[Résolu] Rapport Hijackthis
Forum Sécurité - Virus : [Résolu] Rapport Hijackthis
Merci beaucoup pour ta reponse, j'ai eu peur que personne ai le temps de m'aider ce soir, et je suis partit plus tot du travail specialement pour virer ce virus!!
Donc voici comme demande le rapport_clean:
22/08/2007 a 17:41:05,14
*** Recherche des fichiers dans C:
*** Recherche des fichiers dans C:\WINDOWS\
*** Recherche des fichiers dans C:\WINDOWS\system32
"C:\WINDOWS\Downloaded Program Files\CONFLICT.1" FOUND
*** Recherche des fichiers dans C:\Program Files
"C:\Program Files\Viewpoint\" FOUND
*** Fin du rapport !
Merci 
Bon je vien d'interompre le scan d'avg, car je crois quil a buge, il est reste pres d'une heure sur le meme fichier c
System volume information/_restore{F75EEc69-6E...}
Je vais le relancer et vous donner le resultat demain matin car a mon avis je vais deja dormir quand il se terminera...
Merci
Désactive puis réactive la restauration du système avant de faire le scan
Répondre à Angeldark
Bonjour
Je n'avais pas vu ton dernier message avant de relancer le scan? Est ce a refaire puisque je n'est pas desactive/activer la restauration?
Sinon bonne nouvelle (enfin je crois) l'endrois ou le dernier scan 'bugais' (c;/system volume Information/_restore{F75EEC69-69...} etait infecter par Backdoor.spy... j'espere que cetait le bon Donc voici les raports :
---------------------------------------------------------
AVG Anti-Spyware - Rapport d'analyse
---------------------------------------------------------
+ Créé à: 07:01:21 23/08/2007
+ Résultat de l'analyse:
C:\System Volume Information\_restore{F75EEC69-6E97-419B-93B4-6A3A275301C4}\RP287\A0191373.dll -> Adware.Altnet : Nettoyé et sauvegardé (mise en quarantaine).
HKLM\SOFTWARE\Classes\AppID\Altnet Signing Module.EXE -> Adware.Altnet : Nettoyé et sauvegardé (mise en quarantaine).
HKLM\SOFTWARE\Classes\AppID\adm.EXE -> Adware.Altnet : Nettoyé et sauvegardé (mise en quarantaine).
C:\System Volume Information\_restore{F75EEC69-6E97-419B-93B4-6A3A275301C4}\RP287\A0191315.DLL -> Adware.P2PNet : Nettoyé et sauvegardé (mise en quarantaine).
C:\System Volume Information\_restore{F75EEC69-6E97-419B-93B4-6A3A275301C4}\RP287\A0191316.cpl -> Adware.P2PNet : Nettoyé et sauvegardé (mise en quarantaine).
C:\System Volume Information\_restore{F75EEC69-6E97-419B-93B4-6A3A275301C4}\RP287\A0191317.exe -> Adware.P2PNet : Nettoyé et sauvegardé (mise en quarantaine).
C:\System Volume Information\_restore{F75EEC69-6E97-419B-93B4-6A3A275301C4}\RP295\A0191820.exe -> Backdoor.Spy : Nettoyé et sauvegardé (mise en quarantaine).
C:\Documents and Settings\Compaq_Propriétaire\Cookies\compaq_propriétaire@adtech[2].txt -> TrackingCookie.Adtech : Nettoyé.
C:\Documents and Settings\Compaq_Propriétaire\Cookies\compaq_propriétaire@advertising[2].txt -> TrackingCookie.Advertising : Nettoyé.
C:\Documents and Settings\Compaq_Propriétaire\Cookies\compaq_propriétaire@atdmt[2].txt -> TrackingCookie.Atdmt : Nettoyé.
C:\Documents and Settings\Compaq_Propriétaire\Cookies\compaq_propriétaire@bluestreak[2].txt -> TrackingCookie.Bluestreak : Nettoyé.
