analyse de scans hijackthis...?

bonjour a tous,

je ne connait pas du tout cet utilitaire et je viens de le telecharger par curiosité , tout le monde s'en sert sauf moi!
il est en anglais et je voudrai en savoir un peu plus sur celui-ci et les précautions a prendre.
existe t'il une version française ou une plus recente , j'ai la version 1.99.0001
merci d'avance pour vos lumieres

Salut ami XP4,

regarde ce TUTO .

Je pense que tu auras laréponse à ta question.

Amicalement

salut Xp4,
Hijackthis est un logiciel freeware de Merijn qui est également le concepteur de CWShredder.
Tu as bien la dernière version... N'existe qu'en anglais...
Le rapport fourni nécessite une analyse très pointue et une méthodologie méticuleuse quant à la façon de se débarrasser des pollutions détectées.
Rien d'insurmontable mais un peu d'expérience car sinon, le risque est fort que la pollution se régénère...
Le domaine privilégié d'action est celui du hijacking, c'est-à-dire les pollutions de la navigation et notamment le forçage de la page de démarrage et du choix du moteur de recherche par défaut.
Très cordialement

salut ami xide ,

merci pour le TUTO, je l'avais pas vu dans liste et comme je l'utilisé pas je ne pensé pas qu'il existé.
en tout cas ça marche mais je doit dire que pour dechiffrer c une autre paire de manches

