Pas facile !

[mich1960]

Bonsoir,
Encore un spyware me direz vous ?
peut-etre car je n'arrive pas a le trouver malgres mes recherches.
- ad aware
- spyware remover
- spybot
- jv 16 power tools
je ne trouve rien et je pense a un petit executable au demarrage.
Je vous soumet mon rapport d'application si quelqu'un peut me dire.
Merci

Logfile of HijackThis v1.97.7
Scan saved at 20:16:56, on 12/03/2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:WINDOWSSystem32smss.exe
C:WINDOWSsystem32winlogon.exe
C:WINDOWSsystem32services.exe
C:WINDOWSsystem32lsass.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSSystem32svchost.exe
C:WINDOWSsystem32spoolsv.exe
F:AVGRIS~1avgserv.exe
C:WINDOWSSystem32DRIVERSCDANTSRV.EXE
F:SymantecNorton Ghost 2003GhostStartService.exe
C:Program FilesFichiers communsMicrosoft SharedVS7Debugmdm.exe
C:WINDOWSSystem32svchost.exe
C:WINDOWSSystem32 lntsvr.exe
C:WINDOWSExplorer.EXE
F:AVGRIS~1avgcc32.exe
F:CDOUT~1CdOut.exe
F:RoxioEasy CD Creator 6DragToDiscDrgToDsc.exe
F:RoxioEasy CD Creator 6AudioCentralRxMon.exe
F:RoxioEasy CD Creator 6AudioCentralPlaylist.exe
D:LogicielsHijackThis.exe

R1 - HKCUSoftwareMicrosoftInternet Explorer,SearchURL = http://www.google.com/
R1 - HKCUSoftwareMicrosoftInternet ExplorerMain,Search Bar = http://www.google.com/
R1 - HKCUSoftwareMicrosoftInternet ExplorerMain,Search Page = http://www.google.com/
R1 - HKCUSoftwareMicrosoftInternet ExplorerSearch,SearchAssistant = http://www.google.com/
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Page_URL = http://www.microsoft.com/isapi/redir.dl ... ar=msnhome
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Search_URL = http://www.microsoft.com/isapi/redir.dl ... r=iesearch
R0 - HKLMSoftwareMicrosoftInternet ExplorerSearch,SearchAssistant =
R0 - HKCUSoftwareMicrosoftInternet ExplorerToolbar,LinksFolderName = Liens
R1 - HKCUSoftwareMicrosoftInternet Connection Wizard,Shellnext = iexplore
R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - f:AdobeReaderActiveXAcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - f:Spybot - Search & DestroySDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:WINDOWSSystem32msdxm.ocx
O4 - HKLM..Run: [WinFast2KLoadDefault] rundll32.exe wf2kcpl.dll,DllLoadDefaultSettings
O4 - HKLM..Run: [AVG_CC] F:AVGRIS~1avgcc32.exe /STARTUP
O4 - HKLM..Run: [Cd Out] F:CDOUT~1CdOut.exe -s
O4 - HKLM..Run: [RoxioEngineUtility] "C:Program FilesFichiers communsRoxio SharedSystemEngUtil.exe"
O4 - HKLM..Run: [RoxioDragToDisc] "F:RoxioEasy CD Creator 6DragToDiscDrgToDsc.exe"
O4 - HKLM..Run: [RoxioAudioCentral] "F:RoxioEasy CD Creator 6AudioCentralRxMon.exe"
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://E:Office10EXCEL.EXE/3000
O9 - Extra button: Organise-notes (HKLM)
O9 - Extra button: Lancer Voissa Anonymo (HKLM)
O9 - Extra 'Tools' menuitem: Tools Menu Item (HKLM)
O18 - Protocol hijack: about - {53B95211-7D77-11D2-9F80-00104B107C96}

[paperboy]

quelle est ta question?

[hellllo]

Paperboy,
Mich1960 nous soumet un scan réalisé avec le Hijacker freeware de Merijn, Hijackthis ,afin que nous l'anlysions afin d' y trouver (ou non), une pollution...

[hellllo]

Mich,
A la première lecture, il semblerait qu'il manque un objet et que tu aies qq processus un peu envahissants...
Mais rien de très inquètant.
Hijackthis (ou CWSredder) n'est pas un anti-spywares...mais un hijacker, càd un utilitaire de recherche des attaques contre IE et notamment contre sa page de démarrage..
Avant d'en dire plus, je voudrais savoir quelle est la nature précise des désordres qui t'ont conduit à faire ce scan avec hijackthis.