:mozilla.92:C:\Documents and Settings\Compaq_Propriétaire\Application Data\Mozilla\Firefox\Profiles\c1mlef7s.default\cookies.txt -> TrackingCookie.Burstnet : Nettoyé.
C:\Documents and Settings\Compaq_Propriétaire\Cookies\compaq_propriétaire@doubleclick[1].txt -> TrackingCookie.Doubleclick : Nettoyé.
C:\Documents and Settings\Compaq_Propriétaire\Cookies\compaq_propriétaire@mediaplex[1].txt -> TrackingCookie.Mediaplex : Nettoyé.
C:\Documents and Settings\Compaq_Propriétaire\Cookies\compaq_propriétaire@ssl-hints.netflame[1].txt -> TrackingCookie.Netflame : Nettoyé.
C:\Documents and Settings\Compaq_Propriétaire\Cookies\compaq_propriétaire@bs.serving-sys[1].txt -> TrackingCookie.Serving-sys : Nettoyé.
C:\Documents and Settings\Compaq_Propriétaire\Cookies\compaq_propriétaire@serving-sys[1].txt -> TrackingCookie.Serving-sys : Nettoyé.
C:\Documents and Settings\Compaq_Propriétaire\Cookies\compaq_propriétaire@smartadserver[1].txt -> TrackingCookie.Smartadserver : Nettoyé.
C:\Documents and Settings\Compaq_Propriétaire\Cookies\compaq_propriétaire@statcounter[1].txt -> TrackingCookie.Statcounter : Nettoyé.
C:\Documents and Settings\Compaq_Propriétaire\Cookies\compaq_propriétaire@tacoda[2].txt -> TrackingCookie.Tacoda : Nettoyé.
C:\Documents and Settings\Compaq_Propriétaire\Cookies\compaq_propriétaire@tradedoubler[1].txt -> TrackingCookie.Tradedoubler : Nettoyé.
C:\Documents and Settings\Compaq_Propriétaire\Cookies\compaq_propriétaire@weborama[1].txt -> TrackingCookie.Weborama : Nettoyé.
Fin du rapport
----------
Script execute en mode sans echec
Rapport clean par Malekal_morte - http://www.malekal.com
Script execute en mode sans echec 23/08/2007 a 7:09:28,59
Microsoft Windows XP [version 5.1.2600]
*** Suppression des fichiers dans C:
*** Suppression des fichiers dans C:\WINDOWS\
*** Suppression des fichiers dans C:\WINDOWS\system32
tentative de suppression de "C:\WINDOWS\Downloaded Program Files\CONFLICT.1"
*** Suppression des fichiers dans C:\Program Files
tentative de suppression de "C:\Program Files\Viewpoint\"
