[jblost]

J'ai recu un mail d'un ami, a ce que j'ai pu comprendre, son ordi subit des ralentissements, + des messages avertissements. Voila son log, je m'y connais pas donc je laisse le soin au pro, mais ca m'a pas l'air très propre -_-

[!aur3n7]

bonjour jblost,

Ce log fait état de plusieurs infections cepedant il me faut l'entete pour déterminer les outils adaptés


En plus du log hijackthis complet post les rapports de blacklight et smitfraudfix



Télécharge F-Secure Blacklight F-Secure) https://europe.f-secure.com/blacklight/try.shtml
Un tuto: http://www.malekal.com/tutorial_f-secure_BlackLight.html
- Clic en bas sur I accept
- Dans la nouvelle fenêtre, clic sur le bouton en haut du tableau Download.
- Lance-le en double-cliquant sur le fichier blbeta.exe
- Accepte la licence, et clique enfin sur Scan puis sur next
- Poste le rapport qui a été créé sur ton bureau dans le fichier fsbl-bxxxx.log (les xxxx sont des chiffres).

/!\ NE PAS choisir l'option Rename: nous devons analyser le rapport, car des fichiers légitimes peuvent être présents, tel wbemtest.exe /!\


- Télécharge smitfraudfix (S!Ri) http://siri.urz.free.fr/Fix/SmitfraudFix.zip
* Décompresse le sur ton bureau
* lance smitfraudfix.cmd et choisis l'option 1 et Entrée
/!\ ne touches surtout pas aux autres options pour le moment /!\
* Un rapport sera généré sauvegarde le
*Quitte smitfraudfix

/!\ process.exe est détecté par certains antivirus comme étant un virus ce qui bien evidement n'est pas le cas mais un utilitaire destiné à mettre fin à des processus. /!\

Autre point important il a 2 antivirus actifs il faut en désinstaller un sinon il riesque d'y avoir des conflits 

[jblost]

Voila l'entete tout d'abord, on fait le reste, et on t'enverra tout ca.

Logfile of HijackThis v1.99.1
Scan saved at 17:32:56, on 18/07/2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
_________________
nul en info  

[jblost]

Donc voila le log F Secure.... Il a pas l'air d'avoir trouver grand chose, enfin j'y connais rien -_-

07/18/06 17:37:10 [Info]: BlackLight Engine 1.0.42 initialized
07/18/06 17:37:10 [Info]: OS: 5.1 build 2600 (Service Pack 1)
07/18/06 17:37:10 [Note]: 7019 4
07/18/06 17:37:10 [Note]: 7005 0
07/18/06 17:37:14 [Note]: 7006 0
07/18/06 17:37:14 [Note]: 7011 1928
07/18/06 17:37:14 [Note]: 7026 0
07/18/06 17:37:14 [Note]: 7026 0
07/18/06 17:37:21 [Note]: FSRAW library version 1.7.1019
07/18/06 17:40:16 [Note]: 7007 0

Et voila le rapport Smitfraud

Log supprimé







info: Norton desinstallé/ bitdefender gardé
_________________
nul en info  

[!aur3n7]

Je te conseille d'imprimer cette procédure et de suivre l'ordre donné

si tu as des questions n'hésites pas

bon courage

- Fais un clique droit sur ce lien
UnHookExec.inf
et choisis "enregistrer sous" ou "enegistrer la cible du lien sous" suivant le navigateur employé.
*Enregistre le sur le bureau

Télécharge

- Ewido version d'évaluation http://www.ewido.net/en/download/
Un tuto http://www.malekal.com/tutorial_ewidoV4.html

* Installe le
* Mets le à jour à partir du menu update en haut
* quitte ewido

ATF-Cleaner (Attribune) : http://www.atribune.org/ccount/click.php?id=1
Enregistre le sur le bureau

- Redémarre ton PC en mode sans échec Impératif !!!

[jblost]

Bon voila le bilan:


Pour le log hijackthis , il m'a tout supprimé sans probleme apparent.




Pour les regsvr32, rien n'est trouvé par la machine.

Pour les fichiers à supprimer, certains sont introuvables, je suppose qu'ils ont été déja banni grace hija. J'ai donc eu uniquement a supprimer:

C:\WINDOWS\vphc700.exe
C:\WINDOWS\System32\c6a6a463.exe

Pas de soucis pour la supression.



Voici le log smitfraud:
Log supprimé

______________________________________________________


Voici le rapport ewido:

ewido anti-spyware - Scan Report
---------------------------------------------------------

+ Created at: 21:51:02 18/07/2006

+ Scan result:



C:\WINDOWS\system32\klpifnjf.dll -> Adware.Agent : Cleaned with backup (quarantined).

C:\Program Files\Softwin\BitDefender Free Edition\Infected\trustinbar[1].exe -> Adware.Azesearch : Cleaned with backup (quarantined).

C:\Program Files\Hijackthis Version Française\backups\backup-20060408-191209-213.dll -> Adware.BookedSpace : Cleaned with backup (quarantined).

C:\Program Files\Softwin\BitDefender Free Edition\Infected\EQBranch.exe -> Adware.PurityScan : Cleaned with backup (quarantined).

