besoin d'aide - faux anti spy ware analyse rapport hitjackth

[Murielle la puce]

bonjour
merci d'avance pour votre aide..

depuis ce matin un faux spyware m'a infecté.
j'ai téléchargé hijackthis, installé et voici le rapport..

Code: Tout sélectionner

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 08:28:28, on 03/09/2008
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18000)
Boot mode: Normal

Running processes:
C:Windowssystem32Dwm.exe
C:Windowssystem32   askeng.exe
C:WindowsExplorer.EXE
C:Program FilesGrisoftAVG7avgcc.exe
C:Program FilesOrangeHSSSystraySystrayApp.exe
C:WindowsRtHDVCpl.exe
C:Program FilesPC Tools Firewall PlusFirewallGUI.exe
C:Program FilesWindows Sidebarsidebar.exe
C:Windowsehomeehtray.exe
C:Program FilesSpybot - Search & DestroyTeaTimer.exe
C:Windowsehomeehmsas.exe
C:UsersmoiAppDataLocaljfavr.exe
C:PROGRA~1COMMON~1France TelecomShared ModulesAlertModule6AlertModule.exe
C:AcerEmpowering TechnologyACER.EMPOWERING.FRAMEWORK.SUPERVISOR.EXE
C:AcerEmpowering TechnologyeRecoveryERAGENT.EXE
C:Program FilesOrangeHSSLauncherLauncher.exe
C:Program FilesOrangeHSSconnectivityconnectivitymanager.exe
C:Program FilesOrangeHSSDeskboarddeskboard.exe
C:Program FilesOrangeHSSconnectivityCoreComCoreCom.exe
C:Program FilesOrangeHSSconnectivityCoreComOraConfigRecover.exe
C:PROGRA~1COMMON~1France TelecomShared ModulesFTCOMModule\0FTCOMModule.exe
C:WindowsSystem32mobsync.exe
C:Program FilesOrangeHSSrowserrowser.exe
C:Windowssystem32SearchFilterHost.exe
C:Program FilesTrend MicroHijackThisHijackThis.exe