*** Suppression des clefs du registre effectuee..
*** Fin du rapport !
----------
ogfile of HijackThis v1.99.1
Scan saved at 07:17:15, on 23/08/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16512)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Hijackthis Version Française\VERSION TRADUITE ORIGINALE.EXE
C:\WINDOWS\system32\wbem\wmiprvse.exe
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://ie.redirect.hp.com/svs/rdr? [...] pf=desktop
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.mon-accueil.com/39142-1168104505
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://ie.redirect.hp.com/svs/rdr? [...] pf=desktop
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://ie.redirect.hp.com/svs/rdr? [...] pf=desktop
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: &Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: GetRight IE Download Helper - {31FF080D-12A3-439A-A2EF-4BA95A3148E8} - C:\Program Files\GetRight\xx2gr.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O8 - Extra context menu item: Download with GetRight - C:\Program Files\GetRight\GRdownload.htm
O8 - Extra context menu item: Open with GetRight Browser - C:\Program Files\GetRight\GRbrowse.htm
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {029FDBA6-3547-11D7-AA4C-0050BF051A00} (Rawflow ICD Client) - http://s.tf1.fr/mmdia/static/rawfl [...] awflow.cab
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} - http://a1540.g.akamai.net/7/1540/5 [...] plugin.cab
O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/bina [...] b31267.cab
O16 - DPF: {39B0684F-D7BF-4743-B050-FDC3F48F7E3B} - http://www.fileplanet.com/fpdlmgr/ [...] 3.1.99.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://cindoum.spaces.live.com//Ph [...] nPUpld.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/bina [...] b31267.cab
O16 - DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} (Zylom Games Player) - http://game11.zylom.com/activex/zylomgamesplayer.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/bina [...] b56907.cab
O16 - DPF: {FE0BD779-44EE-4A4B-AA2E-743C63F2E5E6} (IWinAmpActiveX Class) - http://pdl.stream.aol.com/download [...] _en_dl.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
Donc voila, je vous remercie et attand avec impatience votre verdict/prochaine operation a effectuer
Bonne journee a tous
PS: Je vien d'aller essayer de me connecter a wow, et malheureusement, le Backdoor.win32.bifroze.aej semble encore present je commence a perdre espoir 
Message édité par cindoum le 23-08-2007 à 07:33:59
Re,
On continue
- Fais un scan en ligne Kaspersky avec Internet Explorer :
- Clique sur
- Clique maintenant sur J'accepte.
- Valide l'installation d'un ou de plusieurs ActiveX si c'est nécessaire.
- Patiente pendant l'installation des Mises à jour.
- Choisis par la suite l'analyse du Poste de travail
- Sauvegarde puis colle le rapport généré en fin d'analyse.
AIDE : Tuto sur le scan en ligne
NOTE : Si tu reçois le message "La licence de Kaspersky On-line Scanner est périmée", va dans Ajout/Suppression de programmes puis désinstalle On-Line Scanner, reconnecte toi sur le site de Kaspersky pour retenter le scan en ligne.
Répondre à Angeldark
Bonsoir,
Merci beaucoup de m'aider a eradiquer ce trojan, cest vraiment tres apprecier, sans toi j'aurais deja tirer ma tour par la fenetre!!!
Sinon, avant de partir bosser, jai relancer les etapes que tu ma demander de faire hier, mais en desactivant la restauration du systeme!! (je n'ai toujours pas reactiver, est ce important?) Veux tu les nouveau raport fait en avec la restauration off?
Je vais immediatement lancer le scan en ligne
Merci encore!!!
Fais juste le scan en ligne 
Message édité par Angeldark le 23-08-2007 à 20:17:37
Répondre à Angeldark
Bon apres 21%, le pc c'est fermer tout seul ( et n'a meme pas redemarer)
Je vais donc relancer le scan
J'ai vraiment du mal ce soir
A la fin du scan, aucun raport n'est apparu ni quoi que sois et jai vu de le haut de la page quun controle activeX netait pas installer, je me suis dit que le raport avais besoin de ce control pour safficher....
Mais non aucun raport nest apparu et jai perdu les resultats du scan...
Donc je le relance pour la 2ieme foit...
Tiens bon
Message édité par Angeldark le 23-08-2007 à 22:34:42
Répondre à Angeldark
Bonjour Angledark ( et tout les autres )
Ce matin, j'ai fait un tour sur AVG AS et jai vu que tout les infections trouve lors du scan sont encore present sur mon ordinateur, je ne devrais pas les suprimer (ils sont en quarantaine...)
Merci encore une fois 
Me revoila,
Je suis en train d'instaler Antivir, par contre le 'urgent' de temps dernier post me fait peur...
Crois tu pouvoir eradiquer ce trojan ou suis je bon pour jeter ma tour? 
ha daccord
J'ai donc installer antivir, jai garder avg anti-spyware, et comme proposer dans ton tuto sur comment proteger les pc, je suis passer a Opera (tres bien).
Une foit le probleme resolu, jirai telecharger le firewall que tu propose, ou peu etre acheter un 'pack' de securite internet (comme celui proposer par aol, pour 4€ par mois).
