GIF - Graphic Interchange Format

ZHPFix - Outil de suppression

Cet outil a été crée le 10 avril 2009 par Nicolas Coolman, concepteur/développeur de projets et conseiller en sécurité informatique. Après plusieurs mois de tests avec l'équipe de SOS Virus, l'outil a fait officiellement sa sortie le 11 juin 2009.

Caractéristiques

ZHPFix est un outil de diagnostic extrait du logiciel Zeb Help Process. Le logiciel permet de traiter les lignes indésirables issues de rapports ZHPDiag ou HijackThis. Principalement, il assure la suppression de fichiers et de dossiers, le nettoyage de la Base de Registre et la désinstallation de certains logiciels..

Drag and drop

Une fois ZHPFix lancé, il est possible de faire glisser un fichier texte (extension .txt) et de le déposer dans la zone de saisie. Dès lors il n'est pas nécessaire d'utiliser le bouton "H".

Microsoft Windows Clean Manager

L'outil Clean Manager comporte deux onglets, "Nettoyage de disque" et "Autres options". Il permet de faire un nettoyage complet de vos disques

Nettoyage de disque :
- Fichiers programmes téléchargés (Coché par défaut)
- Fichiers internet temporaires (Coché par défaut)
- Fichiers de statistiques sur les jeux
- Corbeille
- Fichiers enregistrement de l'installation
- Fichiers de vidage mémoire d'erreurs système
- Fichiers de minividage d"erreurs système
- Fichiers temporaires
- Miniatures (Coché par défaut)
- Fichiers ignorés par la mise à niveau de Windows
- Fichiers archivés de rapport d'erreurs Windows
- Fichiers en file d'attente de rapport d'erreurs
- Fichiers journaux de la mise à jour Windows

Autres options :
- Programmes et fonctionnalité pour libérer de l'espace disque en supprimant des programmes inutilisés.
- Restauration du système et clichés instantanés pour supprimer tous les points de restauration à l'exception des plus récents.

Evolutions

- 19/12/2010 : Création d'un bouton pour accéder à l'outil Microsoft Windows Clean Manager.
- 15/12/2010 : Création d'un bouton pour la catégorie "Optimise".
- 07/09/2010 : Traitement des lignes du module B0, Page de démarrage du navigateur Opera
- 01/09/2010 : Traitement des lignes du module M2, Programmes d'extension de Mozilla Firefox
- 31/08/2010 : Traitement des lignes du module M0, plugins du navigateur Mozilla Firefox
- 27/08/2010 : Création des commandes ServiceXXXX de configuration des services.
- 24/08/2010 : Création des commandes START et STOP pour le démarrage des services.
- 23/08/2010 - Création de la commande OPT: pour le traitement de l'optimisation.
- 22/08/2010 - Nouvelle fonction de suppression de fichiers.
- 05/08/2010 - Nouveau traitement des lignes software.
- 01/08/2010 - Création de la commande IFEOFix.
- 14/07/2010 - Traitement des lignes du module P2, plugins du navigateur Mozilla Firefox.
- 11/07/2010 - Ajout de la restauration de la donnée par défaut pour les extensions de fichier "SCR" et "REG" du module O67.
- 03/07/2010 - Modificatif portant sur la suppression automatique de clés classes\CLSID.
- 01/07/2010 - Modification d'affichage des titres de modules dans le rapport.
- 17/06/2010 - Placement du fichier de rapport de suppression sur le bureau.
- 15/06/2010 - Traitement des clés "Run" de la branche "Wow6432Node" pour les OS 64bits Vista/7.
- 11/06/2010 - Traite le nouveau module ZHPDiag O81/Internet Feature Controls (IFC) par suppression de la valeur de clé.
- 31/05/2010 - Elévation de privilèges sur les stations Vista/Seven (UAC).

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


GIF - Graphic Interchange Format

ZHPCanned - Outil de création de canned

Origine

Cet outil a été crée le 27 août 2009 par Nicolas Coolman, concepteur/développeur de projets et conseiller en sécurité informatique. Après plusieurs semaines de tests, l'outil a fait officiellement sa sortie le 10 Septembre 2009.

Caractéristiques

ZHPCanned est un outil de gestion des canned speach (discours en conserve) extrait du logiciel Zeb Help Process.

Evolutions

Développement stoppé en 2010.


GIF - Graphic Interchange Format

ZHPComp - Outil de comparaison de fichiers

Origine

Cet outil a été crée le 10 août 2009 par Nicolas Coolman, concepteur/développeur de projets et conseiller en sécurité informatique. Ll'outil a fait officiellement sa sortie le 24 aout 2009.

Caractéristiques

ZHPComp est un outil de comparaison de fichier extrait du logiciel Zeb Help Process. Le logiciel permet de comparer simplement deux rapports de sécurité.

Evolutions

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


GIF - Graphic Interchange Format

ZHPSearch - Outil de recherche système

Origine

Cet outil a été crée le 03 octobre 2010 par Nicolas Coolman, concepteur/développeur de projets et conseiller en sécurité informatique.

Systèmes compatibles

Windows 98
Windows 2000
Windows Me
Windows XP (32 et 64 bits)
Windows Vista (32 et 64 bits)
Windows 7 (32 et 64 bits)

Caractéristiques

ZHPSearch est un outil de recherche contenu dans ZHPDiag. Il permet d'effectuer une recherche de chaîne de caractères dans la Base de Registres et/ou dans les fichiers/Dossiers.

Evolutions

- 27/10/2010 : Passerelle avec ZHPFix (1.23.00)
- 21/10/2010 : Refonte complète du module de recherche. (v1.22.07)
- 05/10/2010 : Création du module de recherche "Base de Registres". (v1.22)
- 03/10/2010 : Création du module de recherche "Fichiers/Dossiers". (v1.21)


GIF - Graphic Interchange Format

Zeb Help Process - Outil d'analyse de rapports

Cet outil a été crée le 10 juillet 2007 par Nicolas Coolman, concepteur/développeur de projets et conseiller en sécurité informatique. Après plusieurs mois de tests avec l'équipe de Zebulon, l'outil a fait officiellement sa sortie le 22 août 2007.

Caractéristiques

Zeb Help Process (ZHP) est un analyseur de rapports de sécurité comme HijackThis , DiagHelp, PCA Sécurité, Run Scanner ou RSIT. Il réorganise aussi certains rapports comme Kaspersky Antivirus Online (KAV) et Malwarebytes' Anti-Malware (MBAM) ou TDSS.