R1 - HKCUSoftwareMicrosoftInternet ExplorerMain,Search Page = http://fr.rd.yahoo.com/customize/ycomp/defaults/sp/*http://fr.yahoo.com
R0 - HKCUSoftwareMicrosoftInternet ExplorerMain,Start Page = http://www.orange.fr/
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Page_URL = http://fr.fr.acer.yahoo.com
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLMSoftwareMicrosoftInternet ExplorerMain,Start Page = http://fr.fr.acer.yahoo.com
R0 - HKLMSoftwareMicrosoftInternet ExplorerSearch,SearchAssistant =
R0 - HKLMSoftwareMicrosoftInternet ExplorerSearch,CustomizeSearch =
R1 - HKCUSoftwareMicrosoftInternet ExplorerSearchURL,(Default) = http://fr.rd.yahoo.com/customize/ycomp/defaults/su/*http://fr.yahoo.com
R0 - HKCUSoftwareMicrosoftInternet ExplorerToolbar,LinksFolderName =
R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:Program FilesOrangeHSSSearchURLHookSearchPageURL.dll
O1 - Hosts: ::1 localhost
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:Program FilesAdobeAcrobat 7.0ActiveXAcroIEHelper.dll
O2 - BHO: (no name) - {1E8A6170-7264-4D0F-BEAE-D42A53123C75} - c:Program FilesCommon FilesSymantec SharedcoSharedBrowser1.0NppBho.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:Program FilesSpybot - Search & DestroySDHelper.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:Program FilesCommon FilesMicrosoft SharedWindows LiveWindowsLiveLogin.dll
O3 - Toolbar: Acer eDataSecurity Management - {5CBE3B7C-1E47-477e-A7DD-396DB0476E29} - C:Windowssystem32eDStoolbar.dll
O3 - Toolbar: Show Norton Toolbar - {90222687-F593-4738-B738-FBEE9C7B26DF} - c:Program FilesCommon FilesSymantec SharedcoSharedBrowser1.0UIBHO.dll
O4 - HKLM..Run: [AVG7_CC] C:PROGRA~1GrisoftAVG7avgcc.exe /STARTUP
O4 - HKLM..Run: [SystrayORAHSS] "C:Program FilesOrangeHSSSystraySystrayApp.exe"
O4 - HKLM..Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM..Run: [00PCTFW] "C:Program FilesPC Tools Firewall PlusFirewallGUI.exe" -s
O4 - HKCU..Run: [Sidebar] C:Program FilesWindows Sidebarsidebar.exe /autoRun
O4 - HKCU..Run: [ehTray.exe] C:WindowsehomeehTray.exe
O4 - HKCU..Run: [SpybotSD TeaTimer] C:Program FilesSpybot - Search & DestroyTeaTimer.exe
O4 - HKCU..Run: [jfavr] "c:usersmoiappdatalocaljfavr.exe" jfavr
O4 - HKUSS-1-5-19..Run: [Sidebar] %ProgramFiles%Windows SidebarSidebar.exe /detectMem (User 'SERVICE LOCAL')
O4 - HKUSS-1-5-19..Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICE LOCAL')
O4 - HKUSS-1-5-19..Run: [AVG7_Run] C:PROGRA~1GrisoftAVG7avgw.exe /RUNONCE (User 'SERVICE LOCAL')
O4 - HKUSS-1-5-20..Run: [Sidebar] %ProgramFiles%Windows SidebarSidebar.exe /detectMem (User 'SERVICE RESEAU')
O4 - HKUSS-1-5-18..Run: [AVG7_Run] C:PROGRA~1GrisoftAVG7avgw.exe /RUNONCE (User 'SYSTEM')
O4 - HKUS.DEFAULT..Run: [AVG7_Run] C:PROGRA~1GrisoftAVG7avgw.exe /RUNONCE (User 'Default user')
O4 - Startup: OneNote 2007 - Capture d'écran et lancement.lnk = C:Program FilesMicrosoft OfficeOffice12ONENOTEM.EXE
O4 - Global Startup: Empowering Technology Launcher.lnk = ?
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:PROGRA~1MICROS~2Office12EXCEL.EXE/3000
O9 - Extra button: Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:PROGRA~1MICROS~2Office12ONBttnIE.dll
O9 - Extra 'Tools' menuitem: &Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:PROGRA~1MICROS~2Office12ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:PROGRA~1MICROS~2Office12REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:Program FilesSpybot - Search & DestroySDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:Program FilesSpybot - Search & DestroySDHelper.dll
O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - http://www.wanadoo.fr (file missing) (HKCU)
O13 - Gopher Prefix:
O16 - DPF: {04CB5B64-5915-4629-B869-8945CEBADD21} (Module de délivrance de certificat MINEFI) - https://static.impots.gouv.fr/abos/static/securite/certdgi1.cab
O16 - DPF: {B79A53C0-1DAC-4636-BACE-FD086A7A79BF} (AdSignerLCContrl Class) - https://static.impots.gouv.fr/tdir/static/adpform/AdSignerVistaADP-1.1.cab
O20 - Winlogon Notify: avgwlntf - C:WindowsSYSTEM32avgwlntf.dll
O23 - Service: ePerformance Service (AcerMemUsageCheckService) - Unknown owner - C:AcerEmpowering TechnologyePerformanceMemCheck.exe
O23 - Service: Intel(R) Alert Service (AlertService) - Intel(R) Corporation - C:Program FilesIntelIntelDHCCUAlertService.exe
O23 - Service: Ati External Event Utility - ATI Technologies Inc. - C:Windowssystem32Ati2evxx.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:PROGRA~1GrisoftAVG7avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:PROGRA~1GrisoftAVG7avgupsvc.exe
O23 - Service: AVG7 Resident Shield Service (AvgCoreSvc) - GRISOFT, s.r.o. - C:PROGRA~1GrisoftAVG7avgrssvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:PROGRA~1GrisoftAVG7avgemc.exe
O23 - Service: DQLWinService - Unknown owner - C:Program FilesCommon FilesIntelIntelDHNMSAdpPluginsDQLWinService.exe
O23 - Service: eDSService.exe (eDataSecurity Service) - HiTRSUT - C:AcerEmpowering TechnologyeDataSecurityeDSService.exe
O23 - Service: eRecovery Service (eRecoveryService) - Acer Inc. - C:AcerEmpowering TechnologyeRecoveryeRecoveryService.exe
O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom SA - C:PROGRA~1COMMON~1France TelecomShared ModulesFTRTSVC\0FTRTSVC.exe
O23 - Service: Intel(R) Matrix Storage Event Monitor (IAANTMON) - Intel Corporation - C:Program FilesIntelIntel Matrix Storage ManagerIaantmon.exe
O23 - Service: IntelDHSvcConf - Intel(R) Corporation - C:Program FilesIntelIntelDHIntel Media ServerToolsIntelDHSvcConf.exe
O23 - Service: Intel(R) Software Services Manager (ISSM) - Intel(R) Corporation - C:Program FilesIntelIntelDHIntel Media ServerMedia ServerinISSM.exe
O23 - Service: Process Monitor (LVPrcSrv) - Unknown owner - c:program filescommon fileslogitechlvmvfmLVPrcSrv.exe (file missing)
O23 - Service: Intel(R) Viiv(TM) Media Server (M1 Server) - Unknown owner - C:Program FilesIntelIntelDHIntel Media ServerMedia Serverinmediaserver.exe
O23 - Service: Macromedia Licensing Service - Unknown owner - C:Program FilesCommon FilesMacromedia SharedServiceMacromedia Licensing.exe
O23 - Service: Intel(R) Application Tracker (MCLServiceATL) - Intel(R) Corporation - C:Program FilesIntelIntelDHIntel Media ServerShellsMCLServiceATL.exe
O23 - Service: PC Tools Firewall Plus (PCToolsFirewallPlus) - PC Tools - C:Program FilesPC Tools Firewall PlusFWService.exe
O23 - Service: Intel(R) Remoting Service (Remote UI Service) - Intel(R) Corporation - C:Program FilesIntelIntelDHIntel Media ServerShellsRemote UI Service.exe
O23 - Service: SBSD Security Center Service (SBSDWSCService) - Safer Networking Ltd. - C:Program FilesSpybot - Search & DestroySDWinSec.exe
O23 - Service: Windows Live Setup Service (WLSetupSvc) - Unknown owner - C:Program FilesWindows LiveinstallerWLSetupSvc.exe