voici ce que ça donne:
Logfile of HijackThis v1.99.1
Scan saved at 17:02:17, on 03/11/2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\Program Files\Fichiers communs\Symantec Shared\ccProxy.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe
C:\WINDOWS\System32\FTRTSVC.exe
C:\Program Files\Norton Internet Security Professional\Norton AntiVirus\navapsvc.exe
C:\Program Files\Norton Internet Security Professional\Norton AntiVirus\AdvTools\NPROTECT.EXE
C:\WINDOWS\SYSTEM\DRIVER\ntuser.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe
C:\Program Files\Java\jre1.5.0_04\bin\jusched.exe
C:\Program Files\e-Carte Bleue\SG\e-Carte Bleue\ECB-SG.exe
C:\Program Files\ClocX\ClocX.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Change Ecran\Change Ecran.exe
C:\Program Files\Poste de Travail Sans Fil Labtec\MulMouse.exe
C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\Program Files\Aide mémoire\TrayIcon.exe
C:\Program Files\Poste de Travail Sans Fil Labtec\MagicKey.exe
C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe
C:\PROGRA~1\Wanadoo\TaskBarIcon.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe
C:\PROGRA~1\INCRED~1\bin\IMApp.exe
C:\Program Files\Norton Internet Security Professional\Norton AntiVirus\SAVScan.exe
C:\PROGRA~1\Wanadoo\EspaceWanadoo.exe
C:\PROGRA~1\Wanadoo\ComComp.exe
C:\PROGRA~1\Wanadoo\Toaster.exe
C:\PROGRA~1\Wanadoo\Inactivity.exe
C:\PROGRA~1\Wanadoo\PollingModule.exe
C:\PROGRA~1\Wanadoo\ALERTM~1.EXE
C:\PROGRA~1\Wanadoo\Watch.exe
C:\PROGRA~1\MOZILL~2\FIREFOX.EXE
C:\Documents and Settings\Mr\Mes documents\emika63\HijackThis.exe
C:\Program Files\Spybot - Search & Destroy\SpybotSD.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://aide-micro-hourrrah.forumactif.com/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\Wanadoo\SEARCH~1.DLL
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: e-Carte Bleue Browser Helper Object - {2E03C0FD-4C48-43A7-9A54-00240C70FF16} - C:\WINDOWS\system32\BhoECart.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: CNisExtBho Class - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Program Files\Fichiers communs\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O2 - BHO: CNavExtBho Class - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton Internet Security Professional\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Program Files\Fichiers communs\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton Internet Security Professional\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [URLLSTCK.exe] C:\Program Files\Norton Internet Security Professional\UrlLstCk.exe
O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~1\NORTON~1\AdvTools\ADVCHK.EXE
O4 - HKLM\..\Run: [MessagerStarter Wanadoo] C:\PROGRA~1\MESSAG~1\StartMessager.exe Messager Wanadoo
O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\Wanadoo\Watch.exe
O4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\Wanadoo\GestMaj.exe TaskBarIcon.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_04\bin\jusched.exe
O4 - HKLM\..\Run: [eCarteBleue-SG-P3] "C:\Program Files\e-Carte Bleue\SG\e-Carte Bleue\ECB-SG.exe" /dontopenmycards
O4 - HKLM\..\Run: [ClocX] C:\Program Files\ClocX\ClocX.exe
O4 - HKLM\..\Run: [MyWebSearch Email Plugin] C:\PROGRA~1\MYWEBS~1\bar\3.bin\mwsoemon.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [IncrediMail] C:\Program Files\IncrediMail\bin\IncMail.exe /c
O4 - HKCU\..\Run: [WOOKIT] C:\PROGRA~1\Wanadoo\GestMaj.exe EspaceWanadoo.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [NBJ] "C:\Program Files\Ahead\Nero BackItUp\NBJ.exe"
O4 - HKCU\..\Run: [MyWebSearch Email Plugin] C:\PROGRA~1\MYWEBS~1\bar\3.bin\mwsoemon.exe
O4 - HKCU\..\Run: [Change Ecran] C:\Program Files\Change Ecran\Change Ecran.exe
O4 - Startup: Aide mémoire.lnk = ?
O4 - Global Startup: Activer le Poste de Travail Sans Fil Labtec.lnk = C:\Program Files\Poste de Travail Sans Fil Labtec\MulMouse.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = ?
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm
O8 - Extra context menu item: &Search - http://bar.mywebsearch.com/menusearch.html?p=ZNfox000
O8 - Extra context menu item: &Traduire à partir de l'anglais - res://c:\program files\google\GoogleToolbar1.dll/cmwordtrans.html
O8 - Extra context menu item: Pages liées - res://c:\program files\google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Pages similaires - res://c:\program files\google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Recherche &Google - res://c:\program files\google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://c:\program files\google\GoogleToolbar1.dll/cmcache.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra button: Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\PROGRA~1\Yahoo!\Common\yhexbmesfr.dll
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\PROGRA~1\Yahoo!\Common\yhexbmesfr.dll
O9 - Extra button: Messager Wanadoo - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\PROGRA~1\MESSAG~1\Messager Wanadoo.exe (file missing)
O9 - Extra 'Tools' menuitem: Messager Wanadoo - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\PROGRA~1\MESSAG~1\Messager Wanadoo.exe (file missing)
O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - http://www.wanadoo.fr (file missing) (HKCU)
O16 - DPF: Interface Chat Wanadoo - http://chat10.x-echo.com/version5/Applet/wchatsign.cab
O16 - DPF: teleir_cert - https://static.ir.dgi.minefi.gouv.fr/secure/connexion/archives/ie4n4/teleir_cert.cab
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage) - http://go.microsoft.com/fwlink/?linkid=36467&clcid=0x409
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dll
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1120123686390
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5free/asinst.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab
O16 - DPF: {D32E12A5-F4E1-4F99-8C80-4A0C494430A5} (MsgAlertButton Class) - http://www.meetstream.com/activex/messagealert2/NewMsgButton.cab
O16 - DPF: {DF4F4ED9-420B-4F40-AEE6-A620460306E7} (CantocheLivingActorInstaller2 Class) - http://ak.cdiscount.com/plug-ins/LivingActorInstaller2.cab
O16 - DPF: {FA30EC32-668B-4B60-B13C-4C84EB90C3C9} (ActiveID Control) - http://www.meetstream.com/activex/activeid1003/activeid.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{A3085E66-C563-4280-86A0-9710F69850D8}: NameServer = 80.10.246.130 80.10.246.3
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe
O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom - C:\WINDOWS\System32\FTRTSVC.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: Service Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:\Program Files\Norton Internet Security Professional\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\Program Files\Norton Internet Security Professional\Norton AntiVirus\AdvTools\NPROTECT.EXE
O23 - Service: NTBOOTMGR (NTBOOT) - Unknown owner - C:\WINDOWS\SYSTEM\DRIVER\ntuser.exe
O23 - Service: NTLOAD - Unknown owner - C:\WINDOWS\SYSTEM\DRIVER\ntsrv.exe
O23 - Service: NTSVCMGR - Unknown owner - C:\WINDOWS\SYSTEM\DRIVER\ntsrv.exe
O23 - Service: Sandra Data Service (SandraDataSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Lite 2005.SR2a\RpcDataSrv.exe
O23 - Service: Sandra Service (SandraTheSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Lite 2005.SR2a\RpcSandraSrv.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Program Files\Norton Internet Security Professional\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe

comment je peux savoir ce qui cloche je n'ai pas d'avertisseur sous forme de "ATTENTION" "SUSPECT"DANGEROUS...... pas évident de se retrouver dans tout ça.

hourrrah a écrit:

salut Xp4,
Hijackthis est un logiciel freeware de Merijn qui est également le concepteur de CWShredder.
Tu as bien la dernière version... N'existe qu'en anglais...
Le rapport fourni nécessite une analyse très pointue et une méthodologie méticuleuse quant à la façon de se débarrasser des pollutions détectées.
Rien d'insurmontable mais un peu d'expérience car sinon, le risque est fort que la pollution se régénère...
Le domaine privilégié d'action est celui du hijacking, c'est-à-dire les pollutions de la navigation et notamment le forçage de la page de démarrage et du choix du moteur de recherche par défaut.
Très cordialement

salut Hourrrah,

effectivement le rapport est tres pointu , existe t'il des lignes évidentes a connaitre ou a supprimer systematiquement dans le rapport , comme je le disai a xide pas facile de détecter le bon du mauvais

xp4 a écrit:

salut Hourrrah,

effectivement le rapport est tres pointu , existe t'il des lignes évidentes a connaitre ou a supprimer systematiquement dans le rapport , comme je le disai a xide pas facile de détecter le bon du mauvais

Bonsoir Xp4

Une fois le scan effectué par HijacThis il te faut faire évaluer le log par http://www.hijackthis.de/fr

Ensuite selon le résultat tu supprimes les lignes signalées par un point d'exclamation rouge, déclarées méchantes.

