Mon PC est infecté : voici le log HijackThis

[invite32bb90e8]

Bonjour,
Je suis un ancien membre forum, et je sais donc la compétence de certains ici
J'aurai besoin d'un coup de main pour me débarrasser d'un virus (+spyware) qui hante on PC.
Y'en a-t-il qui savent interpréter les log HijackThis ?

Log supprimé et mis en pièce jointe.
Merci de suivre cette procédure
et de poster les différents rapports en pièces jointes.

yoda1234.


Merci à ceux qui penvent m'aider ... rien qu'en écrivant ce message j'ai du fermer 15 pop-up !!

Marc
-----

[_Goel_]

Euh....
La solution :
1. Télécharger Firefox 2.0
2. Sauvegarder les documents importants
3. Formater C: (basse couche, version lente)
4. Partitionner le disque dur en au moins 2 partitions
5. Installer Windows sur C:
6. Mettre le parefeu windows
7. Installer Internet
8. Executer Windows update, pour mettre à jour les failles critiques
9. Utiliser Firefox.
10. Désactiver l'antivirus Windows (inutile)

C'est ma méthode. 3 ans que je l'utilise, En allant sur des sites de crack etc... Pas un seul ver, pas un seul processus surnuméraire, pas de ralentissement...

Ah si, j'ai eu un virus une fois... sur un site de crack, j'ai téléchargé un keygen genre "virus.exe". Bon... je l'ai exécuté... Ben le titre du fichier était vrai... bref...

Avec cette méthode tant que je demande pas à mon ordi de s'infecter lui même, pas de pb !

[_Goel_]

(Ps : que de temps gagné à ne plus aller sur des sites proposant le meilleur antivirus, le meilleur anti-spy, à faire toutes les mises à jour, à scanner toutes les semaines l'ordi pour vérifier les fuites, à analyser les processus surnuméraires de l'ordi, à faire attention aux sites sur les quels je navigue, à fermer toutes les fenêtres popup (et oui, firefox les bloque aussi !). Mais surtout quel bonheur de ne plus penser du tout à la sécurité de mon ordi.)

Bon, je viens quand même de passer Spybot (ce que je n'avais pas fait depuis 1an... en restant tous les jours connecté, et très souvent 24h/24) 1. Que de temps pour faire la mise à jour (et oui, en 1 an les vers évoluent !!!)
2. Que de temps à passer au crible le disque
3. Tout ça pour constater que mon ordi est on ne peut + clean

[yoda1234]

Euh....
La solution :
1. Télécharger Firefox 2.0

Bonjour,

ah bon, parce que firefox évite les infections? Je n'étais pas au courant!

3. Formater C: (basse couche, version lente)

A part dans certains cas bien spécifiques, le formatage est le recours de l'incompétent.

6. Mettre le parefeu windows

Le parfeu de windows est un demi parfeu: Il ne filtre que le flux rentrant, pas le sortant.

Executer Windows update, pour mettre à jour les failles critiques

Oui.
.

Désactiver l'antivirus Windows (inutile)

Ah bon? windows a un anti virus en natif?

C'est ma méthode. 3 ans que je l'utilise, En allant sur des sites de crack etc... Pas un seul ver, pas un seul processus surnuméraire, pas de ralentissement...

Alors tu as de la chance...Je te suggère de consulter ce dossier
qui parle de façon beaucoup plus correct de prévention.

Bon... on arrête de rire: Les seules personnes fiables dans l'interprétation des logs et l'utilisation des outils spécifiques de désinfection appartiennent au "groupe anti-malware" et je conseille a Marc de ne suivre que leurs conseils.

[A voir en vidéo sur Futura]

[Cyrrus]

Bonjour à tous,

Je ne veux pas en rajouter une couche, Goel voulait apparemment aider...même si sa méthode n'est pas du tout recommendable...

Executer Windows update, pour mettre à jour les failles critiques

Je dirai même pas, car lorsqu'un pc est infecté le risque de plantage due à l'installation des mises à jours augmente. Dans le cas ou la personne n'a pas de firewall, on lui en fait installer un...et c'est tout (d'ailleurs je ne crois pas en voir vu).