Evolutions

- 16/12/2011 - Portabilité sur clé USB.
- 09/08/2010 - Traitement global pour la reconnaissance des lignes malwares ZHPDiag/O1.
- 02/08/2010 - Ajout d'un bouton dans le panel de recherche de droite pour F-Secure Web Site.
- 22/07/2010 - Prise en compte de tous les dossiers "Program Files" des stations avec OS 64Bits.
- 20/07/2010 - Ajout dans l'entête du rapport de la liste des options cochées par l'utilisateur (Unselected Option).
- 18/07/2010 - Ajout dans l'entête du rapport de la liste des utilisateurs.
- 17/07/2010 - Ajout d'un nouveau paramètre /BLF (Background/Log/Full) - Travaille en arrière plan, affichage du Log, Full module (sauf O1,O45,O61,O65).
- 11/07/2010 - En cas d'infection du MBR, ajout d'un message spécifique en fin de rapport.
- 10/07/2010 - Contrôle de la donnée de la valeur "Start_ShowSearch" dans le module "Security Center & Tools Informations" (Clé : Explorer\Advanced)
- 21/06/2010 - Le fichier de rapport de scan est désormais placé sur le bureau de l'utilisateur.
- 08/03/2010 - Intégration de l'outil ZHP Data Utility pour la réparation de tables corrompues.

Différences entres les versions

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


GIF - Graphic Interchange Format

ZHPDiag - Outil de Diagnostic

Cet outil a été crée le 27 août 2008 par Nicolas Coolman, concepteur/développeur de projets et conseiller en sécurité informatique. Après plusieurs mois de tests avec l'équipe sécurité de Zebulon, l'outil a fait officiellement sa sortie le 04 novembre 2008.

Systèmes compatibles

Windows 98
Windows 2000
Windows Me
Windows XP (32 et 64 bits)
Windows Vista (32 et 64 bits)
Windows 7 (32 et 64 bits)

Caractéristiques

ZHPDiag est un outil de diagnostic extrait du logiciel Zeb Help Process. Le logiciel permet d'effectuer un diagnostic rapide et complet de son système d'exploitation. Il est basé en partie sur le principe d'HijackThis. Il scrute votre Base de Registre et énumère les zones sensibles qui sont susceptibles d'être piratées. A noter qu'il n'écrit rien dans votre Base de Registres et ne procède à aucun nettoyage et qu'il est totalement compatible avec l'analyse de Zeb Help Process.

Interface

Lancement d'une analyse complète.

Lancement d'une analyse partielle.

Enregistrer le rapport dans un fichier.

Copie la zone rapport dans le Presse Papier de Windows.

Mise à jour du produit.

Accéder au site de dépôt de fichier pjjoint.

Information sur le produit.

Configuration (Langue).

Options d'analyse.

Choix de la période de recherche pour le module Utilisateur.

Lancement de l'outil ZHPScan.

Lancement de l'outil ZHPPerso.

Ouverture/Fermeture de la zone Personnalisation.

Fichier d'aide des outils de la famille ZHP.

Lancement de l'outil ZHPScript.

Lancement de l'outil ZHPSearch.

Evolutions

- 05/03/2008 : Module d'entête (EDR)
- 05/03/2008 : Module des Processus lancés au démarrage (PLD)
- 05/03/2008 : Module F2 Modification d'une valeur System.ini (MVS)
- 05/03/2008 : Module F3 Modification d'une valeur Win.Ini (MVW)
- 11/03/2008 : Module M1 Search Page Redirection (SPR)
- 12/03/2008 : Module P1 Opera Plugin Navigator) (OPN)
- 15/03/2008 : Module R0 Pages de démarrage d'Internet Explorer (PDIE)
- 15/03/2008 : Module R1 Pages de recherche d'Internet Explorer (PRIE)
- 20/03/2008 : Module R3 Internet Explorer URLSearchHook (USH)
- 20/03/2008 : Module O1 Redirection du fichier Hosts (RFH)
- 24/03/2008 : Module O2 Browser Helper Objects de navigateur (BHO)
- 24/03/2008 : Module O3 Internet Explorer Toolbars (IETB)
- 08/04/2008 : Module O4 Applications démarrées automatiquement par le registre (ADAR)
- 08/04/2008 : Module O4 Applications lancées au démarrage du système (ALDS)
- 08/04/2008 : Module O5 Invisibilité de l'icône d'options IE dans le panneau de Configuration (IIPC)
- 10/04/2008 : Module O6 Restriction de l'accès aux options IE par l'Administrateur (RAIE)
- 10/04/2008 : Module O7 Restriction de l'accès à Regedit par l'Administrateur (RARE)
- 15/04/2008 : Module O8 Lignes supplémentaires dans le menu contextuel d'Internet Explorer (LSMI)
- 15/04/2008 : Module O9 Boutons situés sur la barre d'outils principale d'Internet Explorer (BSMI)
- 20/05/2008 : Module O10 Piratages de Winsock (LSP)
- 20/05/2008 : Module O11 Onglet supplémentaire dans les options avancées d'Internet Explorer (OSOI)
- 27/05/2008 : Module O12 Internet Explorer Plugins (IEP)
- 27/05/2008 : Module O13 Piratage des préfixes d'URL d'Internet Explorer (PFUI)
- 28/05/2008 : Module O14 Paramètres par défaut des options Internet Explorer (PDOI)
- 04/06/2008 : Module O15 Site dans la Zone de confiance d'Internet Explorer (SZCI)
- 04/06/2008 : Module O16 Objets ActiveX (OAX)
- 05/06/2008 : Module O17 Modification Domaine/Adresses DNS (MDAD)
- 09/07/2008 : Module O18 Protocole additionnel et piratage de protocole (PAPP)
- 09/07/2008 : Module O19 Piratage de feuille de style Utilisateur (PFSU)
- 10/07/2008 : Module O20 Valeur de sous-clés Winlogon Notify (VWN)
- 10/07/2008 : Module O20 Valeur de Registre AppInit_DLLs (VRAD)
- 15/08/2008 : Module O21 Shell Service Object Delay Load (SSODL)
- 20/08/2008 : Module O22 Clé de Registre autorun SharedTaskScheduler (STS)
- 20/08/2008 : Module O23 Services NT non Microsoft et non désactivés (SMND)
- 23/08/2008 : Module O24 Énumération des composants Active Desktop (ECAD)
- 24/08/2008 : Module O39 Automatic Planified Task (APT)
- 25/08/2008 : Module O40 ActiveSetup Installed Components (ASIC)
- 26/08/2008 : Module O41 Pilotes lancés au démarrage (PLD)
- 27/08/2008 : Module O42 Logiciels installés (LOIN)
- 27/08/2008 : Module O43 Common File Directory (CFD)
- 13/10/2008 : Module O44 Last File Created (LFC).
- 14/10/2008 : Module O45 Derniers fichiers créés dans Windows Prefetcher (LFP)
- 18/10/2008 : Module O46 Shell Execute Hooks (SEH)
- 18/10/2008 : Module O47 Authorized Application Key Export (AAKE)
- 23/10/2008 : Module O48 Déni du service Local Security Authority (LSA)
- 21/11/2008 : Module O49 Contrôle Boot Safe (CBS).
- 02/02/2009 : Module O50 Image File Execution Options (IEFO).
- 14/04/2009 : Module O51 MountPoints2 Search Key (MPSK)
- 14/04/2009 : Module O52 Trojan Driver Search Data (TDSD).
- 24/04/2009 : Module O53 ShareTools MSconfig StartupReg (SMSR).
- 24/04/2009 : Module O54 Microsoft Control Security Providers (MCSP)
- 24/04/2006 : Module O55 Microsoft Windows Policies System (MWPS)
- 15/05/2009 : Module O56 Microsoft Windows Policies Explorer (MWPE)
- 15/05/2009 : Module O57 Search Drivers Rootkit (SDR)
- 15/05/2009 : Module O58 System Drivers List (SDL)
- 15/05/2009 : Module O59 Heuristic Search MagicControl Infection (HSMI)
- 15/05/2009 : Module O60 Détournement de DNS (DDNS)
- 12/07/2009 : Module O61 Last File Created (LFC)
- 20/07/2009 : Module O62 Alternate Data Stream File (ADS)
- 27/07/2009 : Module O63 List All Tools Cleaner (LATC)
- 03/08/2009 : Module O64 Liste tous les services legacy (LALS)
- 28/11/2009 : Module O65 List Files Unsigned (LFU)
- 13/03/2010 : Module O66 Observateur Evènement Application (OEA)
- 21/03/2010 : Module O67 File Association Shell Spawning (FASS)
- 21/03/2010 : Module O68 Start Menu Internet (SMI)
- 21/03/2010 : Module d'entête "Security Center & Tools Informations" (ECTI)
- 10/04/2010 : Module O69 Recherche Infection Navigateur (SBI)
- 17/04/2010 : Module O80 Recherche Infection Master Boot Record (MBR)
- 17/04/2010 : Module O81 Internet Feature Controls (IFC)
- 05/07/2010 : Module O82 Crack & Keygen Files (CKF)
- 14/07/2010 : Module P2 Firefox Plugin Navigator) (FPN)
- 27/07/2010 : Module O83 Search Svchost Services (SSS)
- 25/08/2010 : Module SR/SS Etat général des services (EGS)
- 31/08/2010 : Module M0 Page de démarrage Mozilla Firefox (MFSP)
- 01/09/2010 : Module M2 Programmes d'extension de Mozilla Firefox (MFEP)
- 07/09/2010 : Module B0 Page de démarrage du navigateur Opera (SPO)
- 09/11/2010 : Module O84 Recherche particuliere à la racine de certains dossiers (SPRF)
- 22/12/2010 : Module O85 Recherche d'infection par le ver Koobface (SKWI)
- 03/01/2011 : Module O86 Recherche d'infection Rogue (SRI)
- 27/01/2011 : Module O87 Firewall Active Exception List (FAEL)
- 20/03/2011 : Module O88 Additional Scan (AS)
- 27/03/2011 : Module O89 Search Hijack DNS Rooter (SHDR)
- 12/10/2011 : Personnalisation (PERS)
- 18/10/2011 : Module O34 BootExcute (BEX)

