearchAssistant = R0 - HKLMSoftwareMicrosoftInternet ExplorerSearch,CustomizeSearch = R1 - HKCUSoftwareMicrosoftInternet ExplorerSearchURL,(Default) = http://fr.rd.yahoo.com/customize/ycomp/defaults/su/*http://fr.yahoo.com R0 - HKCUSoftwareMicrosoftInternet ExplorerToolbar,LinksFolderName = R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:Program FilesOrangeHSSSearchURLHookSearchPageURL.dll O1 - Hosts: ::1 localhost O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:Program FilesAdobeAcrobat 7.0ActiveXAcroIEHelper.dll O2 - BHO: (no name) - {1E8A6170-7264-4D0F-BEAE-D42A53123C75} - c:Program FilesCommon FilesSymantec SharedcoSharedBrowser1.0NppBho.dll O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:Program FilesSpybot - Search & DestroySDHelper.dll O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file) O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:Program FilesCommon FilesMicrosoft SharedWindows LiveWindowsLiveLogin.dll O3 - Toolbar: Acer eDataSecurity Management - {5CBE3B7C-1E47-477e-A7DD-396DB0476E29} - C:Windowssystem32eDStoolbar.dll O3 - Toolbar: Show Norton Toolbar - {90222687-F593-4738-B738-FBEE9C7B26DF} - c:Program FilesCommon FilesSymantec SharedcoSharedBrowser1.0UIBHO.dll O4 - HKLM..Run: [AVG7_CC] C:PROGRA~1GrisoftAVG7avgcc.exe /STARTUP O4 - HKLM..Run: [SystrayORAHSS] "C:Program FilesOrangeHSSSystraySystrayApp.exe" O4 - HKLM..Run: [RtHDVCpl] RtHDVCpl.exe O4 - HKLM..Run: [00PCTFW] "C:Program FilesPC Tools Firewall PlusFirewallGUI.exe" -s O4 - HKCU..Run: [Sidebar] C:Program FilesWindows Sidebarsidebar.exe /autoRun O4 - HKCU..Run: [ehTray.exe] C:WindowsehomeehTray.exe O4 - HKCU..Run: [SpybotSD TeaTimer] C:Program FilesSpybot - Search & DestroyTeaTimer.exe O4 - HKCU..Run: [jfavr] "c:usersmoiappdatalocaljfavr.exe" jfavr O4 - HKUSS-1-5-19..Run: [Sidebar] %ProgramFiles%Windows SidebarSidebar.exe /detectMem (User 'SERVICE LOCAL') O4 - HKUSS-1-5-19..Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICE LOCAL') O4 - HKUSS-1-5-19..Run: [AVG7_Run] C:PROGRA~1GrisoftAVG7avgw.exe /RUNONCE (User 'SERVICE LOCAL') O4 - HKUSS-1-5-20..Run: [Sidebar] %ProgramFiles%Windows SidebarSidebar.exe /detectMem (User 'SERVICE RESEAU') O4 - HKUSS-1-5-18..Run: [AVG7_Run] C:PROGRA~1GrisoftAVG7avgw.exe /RUNONCE (User 'SYSTEM') O4 - HKUS.DEFAULT..Run: [AVG7_Run] C:PROGRA~1GrisoftAVG7avgw.exe /RUNONCE (User 'Default user') O4 - Startup: OneNote 2007 - Capture d'écran et lancement.lnk = C:Program FilesMicrosoft OfficeOffice12ONENOTEM.EXE O4 - Global Startup: Empowering Technology Launcher.lnk = ? O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:PROGRA~1MICROS~2Office12EXCEL.EXE/3000 O9 - Extra button: Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:PROGRA~1MICROS~2Office12ONBttnIE.dll O9 - Extra 'Tools' menuitem: &Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:PROGRA~1MICROS~2Office12ONBttnIE.dll O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:PROGRA~1MICROS~2Office12REFIEBAR.DLL O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:Program FilesSpybot - Search & DestroySDHelper.dll O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:Program FilesSpybot - Search & DestroySDHelper.dll O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - http://www.wanadoo.fr (file missing) (HKCU) O13 - Gopher Prefix: O16 - DPF: {04CB5B64-5915-4629-B869-8945CEBADD21} (Module de délivrance de certificat MINEFI) - https://static.impots.gouv.fr/abos/static/securite/certdgi1.cab O16 - DPF: {B79A53C0-1DAC-4636-BACE-FD086A7A79BF} (AdSignerLCContrl Class) - https://static.impots.gouv.fr/tdir/static/adpform/AdSignerVistaADP-1.1.cab O20 - Winlogon Notify: avgwlntf - C:WindowsSYSTEM32avgwlntf.dll O23 - Service: ePerformance Service (AcerMemUsageCheckService) - Unknown owner - C:AcerEmpowering TechnologyePerformanceMemCheck.exe O23 - Service: Intel(R) Alert Service (AlertService) - Intel(R) Corporation - C:Program FilesIntelIntelDHCCUAlertService.exe O23 - Service: Ati External Event Utility - ATI Technologies Inc. - C:Windowssystem32Ati2evxx.exe O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:PROGRA~1GrisoftAVG7avgamsvr.exe O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:PROGRA~1GrisoftAVG7avgupsvc.exe O23 - Service: AVG7 Resident Shield Service (AvgCoreSvc) - GRISOFT, s.r.o. - C:PROGRA~1GrisoftAVG7avgrssvc.exe O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:PROGRA~1GrisoftAVG7avgemc.exe O23 - Service: DQLWinService - Unknown owner - C:Program FilesCommon FilesIntelIntelDHNMSAdpPluginsDQLWinService.exe O23 - Service: eDSService.exe (eDataSecurity Service) - HiTRSUT - C:AcerEmpowering TechnologyeDataSecurityeDSService.exe O23 - Service: eRecovery Service (eRecoveryService) - Acer Inc. - C:AcerEmpowering TechnologyeRecoveryeRecoveryService.exe O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom SA - C:PROGRA~1COMMON~1France TelecomShared ModulesFTRTSVC\0FTRTSVC.exe O23 - Service: Intel(R) Matrix Storage Event Monitor (IAANTMON) - Intel Corporation - C:Program FilesIntelIntel Matrix Storage ManagerIaantmon.exe O23 - Service: IntelDHSvcConf - Intel(R) Corporation - C:Program FilesIntelIntelDHIntel Media ServerToolsIntelDHSvcConf.exe O23 - Service: Intel(R) Software Services Manager (ISSM) - Intel(R) Corporation - C:Program FilesIntelIntelDHIntel Media ServerMedia ServerinISSM.exe O23 - Service: Process Monitor (LVPrcSrv) - Unknown owner - c:program filescommon fileslogitechlvmvfmLVPrcSrv.exe (file missing) O23 - Service: Intel(R) Viiv(TM) Media Server (M1 Server) - Unknown owner - C:Program FilesIntelIntelDHIntel Media ServerMedia Serverinmediaserver.exe O23 - Service: Macromedia Licensing Service - Unknown owner - C:Program FilesCommon FilesMacromedia SharedServiceMacromedia Licensing.exe O23 - Service: Intel(R) Application Tracker (MCLServiceATL) - Intel(R) Corporation - C:Program FilesIntelIntelDHIntel Media ServerShellsMCLServiceATL.exe O23 - Service: PC Tools Firewall Plus (PCToolsFirewallPlus) - PC Tools - C:Program FilesPC Tools Firewall PlusFWService.exe O23 - Service: Intel(R) Remoting Service (Remote UI Service) - Intel(R) Corporation - C:Program FilesIntelIntelDHIntel Media ServerShellsRemote UI Service.exe O23 - Service: SBSD Security Center Service (SBSDWSCService) - Safer Networking Ltd. - C:Program FilesSpybot - Search & DestroySDWinSec.exe O23 - Service: Windows Live Setup Service (WLSetupSvc) - Unknown owner - C:Program FilesWindows LiveinstallerWLSetupSvc.exe -- End of file - 9322 bytes

