[Resolu] Win 32 Agent IU; log hijakthis

Bonjour,

infection wareout.

1/ Télécharge et lance Fixwareout.exe
Poste le rapport situé ici : C:\fixwareout\report.txt

2/ Lance HijackThis
puis --> Do a system scan only
coche les lignes indiquées ci-dessous
puis --> Fix checked
puis oui à la question de confirmation

O17 - HKLM\System\CCS\Services\Tcpip\..\{2005CC56-DF72-4207-997B-ED0B6A5CAFD6}: NameServer = 85.255.114.22 85.255.112.205
O17 - HKLM\System\CCS\Services\Tcpip\..\{6AA0A26B-8FC0-4062-8502-848020DF3C24}: NameServer = 85.255.114.22,85.255.112.205
O17 - HKLM\System\CCS\Services\Tcpip\..\{89951ED5-8783-4445-875F-67B013AAC157}: NameServer = 85.255.114.22,85.255.112.205
O17 - HKLM\System\CCS\Services\Tcpip\..\{A3AC7AAB-47E6-4381-8C49-09E4A3D3C714}: NameServer = 85.255.114.22,85.255.112.205
O17 - HKLM\System\CS1\Services\Tcpip\..\{2005CC56-DF72-4207-997B-ED0B6A5CAFD6}: NameServer = 85.255.114.22 85.255.112.205

3/ Télécharge, installe et mets à jour ewido
Lors de l'installation, décoche les 2 cases "Install background guard" et "Install scan via context menu"
Lance ewido (Scan complet du système) et supprime tout ce qu'il trouve. Sauvegarde le rapport sur le bureau.

4/ Enfin poste le rapport d'ewido ainsi qu'un nouveau rapport HJT.

Voila,voila :

Fixwareout ver 1.003
Last edited 04/26/2006
Post this report in the forums please

Reg Entries that were deleted
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Urls\xedocne
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Urls\repiwoh
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Urls\llun
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Urls\tesvaf
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Urls\32refaselif
...

Microsoft (R) Windows Script Host Version 5.6
Random Runs removed from HKLM
...

PLEASE NOTE, There WILL be LEGIT FILES LISTED. IF YOU ARE UNSURE OF WHAT IT IS LEAVE THEM ALONE.
Example ipsec6.exe is lagitamate

»»»»» Search by size and names...
* csr.exe C:\WINDOWS\System32\CSHJB.EXE

»»»»» Misc files

»»»»» Checking for older varients covered by the Rem3 tool

»»»»»
Search five digit cs, dm and jb files
This WILL/CAN also list Legit Files, Submit them at Virustotal
C:\WINDOWS\SYSTEM32\CSHJB.EXE 51.239 2006-03-14

merci

alors le rapport ewido :

+ Créé le: 1:56:04, 12/06/2006
+ Somme de contrôle: 27EE8F2D

+ Résultats du scan:

