infecté ieav [resolu]

[betouna34]

[resolu]

[mechain]

salut

tu cole un rapport hijackthis! que tu pourra telecharger dans la logitheque du forum (securite)

et d'autre que moi s'occuperons apres analyse du rapport de te faire supprimer se qu'il faut , parceque moi c'est pas mon dada !

mais tu peu aussi commencer par sa :

http://www.pc-infopratique.com/article- ... du-pc.html

[betouna34]

Voici mon rapport
Merci de m'aider

Logfile of HijackThis v1.99.1
Scan saved at 22:48:14, on 05/05/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16608)

Running processes:
C:WINDOWSSystem32smss.exe
C:WINDOWSsystem32winlogon.exe
C:WINDOWSsystem32services.exe
C:WINDOWSsystem32lsass.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSSystem32svchost.exe
C:Program FilesAlwil SoftwareAvast4aswUpdSv.exe
C:Program FilesAlwil SoftwareAvast4ashServ.exe
C:WINDOWSExplorer.EXE
C:WINDOWSsystem32spoolsv.exe
C:Program FilesGrisoftAVG Anti-Spyware 7.5avgas.exe
C:WINDOWSsystem32ctfmon.exe
C:Program FilesFichiers communsAheadlibNMBgMonitor.exe
C:Program FilesGrisoftAVG Anti-Spyware 7.5guard.exe
C:Program FilesPicasa2PicasaMediaDetector.exe
C:Program FilesSpybot - Search & DestroyTeaTimer.exe
c:APPSPowercinemaKernelTVCLCapSvc.exe
c:APPSPowercinemaKernelTVCLSched.exe
C:Program FilesCyberLinkShared FilesCLML_NTServiceCLMLServer.exe
c:APPSHIDSERVICEHIDSERVICE.exe
C:Program FilesCyberLinkShared FilesCLML_NTServiceCLMLService.exe
C:Program FilesHewlett-PackardDigital Imaginginhpobnz08.exe
C:Program FilesFichiers communsMicrosoft SharedVS7Debugmdm.exe
C:Program FilesHewlett-PackardDigital Imaginginhpotdd01.exe
C:WINDOWSsystem32slserv.exe
C:WINDOWSsystem32svchost.exe
C:Program FilesFichiers communsSymantec SharedSecurity CenterSymWSC.exe
C:Program FilesHewlett-PackardDigital Imaginginhpoevm08.exe
C:Program FilesAlwil SoftwareAvast4ashMaiSv.exe
C:Program FilesAlwil SoftwareAvast4ashWebSv.exe
C:Program FilesHewlett-PackardDigital ImagingBinhpoSTS08.exe
C:Program FilesInternet Exploreriexplore.exe
C:Documents and SettingsgillesLocal SettingsTemporary Internet FilesContent.IE5YBTV2QM3HijackThis[1].exe

