Rapport Hijack suite à analyse panda pas terrible

1 Télécharge CCleaner.
http://www.filehippo.com/download_ccleaner.html
Installe le dans un répertoire dédié.

2 Redémarre en mode sans échec. Attention, tu n'as pas accès à internet dans ce mode, note bien ce que tu as à faire.
Démarre l'ordinateur.
Une fois le chargement du BIOS terminé, il y a un écran noir. Appuye sur la touche F8 ou F5 jusqu'à l'affichage du menu des options avancées de Windows.
En utilisant les touches du curseur, sélectionne le mode sans échec approprié et appuye sur Entrée.

3 Relance un scan HijackThis et coche les lignes en gras ci-dessous :

O2 - BHO: (no name) - {3D823511-131B-5415-334B-BBD03D5BE37F} - C:\WINDOWS\System32\someroo.dll
O2 - BHO: (no name) - {6DA975EA-CBB4-411B-97C0-DB0A892BF2C1} - C:\WINDOWS\System32\yaaere.dll (file missing)
O3 - Toolbar: (no name) - {52322643-8609-44CF-B782-03D30BE534EA} - (no file)
O4 - HKLM\..\Run: [uyoabmlhw] c:\windows\system32\uyoabmlhw.exe -start
O16 - DPF: {0594AF7E-573B-40DF-8165-E47AB2EAEFE8} (EGEGAUTH Class) - http://akamai.downloadv3.com/binaries/P2EClient/EGAUTH_...
O16 - DPF: {1EB17D1C-141D-4D9D-91CB-24D99215851D} - http://akamai.downloadv3.com/binaries/IA/netia32_FR_XP....
O16 - DPF: {505098FD-5D61-4BC2-9B82-F969D0E932A2} - http://akamai.downloadv3.com/binaries/P2EClient/EGAUTH_...
O16 - DPF: {D9CA5D65-52BE-4790-BEA3-F3E2F5A76B02} (WebRecomendada Class) - http://62.97.81.200/dll/clickweb.cab
O16 - DPF: {EEECA057-AD0F-44A7-8BE5-8634CEDBDBD1} - http://akamai.downloadv3.com/binaries/IA/netpe32_FR_XP....
O16 - DPF: {EF4DCD99-D26B-44A4-BA77-CFDCC97E7291} - http://akamai.downloadv3.com/binaries/EGDAccess/EGDACCE...
O16 - DPF: {F72BC3F0-6C20-4793-9DDA-258589D8A907} - http://akamai.downloadv3.com/binaries/IA/netslv32_FR_XP...
O16 - DPF: {FA83E942-B796-46DE-9155-1632ECC5473B} - http://akamai.downloadv3.com/binaries/EGDAccess/EGDACCE...

Ferme toutes les fenêtres Windows, Internet explorer, Outlook,sauf le logiciel Hijackthis et clique sur « Fix checked »

4 Assure toi d'avoir accés à tous les fichiers.
Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :
Activer la case : Afficher les fichiers et dossiers cachés
Désactiver la case : Masquer les extensions des fichiers dont le type est connu
Désactiver la case : Masquer les fichiers protégés du système d'exploitation
Puis Appliquer

5 Supprime les fichiers/dossiers incriminés (s'ils existent encore) :

C:\WINDOWS\System32\someroo.dll
C:\WINDOWS\System32\yaaere.dll
c:\windows\system32\uyoabmlhw.exe

6 Lance et exécute CCleaner.

Recache les fichiers systeme afin de ne pas faire d'erreur à l'avenir en sélectionnant ne pas afficher les fichiers cachés ou les fichiers système.

7 Redémarre normalement.

8 Fais un scan sur Panda

9 Poste un nouveau log HijackThis et le rapport de Panda.

Salut! Voilà j'ai suivi tes instructions à la lettre, je poste le nouveau rapport Hijack obtenu en mode normal et le rapport Panda. 47 spy découvert mais je me demande si c'est pas surtout des spy Microsoft qui restent? Enfin voili, voilou....