C:\Documents and Settings\Utilisateur\Cookies\utilisateur@247realmedia[1].txt -> TrackingCookie.247realmedia : Nettoyer sans sauvegarder
C:\Documents and Settings\Utilisateur\Cookies\utilisateur@ad.yieldmanager[2].txt -> TrackingCookie.Yieldmanager : Nettoyer sans sauvegarder
C:\Documents and Settings\Utilisateur\Cookies\utilisateur@adtech[2].txt -> TrackingCookie.Adtech : Nettoyer sans sauvegarder
C:\Documents and Settings\Utilisateur\Cookies\utilisateur@advertising[1].txt -> TrackingCookie.Advertising : Nettoyer sans sauvegarder
C:\Documents and Settings\Utilisateur\Cookies\utilisateur@atdmt[2].txt -> TrackingCookie.Atdmt : Nettoyer sans sauvegarder
C:\Documents and Settings\Utilisateur\Cookies\utilisateur@bluestreak[2].txt -> TrackingCookie.Bluestreak : Nettoyer sans sauvegarder
C:\Documents and Settings\Utilisateur\Cookies\utilisateur@c.goclick[2].txt -> TrackingCookie.Goclick : Nettoyer sans sauvegarder
C:\Documents and Settings\Utilisateur\Cookies\utilisateur@cz4.clickzs[2].txt -> TrackingCookie.Clickzs : Nettoyer sans sauvegarder
C:\Documents and Settings\Utilisateur\Cookies\utilisateur@cz7.clickzs[2].txt -> TrackingCookie.Clickzs : Nettoyer sans sauvegarder
C:\Documents and Settings\Utilisateur\Cookies\utilisateur@cz8.clickzs[2].txt -> TrackingCookie.Clickzs : Nettoyer sans sauvegarder
C:\Documents and Settings\Utilisateur\Cookies\utilisateur@data2.perf.overture[2].txt -> TrackingCookie.Overture : Nettoyer sans sauvegarder
C:\Documents and Settings\Utilisateur\Cookies\utilisateur@doubleclick[1].txt -> TrackingCookie.Doubleclick : Nettoyer sans sauvegarder
C:\Documents and Settings\Utilisateur\Cookies\utilisateur@ehg-finaref.hitbox[1].txt -> TrackingCookie.Hitbox : Nettoyer sans sauvegarder
C:\Documents and Settings\Utilisateur\Cookies\utilisateur@ehg-logantod.hitbox[1].txt -> TrackingCookie.Hitbox : Nettoyer sans sauvegarder
C:\Documents and Settings\Utilisateur\Cookies\utilisateur@epilot[1].txt -> TrackingCookie.Epilot : Nettoyer sans sauvegarder
C:\Documents and Settings\Utilisateur\Cookies\utilisateur@eurostar.122.2o7[1].txt -> TrackingCookie.2o7 : Nettoyer sans sauvegarder
C:\Documents and Settings\Utilisateur\Cookies\utilisateur@hitbox[2].txt -> TrackingCookie.Hitbox : Nettoyer sans sauvegarder
C:\Documents and Settings\Utilisateur\Cookies\utilisateur@image.masterstats[1].txt -> TrackingCookie.Masterstats : Nettoyer sans sauvegarder
C:\Documents and Settings\Utilisateur\Cookies\utilisateur@ivwbox[1].txt -> TrackingCookie.Ivwbox : Nettoyer sans sauvegarder
C:\Documents and Settings\Utilisateur\Cookies\utilisateur@mediaplex[1].txt -> TrackingCookie.Mediaplex : Nettoyer sans sauvegarder
C:\Documents and Settings\Utilisateur\Cookies\utilisateur@microsofteup.112.2o7[1].txt -> TrackingCookie.2o7 : Nettoyer sans sauvegarder
C:\Documents and Settings\Utilisateur\Cookies\utilisateur@msnportal.112.2o7[1].txt -> TrackingCookie.2o7 : Nettoyer sans sauvegarder
C:\Documents and Settings\Utilisateur\Cookies\utilisateur@nasdaq.122.2o7[1].txt -> TrackingCookie.2o7 : Nettoyer sans sauvegarder
C:\Documents and Settings\Utilisateur\Cookies\utilisateur@rotator.adjuggler[2].txt -> TrackingCookie.Adjuggler : Nettoyer sans sauvegarder
C:\Documents and Settings\Utilisateur\Cookies\utilisateur@stats.adbrite[1].txt -> TrackingCookie.Adbrite : Nettoyer sans sauvegarder
C:\Documents and Settings\Utilisateur\Cookies\utilisateur@stats1.reliablestats[1].txt -> TrackingCookie.Reliablestats : Nettoyer sans sauvegarder
C:\Documents and Settings\Utilisateur\Cookies\utilisateur@tribalfusion[1].txt -> TrackingCookie.Tribalfusion : Nettoyer sans sauvegarder
C:\Documents and Settings\Utilisateur\Cookies\utilisateur@www.smartadserver[1].txt -> TrackingCookie.Smartadserver : Nettoyer sans sauvegarder
C:\Program Files\Alwil Software\Avast4\DATA\moved\A0036756.exe.vir -> Downloader.Agent.uj : Nettoyer sans sauvegarder
C:\Program Files\Alwil Software\Avast4\DATA\moved\A0036769.exe.vir -> Downloader.Agent.uj : Nettoyer sans sauvegarder
C:\Program Files\Alwil Software\Avast4\DATA\moved\A0037768.exe.vir -> Downloader.Agent.uj : Nettoyer sans sauvegarder
C:\Program Files\Alwil Software\Avast4\DATA\moved\A0037784.exe.vir -> Downloader.Agent.uj : Nettoyer sans sauvegarder
C:\Program Files\Alwil Software\Avast4\DATA\moved\A0037811.exe.vir -> Downloader.Agent.uj : Nettoyer sans sauvegarder
C:\Program Files\Alwil Software\Avast4\DATA\moved\A0037823.exe.vir -> Downloader.Agent.uj : Nettoyer sans sauvegarder
C:\RECYCLER\S-1-5-21-1708537768-746137067-842925246-1003\Dc5.exe -> Hijacker.Small.kg : Nettoyer sans sauvegarder
C:\RECYCLER\S-1-5-21-1708537768-746137067-842925246-1003\Dc6.exe -> Hijacker.Small : Nettoyer sans sauvegarder
C:\RECYCLER\S-1-5-21-1708537768-746137067-842925246-1003\Dc7.exe -> Trojan.Small.gq : Nettoyer sans sauvegarder
C:\WINDOWS\system32\cshjb.exe -> Downloader.Agent.uj : Nettoyer sans sauvegarder