R0 - HKCUSoftwareMicrosoftInternet ExplorerMain,Start Page = http://www.google.fr/
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLMSoftwareMicrosoftInternet ExplorerMain,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCUSoftwareMicrosoftWindowsCurrentVersionInternet Settings,ProxyServer = 10.34.101.1:3128
R0 - HKCUSoftwareMicrosoftInternet ExplorerToolbar,LinksFolderName = Liens
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:Program FilesAdobeAcrobat 7.0ActiveXAcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:Program FilesSpybot - Search & DestroySDHelper.dll
O2 - BHO: EoRezoBHO - {64F56FC1-1272-44CD-BA6E-39723696E350} - C:Program FilesEoRezoEoAdvEoRezoBHO.dll (file missing)
O2 - BHO: Video BHO - {681147C4-D615-461A-960F-655871E315C3} - C:WINDOWSfop32.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:Program FilesJavajre1.6.0_05inssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:Program FilesFichiers communsMicrosoft SharedWindows LiveWindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:program filesgooglegoogletoolbar1.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:Program FilesGoogleGoogleToolbarNotifier2.0.301.5672swg.dll
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:Program FilesWindows Live Toolbarmsntb.dll
O3 - Toolbar: (no name) - {4E7BD74F-2B8D-469E-A0E8-ED6AB685FA7D} - (no file)
O3 - Toolbar: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:Program FilesYahoo!CompanionInstallscpnyt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:program filesgooglegoogletoolbar1.dll
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:Program FilesWindows Live Toolbarmsntb.dll
O4 - HKLM..Run: [!AVG Anti-Spyware] "C:Program FilesGrisoftAVG Anti-Spyware 7.5avgas.exe" /minimized
O4 - HKCU..Run: [ctfmon.exe] C:WINDOWSsystem32ctfmon.exe
O4 - HKCU..Run: [NBJ] "C:Program FilesAheadNero BackItUpNBJ.exe"
O4 - HKCU..Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:Program FilesFichiers communsAheadlibNMBgMonitor.exe"
O4 - HKCU..Run: [MSMSGS] "C:Program FilesMessengermsmsgs.exe" /background
O4 - HKCU..Run: [Picasa Media Detector] C:Program FilesPicasa2PicasaMediaDetector.exe
O4 - HKCU..Run: [antispy] C:Program FilesIEAntiVirusANTIVIRUS.exe
O4 - HKCU..Run: [SpybotSD TeaTimer] C:Program FilesSpybot - Search & DestroyTeaTimer.exe
O4 - Global Startup: hp psc 2000 Series.lnk = C:Program FilesHewlett-PackardDigital Imaginginhpobnz08.exe
O4 - Global Startup: hpoddt01.exe.lnk = ?
O4 - Global Startup: Hyperappel de l'Encyclopédie Universelle Larousse.lnk = ?
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:Program FilesAdobeAcrobat 7.0Reader eader_sl.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:Program FilesJavajre1.6.0_05inssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:Program FilesJavajre1.6.0_05inssv.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:PROGRA~1MICROS~2OFFICE11REFIEBAR.DLL
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:Program FilesSpybot - Search & DestroySDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:Program FilesSpybot - Search & DestroySDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%Network Diagnosticxpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%Network Diagnosticxpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:Program FilesMessengermsmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:Program FilesMessengermsmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O14 - IERESET.INF: START_PAGE_URL=file://C:APPSIEofflinefr.htm
O16 - DPF: {86EEF11E-FF16-48CE-B1A2-474B663041A9} - http:*****.exe
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:PROGRA~1MSNMES~1MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:PROGRA~1MSNMES~1MSGRAP~1.DLL
O20 - Winlogon Notify: WgaLogon - C:WINDOWSSYSTEM32WgaLogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:WINDOWSsystem32WPDShServiceObj.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:Program FilesAlwil SoftwareAvast4aswUpdSv.exe
O23 - Service: ATI Smart - Unknown owner - C:WINDOWSsystem32ati2sgag.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:Program FilesAlwil SoftwareAvast4ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:Program FilesAlwil SoftwareAvast4ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:Program FilesAlwil SoftwareAvast4ashWebSv.exe" /service (file missing)
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:Program FilesGrisoftAVG Anti-Spyware 7.5guard.exe
O23 - Service: CyberLink Background Capture Service (CBCS) (CLCapSvc) - Unknown owner - c:APPSPowercinemaKernelTVCLCapSvc.exe
O23 - Service: CyberLink Task Scheduler (CTS) (CLSched) - Unknown owner - c:APPSPowercinemaKernelTVCLSched.exe
O23 - Service: CyberLink Media Library Service - Cyberlink - C:Program FilesCyberLinkShared FilesCLML_NTServiceCLMLServer.exe
O23 - Service: Generic Service for HID Keyboard Input Collections (GenericHidService) - Unknown owner - c:APPSHIDSERVICEHIDSERVICE.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:Program FilesGoogleCommonGoogle UpdaterGoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:Program FilesFichiers communsInstallShieldDriver11Intel 32IDriverT.exe
O23 - Service: MysqlInventime - Unknown owner - c:mysqlinmysqld-nt.exe
O23 - Service: Pml Driver HPZ12 - HP - C:WINDOWSsystem32HPZipm12.exe
O23 - Service: SmartLinkService (SLService) - - C:WINDOWSSYSTEM32slserv.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:Program FilesFichiers communsSymantec SharedSecurity CenterSymWSC.exe