C:\Program Files\Softwin\BitDefender Free Edition\Infected\backup-20060408-191208-731.dll -> Downloader.Dyfuca.eg : Cleaned with backup (quarantined).

C:\WINDOWS\ѕуstem32\javaw.exe -> Downloader.PurityScan.w : Cleaned with backup (quarantined).

C:\Program Files\Softwin\BitDefender Free Edition\Infected\mxd[2].exe -> Downloader.Small.cwj : Cleaned with backup (quarantined).

C:\WINDOWS\mxd.exe -> Downloader.Small.cwj : Cleaned with backup (quarantined).

C:\Program Files\Hijackthis Version Française\backups\backup-20060718-203702-539.dll -> Downloader.Small.ddp : Cleaned with backup (quarantined).

C:\Program Files\Softwin\BitDefender Free Edition\Infected\ticads[1].exe -> Downloader.Small.ddp : Cleaned with backup (quarantined).

C:\Program Files\Softwin\BitDefender Free Edition\Infected\tse[1].exe -> Downloader.Small.ddp : Cleaned with backup (quarantined).

C:\WINDOWS\ms0530308-4000.exe -> Downloader.VB.tw : Cleaned with backup (quarantined).

C:\WINDOWS\sms112x.exe -> Downloader.VB.tw : Cleaned with backup (quarantined).

C:\Program Files\Softwin\BitDefender Free Edition\Infected\tctool[1].exe -> Downloader.WarSpy.d : Cleaned with backup (quarantined).

:mozilla.169:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\qhs1t4im.default\cookies.txt -> TrackingCookie.2o7 : Cleaned.

:mozilla.52:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\qhs1t4im.default\cookies.txt -> TrackingCookie.Atdmt : Cleaned.

:mozilla.34:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\qhs1t4im.default\cookies.txt -> TrackingCookie.Bluestreak : Cleaned.

:mozilla.31:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\qhs1t4im.default\cookies.txt -> TrackingCookie.Doubleclick : Cleaned.

:mozilla.126:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\qhs1t4im.default\cookies.txt -> TrackingCookie.Estat : Cleaned.

:mozilla.107:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\qhs1t4im.default\cookies.txt -> TrackingCookie.Falkag : Cleaned.

:mozilla.108:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\qhs1t4im.default\cookies.txt -> TrackingCookie.Falkag : Cleaned.

:mozilla.109:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\qhs1t4im.default\cookies.txt -> TrackingCookie.Falkag : Cleaned.

:mozilla.110:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\qhs1t4im.default\cookies.txt -> TrackingCookie.Falkag : Cleaned.

:mozilla.111:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\qhs1t4im.default\cookies.txt -> TrackingCookie.Falkag : Cleaned.

:mozilla.112:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\qhs1t4im.default\cookies.txt -> TrackingCookie.Falkag : Cleaned.

:mozilla.148:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\qhs1t4im.default\cookies.txt -> TrackingCookie.Hotlog : Cleaned.

:mozilla.65:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\qhs1t4im.default\cookies.txt -> TrackingCookie.Mediaplex : Cleaned.

:mozilla.180:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\qhs1t4im.default\cookies.txt -> TrackingCookie.Sexcounter : Cleaned.

:mozilla.181:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\qhs1t4im.default\cookies.txt -> TrackingCookie.Sexcounter : Cleaned.

:mozilla.53:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\qhs1t4im.default\cookies.txt -> TrackingCookie.Smartadserver : Cleaned.

:mozilla.54:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\qhs1t4im.default\cookies.txt -> TrackingCookie.Smartadserver : Cleaned.

:mozilla.55:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\qhs1t4im.default\cookies.txt -> TrackingCookie.Smartadserver : Cleaned.

:mozilla.149:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\qhs1t4im.default\cookies.txt -> TrackingCookie.Spylog : Cleaned.

:mozilla.19:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\qhs1t4im.default\cookies.txt -> TrackingCookie.Tradedoubler : Cleaned.

:mozilla.10:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\qhs1t4im.default\cookies.txt -> TrackingCookie.Weborama : Cleaned.

:mozilla.11:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\qhs1t4im.default\cookies.txt -> TrackingCookie.Weborama : Cleaned.

:mozilla.12:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\qhs1t4im.default\cookies.txt -> TrackingCookie.Weborama : Cleaned.

:mozilla.152:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\qhs1t4im.default\cookies.txt -> TrackingCookie.Yadro : Cleaned.

:mozilla.153:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\qhs1t4im.default\cookies.txt -> TrackingCookie.Yadro : Cleaned.

:mozilla.139:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\qhs1t4im.default\cookies.txt -> TrackingCookie.Zedo : Cleaned.

:mozilla.140:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\qhs1t4im.default\cookies.txt -> TrackingCookie.Zedo : Cleaned.

:mozilla.141:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\qhs1t4im.default\cookies.txt -> TrackingCookie.Zedo : Cleaned.

C:\Program Files\Softwin\BitDefender Free Edition\Infected\123.456 -> Trojan.Dialer.pw : Cleaned with backup (quarantined).