(C) Copyrights 2010-2011 - Nicolas Coolman - All rights reserved


GIF - Graphic Interchange Format

ZHPDiag - ChangeLog

Evolutions

Juin 2013

Dernier changelog : http://nicolascoolman.webs.com

Mai 2013

- 29/05/13 : ZHPDiag, Levée d'un FP sur Google Software Updater (2013.5.29.157)
- 28/05/13 : ZHPScan, Ajout de Toolbar.SearchGol (2013.5.28.156)
- 28/05/13 : ZHPDiag, Levée d'un FP sur BlackBerry Device Software Updater (2013.5.28.155)
- 26/05/13 : ZHPScan, Ajout de Toolbar.RechercheFrance (2013.5.26.154)
- 26/05/13 : ZHPScan, Ajout de Toolbar.ZnetWork (2013.5.26.153)
- 25/05/13 : ZHPScan, Ajout de Rogue.Amsecure (2013.5.25.152)
- 25/05/13 : ZHPScan, Ajout de PUP.DiskSpeedup (2013.5.25.151)
- 24/05/13 : ZHPScan, Levée d'un FP sur Adobe Lens Profile (2013.5.24.150)
- 24/05/13 : ZHPScan, Ajout de PUM.Hijack (2013.5.24.149)
- 24/05/13 : Security Center & Tools Informations, Ajout de nouvelles valeurs (2013.5.24.148)
- 24/05/13 : ZHPScan, Ajout de Toolbar.eBuyClub (2013.5.24.147)
- 23/05/13 : ZHPScan, Ajout de Adware.VideoDownloadConverter (2013.5.23.146)
- 22/05/13 : ZHPScan, Ajout de Toolbar.D-Link (2013.5.22.145)
- 22/05/13 : ZHPScan, Ajout de Toolbar.SystemSecurityGuard (2013.5.22.144)
- 21/05/13 : Protection, Ajout de Securitoo PC (2013.5.21.143)
- 20/05/13 : ZHPScan, Ajout de Toolbar.SetiTagila (2013.5.20.139)
- 20/05/13 : ZHPScan, Ajout de Adware.DownloadnSave (2013.5.20.138)
- 19/05/13 : ZHPScan, Mise à jour PUP.DirectDownloader (2013.5.19.135)
- 17/05/13 : ZHPDiag, Nouveau paramètre de ligne de commande /BLM (2013.5.17.130)
- 16/05/13 : Module G1, Prise en charge du format "google.fr{" (2013.5.16.126)
- 16/05/13 : ZHPScan, Ajout de Trojan.Asprox (2013.5.16.125)
- 15/05/13 : ZHPScan, Ajout de Toolbar.iGraal (2013.5.15.122)
- 15/05/13 : ZHPScan, Ajout de Toolbar.Songbird (2013.5.15.121)
- 14/05/13 : Protection, Ajout de McAfee VirusScan Enterprise (2013.5.14.118)
- 14/05/13 : ZHPScan, Ajout de PUP.CodecC (2013.5.14.117)
- 13/05/13 : ZHPScan, Ajout de Trojan.BitTorrentFastest (2013.5.13.114)
- 13/05/13 : ZHPScan, Ajout de PUP.C2Media (2013.5.13.113)
- 13/05/13 : ZHPScan, Ajout de Trojan.DivoPlayer (2013.5.13.112)
- 13/05/13 : ZHPScan, Ajout de Trojan.TorrentSpeeder (2013.5.13.111)
- 13/05/13 : ZHPScan, Ajout de Trojan.DivoCodec (2013.5.13.110)
- 13/05/13 : ZHPScan, Ajout de Rogue.3wPlayer (2013.5.13.109)
- 13/05/13 : ZHPScan, Ajout de Trojan.x3Codec (2013.5.13.108)
- 12/05/13 : ZHPScan, Ajout de PUP.LaurensCustomized (2013.5.12.105)
- 12/05/13 : ZHPScan, Ajout de Adware.SearchComBar (2013.5.12.104)
- 12/05/13 : ZHPScan, Ajout de Spyware.SpamFreeSearch (2013.5.12.103)
- 12/05/13 : ZHPScan, Ajout de Adware.ToolbarCleaner (2013.5.12.102)
- 12/05/13 : ZHPScan, Ajout de PUP.PassFox (2013.5.12.101)
- 12/05/13 : ZHPDiag, Poursuite de la colorisation des lignes (2013.5.12.100)
- 11/05/13 : ZHPScan, Ajout de PUP.AdvancedSystemOptimizer (2013.5.11.97)
- 11/05/13 : ZHPScan, Ajout de PUP.AdvancedFileOptimizer (2013.5.11.96)
- 11/05/13 : ZHPScan, Ajout de Toolbar.RadioRage (2013.5.11.95)
- 11/05/13 : ZHPScan, Ajout de Adware.Razoss (2013.5.11.94)
- 11/05/13 : ZHPScan, Ajout de PUP.AdvancedDriverUpdater (2013.5.11.93)
- 11/05/13 : Protection, Ajout de Panda Cloud Cleaner (2013.5.11.92)
- 11/05/13 : ZHPScan, Ajout de PUP.VAFPlayer (2013.5.11.91)
- 11/05/13 : ZHPScan, Ajout de Hijacker.FreehdsportTV (2013.5.11.90)
- 11/05/13 : ZHPScan, Ajout de PUP.ChromeServicePack (2013.5.11.89)
- 11/05/13 : ZHPScan, Ajout de PUP.WxDownload (2013.5.11.88)
- 11/05/13 : ZHPScan, Ajout de PUP.wxDfast (2013.5.11.87)
- 10/05/13 : ZHPScan, Mise à jour de PUP.CertifiedToolbar (2013.5.10.84)
- 10/05/13 : ZHPScan, Ajout de Adware.UUSee (2013.5.10.83)
- 10/05/13 : ZHPScan, Ajout de Trojan.TheBlinkx (2013.5.10.82)
- 10/05/13 : ZHPScan, Ajout de Toolbar.CleanLab (2013.5.10.81)