[mechain]

sois patient(e) maintenant

[betouna34]

c'est à dire?
quelqu'un va t il me prendre en charge?
je suis vraiment nul en informatique.
à bientôt

[r@in | b0w]

Bonjour.

et d'autre que moi s'occuperons apres analyse du rapport de te faire supprimer se qu'il faut , parceque moi c'est pas mon dada !

Alala...

c'est à dire? quelqu'un va t il me prendre en charge?

Non, c'est une communauté qui te prend vraiment en charge. Tous les intéressés/habitués te surveillent de loin et quelques uns interviennent directement.
Il arrive même que certains se fassent explicitement mander par MP

Bon, sur cette mise en condition, revenons à notre HiJackThis.
Il y a du travail, n'en doutes pas une minute.

1_ Si ce n'est pas fait, tu vas jeter un oeil, voire les deux, sur le tutorial HiJackThis pour savoir comment effacer/fixer des lignes.

Tu auras à fixer ces lignes:
R1 - HKCUSoftwareMicrosoftWindowsCurrentVersionInternet Settings,ProxyServer = 10.34.101.1:3128
O2 - BHO: EoRezoBHO - {64F56FC1-1272-44CD-BA6E-39723696E350} - C:Program FilesEoRezoEoAdvEoRezoBHO.dll (file missing)
O2 - BHO: Video BHO - {681147C4-D615-461A-960F-655871E315C3} - C:WINDOWSfop32.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O3 - Toolbar: (no name) - {4E7BD74F-2B8D-469E-A0E8-ED6AB685FA7D} - (no file)
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)
O16 - DPF: {86EEF11E-FF16-48CE-B1A2-474B663041A9} - http:/*/ww*w.sexequalite.com/39220/FanMadonna.exe

Cette ligne est problématique:

O4 - HKCU..Run: [antispy] C:Program FilesIEAntiVirusANTIVIRUS.exe

Tu as Avast d'installé. Tu as tenté d'installer un autre antivirus?
Dans tous les cas, tu vas voir dans l'utilitaire d'Installation/Désinstallation des programmes si tu le trouves et tu l'enlèves.
Ensuite, après suppression de la ligne dans HiJackThis, tu supprimes le dossier IEAntiVirus présent dans C:Program Files.

2_ Tu vas ensuite suivre notre dossier Nettoyage et faire le ménage comme précisé dans le dossier, notamment avec Ccleaner (nettoyage des fichiers temporaires & du registre).

3_ J'ai vu que ta machine est équipée d'AVG et de Spybot, je te conseille d'aller en Mode sans échec (tu tapotes F8 au démarrage de ta machine) pour leur faire faire du ménage.
De plus, tu télécharges, installes et faire fonctionner Ad-Aware que tu mets à jour.
Tu lui fais faire une analyse et tu supprimes tous les élements qu'il trouve.
Tu fais ensuite de même, tu télécharges, installes et lances Sophos anti-rootkit puis tu nous dis les lignes trouvées.

Tu auras par exemple une ligne, en cliquant dessus avec la souris, tu verras dans le panneau du bas:

Area: Windows registry
Description: Hidden registry value
Location: HKEY_USERSS-1-5-18SOFTWAREMicrosoftInternet ExplorerMainSearch Page
Removable: No
Notes: (type 1, length 42) "h t t p : / / w w w . g o o g l e . f r " .

4_ Je me permets de faire le moralisateur mais cela est obligé vu ce que j'ai trouvé dans ton log.
Une protection performante (antivirus, pare-feu, anti-spy...) ne suffit pas quand le surf n'est pas prudent.
Aussi, si tu continues à surfer sur des sites pronographiques, ne t'étonnes pas d'avoir des problèmes.