Autre chose : dans ton log Marc je vois des traces de deux antivirus : Symantec NIS et Avast, il faut en enlever un...car il y a risque de conflit...sans surplus d'efficacité.

Le log pour autant n'est pas clean, je tacherai de m'en occuper dans la journée.

Pour finir sur Goel : moi aussi j'aimerai ne pas avoir à me soucier de ma sécurité...mais ne pas le faire serait de l'inconscience. Il n'est pas si difficile que ca de se proteger, et c'est moins barbant que tu le dis (environ 30 minutes pour tout installer...et 5 min par semaines pour mettre à jour).

Maintenant, quand à la propreté de ton pc. J'aime beaucoup Spybot, mais il n'est plus à la hauteurs niveau détection. D'autre part, vu les sites que tu visites, tu peux très bien te choper des bestioles assortis de rootkit...donc indetectable par les scanners habituelles.

Evidemment, je ne souhaite qu'avoir tord...

Bonne journée
Cyrrus
PS : Ah j'oubliais ! Renomme Hijackthis.exe en Futura.exe comme demandé. En un mot, fais la procédure entièrement

[invite597d4991]

Bonjour,

ah bon, parce que firefox évite les infections? Je n'étais pas au courant!

Yep,
Pour défendre un peu Goel,
Firefox n'a pratiquement jamais de failles critiques non corrigées, c'est un bon point tout de même, on ne peut pas en dire autant de IE.

En plus la quasi totalité des attaques subies par le poste windows lambda sont complètement automatiques et ciblent le navigateur (sauf période de risque critique...), être patché contre toutes les failles connues suffit à y être complètement invulnérable (ActiveX mis à part, mais ceci ne pose pas problème sous ff). Dommage de ne pas en profiter.

[invite32bb90e8]

Merci à tous pr vos remarques
Je n'avais pas vu la procédure (je connaissais le coup de hijackthis, mais le renommer c'est pas bête du tout !), je vous reviens dès que c'est fait !

A+
Marc

[yoda1234]

Yep,
Pour défendre un peu Goel,
Firefox n'a pratiquement jamais de failles critiques non corrigées, c'est un bon point tout de même, on ne peut pas en dire autant de IE.

En plus la quasi totalité des attaques subies par le poste windows lambda sont complètement automatiques et ciblent le navigateur (sauf période de risque critique...), être patché contre toutes les failles connues suffit à y être complètement invulnérable (ActiveX mis à part, mais ceci ne pose pas problème sous ff). Dommage de ne pas en profiter.

Bonjour,

oui, mais j'ai pris le message dans sa globalité, et on ne peut pas dire que la sécurité tel qu'il la préconise soit exemplaire...
Bien sur, pour ce qui est de FF, tu prêche un converti de longue date.

[invite32bb90e8]

Petite question : à quoi ça sert le mode sans échec ?
(c'est dans la procédure, pour exécuter AGV)

[yoda1234]

Petite question : à quoi ça sert le mode sans échec ?
(c'est dans la procédure, pour exécuter AGV)

Bonsoir,

le mode sans échec est le mode diagnostic de Windows. Lorsque tu démarre ton PC en mode sans échec, seuls les composants spécifiques nécessaires à l'exécution du système d'exploitation sont chargés.
Le mode sans échec ne permet pas certaines fonctions, comme la connexion à Internet par exemple.

[igor51]

Bonsoir!

On préconise le mode sans échec car la plupart des malwares ne sont pas actifs dans ce mode, et ce làa permet la suppression de ces derniers sans aucun problème!

Bonne soirée,

Igor

[invite597d4991]

Bonjour,

oui, mais j'ai pris le message dans sa globalité, et on ne peut pas dire que la sécurité tel qu'il la préconise soit exemplaire...
Bien sur, pour ce qui est de FF, tu prêche un converti de longue date.

Dans ce cas...:?

