PC infecté ou pas?

newjejedrome · Inscrit le: 16 Déc 2007 Messages: 31 Localisation: Drôme

Bonjour,
je suis chez mon amie et je me demande si son pc n'est pas infecté. J'ai fait un scan hijackthis dont le rapport suit, merci de me dire si c'est le cas :

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20:36:55, on 29/12/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16574)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\PROGRA~1\INCRED~1\bin\IMApp.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\Program Files\MSN Messenger\usnsvc.exe
C:\Program Files\IncrediMail\bin\IncMail.exe
C:\Program Files\Outlook Express\msimn.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Fichiers communs\Adobe\Updater5\AdobeUpdater.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\DOCUME~1\Karine\LOCALS~1\Temp\Répertoire temporaire 1 pour HiJackThis.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr.msn.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: (no name) - {00A6FAF6-072E-44cf-8957-5838F569A31D} - C:\Program Files\MyWebSearch\SrchAstt\1.bin\MWSSRCAS.DLL (file missing)
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] HDAShCut.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [IncrediMail] C:\Program Files\IncrediMail\bin\IncMail.exe /c
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Reader Synchronizer.lnk = C:\Program Files\Adobe\Reader 8.0\Reader\AdobeCollabSync.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Reader 8.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://ak.exe.imgfarm.com/images/nocache/funwebproducts/ei/SmileyCentralFWBInitialSetup1.0.0.15-3.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by144fd.bay144.hotmail.msn.com/resources/MsnPUpld.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1166136276406
O16 - DPF: {67DABFBF-D0AB-41FA-9C46-CC0F21721616} (DivXBrowserPlugin Object) - http://download.divx.com/player/DivXBrowserPlugin.cab
O16 - DPF: {97E71027-0BA2-44F2-97DB-F84D808ED0B6} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab55762.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (MSN Games - Installer) - http://messenger.zone.msn.com/binary/ZIntro.cab55579.cab
O16 - DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} (Zylom Games Player) - http://game11.zylom.com/activex/zylomgamesplayer.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O16 - DPF: {DEB21AD3-FDA4-42F6-B57D-EE696A675EE8} (IPSUploader Control) - http://asp06.photoprintit.de/microsite/3462/defaults/activex/IPSUploader.cab
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Service de l'iPod (iPod Service) - Unknown owner - C:\Program Files\iPod\bin\iPodService.exe (file missing)
O23 - Service: Sunbelt Kerio Personal Firewall 4 (KPF4) - Sunbelt Software - C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

--
End of file - 8126 bytes

naheulbeuk · Posté le: Sam Déc 29, 2007 11:36 pm Sujet du message:

bonsoir, fix cette ligne avec hijackthis :

O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://ak.exe.imgfarm.com/images/nocache/funwebproducts/ei/SmileyCentralFWBIniti alSetup1.0.0.15-3.cab

puis :

Télécharge sur ton bureau : http://www.malekal.com/download/clean.zip

Aide pour clean : http://mickael.barroux.free.fr/securite/clean.php

Une fois sur le bureau, tu fais un clic droit sur ton fichier clean.zip et dans le menu déroulant, tu clics sur extrait tout ou extraire ici.
Cela va créer un dossier clean.
Double-clic sur ce dossier clean, tu y trouveras dedans plusieurs fichiers.
Double-clic sur clean. Cela va ouvrir une fenêtre noire.
Un menu va apparaître, choisis l'option 1 en appuyant sur la touche 1 de ton clavier.
Clean va travailler.

Colle ici le contenu entier du rapport généré (si tu ne trouves pas le rapport, il est ici : C:\rapport_clean.txt)

bonne soirée Wink

newjejedrome · Inscrit le: 16 Déc 2007 Messages: 31 Localisation: Drôme

Bonjour,
Je viens de faire l'opération avec Clean dont voici le rapport :

30/12/2007 a 18:11:24,56

*** Recherche des fichiers dans C:

*** Recherche des fichiers dans C:\WINDOWS\

*** Recherche des fichiers dans C:\WINDOWS\system32
C:\WINDOWS\system32\f3PSSavr.scr FOUND

*** Recherche des fichiers dans C:\Program Files
"C:\Program Files\DivX\Google\Firefox\ffinstaller.exe" FOUND
"C:\Program Files\funwebproducts\" FOUND
"C:\Program Files\MyWebSearch\" FOUND

Par contre je n'ai pas compris ce qu'il fallait que je fasse quand tu me dis "fix la ligne...", donc je n'ai rien fait, est-ce que j'ai bien fait ou mal fait ?

