[sanandreas]

bonjour a tous,

j'ai un problème avec le pc d'un ami qui démarre trés lentement et qui a des petits bugs inexpliqués!!

voila son log:

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\System32\Ati2evxx.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\spoolsv.exe
D:\WINDOWS\system32\Ati2evxx.exe
D:\WINDOWS\Explorer.EXE
D:\Program Files\Friendly Technologies\BroadbandAccess\fts.exe
D:\PROGRA~1\Sony\SONICS~1\SsAAD.exe
D:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
D:\WINDOWS\System32\HotfixQ0306270.exe
D:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
D:\Program Files\DAEMON Tools\daemon.exe
D:\WINDOWS\system32\ctfmon.exe
D:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
D:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
D:\Program Files\Panda Software\Panda Antivirus Platinum\pavsrv51.exe
D:\WINDOWS\system32\IoctlSvc.exe
D:\WINDOWS\System32\svchost.exe
D:\Program Files\Panda Software\Panda Antivirus Platinum\AVENGINE.EXE
D:\Program Files\Fichiers communs\Sony Shared\AVLib\SSScsiSV.exe
D:\Program Files\Mozilla Firefox\firefox.exe
D:\DOCUME~1\BENJAM~1.VIR\LOCALS~1\Temp\Répertoire temporaire 1 pour hijackthis.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.neuf.fr/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: (no name) - {DFEE4838-BB84-AB61-DBA0-9F567E84ADD1} - sound64.dll (file missing)
O1 - Hosts: 66.197.154.85 www.halifax-online.co.uk
O1 - Hosts: 66.197.154.85 ibank.barclays.co.uk
O1 - Hosts: 66.197.154.85 online.lloydstsb.co.uk
O1 - Hosts: 66.197.154.85 online-business.lloydstsb.co.uk
O1 - Hosts: 66.197.154.85 www.ukpersonal.hsbc.co.uk
O1 - Hosts: 66.197.154.85 www.nwolb.com
O1 - Hosts: 66.197.154.85 banesnet.banesto.es
O1 - Hosts: 66.197.154.85 extranet.banesto.es
O1 - Hosts: 66.197.154.85 ebanking.bccbrescia.it
O1 - Hosts: 66.197.154.85 www.bankofscotlandhalifax-online.co.uk
O1 - Hosts: 66.197.154.85 www.rbsdigital.com
O1 - Hosts: 66.197.154.85 oi.cajamadrid.es
O1 - Hosts: 66.197.154.85 bancae.caixapenedes.com
O1 - Hosts: 66.197.154.85 banking.postbank.de
O1 - Hosts: 66.197.154.85 meine.deutsche-bank.de
O1 - Hosts: 66.197.154.85 myonlineaccounts2.abbeynational.co.uk
O1 - Hosts: 66.197.154.85 ibank.cahoot.com
O1 - Hosts: 66.197.154.85 webbank.openplan.co.uk
O1 - Hosts: 66.197.154.85 bancopostaonline.poste.it
O1 - Hosts: 66.197.154.85 www.rasbank.it
O1 - Hosts: 66.197.154.85 www.credem.it
O1 - Hosts: 66.197.154.85 mybank.bybank.it
O1 - Hosts: 66.197.154.85 www.bancagenerali.it
O1 - Hosts: 66.197.154.85 www.bancaintesa.it
O1 - Hosts: 66.197.154.85 www.creval.it
O1 - Hosts: 66.197.154.85 ibank.internationalbanking.barclays.com
O1 - Hosts: 66.197.154.85 www.abbeyinternational.com
O1 - Hosts: 66.197.154.85 www.bbvanet.com
O1 - Hosts: 66.197.154.85 www.fineco.it
O1 - Hosts: 66.197.154.85 www.cajamar.es
O1 - Hosts: 66.197.154.85 welcome7.co-operativebank.co.uk
O1 - Hosts: 66.197.154.85 welcome11.co-operativebankonline.co.uk
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: UCmore XP - The Search Accelerator - {44BE0690-5429-47f0-85BB-3FFD8020233E} - D:\Program Files\TheSearchAccelerator\UCMTSAIE.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - d:\program files\google\googletoolbar1.dll
O3 - Toolbar: (no name) - {08BEC6AA-49FC-4379-3587-4B21E286C19E} - (no file)
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - D:\Program Files\Canon\Easy-WebPrint\Toolband.dll
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [%FP%Friendly fts.exe] "D:\Program Files\Friendly Technologies\BroadbandAccess\fts.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] D:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [APVXDWIN] "D:\Program Files\Panda Software\Panda Antivirus Platinum\APVXDWIN.EXE" /s