- 10/05/13 : ZHPScan, Ajout de Toolbar.Bflix (2013.5.10.80)
- 10/05/13 : ZHPScan, Recherche générique Adware.eBookBrowse (2013.5.10.79)
- 10/05/13 : ZHPScan, Ajout de Toolbar.QTTabBar (2013.5.10.78)
- 09/05/13 : ZHPScan, Ajout de Toolbar.Xmlbar (2013.5.9.75)
- 09/05/13 : ZHPScan, Ajout de Toolbar.Mywebsites (2013.5.9.74)
- 09/05/13 : ZHPScan, Vevée d'un Faux Positif sur Capturino Software (2013.5.9.73)
- 08/05/13 : ZHPScan, Ajout de Toolbar.TuneUp (2013.5.8.70)
- 08/05/13 : ZHPScan, Ajout de Toolbar.VideoDownload (2013.5.8.69)
- 07/05/13 : ZHPScan, Ajout de PUP.SocialKredits (2013.5.7.66)
- 07/05/13 : ZHPScan, Ajout de Spyware.FDPlugin (2013.5.7.65)
- 07/05/13 : ZHPScan, Ajout de Adware.Rabio (2013.5.7.64)
- 06/05/13 : ZHPScan, Ajout de Toolbar.PhotoPos (2013.5.6.61) (Publique)
- 06/05/13 : ZHPScan, Ajout de Rogue.PCCleanerPlus (2013.5.6.60)
- 06/05/13 : ZHPScan, Ajout de Rogue.RegistryZen (2013.5.6.59)
- 06/05/13 : ZHPScan, Ajout de Rogue.RegistryWinner (2013.5.6.58)
- 06/05/13 : ZHPScan, Ajout de Rogue.RegistryWizard (2013.5.6.57)
- 06/05/13 : ZHPScan, Ajout de Rogue.RegistryRepairWizard (2013.5.6.56)
- 06/05/13 : ZHPScan, Ajout de Rogue.PCSpeedMaximizer (2013.5.6.55)
- 06/05/13 : ZHPScan, Ajout de Rogue.RegAceSystemSuite (2013.5.6.54)
- 06/05/13 : ZHPScan, Ajout de Rogue.PCSpeedMaster (2013.5.6.53)
- 06/05/13 : ZHPScan, Ajout de Rogue.PCRx (2013.5.6.52)
- 06/05/13 : ZHPScan, Ajout de Rogue.PCRegistryCleaner (2013.5.6.51)
- 06/05/13 : ZHPScan, Ajout de PUP.Paretologic (2013.5.6.50)
- 06/05/13 : ZHPScan, Ajout de Rogue.PCRegistryShield (2013.5.6.49)
- 06/05/13 : ZHPScan, Ajout de Rogue.PCOptimizerPro (2013.5.6.48)
- 06/05/13 : ZHPScan, Ajout de Rogue.PrivacyControls (2013.5.6.47)
- 06/05/13 : ZHPScan, Ajout de Rogue.PCHealthAdvisor (2013.5.6.46)
- 06/05/13 : ZHPScan, Ajout de PUP.FileCure (2013.5.6.45)
- 06/05/13 : ZHPScan, Ajout de PUP.DriverCure (2013.5.6.44)
- 06/05/13 : ZHPScan, Ajout de PUP.AntivirusPlus (2013.5.6.43)
- 06/05/13 : ZHPScan, Ajout de Rogue.RegCurePro (2013.5.6.42)
- 06/05/13 : ZHPScan, Ajout de Rogue.FixRegistryErrors (2013.5.6.41)
- 06/05/13 : ZHPScan, Ajout de Rogue.PCFixSpeed (2013.5.6.40)
- 05/05/13 : ZHPScan, Ajout de Rogue.PCRescue (2013.5.5.37) (Publique)
- 05/05/13 : ZHPScan, Ajout de Rogue.RegDefense (2013.5.5.36)
- 05/05/13 : ZHPScan, Ajout de Toolbar.RecFree (2013.5.5.35)
- 05/05/13 : ZHPScan, Levée d'un Faux-Positif sur Copernic DesktopSearch (2013.5.5.34)
- 05/05/13 : ZHPScan, Ajout de Toolbar.PriceSparrow (2013.5.5.33)
- 05/05/13 : P2P, Ajout de P2P.FrostWire (2013.5.5.32)
- 04/05/13 : ZHPScan, Ajout de PUD.Foozir (2013.5.4.29) (Publique)
- 04/05/13 : ZHPScan, Ajout de Trojan.Enchanim (2013.5.4.28)
- 02/05/13 : ZHPScan, Ajout de Toolbar.HopSurf (2013.5.2.23)
- 01/05/13 : ZHPScan, Ajout de Rogue.MyFasterPC (2013.5.1.19)
- 01/05/13 : ZHPScan, Ajout de Rogue.ErrorWiz (2013.5.1.18)
- 01/05/13 : ZHPScan, Ajout de Rogue.FixRegCleaner (2013.5.1.17)
- 01/05/13 : ZHPScan, Ajout de Toolbar.AppBario (2013.5.1.16)
- 01/05/13 : ZHPScan, Ajout de Rogue.RegistryTool (2013.5.1.15)
- 01/05/13 : ZHPScan, Ajout de Rogue.ErrorNuker (2013.5.1.14)
- 01/05/13 : ZHPScan, Ajout de Rogue.ErrorExpert (2013.5.1.13)
- 01/05/13 : ZHPScan, Ajout de Rogue.1-ClickPCFix (2013.5.1.12)
- 01/05/13 : ZHPScan, Ajout de Rogue.PCCleanerPro (2013.5.1.11)
- 01/05/13 : ZHPScan, Ajout de Rogue PCVitalware (2013.5.1.10)
- 01/05/13 : ZHPScan, Ajout de Rogue.SpeedUpMyPC (2013.5.1.9)
- 01/05/13 : ZHPScan, Ajout de Rogue.ErrorFix (2013.5.1.8)
- 01/05/13 : ZHPScan, Ajout de Rogue.ReimageRepair (2013.5.1.7)
- 01/05/13 : ZHPScan, Ajout de Toolbar.RencontresHard (2013.5.1.6)
- 01/05/13 : ZHPScan, Ajout de Toolbar.Vafmusic (2013.5.1.5)
- 01/05/13 : ZHPScan, Ajout de Toolbar.AdAware (2013.5.1.3)
- 01/05/13 : Module G0,G1,G2, Création d'une liste blanche (2013.5.1.2)