A bientôt et merci pour ton aide
Wink

naheulbeuk · Posté le: Dim Déc 30, 2007 6:52 pm Sujet du message:

bonsoir, tu relance hijackthis, "do a system scan only", tu coche la case devant la ligne indiquée puis clic sur "fix checked" Wink

Redémarre ton PC en mode sans échec :
http://forum.telecharger.01net.com/telecharger/virus_et_assimiles/failles_de_securite/redemarrer_en_mode_sans_echec_pourquoi_et_comment-387297/messages-1.html

Aide pour clean : http://mickael.barroux.free.fr/securite/clean.php

Double-clic sur clean. Cela va ouvrir une fenêtre noire.
Un menu va apparaître, choisis l'option 2 en appuyant sur la touche 2 de ton clavier.
Clean va travailler.
Un rapport Va etre généré, envoie le moi dans ta prochaine réponse !

bonne soirée Wink

newjejedrome · Inscrit le: 16 Déc 2007 Messages: 31 Localisation: Drôme

Bonjour,
Voici le rapport effectué en mode sans échec :
Script execute en mode sans echec
Rapport clean par Malekal_morte - http://www.malekal.com
Script execute en mode sans echec 31/12/2007 a 0:43:38,26

Microsoft Windows XP [version 5.1.2600]

*** Suppression des fichiers dans C:

*** Suppression des fichiers dans C:\WINDOWS\

*** Suppression des fichiers dans C:\WINDOWS\system32
tentative de suppression de C:\WINDOWS\system32\f3PSSavr.scr

*** Suppression des fichiers dans C:\Program Files
tentative de suppression de "C:\Program Files\DivX\Google\Firefox\ffinstaller.exe"
tentative de suppression de "C:\Program Files\funwebproducts\"
tentative de suppression de "C:\Program Files\MyWebSearch\"

*** Suppression des clefs du registre effectuee..
*** Fin du rapport !
J'ai aussi fait le fix demandé mais en quoi cela a consisté exactement ?
Merci pour ton aide et pour les informations concernant le problème dans l'ordi, si problème il y a ! Smile

A bientôt

naheulbeuk · Posté le: Lun Déc 31, 2007 3:10 pm Sujet du message:

bonjour, hijackthis permet de lister les clés/valeurs registre sensibles lors d'infections et donc permet de supprimer ces memes clés/valeurs du registre Wink

Fais un scan [g]BitDefender[/g] en ligne (avec [g]Internet Explorer[/g] pas avec Firefox !)
(clique à gauche sur scan online).
et post moi le rapport de ce scan ici une fois terminé !

Guide d'utilisation de Bitdefender en ligne (merci Bruce Lee) : http://cybersecurite.xooit.com/t201-Scan-en-ligne-BitDefender.htm

bonne journée Very Happy

newjejedrome · Inscrit le: 16 Déc 2007 Messages: 31 Localisation: Drôme

Bonjour et meilleurs voeux pour cette nouvelle année 2008 Wink

Voici le rapport bitdefender :

BitDefender Online Scanner

Scan report generated at: Wed, Jan 02, 2008 - 11:28:13

Scan path: C:\;D:\;E:\;

Statistics

Time
00:32:03

Files
161567

Folders
6636

Boot Sectors
2

Archives
2211

Packed Files
10316

Results

Identified Viruses
2

Infected Files
13

Suspect Files
0

Warnings
0

Disinfected
0

Deleted Files
13

Engines Info

Virus Definitions
885031

Engine build
AVCORE v1.0 (build 2422) (i386) (Sep 25 2007 08:26:36)

Scan plugins
14

Archive plugins
38

Unpack plugins
7

E-mail plugins
6

System plugins
1

Scan Settings

First Action
Disinfect

Second Action
Delete

Heuristics
Yes

Enable Warnings
Yes

Scanned Extensions
*;

Exclude Extensions

Scan Emails
Yes

Scan Archives
Yes

Scan Packed
Yes

Scan Files
Yes

Scan Boot
Yes

Scanned File
Status

C:\Documents and Settings\dydy du 26\Local Settings\Temp\tmp13.tmp.exe
Infected with: Trojan.Agent.AFRM

C:\Documents and Settings\dydy du 26\Local Settings\Temp\tmp13.tmp.exe
Disinfection failed

C:\Documents and Settings\dydy du 26\Local Settings\Temp\tmp13.tmp.exe
Deleted

C:\Documents and Settings\dydy du 26\Local Settings\Temp\tmp18.tmp.exe
Infected with: Trojan.Agent.AFRM

C:\Documents and Settings\dydy du 26\Local Settings\Temp\tmp18.tmp.exe
Disinfection failed

C:\Documents and Settings\dydy du 26\Local Settings\Temp\tmp18.tmp.exe
Deleted

C:\Documents and Settings\dydy du 26\Local Settings\Temp\tmp1D.tmp.exe
Infected with: Trojan.Agent.AFRM

C:\Documents and Settings\dydy du 26\Local Settings\Temp\tmp1D.tmp.exe
Disinfection failed

C:\Documents and Settings\dydy du 26\Local Settings\Temp\tmp1D.tmp.exe
Deleted

C:\Documents and Settings\dydy du 26\Local Settings\Temp\tmp22.tmp.exe
Infected with: Trojan.Agent.AFRM

C:\Documents and Settings\dydy du 26\Local Settings\Temp\tmp22.tmp.exe
Disinfection failed

C:\Documents and Settings\dydy du 26\Local Settings\Temp\tmp22.tmp.exe
Deleted

C:\Documents and Settings\dydy du 26\Local Settings\Temp\tmp27.tmp.exe
Infected with: Trojan.Agent.AFRM