[invite32bb90e8]

Alors voilà mes logs HijackThis et AVG :

Par contre j'ai essayé de redémarrer mon WinXP en mode sans échec, et j'obtiens un truc étrange : je tombe sur un écran noir vide (sauf aux quatre coins où il y a marqué 'mode sans échec'), et là impossible de lancer quoique ce soit, seul le TaskManager fonctionnait !!

Du coup je n'ai pu lancer mon scan AVG que sous une session normale de windows ... est-ce grave docteur ?

Marc

[igor51]

Bonsoir !

Histoire d'avancer un peu Cyrrus, fais ceci :

- Télécharge Vundoxfix de Atribune - mirror si le lien ne fonctionne pas : http://www.softpedia.com/get/Antivirus/VundoFix.shtml
- Double-clique VundoFix.exe afin de le lancer.
- Clique sur le bouton Scan for Vundo.
- Lorsque le scan est complété, clique sur le bouton Remove Vundo.
- Une invite te demandera si tu veux supprimer les fichiers, clique YES
- Après avoir cliqué "Yes", le Bureau disparaîtra un moment lors de la suppression des fichiers.
- Tu verras une invite qui t'annonce que ton PC va s'éteindre ("shutdown") ; clique OK
- Démarre ton PC à nouveau.
- Poste le rapport situé dans C:\vundofix.txt ainsi qu'un nouveau rapport HiJackThis! dans ta prochaine réponse.


Bonne soirée,

Igor

[invite32bb90e8]

Effectivement, j'ai pu enlever Vundo du PC
Et voici les résultats HijackThis


Je dois aller bosser, mais je vous dirai si ça va mieux ...

Thanks a lot, et bonne journée !
Marc

[Cyrrus]

Bonjour Marc, Igor,

La manip a marché, mais il en reste. Recommence à nouveau Vundofix comme décrit plus haut, puis poste le nouveau log hijackthis et le nouveau log de Vundofix.

Bonne journée
Cyrrus

[invite32bb90e8]

Effectivement le "mllml.dll - File Missing" me semble étrange ...
J'ai refais un VundoFix qui n'a trouvé aucun fichier !

[Cyrrus]

Bonjour Marc,

Avant de te faire virer la bestiole, j'aimerai que tu uploades 2 fichiers. Ils font partie de la bestiole et pourrai être utile au developpeur du fix.

S'il vous plaît, aller ici pour uploader un fichier douteux pour analyse.

• "Your Username:" - Entrez votre pseudo sur ce forum
• "Topic Where File Was Requested:" - Copiez-collez le lien vers cette discussion ( http://forums.futura-sciences.com/thread111923.html
• "File(s) To Submit:" - Bouton "Parcourir..." (case 1.) pour naviguer vers ce nom de fichier :
  
  

  C:\WINDOWS\system32\dawiuqhg.dll

• Faites de même pour ce second fichier (case 2.) :
  
  

  C:\WINDOWS\system32\ptirpri.dll

• "Comments Or Further Info:" - Inscrivez (copiez/collez) les deux lignes du rapport HijackThis suivantes :
  
  

  O2 - BHO: (no name) - {35F7813A-AF74-4474-B1DC-7EE6FB6C43C6} - C:\WINDOWS\system32\dawiuqhg.dll
  O2 - BHO: (no name) - {42FC6E13-57D1-6B4D-8997-0A5DF3A0C87A} - C:\WINDOWS\system32\ptirpri.dll

• Cliquez sur Send File

Voilà, je te poste la manip d'éradication une fois cela fait.

Bonne journée
Cyrrus

[invite32bb90e8]

C'est fait !

Et sinon quelle est la suite ? En fait je ne remarque rien d'anormal sur mon cher ptit PC.

Par contre comme vous l'aviez vu, j'ai NAV et Avast qui tournent en même temps. J'aimerai bien désinstaller NAV (je n'ai plus droit aux màj), mais je ne le trouve pas dans mes 'Ajouts-Suppr de Pgm'

Marc

[Cyrrus]

Bonsoir Marc,

Ok, merci pour ta contribution a la communeauté antimalware

On va d'abord s'occuper des restes de la bestiole, puis on s'occupera de désinstaller proprement Norton.