::Fin du rapport
et le rapport hijackthis :
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\atiptaxx.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\NotifyPhoneBook.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\antispyware\hijackthis_hijackthis_1.99.1_anglais_17891.exe
C:\Program Files\Internet Explorer\iexplore.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
F2 - REG:system.ini: UserInit=userinit.exe
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [AME_CSA] rundll32 amecsa.cpl,RUN_DLL
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: &Translate English Word - res://c:\program files\google\GoogleToolbar2.dll/cmwordtrans.html
O8 - Extra context menu item: Backward Links - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Cached Snapshot of Page - res://c:\program files\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Similar Pages - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.html
O8 - Extra context menu item: Translate Page into English - res://c:\program files\google\GoogleToolbar2.dll/cmtrans.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls...
O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.ca...
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClie...
O16 - DPF: {BE833F39-1E0C-468C-BA70-25AAEE55775E} (System Requirements Lab) - http://www.systemrequirementslab.com/sysreqlab.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{2005CC56-DF72-4207-997B-ED0B6A5CAFD6}: NameServer = 85.255.114.22 85.255.112.205
O17 - HKLM\System\CS1\Services\Tcpip\..\{2005CC56-DF72-4207-997B-ED0B6A5CAFD6}: NameServer = 85.255.114.22 85.255.112.205
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: ewido security suite control - ewido networks - C:\Program Files\antispyware\ewido anti-malware\ewidoctrl.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
Ca a l'air bon ?
Un immense merci en tout cas ca fait un moment que ce trojan me pourrit la vie

Fixe ces lignes :

F2 - REG:system.ini: UserInit=userinit.exe

O17 - HKLM\System\CCS\Services\Tcpip\..\{2005CC56-DF72-4207-997B-ED0B6A5CAFD6}: NameServer = 85.255.114.22 85.255.112.205
O17 - HKLM\System\CS1\Services\Tcpip\..\{2005CC56-DF72-4207-997B-ED0B6A5CAFD6}: NameServer = 85.255.114.22 85.255.112.205

et ça devrait être bon.

Voila je crois que c'est bon encore merci
a+