C:\Program Files\Hijackthis Version Française\backups\backup-20060408-180412-578.inf -> Trojan.NetChg.a : Cleaned with backup (quarantined).

C:\Program Files\Hijackthis Version Française\backups\backup-20060408-180412-976.inf -> Trojan.NetChg.a : Cleaned with backup (quarantined).

C:\WINDOWS\uni_eh.exe -> Trojan.VB.tg : Cleaned with backup (quarantined).

C:\WINDOWS\unin101.exe -> Trojan.VB.tg : Cleaned with backup (quarantined).


::Report end




Voici le rapport de scan en ligne par Panda:


Incident Statut Analyse

Spyware:Cookie/Searchportal No Désinfecté C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\qhs1t4im.default\cookies.txt[searchportal.information.com/]
Outil indésirable:Application/Processor No Désinfecté C:\Documents and Settings\Propriétaire\Bureau\jb\l2mfix\Process.exe
Outil indésirable:Application/Processor No Désinfecté C:\Documents and Settings\Propriétaire\Bureau\jb\l2mfix.exe[l2mfix/Process.exe]
Outil indésirable:Application/Processor No Désinfecté C:\Documents and Settings\Propriétaire\Bureau\jb\SmitfraudFix.zip[SmitfraudFix/Process.exe]
Outil indésirable:Application/Processor No Désinfecté C:\Documents and Settings\Propriétaire\Bureau\SmitfraudFix\Process.exe
Outil indésirable:Application/Processor No Désinfecté C:\Documents and Settings\Propriétaire\Bureau\SmitfraudFix.zip[SmitfraudFix/Process.exe]


Voici le log hija effectué a la fin:

Log supprimé


Voila pour ou on en est mon pote et moi pour le moment. Merci encore de ton aide si précieuse pour tous
_________________
nul en info  

[!aur3n7]

Salut,

reste cette ligne a fixer en mode sans echec

O4 - HKLM\..\Run: [phc700] C:\WINDOWS\vphc700.exe


et ce fichier a supprimer C:\WINDOWS\vphc700.exe

sinon le reste est ok.

Apres avoir fait ca précise si il reste des problèmes et détail les symptomes

En même temps comment se fait il que l2mfix etait présent ? Il a été utilisé ? 

[!aur3n7]

petit apostrophe

serait il possible que vous m'expédiez ce fichier
enfin si vous le voulez bien) pour que je puisse effectuer quelques tests

c:\windows\ALCMTR.EXE

il faudra le compresser avant (histoire de palier aux alertes d'antivirus concernant les .exe)
à cette adresse

Laurent[at]cfasi.net

en remplacant [at] par @ bien sur.

Merci 

[jblost]

Donc c'est fait, voila le nouveau log hija au cas ou:

Log supprimé


Sinon, plus de symptome apparent (les symptomes apparraissaient pendant la naviguation par internet explorer avec des pages intempestives de spy et adware Ou par des infections de ces derniers dans google. Le message d'avertissement à l'entrée d'internet explorer n'est plus présent.)

Pour le fichier que tu veux, on essaiera de t'envoyer ca dans la journée.

En tout les cas merci encore de ton aide.

Jblost


Ps: reste le meme probleme que moi d'ailleur, mettre par defaut internet mozilla dans wanadoo -_-
_________________
nul en info  

[!aur3n7]

Salut,

Le log est propre et si les symptomes ont disparus je pense que c'est OK

tu peux si tu le souhaites et par mesure de précaution refaire un scan en ligne


Au passage et avant que j'oubli
supprime les utilitaires spécifiques tel que Smitfraudfix, F_secure blacklight)

ATFcleaner peut etre gardé et utilisé régulièrement pour nettoyer les caches et fichiers inutiles

ewido est en version d'evaluation 30 jours apres quoi il te sera toujours possible de l'utiliser mais tu ne disposeras plus de la protection résidente ni des mises a jour automatique il faudra donc le faire manuellement ainsi que le scan. Tu as dans le tuto les démarches à suivre.

Concernant wanadoo le mieux est de supprimer le kit de connexion et parametrer manuellement la connexion. Cela te permettra de gagner en ressource mémoire et te permettras d'utiliser firefox par defaut sans souci

Pour ce suis les indications données sur ce lien apres avoir désinstallé le kit de connexion wanadoo
http://www.amula.asso.fr/site/article.php?id_article=61

Bonne continuation 

[jblost]

Ok pour la connection inernet, c'est le premier truc que j'avais fait, moi je cherchais à mettr firefox par défaut dans le fameux "espace wanadoo" mais ca sert a rien, c'est plus simple de refaire une nouvelle connection je m'en tiendrais la.


Et du coup j'ai oublié de t'envoyer l'application que tu voulais, on t'envoie ca.

Merci pour ton aide.


jblost
_________________
nul en info  

[mickael44]

Et bien, problème résolu

N'hésite pas à revenir !!! 

[!aur3n7]

J'ai reçu le fichier.

Merci


Je vais pouvoir regarder de plus près ce qu'il a dans le ventre.

Bonne continuation