--
End of file - 9322 bytes

que dois je faire ensuite et que me consiellez vous de faire en plus.
sur mon ordi j'ai AVG free et spybot-SD je pensais qu'avec ces 2 là je m'en sortirais mais visiblement non LOL...

[r@in | b0w]

Bonjour.

1_ Via HiJackThis, tu supprimes les lignes:

C:UsersmoiAppDataLocaljfavr.exe
O4 - HKCU..Run: [jfavr] "c:usersmoiappdatalocaljfavr.exe" jfavr
O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - http://www.wanadoo.fr (file missing) (HKCU)

2_ Tu vas sur http://www.virustotal.com/fr/ puis tu cliques sur Parcourir.
Tu sélectionnes le fichier C:UsersmoiAppDataLocaljfavr.exe et tu cliques sur Ouvrir.

Tu cliques ensuite sur Envoyer le fichier.

A la fin de l'analyse, tu cliques sur Formaté en haut à gauche puis, dans la nouvelle fenêtre, tu cliques sur le bouton pour faire apparaître le rapport dans la fenêtre en question.

Tu sélectionnes ce rapport puis fais un copier-coller et tu le colles dans ton prochain message.

3_ Tu dis un faux spyware, tu aurais le nom exact?

[Murielle la puce]

impossible de télécharger le fichier j'ai des coupures intempestives avec ça comme réponse

Exception
Please report failure as: ErrorTime= "Sep 03 09:08:57"

[Murielle la puce]

j'ai voulu faire la procédure de nettoyage de PC et pour commencer je coince car dans mon panneau de config j'ai bien l'icone ajout de matériel mais pas ajout/suppression de programmes ??

comment je fais ??

[r@in | b0w]

_ Est-ce que tu as fait les suppressions de ligne avec HiJackThis?

_ Tu te souviens du nom du faux spyware ou pas?

_ Pour le Panneau de configuration, tu cliques sur Programmes et fonctionnalités mais je doute que tu le trouves là.

On va partir sur un Rogue.

Tu télécharges SmitfraudFix.

Avant de lancer SmitfraudFix, tu désactives ta connexion Internet & ton antivirus car ce dernier peut bloquer l'exécution de l'utilitaire.
Tu les réactiveras après l'utilisation de SmitfraudFix.