O4 - HKLM\..\Run: [SsAAD.exe] D:\PROGRA~1\Sony\SONICS~1\SsAAD.exe
O4 - HKLM\..\Run: [ATIPTA] "D:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe"
O4 - HKLM\..\Run: [DSLAGENTEXE] dslagent.exe
O4 - HKLM\..\Run: [PLFFAP] D:\WINDOWS\System32\HotfixQ0306270.exe
O4 - HKLM\..\Run: [AVG7_CC] D:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [media64] bhoserv.exe
O4 - HKLM\..\Run: [DAEMON Tools] "D:\Program Files\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [dmaer.exe] D:\WINDOWS\system32\dmaer.exe
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [WINSOS VERIFY] "D:\Program Files\WINSOS\WINSOS.EXE" MINI
O8 - Extra context menu item: &Traduire à partir de l'anglais - res://d:\program files\google\GoogleToolbar1.dll/cmwordtrans.html
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://D:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Easy-WebPrint Ajouter à la liste d'impressions - res://D:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
O8 - Extra context menu item: Easy-WebPrint Impression rapide - res://D:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint Imprimer - res://D:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
O8 - Extra context menu item: Easy-WebPrint Prévisualiser - res://D:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
O8 - Extra context menu item: Pages liées - res://d:\program files\google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Pages similaires - res://d:\program files\google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Recherche &Google - res://d:\program files\google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://d:\program files\google\GoogleToolbar1.dll/cmcache.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1131704060826
O17 - HKLM\System\CCS\Services\Tcpip\..\{4B99E8D4-177B-461F-98F8-926427350C3D}: NameServer = 85.255.113.133,85.255.112.94
O17 - HKLM\System\CCS\Services\Tcpip\..\{6C7B45DB-DE1B-49C6-B77A-8229C2A49150}: NameServer = 85.255.113.133,85.255.112.94
O17 - HKLM\System\CCS\Services\Tcpip\..\{A0D06D5E-0C77-4CBE-8C02-3A98FBA6940B}: NameServer = 85.255.113.133 85.255.112.94
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "D:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: pptp32 - D:\WINDOWS\SYSTEM32\pptp32.dll
O20 - Winlogon Notify: SMDEn - D:\WINDOWS\system32\m282lclo1fqc.dll (file missing)
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - D:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - D:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - D:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - D:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - D:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: MSCSPTISRV - Sony Corporation - D:\Program Files\Fichiers communs\Sony Shared\AVLib\MSCSPTISRV.exe
O23 - Service: PACSPTISVR - Sony Corporation - D:\Program Files\Fichiers communs\Sony Shared\AVLib\PACSPTISVR.exe
O23 - Service: Panda Firewall Service (PAVFIRES) - Panda Software - D:\Program Files\Panda Software\Panda Antivirus Platinum\Firewall\PavFires.exe
O23 - Service: Panda anti-virus service (PAVSRV) - Panda Software - D:\Program Files\Panda Software\Panda Antivirus Platinum\pavsrv51.exe
O23 - Service: PLFlash DeviceIoControl Service - Prolific Technology Inc. - D:\WINDOWS\system32\IoctlSvc.exe
O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - D:\Program Files\Fichiers communs\Sony Shared\AVLib\SPTISRV.exe
O23 - Service: SonicStage SCSI Service (SSScsiSV) - Sony Corporation - D:\Program Files\Fichiers communs\Sony Shared\AVLib\SSScsiSV.exe