1. Redemarre en mode sans échec, lance Hijackthis et coche les lignes suivantes :

O2 - BHO: (no name) - {35F7813A-AF74-4474-B1DC-7EE6FB6C43C6} - C:\WINDOWS\system32\dawiuqhg.d ll
O2 - BHO: (no name) - {42FC6E13-57D1-6B4D-8997-0A5DF3A0C87A} - C:\WINDOWS\system32\ptirpri.dl l
O2 - BHO: (no name) - {53A72DE8-A91E-479B-B536-F00DD5A15F7E} - C:\WINDOWS\system32\mllml.dll (file missing)
O20 - Winlogon Notify: wingdm32 - wingdm32.dll (file missing)

Ferme toutes les fenêtres, excepté Hijackthis, et clique sur Fix Checked.

2. Assure toi d'avoir accès à tous les fichiers/dossiers cachés :

-- Ouvre le poste de travail
-- Clic sur le menu outils en haut à droite puis options des dossiers
-- Dans la nouvelle fenêtre, clic sur l'onglet Affichage en haut
-- Coche dans la liste "Afficher les fichiers cachés"
-- Décoche "masquer les fichier proteger du systeme d exploitation (recommandée)"
-- Tu vas recevoir un message qui te dit que cela peut endommager le système, n'en tiens pas compte.

3. Supprime les fichiers suivants s'ils existent :

C:\WINDOWS\system32\dawiuqhg.dll
C:\WINDOWS\system32\ptirpri.dll
wingdm32.dll <- fais une recherche pour celui là

4. Redemarre en mode normal et effectue un scan en ligne chez Kaspersky :

- Fais un Scan en ligne sur Kaspersky en utilisant Internet Explorer et pas firefox, ça ne marchera pas!.
- Si tu es perdu, tu peux suivre cette aide pour les scans en ligne
- Scan la zone critique
- Copie/colle le rapport du scan ici

Note : Si tu reçois le message "La licence de Kaspersky On-line Scanner est périmée", vas dans Ajout/Suppression de programmes et désinstalle On-Line Scanner, reconnecte toi sur le site de Kaspersky pour retenter le scan en ligne.

5. Poste moi le rapport de Kaspersky, ainsi qu'un nouveau log Hijackthis, le tout en pièces jointes.

Bonne soirée
Cyrrus

[_Goel_]

J'ai jamais dit que ma solution était la meilleure...
Juste que, depuis que j'ai fait ce que que j'ai écrit, je n'ai plus de problème.
Ca me suffit.
Et si je me fais attaquer... 1 attaque en 3 ans, ca me gène pas.

En tout cas. promis.
dès que je reformate mon DD (méthode réservée aux incompétents, mais je suis incompétent et je l'assume entièrement), je vous le signale

Nota : Firefox fait apparaitre une petite boite de dialogue pour l'installation de tout nouveau fichier : il suffit de cliquer sur "non", (sauf dans le cas de téléchargements volontaires)
Nota : partitionner le disque me permet de conserver mes documents lorsque je formate c:
Nota : formater c: me permet d'être certain d'avoir un disque propre
Nota : Mea culpa... j'ai confondu le centre de sécurité windows avec l'antivirus

[_Goel_]

PS :
il faut aussi, avec "ma" méthode, ne pas ouvrir de mail vérolé.

[yoda1234]

PS :
il faut aussi, avec "ma" méthode, ne pas ouvrir de mail vérolé.

Bonjour,

oui, comme dans tous les cas: Voir le point 9 du dossier de prévention.

La plupart des vers ou virus arrivent par mail : utilisez donc toujours la dernière version de votre programme de mail, corrigée des failles connues. N’ouvrez jamais les pièces jointes et ne cliquez jamais sur un lien d’un message dont vous ne connaissez pas l’expéditeur. Même si vous connaissez l’expéditeur, assurez-vous bien que l’envoi de cette pièce jointe est plausible : votre correspondant a pu se faire infecter à son insu, ou bien ce peut être une usurpation d’identité (le plus classique actuellement).

