OVH Cloud OVH Cloud

Conseils sur un log HJT

5 réponses
Avatar
jyM
Salut au groupe

J'ai eu un probleme avec un malware qui m'empechait notamment de
démarrer HJT et d'autres programmes de ce type.
Apparemment j'ai réussi à le virer, mais je ne suis pas trop sûr de
moi.
Un éminent spécialiste pourrait-il me donner son point de vue sur le
Log ci après ??
Merci
---------------------
Logfile of HijackThis v1.99.1
Scan saved at 17:54:39, on 30/01/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0011)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\soundman.exe
C:\PROGRA~1\CA\ETRUST~1\realmon.exe
C:\Program Files\CA\eTrust Antivirus\eAVTrial.exe
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\BitTorrent\bittorrent.exe
C:\WINDOWS\system32\drivers\CDAC11BA.EXE
C:\Program Files\CA\eTrust Antivirus\InoRpc.exe
C:\Program Files\CA\eTrust Antivirus\InoRT.exe
C:\Program Files\CA\eTrust Antivirus\InoTask.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Program Files\Outlook Express\msimn.exe
D:\Archives\Programmes\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
http://www.archistructures.org/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL =
http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL
= http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page =
http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =
http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet
Settings,ProxyOverride = 127.0.0.1
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName
= Favoris
F2 - REG:system.ini:
UserInit=c:\windows\system32\userinit.exe,"c:\windows\toshibapad.exe",
O1 - Hosts: localhost 127.0.0.1
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} -
C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O2 - BHO: NTIECatcher Class - {C56CB6B0-0D96-11D6-8C65-B2868B609932} -
C:\Program Files\Xi\NetTransport 2\NTIEHelper.dll
O4 - HKLM\..\Run: [SoundMan] soundman.exe
O4 - HKLM\..\Run: [Realtime Monitor]
C:\PROGRA~1\CA\ETRUST~1\realmon.exe -s
O4 - HKLM\..\Run: [eAVTrial] C:\Program Files\CA\eTrust
Antivirus\eAVTrial.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI
Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program
Files\Java\jre1.5.0_10\bin\jusched.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [BitTorrent] "C:\Program
Files\BitTorrent\bittorrent.exe" --force_start_minimized
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel
present
O8 - Extra context menu item: &Télécharger avec NetTransport -
C:\Program Files\Xi\NetTransport 2\NTAddLink.html
O8 - Extra context menu item: Tout t&élécharger avec NetTransport -
C:\Program Files\Xi\NetTransport 2\NTAddList.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} -
C:\Program Files\Java\jre1.5.0_10\bin\npjpi150_10.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) -
{08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program
Files\Java\jre1.5.0_10\bin\npjpi150_10.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} -
%windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 -
{e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network
Diagnostic\xpnetdiag.exe (file missing)
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime
Environment 1.5.0) -
http://javadl-esd.sun.com/update/1.5.0/jinstall-1_5_0_10-windows-i586-jc.cab
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} -
C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. -
C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner -
C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: C-DillaCdaC11BA - Macrovision -
C:\WINDOWS\system32\drivers\CDAC11BA.EXE
O23 - Service: Serveur RPC eTrust Antivirus (InoRPC) - Computer
Associates International, Inc. - C:\Program Files\CA\eTrust
Antivirus\InoRpc.exe
O23 - Service: Serveur eTrust Antivirus Temps réel (InoRT) - Computer
Associates International, Inc. - C:\Program Files\CA\eTrust
Antivirus\InoRT.exe
O23 - Service: Serveur de jobs eTrust Antivirus (InoTask) - Computer
Associates International, Inc. - C:\Program Files\CA\eTrust
Antivirus\InoTask.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

--------------------

5 réponses

Avatar
jyM
Sniper avait soumis l'idée :
L'ami jyM nous a écrit le 30/01/2007, Sainte Martine :

Un éminent spécialiste pourrait-il me donner son point de vue sur le Log ci
après ??


à priori rien d'inquiétant, à part que le pare-feu d'XP n'est pas démarré...
http://www.hijackthis.de/logfiles/ca1b5075895e568e583cf2b00ed39f1f.html
Seulement 2 inscriptions appellant xpnetdiag.exe à cocher et fixer dans
HJT...


Merci sniper
Cependant, je suis un peu inquiet concernant la ligne où figure
"c:windowstoshibapad.exe". J'ai cherché sur le net, je n'ai trouvé
cet exe que mêlé à des histoires de spyware.
D'autre part, je ne comprend pas que le firewall XP n'ai pas démarré,
il est bien configuré comme actif dans le panneau config...
Pour avis...


Avatar
j
Bonsoir à tous !

"Sniper" a écrit dans le message
news:

Si tu as un portable Toshiba, c'est un utilitaire qui permet de le
paramètrer... si tu as autre chose comme PC... vire le :-)



J'ai un Toshiba .. mais pas de toshibapad.exe ;-)

Bizzz@+ ©
--
« De la discussion, jaillit la lumière.. »
Cdlt@+ à tous
http://assiste.com.free.fr/la_manip.html

Avatar
jyM
Comme j'ai un Asus, j'ai viré Toshibatruc.exe
Plus généralement, quelqu'un a-t-il déjà vu un spyware rendre inopérant
des programmes tels que HJT ?


Il se trouve que Sniper a formulé :
a tenté d'exprimer avec précision :

J'ai un Toshiba .. mais pas de toshibapad.exe ;-)


Ah, tu es contrariante, toi :-O
tu n'as pas le programme lui-même ou son inscription en BdR ?
Moi ce qui me chiffonne, c'est l'appel à ce programme par userinit dans
system.ini... c'est un peu tordu, mébon ©...étant donné que system.ini n'est
plus utile sous XP... peut-être un reste de W98

Si d'autres utilisateurs de portables Toshiba pouvaient jeter un ½il dans
system.ini

:-*



Avatar
j
re'

"jyM" a écrit dans le message
news:

...
Plus généralement, quelqu'un a-t-il déjà vu un spyware rendre inopérant
des programmes tels que HJT ?


C'est le gd dada de qq virus et autres bestioles

_ de désactiver l'AV, le FW ...

_ d'empêcher , d'interrompre les scan' avec l'artillerie classique

_ de changer les DNS /connexions : exemple le trojan Flush.B qui provoque
une erreur 554 = plus d'envois de messages possibles

_ de titiller un peu partout ds le système ;-(

tjrs de façon sournoise .. et inopinée ..

Restent tranquilles puis se réveillent ...

--
« De la discussion, jaillit la lumière.. »
Cdlt@+ à tous
http://assiste.com.free.fr/la_manip.html

Avatar
jyM
J'ai trouvé une dll (avec Spyprotector) dans system32 qui était à
l'origine de mes soucis. Je l'ai viré en MSE, et HJT a refonctionné
normalement.

Sniper a présenté l'énoncé suivant :
Bonjour à jyM qui nous a écrit en ce mercredi 31/01/2007, où nous fêtons
Sainte Marcelle:

Plus généralement, quelqu'un a-t-il déjà vu un spyware rendre inopérant des
programmes tels que HJT ?


Rectification:
Oui, ça m'est arrivé il n'y a pas longtemps... j'ai galéré comme un malade
mais en réinstallant HJT, ça a passé. Sinon, bonjour la galère...