Double-cliques sur l'icône SmitfraudFix.exe pour lancer l'application.
Tu verras un écran bleu à choix multiple, appuies sur la touche [1] puis sur [Entrée].

Quand l'analyse est finie, tu nous postes le rapport généré par SmitfraudFix; si tu ne le trouves pas ou que le Bloc-notes ne s'ouvre pas avec le rapport à l'intérieur, tu le trouveras ici: C: apport.txt.

Ps: l'analyse via VirusTotal serait vraiment utile, reviens sur ce site et cliques en bas sur en utilisant votre client de messagerie. pour envoyer ton fichier par mail.
Cela évitera le téléchargement par VirusTotal et ira plus vite.

Tentes aussi sur http://virusscan.jotti.org/ qui est moins débordé en ce moment.

[rsv700]

r@in | b0w,

analyse via VirusTotal : C:UsersmoiAppDataLocaljfavr.exe

Une recherche sur Google affiche une page blanche.

Une recherche avec Navilog1 confirmerait ce que vous soupçonnez !
Et p'tit jet de Mbam avec ça.

[r@in | b0w]

Une recherche sur Google affiche une page blanche.

Tout à fait, c'est pour cela que j'aurai aimé l'analyse par Jotti ou VirusTotal.

SmitfraudFix supprime les rogues, par définition des faux antispywares.
Si SmitfraudFix ne donne rien, il faudra en effet partir sur Navilog

Dans le doute par rapport à l'infection exacte, je suis parti dans ce sens.

Une recherche avec Navilog1 confirmerait ce que vous soupçonnez !

Tu n'as pas encore lu mon MP, interdiction de me vouvoyer :lol:

[rsv700]

r@in | b0w,

Malwarebytes est du même éditeur que Rogue Remover.
Il y ont inclus la désinfection de Rogues en plus des Vundo, spyware...
Ce qui n'est peut-être pas étranger au fait que VundoFix n'est plus màj ?

[r@in | b0w]

Malwarebytes est du même éditeur que Rogue Remover.
Il y ont inclus la désinfection de Rogues en plus des Vundo, spyware...

Je te corrige: l'outil Anti Malware est du même éditeur que RogueRemover, c-à-d MalwareBytes.
Je préfère utiliser des outils garant du résultat. C'est un choix que j'ai fait dans mon message précédent, je gardais RogueRemover sur la touche.

Par exemple, je n'utiliserai pas Mbam pour tout type de désinfection.
Même s'il est utile, il reste pour moi un utilitaire à utiliser par soi-même mais je préfère m'assurer du succès de la désinfection en employant des outils spécifiques au problème.

Ce qui n'est peut-être pas étranger au fait que VundoFix n'est plus màj ?

Je n'utilise que peu de fix, les ayant testé personnellement, VundoFix ne donne rien comparé à ComboFix qu'il faut lui préférer pour des cas de Vundo.

[Murielle la puce]

oui j'ai supprimé les lignes sauf la première qui n'apparaisse plus lorsque j'ai relancé hijack..C:UsersmoiAppDataLocaljfavr.exe les 2 autres c'est fait.

non je n'ai pas le nom car la fenête n'est apparu qu'une fois et comme j'ai déjà eu le problème sur l'ordi du bureau je suis tout de suite venue ici... et depuis par de réapparition mais toujorus un ordi hyper lent, des déconnexions intempestives et surtout des arrêts de l'ordi inexpliqué avec systèmatiquement la fenête "Windows récupère d'un arrêt non planifié"..

je fais smitffraudfix et je viens mettre le rapport

[Murielle la puce]

bon je crois que je fais totale fausse route car depuis 2h c'est arrêt et redémarrage à la chaîne et je ne sais plus du tout par quel bout le prendre..

merci mais je crois que ce coup ci il va falloir un vrai pro LOL...

[r@in | b0w]

Re.

2h? Cela fait une heure que tu as posté ton dernier message.

Et, en attendant, tu ne nous donnes pas d'informations ni de réponses:

_ Tu as lancé SmitfraudFix? Tu as désactivé tous les logiciels de protection?
Tu l'as lancé en tant qu'Administrateur?

_ Tu as eu un message d'erreur quelconque durant le lancement de l'utilitaire?

Tentes de démarrer en Mode sans échec ([F8] au démarrage) puis lances SmitfraudFix.

_ Ttu as envoyé le fichier suspect par mail?