C:\Documents and Settings\dydy du 26\Local Settings\Temp\tmp27.tmp.exe
Disinfection failed

C:\Documents and Settings\dydy du 26\Local Settings\Temp\tmp27.tmp.exe
Deleted

C:\Documents and Settings\dydy du 26\Local Settings\Temp\tmp2E.tmp.exe
Infected with: Trojan.Agent.AFRM

C:\Documents and Settings\dydy du 26\Local Settings\Temp\tmp2E.tmp.exe
Disinfection failed

C:\Documents and Settings\dydy du 26\Local Settings\Temp\tmp2E.tmp.exe
Deleted

C:\Documents and Settings\dydy du 26\Local Settings\Temp\tmp33.tmp.exe
Infected with: Trojan.Agent.AFRM

C:\Documents and Settings\dydy du 26\Local Settings\Temp\tmp33.tmp.exe
Disinfection failed

C:\Documents and Settings\dydy du 26\Local Settings\Temp\tmp33.tmp.exe
Deleted

C:\Documents and Settings\dydy du 26\Local Settings\Temp\tmp38.tmp.exe
Infected with: Trojan.Agent.AFRM

C:\Documents and Settings\dydy du 26\Local Settings\Temp\tmp38.tmp.exe
Disinfection failed

C:\Documents and Settings\dydy du 26\Local Settings\Temp\tmp38.tmp.exe
Deleted

C:\Documents and Settings\dydy du 26\Local Settings\Temp\tmp3E.tmp.exe
Infected with: Trojan.Agent.AFRM

C:\Documents and Settings\dydy du 26\Local Settings\Temp\tmp3E.tmp.exe
Disinfection failed

C:\Documents and Settings\dydy du 26\Local Settings\Temp\tmp3E.tmp.exe
Deleted

C:\Documents and Settings\dydy du 26\Local Settings\Temp\tmp8.tmp.exe
Infected with: Trojan.Agent.AFRM

C:\Documents and Settings\dydy du 26\Local Settings\Temp\tmp8.tmp.exe
Disinfection failed

C:\Documents and Settings\dydy du 26\Local Settings\Temp\tmp8.tmp.exe
Deleted

C:\Documents and Settings\dydy du 26\Local Settings\Temp\tmpE.tmp.exe
Infected with: Trojan.Agent.AFRM

C:\Documents and Settings\dydy du 26\Local Settings\Temp\tmpE.tmp.exe
Disinfection failed

C:\Documents and Settings\dydy du 26\Local Settings\Temp\tmpE.tmp.exe
Deleted

C:\Documents and Settings\Karine\Local Settings\Temp\s11k
Infected with: Trojan.Generic.78597

C:\Documents and Settings\Karine\Local Settings\Temp\s11k
Disinfection failed

C:\Documents and Settings\Karine\Local Settings\Temp\s11k
Deleted

C:\Documents and Settings\Karine\Local Settings\Temp\tmpC.tmp.exe
Infected with: Trojan.Agent.AFRM

C:\Documents and Settings\Karine\Local Settings\Temp\tmpC.tmp.exe
Disinfection failed

C:\Documents and Settings\Karine\Local Settings\Temp\tmpC.tmp.exe
Deleted

A bientôt et encore merci pour ton aide.

Very Happy

naheulbeuk · Posté le: Mer Jan 02, 2008 1:03 pm Sujet du message:

salut, bonne année et meilleurs voeux pour 2008 Very Happy

tu n'as plus de souci ?

newjejedrome · Inscrit le: 16 Déc 2007 Messages: 31 Localisation: Drôme

Bonjour,
On dirait que ça va mieux. J'ai fait un nettoyage du disque et une défragmentation est en cours. Je te tiens au courant par la suite.
Par contre, suite à ton précédent message, l'ordi a été très long à redémarrer, il est d'ailleurs toujours très long à s'éteindre je trouve. Il se peut qu'après la défragmentation cela aura disparu.
A plus tard pour de nouvelles aventures.
Merci encore pour ton aide. Wink

naheulbeuk · Posté le: Mer Jan 02, 2008 1:27 pm Sujet du message:

ok tiens moi au jus Razz

newjejedrome · Inscrit le: 16 Déc 2007 Messages: 31 Localisation: Drôme

Dernières nouvelles,
Apparemment l'ordi a repris de la vigueur, la dégragentation vient de se terminer, j'ai redémarré la machine et l'opération c'est déroulé dans un laps de temps normal semble-t-il.
Si tu peux m'apporter des explications sur l'origine du problème, je suis preneur.
Merci pour ton aide et bonne continuation. Wink

naheulbeuk · Posté le: Mer Jan 02, 2008 5:34 pm Sujet du message:

re, tu étais apparemment infecté par funwebproducts et mywebsearch, des programmes vérolés liés à des smileys trouvés sur internet sans doute Wink

au plaisir et bonne continuation, meilleurs voeux pour 2008 Very Happy

	Forum informatique -> Forum Internet / Réseau Sécurité Voir le sujet précédent :: Voir le sujet suivant