Logfile of HijackThis v1.99.1
Scan saved at 11:35:56, on 14/08/2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Navnt\POPROXY.EXE
C:\PROGRA~1\MESSAG~1\StartMessager.exe
C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
C:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE
C:\Program Files\Navnt\navapw32.exe
C:\Program Files\SAGEM Wi-Fi USB 802.11g\WLANUTL.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
C:\PROGRA~1\Navnt\navapsvc.exe
C:\PROGRA~1\Navnt\npssvc.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\system32\pctspk.exe
C:\WINDOWS\System32\svchost.exe
C:\PROGRA~1\Navnt\alertsvc.exe
C:\WINDOWS\System32\wuauclt.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Program Files\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.fr
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NPS Event Checker] C:\PROGRA~1\Navnt\npscheck.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Norton eMail Protect] C:\Program Files\Navnt\POPROXY.EXE
O4 - HKLM\..\Run: [MessagerStarter Wanadoo] C:\PROGRA~1\MESSAG~1\StartMessager.exe Messager Wanadoo
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\RunOnce: [DELDIR0.EXE] "C:\DOCUME~1\FMASSI~1\LOCALS~1\Temp\DELDIR0.EXE" "C:\Program Files\McAfee\McAfee Shared Components\Guardian\"
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE"
O4 - Global Startup: Norton AntiVirus AutoProtect.lnk = C:\Program Files\Navnt\navapw32.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Protection auto Norton AntiVirus.lnk = C:\Program Files\Navnt\NAVAPW32.EXE
O4 - Global Startup: Sagem - Utilitaire réseau pour Clé USB Wi-Fi 802.11g.lnk = ?
O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Créer un Favori de l'appareil mobile - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\inetrepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\inetrepl.dll
O9 - Extra 'Tools' menuitem: Créer un Favori de l'appareil mobile... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\inetrepl.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.com/scan8/oscan8.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls...
O16 - DPF: {6DB731A3-B074-4118-8B1C-32511C65D836} (FotovistaPhotoUploader.ctrFpu) - http://www.presslabo.com/tools/activex/fpu.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Contro...
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5free/asinst....
O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IMDownloader Class) - http://www2.incredimail.com/contents/setup/downloader/i...
O23 - Service: NAV Alert - Symantec Corporation - C:\PROGRA~1\Navnt\alertsvc.exe
O23 - Service: NAV Auto-Protect - Symantec Corporation - C:\PROGRA~1\Navnt\navapsvc.exe
O23 - Service: Norton Program Scheduler - Symantec Corporation - C:\PROGRA~1\Navnt\npssvc.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: PCTEL Speaker Phone (Pctspk) - PCtel, Inc. - C:\WINDOWS\system32\pctspk.exe


Rapport PANDA:


Incident Statut Analyse

Adware:adware/navipromo No Désinfecté C:\WINDOWS\SYSTEM32\msclock32.dll
Spyware:spyware/new.net No Désinfecté C:\WINDOWS\NDNuninstall4_94.exe
Adware:adware/twain-tech No Désinfecté C:\WINDOWS\smdat32m.sys
Adware:adware/downloadware No Désinfecté Registre Windows
Dialer ialer.qi No Désinfecté HKEY_CLASSES_ROOT\CLSID\{62160EEF-9D84-4C19-B7B8-6AC2526CD726}
Adware:adware/adultlt No Désinfecté Registre Windows
Adware:Adware/Adultlt No Désinfecté C:\Program Files\backups\backup-20050814-111840-335.dll
Adware:Adware/NaviPromo No Désinfecté C:\WINDOWS\system32\msclock32.dll
Adware:Adware/NaviPromo No Désinfecté C:\WINDOWS\system32\msplock32.dll
Spyware:Spyware/New.net No Désinfecté C:\WINDOWS\NDNuninstall4_94.exe
Virus:W32/Mabutu.A.worm Désinfecté C:\Documents and Settings\fmassilia\Local Settings\Application Data\IM\Identities\{C173C604-F1E0-4C64-BC12-B38F2324EE5C}\Message Store\Attachments\britney.zip[britney.jpg
Adware:Adware/NaviPromo No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP514\A0150072.dll
Adware:Adware/NaviPromo No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP520\A0151554.dll
Adware:Adware/NaviPromo No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP520\A0151569.dll
Adware:Adware/NaviPromo No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP520\A0152574.dll
Adware:Adware/NaviPromo No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP520\A0152588.dll
Adware:Adware/Adultlt No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP520\A0152594.dll
Spyware:Spyware/Altnet No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP515\A0150109.exe
Spyware:Spyware/Altnet No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP515\A0150112.dll
Spyware:Spyware/Cydoor No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP515\A0150117.dll
Spyware:Spyware/Altnet No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP515\A0150129.EXE
Spyware:Spyware/Altnet No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP515\A0150133.DLL
Spyware:Spyware/Altnet No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP515\A0150134.dll
Spyware:Spyware/Altnet No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP515\A0150135.dll
Spyware:Spyware/Altnet No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP515\A0150136.dll
Spyware:Spyware/Altnet No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP515\A0150137.dll
Spyware:Spyware/Altnet No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP515\A0150138.exe
Spyware:Spyware/Altnet No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP515\A0150139.dll
Spyware:Spyware/Altnet No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP515\A0150140.dll
Spyware:Spyware/Altnet No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP515\A0150141.exe
Spyware:Spyware/Altnet No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP515\A0150142.exe
Adware:Adware/P2PNetworking No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP515\A0150143.DLL
Adware:Adware/P2PNetworking No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP515\A0150144.cpl
Adware:Adware/P2PNetworking No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP515\A0150145.exe
Adware:Adware/Need2Find No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP515\A0150146.DLL
Adware:Adware/Need2Find No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP515\A0150147.DLL
Adware:Adware/Need2Find No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP515\A0150150.dll
Adware:Adware/Need2Find No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP515\A0150153.DLL
Adware:Adware/NaviPromo No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP515\A0150158.dll
Adware:Adware/NaviPromo No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP515\A0150165.dll
Adware:Adware/NaviPromo No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP516\A0150435.dll
Adware:Adware/NaviPromo No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP516\A0150459.dll
Adware:Adware/NaviPromo No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP516\A0151460.dll
Adware:Adware/NaviPromo No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP516\A0151466.dll
Adware:Adware/NaviPromo No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP516\A0151471.dll
Adware:Adware/NaviPromo No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP516\A0151490.dll
Adware:Adware/NaviPromo No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP516\A0151500.dll
Adware:Adware/NaviPromo No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP516\A0151506.dll
Adware:Adware/NaviPromo No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP517\A0151518.dll
Dialer ialer.CIO No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP517\A0151528.dll
Dialer ialer.BVU No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP517\A0151529.dll
Adware:Adware/NaviPromo No Désinfecté C:\System Volume Information\_restore{6A8E120C-C06B-4C66-864C-8BA05F3D445B}\RP517\A0151540.dll