Sinon, que dois-je faire maintenant? 
Merci
Pas de pack proposé par les FAI, ce n'est pas bien 
Tu as encore des soucis ?
Répondre à Angeldark
he bien oui, lorsque je me connecte a world of warcraft, jai toujours ce message me disant que Backdoor.Win32.Bifroze.aej est detecte sur mon pc
Si je delete les objets mis en quarantaine sur avg?
ps: au fait je nest toujours pas reactiver la restauration du system, est ce un probleme?
Message édité par cindoum le 24-08-2007 à 15:41:26
non, je n'y avais pas penser.
Mais si je desinstal/reinstal et que je n'ai plus le message d'erreur... Comment etre defenetivement sur que le trojan est partie?
Je vais de suite desinstaller, je n'ai rien a perdre
Re,
j'y ai cru, jai installer le jeu, et ensuite je me suis connecter (sans aucun message pour le trojan) ensuite jai fais les mise a jours et hop lors de la connection suivante, le trojan est detecte, et puisque j'ai mis mon mot de passe j'ai bien peur d'avoir perdu mon compte....
Mais bon l'important pour l'instant reste de nettoyer le pc pour proteger le reste ( on fait regulierement des achat en ligne et on regarde nos comptes bancaires en ligne )
Docteur?! Que faire?
Message édité par cindoum le 24-08-2007 à 18:46:09
Bon, il y a bel et bien un trojan, car quelqun a utiliser mon compte de jeu...
Je vais reessayer le scan en ligne en desactivant antivir et avg as...
Haaa j'ai peur un peu la
Pour le scan oui, car il me disent que panda est configurer pour ie seulement
j'ai reessayer encore 2 foit mais rien a faire, tjr le message derreur a la fin
Jai les boules, la personne a reussi a se connecter sur mon compte et annuler mon prochain payement, donc je n'ai meme plus acces a ce jeu, et jai peur pour le reste de mes donnees
bon un dernier post avant de mettre le raport de panda.
Jai trouve ceci sur un site de sophos, mais je ne comprend pas trop, peu etre que ca pourra t'aider
This section is for technical experts who want to know more.
Troj/Bifrose-AJ is a backdoor Trojan for the Windows platform.
Troj/Bifrose-AJ may be distributed as a dropper, that drops the main component of the Trojan as SERVER29-3C-ASPR.EXE in the Windows folder. The dropper also drops a legitimate Kaspersky Anti-Virus utility as CLRAV.COM in the Windows folder.
When first run the main Trojan copies itself to the Windows system folder as MSMSSGS.EXE.
The following registry entries are created to run msmssgs.exe on startup:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run\
msmautoprotect
<system>\msmssgs.exe
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
msmautoprotect
<system>\msmssgs.exe
hum donc voila en esperant que tu y comprenne quelque chose
Edit: Panda a terminer, voici le raport,
Incident Statut Analyse
Adware:adware/instafinder No Désinfecté Registre Windows
Outil indésirable:Application/Pskill.K No Désinfecté C:\Documents and Settings\Compaq_Propriétaire\Bureau\clean\pskill.exe
Spyware:Cookie/YieldManager No Désinfecté C:\Documents and Settings\Compaq_Propriétaire\Cookies\compaq_propriétaire@ad.yieldmanager[2].txt
Spyware:Cookie/Adtech No Désinfecté C:\Documents and Settings\Compaq_Propriétaire\Cookies\compaq_propriétaire@adtech[2].txt