[mich1960]

Bonjour,
Oui, explorer m'affiche une page d'acceuil que je ne veux pas.
Je la change facilement avec le registre ou les options internet mais elle reviens toujours c'est pour cela que je pense a un petit executable au demarrage...
En fait, le rapport c'est pour savoir si ce qui tourne sur le PC est en rapport avec l'OS ou pour detecter un intrus.
En fait si je savais quel sont les executables qui sont en rapport avec windows xp par deduction je pourrais supprimer sans risques....
Par contre j'ai un autre souci, mon antivirus me signale un trojan horse dialer dans le dossier systeme volume information dans C: et je ne peut pas ouvrir ce dossier pour le supprimer.
merci de votre aide,

[SOS Ordi]

Redémarre en Mode Sans Echec (F8) afin d'effacer le fameux fichier que tu retrouveras dans Démarrer --> Rechercher --> Fichiers ou dossiers.

Normalement, tu pourras le supprimer à ton aise.

Il n'est pas sûr que cela résolve ton pb de "startpage", mais cette manipulation te permetra généralement de supprimer des processus en cours dès le démarrage de ta machine.

[hellllo]

salut,
Le scan hijackthis ne révèle rien quant à la page de démarrage...
Par contre, tu as 5 processus qui paraissent très suspects: smss.exe, lsass.exe, tlntsvr.exe, spoolsrv.exe et surtout winlogon.exe, à enlever du démarrage avec, par exemple, regcleaner et l'onglet liste de démarrage

Avec l'onglet "sauvegardes", tu pourras éventuellement rétablir ces fichiers.

Regcleaner téléchargeable avec le lien:
http://www.telecharger.01net.com/window ... /4894.html

[mich1960]

bonsoir a tous,
Bon ça a l'air d'etre ok pour la starpage, par contre j'ai une saloperie ".exe" dans le dossier c: systeme volume information
Le probleme c'est que je n'arrive pas a ouvrir ce dossier...
message d'erreur " c:systeme volume information n'est pas accessible
acces refusé ! "
Comment peut on faire pour ouvrir ce dossier et virer le trojan a l'interieur ?
Je signale que mon anti-virus me le signale regulierement, je scan mais je ne peut pas le virer.
Merci

[e-didier]

Démarrer, Poste de travail, clic-droit sur ton disque dur, Propriétés dans le menu, bouton "Nettoyage de disque".
Tu laisses finir la recherche, puis tu cliques sur l'onglet "Autres Options".
Dans le cadre "Restauration du système", tu cliques sur "Nettoyer" puis tu valides.
(Tu peux terminer le nettoyage de ton système).

[mich1960]

Merci E-didier pour les conseils, j'ai fais ce que tu m'a dit et je n'arrive encore pas a ouvrir ce dossier pour virer le .exe.
le prochain coup que ça s'affiche je vous fait une copie d'ecran.
Merci pour les conseils.

[blitzcrack]

salut,

attention il ne faut pas détruire les processus suivants:

smss.exe , lsass.exe , spoolsv.exe se sont des applis lanceés par le sytéme d'exploitation voir à l'adresse suivante : http://www.laboratoire-microsoft.org/ar ... n/process/


pace et salute

[hellllo]

Re..
J'ai cru comprendre que tu avais solutionné tes programmes de navigation et de page de démarrage.
Ton nouveau problème est de supprimer un fichier récalcitrant . Je pense qu'avec la commande del sous dos, ça devrait marcher.

[mich1960]

Bonjour,
Non je ne veux pas supprimer le dossier, je veux pouvoir ouvrir c:systeme volume information pour supprimer un .exe dedans....
en fait c'est un cheval de troie qui est dans ce dossier.
Mais c'est impossible a ouvrir " acces refusé"

[coyote89]

si tu tapes path <c:dossier du fichier...> sous dos, il t'affiche les executables (exe, bat et com) contenus dans ce dossier

si tu tapes del <+ton fichier> après ça ne fonctionne pas?

[hellllo]

Re...
En démarrant avec une disquette dos, tu aboutis à un prompt dos pur et dur.
Puis..
c:
cd c:
dir c: p pour situer le nom et le chemin du fichier à supprimer
cd c:(le nom dos du dossier system information)
del (le nom dos du fichier à supprimer)

Et tu redémarres ton PC