[invite32bb90e8]

Aïe aïe aïe, Kaspersky me trouve d'autres bestioles !
Help

[Cyrrus]

Bonsoir Marc,


1. Télécharge la dernière version de Killbox -> http://www.downloads.subratam.org/KillBox.zip
Place le programme dans le répertoire qui te plaît (pas d'installation Windows)

- lance Pocket Killbox
--- choisis l'option Delete on Reboot

--- copie la liste ci-dessous, des fichiers à supprimer (Ctrl-C) et File / Paste from Clipboard

C:\WINDOWS\system32\hkeusvyq.dll	
C:\WINDOWS\system32\jjkbatrx.dll	
C:\WINDOWS\system32\korminop.dll	
C:\WINDOWS\system32\lfoswcnh.dll	
C:\WINDOWS\system32\mvmssgqq.dll	
C:\WINDOWS\system32\oadgvfeo.dll	
C:\WINDOWS\system32\rsvmxoxi.dll	
C:\WINDOWS\system32\sjcgyvdr.dll	
C:\WINDOWS\system32\sldrnsrp.dll	
C:\WINDOWS\system32\uosdhhhc.dll	
C:\WINDOWS\system32\vdjaysqt.dll

* les boutons "Single File" et "All Files" deviennent actifs mais "Single File" est activé par défaut.
Il faut alors impérativement activer (cliquer sur) "All Files", impérativement, sinon seul le premier de la liste sera supprimé.
--- vérifie que tous les fichiers sont enregistrés, par la liste déroulante "Full Path of File to Delete"
--- si un ou des fichiers ".dll" sont présents dans la liste, coche "Unregister .dll Before Deleting".
--- clique sur la croix blanche sur fond rouge (Delete File) :

- "File will be Removed on Reboot, Do you want to reboot now?", réponds NON

2.

• Double-clique VundoFix.exe afin de le lancer
• Clique sur le bouton Scan for Vundo
• Lorsque le scan est complété, clique sur le bouton Remove Vundo
• Une invite te demandera si tu veux supprimer les fichiers, clique YES
• Après avoir cliqué "Yes", le Bureau disparaîtra un moment lors de la suppression des fichiers
• Tu verras une invite qui t'annonce que ton PC va redémarrer; clique OK

3.

Scan en ligne avec Kaspersky :
- Fais un Scan en ligne sur Kaspersky en utilisant Internet Explorer et pas firefox, ça ne marchera pas!.
- Si tu es perdu, tu peux suivre cette aide pour les scans en ligne
- Scan la zone critique
- Copie/colle le rapport du scan ici

4. Poste moi le rapport de Vundofix (le nouveau), ainsi que le rapport de Kaspersky et un nouveau log hijackthis.

Bonne soirée
Cyrrus

[invite32bb90e8]

J'ai fait les 4 étapes. Par contre VundoFix n'a rien trouvé.

[Cyrrus]

Bonsoir Marc,

Ok, c'est tout bon. As tu encore des dysfonctionnements ?

Coche et fix cette ligne dans Hijackthis :

O2 - BHO: (no name) - {F18F04B0-9CF1-4b93-B004-77A288BEE28B} - C:\WINDOWS\system32\ppqmwnqi.dll (file missing)

Suis le dossier de prévention pour éviter de rechoper une saleté.

Bonne soirée/nuit
Cyrrus

[invite32bb90e8]

Ok ! Merci à Igor et Cyrus pour votre patience.
Et sinon, une idée pourquoi je n'arrive pas à désinstaller mon NAV ?

[ABN84]

c'est parceque Norton s'incruste bien dans l'OS.
pour desisntaller NAV, suis la procedure decrite ici

[invite32bb90e8]

c'est parceque Norton s'incruste bien dans l'OS.
pour desisntaller NAV, suis la procedure decrite ici

Ok mais j'ai trouvé un utilitaire sur mon PC (un Packard Bell) qui permettait de faire ça automatiquement. Ca a l'air d'avoir fonctionné ...