Avril 2013

- 01/04/13 : Module O91, Filtrage d'affichage des sous clés Toolbar.Babylon (2013.4.1.1)
- 01/04/13 : ZHPScan, Ajout de Toolbar.MaxAtube (2013.4.1.2)
- 01/04/13 : ZHPScan, Ajout de Adware.IncrediFind (2013.4.1.3)
- 01/04/13 : ZHPScan, Mise à jour de la table v2.11360 (2013.4.1.4)
- 01/04/13 : Listes blanches, Mises à jour v1.4991 (2013.4.1.5)
- 02/04/13 : ZHPScan, Ajout de Rogue.AVASoft (2013.4.2.6)
- 02/04/13 : Listes blanches, Mises à jour v1.5227 (2013.4.2.7)
- 02/04/13 : Correctif d'affichage de commentaire de ligne (2013.4.2.8)
- 03/04/13 : Module O56, Création d'une liste blanche (2013.4.3.9)
- 03/04/13 : Listes blanches, Mises à jour v1.5486 (2013.4.3.10)
- 03/04/13 : ZHPScan, Ajout de PUP.OfficialVideoConverter (2013.4.3.11)
- 03/04/13 : ZHPScan, Mise à jour de la table v2.11376 (2013.4.3.12)
- 04/04/13 : ZHPScan, Ajout de Toolbar.FLVRunner (2013.4.4.13)
- 04/04/13 : Module O80, modification d'affichage conduisant à une exclusion de rapport de ZHP (2013.4.4.14)
- 04/04/13 : Listes blanches, Mises à jour v1.5733 (2013.4.4.15)
- 04/04/13 : ZHPScan, Ajout de Hijacker.HolaSearch (2013.4.4.16)
- 04/04/13 : ZHPScan, Mise à jour de la table v2.11417 (2013.4.4.17)
- 05/04/13 : ZHPScan, Ajout de Toolbar.Amazon (2013.4.5.18)
- 05/04/13 : Module O92, Création d'une liste blanche (2013.4.5.19)
- 05/04/13 : ZHPScan, Ajout de PUP.Facemoi (2013.4.5.20)
- 05/04/13 : Listes blanches, Mises à jour v1.6029 (2013.4.5.21)
- 05/04/13 : ZHPScan, Ajout de Toolbar.PDFCreator (2013.4.5.22)
- 05/04/13 : Affichage du nombre de lignes filtrées par liste blanche (Fin de rapport) (2013.4.5.23)
- 05/04/13 : ZHPScan, Ajout de Toolbar.Freecorder (2013.4.5.24)
- 05/04/13 : ZHPScan, Mise à jour de la table v2.11453 (2013.4.5.25)
- 05/04/13 : ZHPScan, Ajout de PUP.eSafeSecurity (2013.4.5.26)
- 05/04/13 : Module O67, Création d'une liste blanche (2013.4.5.27)
- 05/04/13 : ZHPScan, Ajout de Hijacker.PrivitizeVPN (2013.4.5.28)
- 06/04/13 : Listes blanches, Mises à jour v1.6310 (2013.4.6.29)
- 06/04/13 : ZHPScan, Ajout de Trojan.Smad (2013.4.6.30)
- 06/04/13 : ZHPScan, Ajout de Rogue.ErrorProtector (2013.4.6.31)
- 06/04/13 : Module M0,M1,M2,M3,P2, Création d'une liste blanche Mozilla Firefox (2013.4.6.32)
- 06/04/13 : ZHPScan, Ajout de Toolbar.PlusWinks (2013.4.6.33)
- 06/04/13 : ZHPScan, Ajout de P2P.Dilandau (2013.4.6.34)
- 06/04/13 : ZHPScan, Mise à jour de la table v2.11473 (2013.4.6.35)
- 07/04/13 : Module SS/SR, Correctif d'affichage de date erronée (2013.4.7.36)
- 07/04/13 : Listes blanches, Mises à jour v1.6572 (2013.4.7.37)
- 07/04/13 : ZHPScan, Ajout de Toolbar.Sorcim (2013.4.7.38)
- 07/04/13 : ZHPScan, Ajout de Adware.DealsPlugin (2013.4.7.39)
- 07/04/13 : ZHPScan, Ajout de PUP.InstallBrain (2013.4.7.40)
- 07/04/13 : Module O1, Prise en compte de certains commentaires #Hosts (2013.4.7.41)
- 07/04/13 : ZHPScan, Ajout de Hijacker.PortaldoSites (2013.4.7.42)
- 07/04/13 : ZHPScan, Ajout de Hijacker.Eazel (2013.4.7.43)
- 07/04/13 : ZHPScan, Mise à jour de la table v2.11492 (2013.4.7.44)
- 07/04/13 : ZHPScan, Ajout de Adware.AdPeak (2013.4.7.45)
- 08/04/13 : Module R0,R1,R3, Création d'une liste blanche (2013.4.8.46)
- 08/04/13 : Listes blanches, Mises à jour v1.6717 (2013.4.8.47)
- 08/04/13 : ZHPScan, Ajout de PUP.KMSpico (2013.4.8.48)
- 08/04/13 : ZHPScan, Ajout de Adware.JustPlugIt (2013.4.8.49)
- 08/04/13 : ZHPScan, Ajout de Adware.TextEnhance (2013.4.8.50)
- 09/04/13 : Entête, Ajout du module "System Protection" (Tests) (2013.4.9.51)
- 09/04/13 : Listes blanches, Mises à jour v1.7003 (2013.4.9.52)
- 09/04/13 : ZHPScan, Mise à jour de la table v2.11497 (2013.4.9.53)
- 10/04/13 : ZHPScan, Ajout de Toolbar.ChatVibes (2013.4.10.54)
- 10/04/13 : Listes blanches, Mises à jour v1.7226 (2013.4.10.55)
- 10/04/13 : Entête, Ajout du module "Antivirus Scanner" (Tests) (2013.4.10.56)
- 10/04/13 : Entête, Ajout du module "Software Update" (Tests) (2013.4.10.57)
- 10/04/13 : ZHPScan, Ajout de FotoMix (2013.4.10.58)
- 11/04/13 : ZHPScan, Ajout de ToolBar.ICQ (2013.4.11.59)
- 11/04/13 : Listes blanches, Mises à jour v1.7398 (2013.4.11.60)
- 11/04/13 : ZHPScan, Ajout de Toolbar.TrendMicro (2013.4.11.61)
- 11/04/13 : ZHPScan, Ajout de Toolbar.Educ40 (2013.4.11.62)