que dois je faire ensuite et que me consiellez vous de faire en plus.
sur mon ordi j'ai AVG free et spybot-SD je pensais qu'avec ces 2 là je m'en sortirais mais visiblement non LOL...

r@in | b0w · le 03 Sep 2008 07:47

Bonjour.

1_ Via HiJackThis, tu supprimes les lignes:

C:UsersmoiAppDataLocaljfavr.exe
O4 - HKCU..Run: [jfavr] "c:usersmoiappdatalocaljfavr.exe" jfavr
O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - http://www.wanadoo.fr (file missing) (HKCU)

2_ Tu vas sur http://www.virustotal.com/fr/ puis tu cliques sur Parcourir.
Tu sélectionnes le fichier C:UsersmoiAppDataLocaljfavr.exe et tu cliques sur Ouvrir.

Tu cliques ensuite sur Envoyer le fichier.

A la fin de l'analyse, tu cliques sur Formaté en haut à gauche puis, dans la nouvelle fenêtre, tu cliques sur le bouton

pour faire apparaître le rapport dans la fenêtre en question.

Tu sélectionnes ce rapport puis fais un copier-coller et tu le colles dans ton prochain message.

3_ Tu dis un faux spyware, tu aurais le nom exact?

Murielle la puce · le 03 Sep 2008 08:09

impossible de télécharger le fichier j'ai des coupures intempestives avec ça comme réponse

Exception
Please report failure as: ErrorTime= "Sep 03 09:08:57"

Murielle la puce · le 03 Sep 2008 08:11

j'ai voulu faire la procédure de nettoyage de PC et pour commencer je coince car dans mon panneau de config j'ai bien l'icone ajout de matériel mais pas ajout/suppression de programmes ??

comment je fais ??

r@in | b0w · le 03 Sep 2008 08:25

_ Est-ce que tu as fait les suppressions de ligne avec HiJackThis?

_ Tu te souviens du nom du faux spyware ou pas?

_ Pour le Panneau de configuration, tu cliques sur Programmes et fonctionnalités mais je doute que tu le trouves là.

On va partir sur un Rogue.

Tu télécharges SmitfraudFix.

