Forum XP.Net -Sécurité Informatique-

besoin d'aide svp

Logfile of HijackThis v1.99.1
Scan saved at 21:28:51, on 03/01/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Program Files\ewido\security suite\ewidoctrl.exe
C:\Program Files\F-Secure\fswsclds.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
c:\progra~1\intern~1\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Hijackthis version française\hijackthis vf.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.xdumyxwcjomo.com/a2AVhyLVzdC ... zQUUoX.jpg
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.umozbuexotfeiua.com/a2AVhyLV ... EpTYA.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
F3 - REG:win.ini: run=C:\WINDOWS\inet20001\services.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKCU\..\Run: [TypeGrim] C:\DOCUME~1\ALLEMA~1\APPLIC~1\UPCOOL~1\default ping show.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v ... 3444690857
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004 ... scan53.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Me ... b31267.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan ... asinst.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMe ... loader.cab
O16 - DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} (Zylom Games Player) - http://game19.zylom.servicesalacarte.wa ... player.cab
O16 - DPF: {CE69F98F-2AF3-4306-BAC6-A79070EDA1B4} (Zylom Loader Object) - http://game19.zylom.servicesalacarte.wa ... loader.cab
O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IMDownloader Class) - http://www2.incredimail.com/contents/se ... loader.cab
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - AppInit_DLLs: MsgPlusLoader.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Boonty Games - BOONTY - C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe
O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido\security suite\ewidoctrl.exe
O23 - Service: F-Secure Windows Security Center Legacy Detection Service (Fswsclds) - F-Secure Corporation - C:\Program Files\F-Secure\fswsclds.exe
O23 - Service: Kodak Camera Connection Software (KodakCCS) - Eastman Kodak Company - C:\WINDOWS\system32\drivers\KodakCCS.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe

ça coince ou selon vous?????

Bonsoir toi,

A priori, ça coince nulle part
quel est ton souci ?

Bonsoir Letavista re bonsoir belver.

Ca coince un petit chouia quand même on dirai.
Nous préciser ton probléme peut aider (lenteur fenêtres intempestives ....) là je dirais page IE détournée...

-- ton rapport tu l'as fait comment ? mode normal ou sans echec ?
En fait il y a des trucs bizarres mais cela semble "incomplet"

Pour nettoyer
-- vas dans ajout suppression de progranmmes (si tu peux) vire messsenger plus (je ne suis pas sure qu'il y soit être mais vérifie)
ensuite

Pour commencer fait un scan avec votre antivirus mis a jour.

Puis télécharge CCleaner, en français et simple d'utilisation.
Suivez la procédure d'installation qui ne présente aucune difficulté particuliére.
Pour le nettoyage a proprement dit lancez le et gardez les options de base.
Selectionnez "analyse" puis une fois fait "lancez le nettoyage"

Ensuite passer un coup d'antispy au choix je ne me rapelle plus lequel tu a met tout a jour avant de faire les scans.
Télécharger installer et mettre a jour
Ad-aware SE
Son pack de langueAd-Aware SE language-pack pour le mettre en Français
et pour finir un tutoriel pour bien l'utiliser.
Ou
Télécharger installer et mettre a jour
SpyBot -Search & Destroy et son tutoriel.

Un scan anti trojans
Télécharger installer et mettre a jour, pour Windows XP et 2000
Ewido et son tutoriel.
L'installation est en anglais ou allemand mais le logiciel est en français et simple d'utilisation.

Fait tout ce qui précéde si tu ne l'a déjà fait.
ensuite dans Hijackthis coche et fixe


Quand tu a fini donne nous les résultats de tes scans (surtout ewido) et reposte nous un Hijackthis tout frais.
Voila a bientôt.

je suis les instructions et je re poste les résultats des scans ensuite, merci en attendant
et



je vous souhaite de merveilleux évènements tout au long de cette année

Voilà j'ai donc nettoyé en mode sans échec et également décoché "affichage des dossiers et des extensions de fichiers cachés".
J'ai utilisé CCleamer tout d'abord, ensuite j'ai nettoyé avec Ad-aware SE puis Ewido, ci-joint le rapport

---------------------------------------------------------
ewido anti-malware - Rapport de scan
---------------------------------------------------------

+ Créé le: 11:45:06, 04/01/2006
+ Somme de contrôle: AB8EE306

+ Résultats du scan:

[724] c:\program files\fichiers communs\microsoft shared\web folders\ibm00001.dll -> Trojan.Agent.bu : Nettoyer et sauvegarder
C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\ibm00001.dll -> Trojan.Agent.bu : Nettoyer et sauvegarder
C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\ibm00001.exe -> Trojan.Zapchast.ad : Nettoyer et sauvegarder
C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\ibm00002.dll -> Logger.Small.dg : Nettoyer et sauvegarder


::Fin du rapport

et j'ai également fait Hitjackthis:

Logfile of HijackThis v1.99.1
Scan saved at 11:50:22, on 04/01/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Program Files\ewido\security suite\ewidoctrl.exe
C:\Program Files\F-Secure\fswsclds.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Hijackthis version française\hijackthis vf.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v ... 3444690857
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004 ... scan53.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Me ... b31267.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan ... asinst.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMe ... loader.cab
O16 - DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} (Zylom Games Player) - http://game19.zylom.servicesalacarte.wa ... player.cab
O16 - DPF: {CE69F98F-2AF3-4306-BAC6-A79070EDA1B4} (Zylom Loader Object) - http://game19.zylom.servicesalacarte.wa ... loader.cab
O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IMDownloader Class) - http://www2.incredimail.com/contents/se ... loader.cab
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Boonty Games - BOONTY - C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe
O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido\security suite\ewidoctrl.exe
O23 - Service: F-Secure Windows Security Center Legacy Detection Service (Fswsclds) - F-Secure Corporation - C:\Program Files\F-Secure\fswsclds.exe
O23 - Service: Kodak Camera Connection Software (KodakCCS) - Eastman Kodak Company - C:\WINDOWS\system32\drivers\KodakCCS.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe


Ce que j'ai constaté moi c'est qu'au démarrage je n'est plus ma page d'accueil mais une page vide comme celle ci

[img][img]http://img358.imageshack.us/img358/2192/pageaccueil2ne.png[/img][/img]

Par ailleurs Avast me détecte un tojan avec infection sur plusieurs fichiers mais n'arrive pas à nettoyer.

Merci pour votre aide
bisousssssssss

Tu devrais nous donner les infos (copie du log) que l'on sache quel trojan et quels fichiers.
Sinon on ne peut t'aider.

La page blanche, je pense que c'est CCleaner qui a enlevé ta page de démarrage habituelle. Il suffit de retourner sur le site désiré et de remettre la page comme page par défaut via les options IE.

J'ai eu quelques soucis avec Avast dermièrement (virus non détectés) et je l'ai remplacé par Antivir un autre anti virus gratuit. Mais, lui non plus ne détectait pas tout, j'ai finalement utilisé le scan en ligne de McAfee (et/ou Kaspersky) pour tout trouver et j'ai fini le nettoyage "à la main"

Salut tous les deux.

Si tu a commencé par un scan avec Avast puis ensuite Ewido je pense que tes troyens sont partis avec ce dernier (en tout cas celui qui était dans ton HJThis).
mais si tu peux repasser avast pour récupérer le fichier log ce sera vite vu.

Non ce doit être moi avec HJTis
Pour remettre ta page d'acceuil IE fait comme dis Guardian
Ensuite pour bloquer ta page et quelle ne soit plus détournée:
tu ouvres Spybot S&D
A "outils" tu va a "Ajustements IE"
là tu peux cocher les trois options verrouiller.
Si par la suite tu veux accéder par IE a tes options internet
(c'est pas toutes les cinq minutes non plus )
tu sera bloquée il te faudra décocher "verouiller le panneau de controle...."
idem pour changer ta page de démarrage. et le fichier Hosts.

un dernier truc tant qu'on y est tu vas installer si ce n'est déjà fait le fichier Hosts de spybot
A outils tu va a "fichier Hosts" puis tu cliques a "ajouter le fichier Hosts de ..."
c'est un truc qui t'empéchera d'aller sur des sites reconnus mauvais.
si cela bloque retourne a l'écran précedent et déverouille le fichier le temps de l'opération.

N'oublie pas de faire tes mises a jour de tes logiciels avant de les utiliser.
Si tu veux faire un scan en ligne n'hésite pas écoute Guardian.
Sinon pour ce que l'on peut voir sur HJThis ou ewido pas se soucis.
mais vaut mieux tout vérifier.
A+

Pour bloquer/débloquer la modification "automatique" de la page de démarrage :

Lancer Regedit
Modifier la clef : HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel
Modifier la valeur : Homepage (DWORD)
1 = bloqué
0 = débloqué

je sais j'ai zieuté ton post a outils mais bon...
j'ai trouvé plus simple de faire passer Letavista par Spybot...
Quoique

Mme AgnesD voudrait ptèt un ptit logiciel juste pour modifier sa petite clef de registre ?

monsieur Guardian t'est trop charmant...
si je te donnais quelques clefs a modifier tu me ferais un chtit logiciel ???
parce que juste une clef ce serait trop simple mais quelques unes....

j'avoue que c'est tentant (si c'est pas trop de travail bien entendu...)

Aucun problème

On devrait même pouvoir récupérer la page en cours (copier/coller) pour la mettre directement dans la bonne clef sans débloquer la page de démarrage. Faut que je regarde ça...

N'oublie pas que c'est pour IE, je ne sais comment sont gérés les autres navigateurs.
Mais si quelqu'un me donne les clefs, on peut aussi l'envisager.

ça c'est cool.
les autres navigateurs il n'y a pas de détournement de pages donc cela sera moins utile.
mais si tu me dis qu'elles clefs....

J'ai posté un mp tu va regretter ta proposition

Juste pour rappeler que PowerIE6 de notre ami Laurent fait pas mal de réglages, entre autres bloque ou débloque la page d'accueil :

http://www.technicland.com/powerie6.php3

"Power IE6 est un utilitaire gratuit pour une utilisation personnelle, il est conçu pour le dépannage, la réparation et l'optimisation d'Internet Explorer 6. De plus il vous permet d'avoir accès à des fonctions avancées de votre navigateur ainsi que d'autres logiciels."

Le mieux reste d'utiliser Firefox.

http://www.mozilla-europe.org/fr/