- 11/04/13 : Module 06, correctif d'index hors limite (2013.4.11.63)
- 12/04/13 : ZHPScan, Ajout de Toolbar.Iadah (2013.4.12.64)
- 12/04/13 : ZHPScan, Mise à jour de la table v2.11521 (2013.4.12.65)
- 12/04/13 : Listes blanches, Mises à jour v1.7587 (2013.4.12.66)
- 12/04/13 : ZHPScan, Ajout de Toolbar.ooVoo (2013.4.12.67)
- 12/04/13 : ZHPScan, Recherche générique de dossiers Adware.MagniPic (2013.4.12.68)
- 13/04/13 : GUI, Nouveau bouton pour rapport non filtré par listes blanches (2013.4.13.69)
- 13/04/13 : ZHPScan, Ajout de Adware.SAHAgent (2013.4.13.70)
- 13/04/13 : ZHPScan, Levée d'un FP sur "LittleGamesCompany" (2013.4.13.71)
- 13/04/13 : Listes blanches, Mises à jour v1.7811 (2013.4.13.72)
- 13/04/13 : ZHPScan, Ajout de Adware.AddLyrics (2013.4.13.73)
- 14/04/13 : Module o53, Initialisation du compteur de légitimes (2013.4.14.74)
- 14/04/13 : Listes blanches, Mises à jour v1.8010 (2013.4.14.75)
- 14/04/13 : ZHPScan, Mise à jour de la table v2.11531 (2013.4.14.76)
- 14/04/13 : ZHPScan, Ajout de Toolbar.Webshots (2013.4.14.78)
- 14/04/13 : ZHPScan, Prise en charge de fichiers de tâches planifiées (XP) (2013.4.14.79)
- 14/04/13 : Entête, Ajout d'une information d'activation de liste blanche (2013.4.14.80)
- 14/04/13 : ZHPScan, Ajout de Adware.Adkubru (2013.4.14.81)
- 15/04/13 : ZHPScan, Ajout de Toolbar.Zwinky (2013.4.14.82)
- 15/04/13 : ZHPScan, Recherche génrique de clés de registre PUP.Crossrider (2013.4.15.83)
- 15/04/13 : Listes blanches, Mises à jour v1.8201 (2013.4.15.84)
- 15/04/13 : ZHPScan, Mise à jour de la table v2.11545 (2013.4.15.85)
- 15/04/13 : ZHPScan, Ajout de Adware.Bromngr (2013.4.15.86)
- 16/04/13 : Optimisation, Ajout de RegCure Pro (ParetoLogic) (2013.4.16.87)
- 16/04/13 : Optimisation, Ajout de Emsisoft Anti-Malware (2013.4.16.88)
- 16/04/13 : WhiteLists, Update signatures (8428 )(2013.4.16.89)
- 16/04/13 : ZHPScan, Ajout de Toolbar.Midicairus (2013.4.16.90)
- 16/04/13 : ZHPScan, Update database items (11557) (2013.4.16.91)
- 16/04/13 : ZHPScan, Levée d'un FP sur "MentorGraphics" (2013.4.16.92)
- 16/04/13 : ZHPScan, Recherche générique de dossiers/fichiers PUP.Offerware (2013.4.16.93)
- 17/04/13 : WhiteLists, Update signatures (8533)(2013.4.17.94)
- 17/04/13 : ZHPScan, Update database items (11568) (2013.4.17.95)
- 17/04/13 : ZHPScan, Mise à jour de Hijacker.HolaSearch (2013.4.17.96)
- 18/04/13 : Protection, Ajout de Panda Internet Security (2013.4.18.97)
- 18/04/13 : WhiteLists, Update signatures (8691)(2013.4.18.98)
- 18/04/13 : Protection, Ajout de eSafe Security Control (2013.4.18.99)
- 18/04/13 : ZHPScan, Ajout de HackTool.Appcrack (2013.4.18.100)
- 18/04/13 : ZHPScan, Update database items (11580) (2013.4.18.101)
- 19/04/13 : WhiteLists, Update signatures (8822)(2013.4.19.102)
- 19/04/13 : ZHPScan, Ajout de PUP.VideoPerformer (2013.4.19.103)
- 19/04/13 : Module O91, Filtrage d'affichage des sous clés PUP.VideoFerformer (2013.4.19.104)
- 19/04/13 : Browser, Suppression du double affichage de version Mozilla Firefox (2013.4.19.105)
- 19/04/13 : ZHPScan, Update database items (11591) (2013.4.19.106)
- 19/04/13 : Protection, Ajout de Secunia PSI (2013.4.19.107)
- 19/04/13 : Protection, Ajout de PC Tools Firewall Plus (2013.4.19.108)
- 19/04/13 : ZHPScan, Ajout de Toolbar.Bulldog (2013.4.19.109)
- 19/04/13 : ZHPScan, Ajout de Spyware.SmartDisplay (2013.4.19.110)
- 19/04/13 : Protection, Ajout de Microsoft Security Essentials (2013.4.19.111)
- 19/04/13 : ZHPScan, Ajout de Office.AppCrack (2013.4.19.112)
- 20/04/13 : WhiteLists, Update signatures (8988)(2013.4.20.113)
- 20/04/13 : Protection, Ajout de Comodo Dragon (2013.4.20.114)
- 20/04/13 : ZHPScan, Levée d'un FP sur "Bohemia Interactive Studio" (2013.4.20.115)
- 20/04/13 : ZHPScan, Ajout de Toolbar.OurBabyMaker (2013.4.20.116)
- 20/04/13 : ZHPScan, Update database items (11605) (2013.4.20.117)
- 20/04/13 : ZHPScan, Ajout de Toolbar.ClipExtractor (2013.4.20.118)
- 20/04/13 : Protection, Ajout de Trend Micro, Client/Server,OfficeScan & Titanium (2013.4.20.119)
- 20/04/13 : Module P2,M0,M1,M2,M3, Création d'une liste blanche browser Opera (2013.4.20.120)
- 20/04/13 : Module O88, Ajout d'un compteur d'items en fin de module (2013.4.20.121)