Exemple : https://2img.net/r/ihimizer/img140/7654/mchant4ff.jpg


Il y a très certainement une méthode plus affinée mais en attendant ......

salut Kituysha,

merci , il me manqué ce detail , je viens de faire le log et j'ai 6 mechants , il y a t'il un risque en les supprimants

Re Xp4

Il n'y a aucun risque à supprimer les lignes marquées d'un point d'exclamation rouge.
Tu peux y aller en confiance, mais seulement les lignes méchantes.

re kituysha,

sans risque , tu crois c marqué en bas de page utilisation a vos risques et péril
en tout cas les fichiers de ce genre :


c fichiers touchent le systéme windows et j'hesite a les supprimer , a moins que l'on me certifie qui sont vraiment méchants

salut xp4,
Pour te déterminer, tu as en cliquant sur les étoiles des avis..
D'autre part, utilisateur inconnu. Suspect
Leur emplacement n'est pas conforme, non plus
3 bonnes raisons de faire un sort à ces lignes...
Pour moi, c'est à fixer .
Redémarre et fais un autre hijackthis à la suite
A mon avis, ntuser.exe va résister..
Tiens-nous au courant
Très cordialement

salut Hourrrah,

tu as raison , il reste bien un fichier irreductible qui est vraiment incrusté , comment on peut le virer sans risque

Bonjour vous

Ceci n'est pas la version française ??!

http://telechargement.zebulon.fr/160-Patch-fran%E7ais-pour-HijackThis.html

Merci Colibri pour ta découverte, c'est un beau cadeau. Mais restons prudent quant à on utilisation, comme le dit Xide.
Tu es la reine des Colibris petite souris !

Un plaisir pour moi les garçons !

RE.. Xp4,
Pour ton fichier récalcitrant, tu le marques avec le freeware Gipo Move on Boot
http://www.gibinsoft.net/gipoutils/fileutil/index.htm
Le fichier sera supprimé au démarrage suivant avant qu'il ne soit verrouillé par le Système.
Jette aussi un coup d'oeil, avant de redémarrer, dans msconfig - onglet démarrage . A décocher s'il y était ..
Tiens-nous au courant
Très cordialement

salut Hourrrah et merci a colibri pour la version française

je viens d'installer Gipo Move on Boot et la ligne ne figure pas dans l'onglet démarrage.
par contre je voudrai savoir comment je peut marquer la ligne en faisant parcourir je ne sais pas ou aller pour le trouver

Re..xp4,
D'après le rapport HiJackThis, il serait (?) sur le chemin C:\WINDOWS\SYSTEM\DRIVER\ntsrv.exe
Tiens-nous au courant
Très cordialement

bonsoir Hourrrah,

j'ai bien suivi ce chemin mais il n'est pas dedans et en faisant une recherche, windows ne trouve rien et dans le dossier system le fichier de driver est pas présent , s'agit-il du fichier driver cache ?

Bonjour

Xp4 puis-je profiter de ton ¨tropixxx¨

Dites-moi svp je fais comment avec ce résultat :

http://img235.imageshack.us/my.php?image=rapport4jh.png

Milles excuses en cliquant sur l'image elle s'agrandit
je ne sais pas encore comment installer l'image comme vous
en ¨pellicule¨

Merci de m'éclairer !

salut colibri ,

tu copie le bloc notes de hijackthis, ensuite tu le colle ICI
et tu clic sur évaluer, garde le lien dans tes marques-pages.

Bonsoir Colibri, Xp4

Colibri l'a déjà fait.

Pour cela tu alignes le scan Hijackthis (voir image ci-dessous) à côté du résultat de l’évaluation du log, tu coches dans le résultat du scan Hijackthis (voir image ci-dessous), la ou les lignes réputées méchantes et repérables par le signe d'exclamation rouge.

Ensuite tu cliques sur "Fixer objet", pour la version française. Tu dois l'avoir puisque c'est toi qui nous l'a proposée.



Et voilà !

re a tous les 2 ,

autant pour moi kituysha! je rajouterai juste et tu redémarres ton pc puis refait une analyse pour voir si la méchante bête bête est partie , comme tu le voit pour moi ça s'incruste dur

Oh la la les garçons je vous reviens

re.. Xp4,
Ntuser.exe était carrément dans tes processus actifs...
"Fixer" avec hijackthis, agit sur le Registre mais ne supprime pas les fichiers.. Il y a qqch qui m'échappe.
Au passage, une chose auquel il faut veiller avec hijackthis quand on fixe des lignes très polluantes, c'est de désactiver la restauration système ..(ce qui a pour effet de supprimer tous les points de restauration).
Conserver ces points (vérolés), c'est réintroduire le probl. à la plus proche restauration.
Ne pas oublier de réactiver ensuite la restauration...
Tiens-nous au courant
Très cordialement