merci d'avance de vos réponses  

[!aur3n7]

Bonjour

Ce log révèle de belle trace d'infection cependant avant de te donner plus de détail j'ai besoin de l'entête de ce log afin de déterminer avec plus de précision l'utilitaire et la procédure à suivre. 

[sanandreas]

c'est se que je penser vu la taille du log mais je n'en savait pas plus.

voilà l'entête du log:

Logfile of HijackThis v1.99.1
Scan saved at 18:53:42, on 21/06/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) 

[!aur3n7]

Donc,

télécharge

the hoster
Décompresse le sur le bureau
lance hoster.exe puis clique sur le bouton restor windows's original hosts
ferme the hoster

Ccleaner
Cliquez sur download latest version en haut a droite pour le télécharger.


Installe le,
lors de l'installation décoche la case installation de la barre d'outil Yahoo Ccleaner!


Regseeker
Un tuto Décompresse le dans un dossier (c:\regseeker) on l'utilisera à la fin aussi.


Redémarre en mode sans echec !!! important !!!

Via ajout suppression de programme recherche et désinstalle si present
TheSearchAccelerator

Relance hijackthis coche ces lignes

R3 - URLSearchHook: (no name) - {DFEE4838-BB84-AB61-DBA0-9F567E84ADD1} - sound64.dll (file missing)
O3 - Toolbar: UCmore XP - The Search Accelerator - {44BE0690-5429-47f0-85BB-3FFD8020233E} - D:\Program Files\TheSearchAccelerator\UCMTSAIE.dll
O3 - Toolbar: (no name) - {08BEC6AA-49FC-4379-3587-4B21E286C19E} - (no file)
O4 - HKLM\..\Run: [media64] bhoserv.exe
O4 - HKLM\..\Run: [dmaer.exe] D:\WINDOWS\system32\dmaer.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{4B99E8D4-177B-461F-98F8-926427350C3D}: NameServer = 85.255.113.133,85.255.112.94
O17 - HKLM\System\CCS\Services\Tcpip\..\{6C7B45DB-DE1B-49C6-B77A-8229C2A49150}: NameServer = 85.255.113.133,85.255.112.94
O17 - HKLM\System\CCS\Services\Tcpip\..\{A0D06D5E-0C77-4CBE-8C02-3A98FBA6940B}: NameServer = 85.255.113.133 85.255.112.94
O20 - Winlogon Notify: pptp32 - D:\WINDOWS\SYSTEM32\pptp32.dll
O20 - Winlogon Notify: SMDEn - D:\WINDOWS\system32\m282lclo1fqc.dll (file missing)

Clique sur fixer objet


Démarrer executer tape services.msc

dans la liste recherche
PLFlash DeviceIoControl Service
Double clique dessus et a type de démarrage choisis désactivé

recherche et supprime ce dossier
D:\Program Files\TheSearchAccelerator

Redémarre en mode normal

Télécharge Pocket Killbox
http://www.bleepingcomputer.com/files/killbox.php dézippe le dans un dossier nommé c:\Killbox

3) Copie/colle dans le bloc notes le texte qui est dans la citation

[sanandreas]

merci de ta réponse détaillé laurent je lui ai laisser le soin de faire tout ça

mais je me demandais si le log révélait des choses grave et si il y avait des risque pour le pc si toutes ses procédures n'étaient pas faite dans l'immédiat? 

[!aur3n7]

Bonjour,

Je me vois mal conseiller quelqu'un de tarder à faire une procédure d'erradication pour des raisons simples c'est qu'à la limite lui il fait ce qu'il veut avec son PC et si la présence de vérole ne le dérange pas ben ma foie.. qu'il les garde. Mais ce qui m'embete beaucoup plus c'est de savoir qu'il tardera à l'erradiquer et de ce fait favorisera sa propagation à travers Internet ou le reseau ce qui, dans ce cas, toucherait d'autre personnes qui n'ont pas demandé à les avoir et encore moins être obligé de cohabiter avec.

Moi je dirais une chose pour lui faire comprendre la situation c'est que si ca se trouve il a été lui même infecté à cause d'une personne qui est restée avec cette même cochonnerie ne faisant rien pour l'empecher de se propager.

Pour en revenir à ce cas en particulier pour le moment il n'a que la première volée et si il ne traite pas les copains de cette bestiole ne tarderont pas à s'inviter à la fête.
La réalisation de cette procédure ne lui prendra tout au plus 10 minutes plus le temps du scan qu'il pourra lancer la nuit quand il n'utilise pas le PC je ne vois donc aucune raison de retarder la réalisation