- 20/04/13 : ZHPScan, Ajout de PUP.FrameFox (2013.4.20.122)
- 21/04/13 : WhiteLists, Update signatures (9117)(2013.4.21.123)
- 21/04/13 : ZHPScan, Update database items (11632) (2013.4.21.124)
- 21/04/13 : ZHPScan, Ajout de PUP.LAVMediaCodec (2013.4.21.125)
- 21/04/13 : Protection, Ajout de Panda ActiveScan & Identity Protect (2013.4.21.126)
- 21/04/13 : ZHPScan, Recherche générique de dossiers Adware.FastSaveApp (2013.4.21.127)
- 22/04/13 : WhiteLists, Update signatures (9292)(2013.4.22.128)
- 22/04/13 : ZHPScan, Ajout de Toolbar.OnlineSharing (2013.4.22.129)
- 22/04/13 : ZHPScan, Ajout de Toolbar.CoyoteSoft (2013.4.22.130)
- 22/04/13 : ZHPScan, Ajout de PUP.APSuggestor (2013.4.22.131)
- 22/04/13 : ZHPScan, Update database items (11643) (2013.4.22.132)
- 22/04/13 : ZHPScan, Levée d'un FP sur "AdventureChronicles" (2013.4.22.133)
- 22/04/13 : ZHPScan, Ajout de Toolbar.FreeLunchDesign (2013.4.22.134)
- 22/04/13 : ZHPScan, Ajout de Toolbar.P2PMaxFrance (2013.4.22.135)
- 23/04/13 : WhiteLists, Update signatures (9377)(2013.4.23.136)
- 23/04/13 : ZHPScan, Update database items (11664) (2013.4.23.137)
- 23/04/13 : ZHPScan, Ajout de Toolbar.Elf1 (2013.4.23.138)
- 23/04/13 : ZHPScan, Ajout de Toolbar.Boostyb (2013.4.23.139) (Publique)
- 24/04/13 : WhiteLists, Update signatures (9502)(2013.4.24.140)
- 24/04/13 : ZHPScan, Ajout de PUP.SpeedAnalysis (2013.4.24.141)
- 24/04/13 : ZHPScan, Corretif d'affichage de dossier PUP.CrossRider (\\) (2013.4.24.142)
- 24/04/13 : ZHPScan, Ajout de Adware.Kraddare (2013.4.24.143)
- 24/04/13 : ZHPScan, Ajout de Adware.CloverPlus (2013.4.24.144)
- 24/04/13 : ZHPScan, Ajout de Adware.KorAd (2013.4.24.145)
- 24/04/13 : ZHPScan, Ajout de PUP.CloudGet (2013.4.24.146)
- 24/04/13 : ZHPScan, Ajout de Adware.KrAdword (2013.4.24.147)
- 24/04/13 : ZHPScan, Ajout de PUP.MicroAdbar (2013.4.24.148)
- 24/04/13 : ZHPScan, Update database items (11706) (2013.4.24.149)
- 25/04/13 : WhiteLists, Update signatures (9688)(2013.4.25.150)
- 25/04/13 : ZHPScan, Ajout de Adware.ZoomEx (2013.4.25.151)
- 25/04/13 : ZHPScan, Update database items (11716) (2013.4.25.152)
- 25/04/13 : Module R4, Création d'une liste blanche (2013.4.25.153)
- 26/04/13 : WhiteLists, Update signatures (9756)(2013.4.26.154)
- 26/04/13 : ZHPScan, Ajout de PUP.PCPowerSpeed (2013.4.26.155)
- 27/04/13 : WhiteLists, Update signatures (9902)(2013.4.27.156)
- 27/04/13 : ZHPScan, Ajout de Toolbar.MicrosoftIED (2013.4.27.157)
- 27/04/13 : ZHPScan, Update database items (11729) (2013.4.27.158)
- 27/04/13 : ZHPScan, Ajout de Spyware.GophotoIt (2013.4.27.159) (Publique)
- 28/04/13 : WhiteLists, Update signatures (10031)(2013.4.28.160)
- 28/04/13 : ZHPScan, Update database items (11740) (2013.4.28.161)
- 28/04/13 : ZHPScan, Ajout de Toolbar.Zynga (2013.4.28.162)
- 28/04/13 : ZHPScan, Ajout de Rogue.PCMightyMax (2013.4.28.163)
- 28/04/13 : ZHPScan, Ajout de Rogue.AntivirusSuite (2013.4.28.164)
- 28/04/13 : Entête, Création d'une liste blanche Security Center (2013.4.28.165)
- 28/04/13 : ZHPScan, Ajout de Adware.GamesLeapSA (2013.4.28.166)
- 28/04/13 : ZHPScan, Ajout de Rogue.DiskCleaner (2013.4.28.167)
- 28/04/13 : ZHPScan, Ajout de Rogue.PCSpeedUp (2013.4.28.168)
- 28/04/13 : ZHPScan, Ajout de Toolbar.CompleteBar (2013.4.28.169) (Publique)
- 29/04/13 : WhiteLists, Update signatures (10188)(2013.4.29.170)
- 29/04/13 : Protection, Ajout de Symantec AntiVirus (2013.4.29.171)
- 29/04/13 : ZHPScan, Update database items (11773) (2013.4.29.172)
- 29/04/13 : Protection, Ajout de Symantec Endpoint Protection (2013.4.29.173)
- 29/04/13 : Entête, Ajout d'une rubrique PeerToPeer (2013.4.29.174)
- 29/04/13 : P2P, Ajout de BitTorrent & eMule (2013.4.29.175)
- 29/04/13 : P2P, Ajout de Vuze/Azureus (2013.4.29.176)
- 29/04/13 : ZHPScan, Ajout de Toolbar.OfferMosquito (2013.4.29.177) (Publique)
- 30/04/13 : WhiteLists, Update signatures (10285)(2013.4.30.178)
- 30/04/13 : P2P, Ajout de Pando Media (2013.4.30.179)
- 30/04/13 : Module G2, Prise en charge de lignes du fichier de préférences (2013.4.30.180)
- 30/04/13 : ZHPScan, Ajout de Toolbar.Tarma (2013.4.30.181)
- 30/04/13 : ZHPScan, Update database items (11782) (2013.4.30.182) (Publique)