Au passage et pour clore ce chapitre, voilà le contenu de ton Fan*****.exe trouvé sur un site de qualité:





Ps: à M. Modo, il faudrait éditer le log HiJackThis et modifier le lien Madonna histoire de ne pas entrainer de nouvelles infections

Edit AtOM: Exact, liens purgés Et cette infection est le parfait exemple de ce que nous essayons de faire comprendre
comme terme de "navigation sûre & responsable".

[Ask to Old Man]

[mode Grrrr!!!]
Après la correction des liens, je préfère faire savoir aux utilisateurs de ces sites,
que, s'il n'en tenait qu'à moi, le deverminage ( que je n'aime pas trop en général...)
s'arrêterait ici sans autres explications.
[/mode Grrrr!!!]

Mais, comme sur notre site, nous faisons prévaloir l'entraide, ce ne sera pas le cas.

[betouna34]

Merci beaucoup, j'essaierai ce soir en espérant être à la hauteur.
je ne pense pas que quelqu'un chez moi puisse aller sur les sites dont tu parles car nous sommes derrière un système de blocage collectif (réseau). les virus peuvent ils venir du tchat ou de messages?
Merci pour tout

[r@in | b0w]

Re.

Les manipulations ne sont pas complexes, il suffit d'y aller calmement et tout se passera bien.

Les virus peuvent venir du tchat ou de pièces jointes mais j'attire ton attention sur la fameuse ligne O16 - DPF: {86EEF11E-FF16-48CE-B1A2-474B663041A9} - http://......../FanMad...exe qui correspond à une ligne O16 - Download Program Files item , cad un téléchargement.

Alors, à moins d'avoir eu un lien dans une discussion, je pense que quelqu'un surfe sur ce genre de sites.

Si possible, fais les actions demandées dans cet ordre:
_ Téléchargement des outils;
_ Démarrage en Mode sans échec, suppression des lignes et dossiers puis installation de tous les utilitaires (Ad, Spybot et Sophos ainsi que Ccleaner) et analyses voire nettoyage
_ Démarrage en Mode normal et lancement de Sophos anti-rootkit.

Tu nous dis ensuite ce qui a été trouvé.

Le mieux est aussi de faire une analyse en ligne avec Internet Explorer sur TrendMicro
& d'effectuer un scan de ports via Check 1.3 en cliquant sur Tester mon poste.

[betouna34]

j'essaierai donc ce soir. j'ai effectivement essayé d'installer Kapersky (je crois que c'est ça). de plus ieav avait commencé à s'installer.
Merci à ce soir.

[r@in | b0w]

Re.

A propos de Kaspersky, rien à dire.
Par contre, un antivirus ne peut pas cohabiter avec un autre antivirus.

Je pense donc que le mieux à faire est de désinfecter ta machine.
Ensuite, tu pourras désinstaller Avast pour mettre Kaspersky.

[betouna34]

rain bow, me voila devant l'ordinateur. dois-je fixer les lignes ou demarrer avant sans echec?

[r@in | b0w]

Re.

Il se peut que des lignes ne puissent être effacées directement dans le Mode normal.

J'avais édité un de mes messages précédents:

Si possible, fais les actions demandées dans cet ordre:
_ Téléchargement des outils;
_ Démarrage en Mode sans échec, suppression des lignes (notées quelque part en copier/coller par exemple) et dossiers puis installation de tous les utilitaires (Ad, Spybot et Sophos ainsi que Ccleaner) et analyses voire nettoyage
_ Démarrage en Mode normal et lancement de Sophos anti-rootkit.

Après, analyse en ligne et scan des ports ouverts.

[betouna34]

en mode sans echec je pourrai donc refaire fonctionner hijack?

[r@in | b0w]

Re.

en mode sans echec je pourrai donc refaire fonctionner hijack?

Bien entendu sinon je ne te le conseillerai pas

L'avantage en Mode sans échec est que toutes les lignes pourront être supprimées, ce qui n'est pas forcément le cas en Mode normal (certaines applications étant peut-être en cours).