1 Ouvre le Bloc-note et copie-colle les lignes entre --- ci-dessous (y compris la ligne vide à la fin)
-----------------------------------------------------------------------------------
REGEDIT4

[-HKEY_CLASSES_ROOT\CLSID\{62160EEF-9D84-4C19-B7B8-6AC2526CD726}]

----------------------------------------------------------------------------------
Enregistre ce fichier sur ton bureau (Nom du fichier : "Fixme.reg " -sans inclure les guillemets- ; Type : Tous les fichiers).

2 Redémarre en mode sans échec. Attention, tu n'as pas accès à internet dans ce mode, note bien ce que tu as à faire.

3 Relance un scan HijackThis et coche les lignes ci-dessous ( rien d'infectieux, que de l'inutile ):

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab
O16 - DPF: {6DB731A3-B074-4118-8B1C-32511C65D836} (FotovistaPhotoUploader.ctrFpu) - http://www.presslabo.com/tools/activex/fpu.cab
O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IMDownloader Class) - http://www2.incredimail.com/contents/setup/downloader/i...

Ferme toutes les fenêtres Windows, Internet explorer, Outlook,sauf le logiciel Hijackthis et clique sur « Fix checked »

4 Double-clique sur Fixme.reg
Clique sur Oui lorsqu'on te demande confirmation pour Fusionner.
Lorsque tu reçois un message du bon déroulement, supprime le fichier Fixme.reg.

5 Assure toi d'avoir accés à tous les fichiers.

6 Supprime les fichiers/dossiers incriminés (s'ils existent encore) :

C:\WINDOWS\NDNuninstall4_94.exe
C:\WINDOWS\smdat32m.sys
C:\Program Files\backups\backup-20050814-111840-335.dll
C:\WINDOWS\system32\msclock32.dll
C:\WINDOWS\system32\msplock32.dll

7 Lance et exécute CCleaner.

Recache les fichiers systeme afin de ne pas faire d'erreur à l'avenir en sélectionnant ne pas afficher les fichiers cachés ou les fichiers système.

8 Il faut désactiver la restauration.
Cela va supprimer tout ceux qui se trouvent dans C:\System Volume Information\_restore
Clique sur Démarrer - Clic droit sur le Poste de Travail - Propriétés - Restauration du systéme - cocher la case Désactiver la restauration du systéme et cliquer sur Appliquer.

9 Redémarre normalement.

10 Faire l'opération inverse en décochant la case Désactiver la restauration systéme.

Refais un scan Panda et nouveau log HijackThis.