Spyware:Cookie/Advertising No Désinfecté C:\Documents and Settings\Compaq_Propriétaire\Cookies\compaq_propriétaire@advertising[2].txt
Spyware:Cookie/Adviva No Désinfecté C:\Documents and Settings\Compaq_Propriétaire\Cookies\compaq_propriétaire@adviva[2].txt
Spyware:Cookie/Atlas DMT No Désinfecté C:\Documents and Settings\Compaq_Propriétaire\Cookies\compaq_propriétaire@atdmt[1].txt
Spyware:Cookie/Bluestreak No Désinfecté C:\Documents and Settings\Compaq_Propriétaire\Cookies\compaq_propriétaire@bluestreak[2].txt
Spyware:Cookie/Serving-sys No Désinfecté C:\Documents and Settings\Compaq_Propriétaire\Cookies\compaq_propriétaire@bs.serving-sys[2].txt
Spyware:Cookie/Com.com No Désinfecté C:\Documents and Settings\Compaq_Propriétaire\Cookies\compaq_propriétaire@com[1].txt
Spyware:Cookie/Hitslink No Désinfecté C:\Documents and Settings\Compaq_Propriétaire\Cookies\compaq_propriétaire@counter.hitslink[1].txt
Spyware:Cookie/Doubleclick No Désinfecté C:\Documents and Settings\Compaq_Propriétaire\Cookies\compaq_propriétaire@doubleclick[2].txt
Spyware:Cookie/FastClick No Désinfecté C:\Documents and Settings\Compaq_Propriétaire\Cookies\compaq_propriétaire@fastclick[2].txt
Spyware:Cookie/fe.lea.lycos No Désinfecté C:\Documents and Settings\Compaq_Propriétaire\Cookies\compaq_propriétaire@fe.lea.lycos[2].txt
Spyware:Cookie/Mediaplex No Désinfecté C:\Documents and Settings\Compaq_Propriétaire\Cookies\compaq_propriétaire@mediaplex[1].txt
Spyware:Cookie/QuestionMarket No Désinfecté C:\Documents and Settings\Compaq_Propriétaire\Cookies\compaq_propriétaire@questionmarket[2].txt
Spyware:Cookie/Serving-sys No Désinfecté C:\Documents and Settings\Compaq_Propriétaire\Cookies\compaq_propriétaire@serving-sys[1].txt
Spyware:Cookie/Smartadserver No Désinfecté C:\Documents and Settings\Compaq_Propriétaire\Cookies\compaq_propriétaire@smartadserver[2].txt
Spyware:Cookie/Toplist No Désinfecté C:\Documents and Settings\Compaq_Propriétaire\Cookies\compaq_propriétaire@toplist[1].txt
Spyware:Cookie/Tradedoubler No Désinfecté C:\Documents and Settings\Compaq_Propriétaire\Cookies\compaq_propriétaire@tradedoubler[2].txt
Spyware:Cookie/Weborama No Désinfecté C:\Documents and Settings\Compaq_Propriétaire\Cookies\compaq_propriétaire@weborama[2].txt
Spyware:Cookie/Xiti No Désinfecté C:\Documents and Settings\Compaq_Propriétaire\Cookies\compaq_propriétaire@xiti[1].txt
Outil indésirable:Application/Pskill.K No Désinfecté C:\Download\virus war\clean.zip[clean/pskill.exe]
Outil indésirable:Application/NirCmd.A No Désinfecté C:\fixwareout\FindT\nircmd.exe
Outil indésirable:Application/KillApp.B No Désinfecté C:\hp\bin\KillIt.exe
Outil indésirable:Application/Processor No Désinfecté C:\Program Files\Navilog1\Process.exe
a tout de suite
Message édité par cindoum le 24-08-2007 à 21:11:03
Rien de méchant
Message édité par Angeldark le 24-08-2007 à 21:13:07
Répondre à Angeldark
Donc selon toi, il n'y a aucun probleme?
Car je vais aller me reabonner a wow (donc mettre mon numero de carte bleu+code a 3 chiffre) et jai des transaction a faire depuis quelques jours mais je n'ose pas me connecter sur mon compte bancaire
Donc dernier verdict, aucun danger que mes donnees soit 'voles'?
oky
Merci enormement pour tout le temps passer
A bientot