Avant de lancer SmitfraudFix, tu désactives ta connexion Internet & ton antivirus car ce dernier peut bloquer l'exécution de l'utilitaire.
Tu les réactiveras après l'utilisation de SmitfraudFix.

Double-cliques sur l'icône SmitfraudFix.exe pour lancer l'application.
Tu verras un écran bleu à choix multiple, appuies sur la touche [1] puis sur [Entrée].

Quand l'analyse est finie, tu nous postes le rapport généré par SmitfraudFix; si tu ne le trouves pas ou que le Bloc-notes ne s'ouvre pas avec le rapport à l'intérieur, tu le trouveras ici: C: apport.txt.

Ps: l'analyse via VirusTotal serait vraiment utile, reviens sur ce site et cliques en bas sur en utilisant votre client de messagerie. pour envoyer ton fichier par mail.
Cela évitera le téléchargement par VirusTotal et ira plus vite.

Tentes aussi sur http://virusscan.jotti.org/ qui est moins débordé en ce moment.

rsv700 · le 03 Sep 2008 08:32

r@in | b0w,

analyse via VirusTotal : C:UsersmoiAppDataLocaljfavr.exe

Une recherche sur Google affiche une page blanche.

Une recherche avec Navilog1 confirmerait ce que vous soupçonnez !
Et p'tit jet de Mbam avec ça.

r@in | b0w · le 03 Sep 2008 08:39

rsv700 a écrit:Une recherche sur Google affiche une page blanche.

Tout à fait, c'est pour cela que j'aurai aimé l'analyse par Jotti ou VirusTotal.

SmitfraudFix supprime les rogues, par définition des faux antispywares.
Si SmitfraudFix ne donne rien, il faudra en effet partir sur Navilog

Dans le doute par rapport à l'infection exacte, je suis parti dans ce sens.

rsv700 a écrit:Une recherche avec Navilog1 confirmerait ce que vous soupçonnez !

Tu n'as pas encore lu mon MP, interdiction de me vouvoyer :evil:

:lol:

rsv700 · le 03 Sep 2008 08:47

r@in | b0w,

Malwarebytes est du même éditeur que Rogue Remover.
Il y ont inclus la désinfection de Rogues en plus des Vundo, spyware...
Ce qui n'est peut-être pas étranger au fait que VundoFix n'est plus màj ?

r@in | b0w · le 03 Sep 2008 08:58

rsv700 a écrit:Malwarebytes est du même éditeur que Rogue Remover.
Il y ont inclus la désinfection de Rogues en plus des Vundo, spyware...

Je te corrige: l'outil Anti Malware est du même éditeur que RogueRemover, c-à-d MalwareBytes.
Je préfère utiliser des outils garant du résultat. C'est un choix que j'ai fait dans mon message précédent, je gardais RogueRemover sur la touche.

Par exemple, je n'utiliserai pas Mbam pour tout type de désinfection.
Même s'il est utile, il reste pour moi un utilitaire à utiliser par soi-même mais je préfère m'assurer du succès de la désinfection en employant des outils spécifiques au problème.

rsv700 a écrit:Ce qui n'est peut-être pas étranger au fait que VundoFix n'est plus màj ?

Je n'utilise que peu de fix, les ayant testé personnellement, VundoFix ne donne rien comparé à ComboFix qu'il faut lui préférer pour des cas de Vundo.

Murielle la puce · le 03 Sep 2008 09:04

oui j'ai supprimé les lignes sauf la première qui n'apparaisse plus lorsque j'ai relancé hijack..C:UsersmoiAppDataLocaljfavr.exe les 2 autres c'est fait.

non je n'ai pas le nom car la fenête n'est apparu qu'une fois et comme j'ai déjà eu le problème sur l'ordi du bureau je suis tout de suite venue ici... et depuis par de réapparition mais toujorus un ordi hyper lent, des déconnexions intempestives et surtout des arrêts de l'ordi inexpliqué avec systèmatiquement la fenête "Windows récupère d'un arrêt non planifié"..

je fais smitffraudfix et je viens mettre le rapport

Murielle la puce · le 03 Sep 2008 10:20

bon je crois que je fais totale fausse route car depuis 2h c'est arrêt et redémarrage à la chaîne et je ne sais plus du tout par quel bout le prendre..

merci mais je crois que ce coup ci il va falloir un vrai pro LOL...

r@in | b0w · le 03 Sep 2008 10:25

Re.

2h? Cela fait une heure que tu as posté ton dernier message.

Et, en attendant, tu ne nous donnes pas d'informations ni de réponses:

_ Tu as lancé SmitfraudFix? Tu as désactivé tous les logiciels de protection?
Tu l'as lancé en tant qu'Administrateur?

_ Tu as eu un message d'erreur quelconque durant le lancement de l'utilitaire?

Tentes de démarrer en Mode sans échec ([F8] au démarrage) puis lances SmitfraudFix.

_ Ttu as envoyé le fichier suspect par mail?

besoin d'aide - faux anti spy ware analyse rapport hitjackth

besoin d'aide - faux anti spy ware analyse rapport hitjackth

Sujets similaires

Qui est en ligne