Mars 2013

- 01/03/13 : ZHPScan, Mise à jour de la table v2.11013 (1.3.6.1)
- 01/03/13 : ZHPScan, Ajout de Toolbar.AskPartner (1.3.6.2)
- 01/03/13 : ZHPScan, Ajout de Trojan.Zbot (1.3.6.3)
- 01/03/13 : ZHPScan, Prise en charge des cles Image File Execution Options (IFEO) (1.3.6.4)
- 01/03/13 : Module R1, Modification d'affichage d'un format de site "scruter.net" (1.3.6.5)
- 01/03/13 : Module O44, Prise en charge de lignes Microsoft Windows Driver Foundation "MSFT" (1.3.6.6)
- 02/03/13 : ZHPScan, Mise à jour de la table v2.11026 (1.3.6.7)
- 02/03/13 : ZHPScan, Ajout de Toolbar.VeohWebPlayer (1.3.6.8)
- 02/03/13 : ZHPScan, Ajout de Toolbar.HotspotShield (1.3.6.9)
- 03/03/13 : ZHPScan, Mise à jour de la table v2.11031 (1.3.6.10) (Publique)
- 03/03/13 : Module O4G, Recherche complémentaire de raccourcis SentTo (1.3.6.11)
- 04/03/13 : ZHPScan, Ajout de Adware.KeyDownload (1.3.6.12)
- 04/03/13 : Module O68, Correctif d'affichage en cas d'infection de la donnée registre (1.3.6.13)
- 04/03/13 : ZHPScan, Mise à jour de la table v2.11036 (1.3.6.14)
- 04/03/13 : ZHPScan, Ajout de Toolbar.20Dollars2Surf (1.3.6.15) (Publique)
- 05/03/13 : ZHPScan, Recherche des extensions Yontoo "y2layers" (1.3.6.16)
- 05/03/13 : ZHPScan, Ajout de Toolbar.DaemonTools (1.3.6.17)
- 05/03/13 : ZHPScan, Mise à jour de la table v2.11048 (1.3.6.18)
- 05/03/13 : ZHPScan, Ajout de Toolbar.SpamFreeSearch (1.3.6.19)
- 05/03/13 : Module M0,R1, Prise en charge de données registre particulières (1.3.6.20)
- 06/03/13 : Interface GUI, Ajout d'un bouton "Lancer le diagnostic (Full options)" (1.3.6.21)
- 06/03/13 : ZHPScan, Mise à jour de la table v2.11077 (1.3.6.22)
- 06/03/13 : ZHPScan, Ajout de Toolbar.AVGSafeGuard (1.3.6.23)
- 06/03/13 : ZHPScan, recherche de clés génériques PUP.ClaroSearch (1.3.6.24)
- 06/03/13 : ZHPScan, Ajout de Adware.ExpressFiles (1.3.6.25)
- 06/03/13 : ZHPScan, Ajout de Toolbar.YtByClick (1.3.6.26) (Publique)
- 07/03/13 : ZHPScan, Mise à jour de la table v2.11101 (1.3.6.27)
- 07/03/13 : ZHPScan, Ajout de Adware.MagniPic (1.3.6.28)
- 07/03/13 : ZHPScan, Ajout de PUP.CertifiedToolbar (1.3.6.29)
- 07/03/13 : Module O69, Formatage reduit des adresses searchscopes (1.3.6.30)
- 07/03/13 : ZHPScan, Mise à jour de Hijacker.SmartBar (1.3.6.31)
- 08/03/13 : ZHPScan, Mise à jour de la table v2.11114 (1.3.6.32)
- 08/03/13 : ZHPScan, Ajout de Toolbar.DomaIQ (1.3.6.33)
- 08/03/13 : ZHPScan, Mise à jour de PUP.Dealio (1.3.6.34)
- 08/03/13 : ZHPScan, Ajout de Toolbar.Visicom (1.3.6.35)
- 08/03/13 : ZHPScan, Ajout de Toolbar.IncrediMail (2013.36.0.0) (Publique)
- 09/03/13 : ZHPScan, Mise à jour de la table v2.11138 (2013.3.9.0)
- 09/03/13 : Module O4G, Affichage de la description du produit (2013.3.9.1)
- 09/03/13 : Création d'un logo de fin de ligne MD5 P2P (2013.3.9.2)
- 09/03/13 : ZHPScan, Ajout de Toolbar.Sharewaread (2013.3.9.3)
- 09/03/13 : Module O88, Correctif d'affichage dans la recherche Adware.OpenCandy (2013.3.9.4)
- 10/03/13 : Module O88, Recherche complémentaire de dossiers "Local\Mozilla Firefox" (2013.3.10.5)
- 10/03/13 : ZHPFix, Intégration d'une version modifiée (2013.3.10.6)
- 10/03/13 : ZHPScan, Mise à jour de la table v2.11169 (2013.3.10.7) (Publique)
- 10/03/13 : Module M2, Traitement du nom de domaine (2013.3.10.8)
- 10/03/13 : Module O39, Ajout de la taille du fichier (2013.3.10.9)
- 11/03/13 : ZHPScan, Mise à jour de la table v2.11182 (2013.3.11.10)
- 11/03/13 : Module O88, Levée d'nn Faux Positif Zango (2013.3.11.11) (Publique)
- 11/03/13 : ZHPScan, Ajout de Hijacker.SelectionLinks (2013.3.11.12)
- 11/03/13 : ZHPScan, Ajout de Toolbar.LiveSearch (2013.3.11.13)
- 11/03/13 : ZHPScan, Ajout de Toolbar.MixiDJ (2013.3.11.14)
- 11/03/13 : ZHPScan, Mise à jour de Adware.FakeAlert (2013.3.11.15)
- 11/03/13 : ZHPScan, Ajout de Toolbar.ObjectBar (2013.3.11.16)
- 12/03/13 : ZHPScan, Mise à jour de la table v2.11202 (2013.3.11.17)
- 12/03/13 : ZHPScan, Ajout de Toolbar.SimilarSites (2013.3.12.18)
- 12/03/13 : ZHPScan, Recherche générique ce clés Toolbar.SimilarSites (2013.3.12.19)
- 12/03/13 : Module O42, Remplacement d'affichage "Pas de propriétaire" par un point (2013.3.12.20)
- 13/03/13 : ZHPScan, Ajout de Adware.MapsGalaxy (2013.3.13.21)
- 13/03/13 : ZHPScan, Mise à jour de la table v2.11214 (2013.3.13.22)
- 13/03/13 : Module WPI, Insertion d'un test d'accéssibilité du moteur VBScript (2013.3.13.23)
- 13/03/13 : Module O88, Levée de FP sur ESRI ArcReader, ArcDesktop (2013.3.13.24) (Publique)
- 14/03/13 : ZHPScan, Ajout de Parasite.HDVidWebPlayer (2013.3.14.25)
- 14/03/13 : ZHPScan, Mise à jour de la table v2.11218 (2013.3.14.26)
- 14/03/13 : Module O44, Optimisation de la recherche (2013.3.14.27)
- 15/03/13 : Module O4G, Correctif d'affichage du publisher sur Global Startup (2013.3.15.28)
- 15/03/13 : ZHPScan, Ajout de Spyware.Blaster (2013.3.15.29)
- 15/03/13 : ZHPScan, Ajout de Dialer.Porn (2013.3.15.30)
- 15/03/13 : ZHPScan, Ajout de Adware.FastSaveApp (2013.3.15.31)
- 15/03/13 : ZHPScan, Recherche de clé d'installation générique Adware.Browse2Save (2013.3.15.32)
- 15/03/13 : Entête, Changement de valeur pour la recherche de version Internet Explorer (2013.3.15.33)
- 15/03/13 : ZHPScan, Mise à jour de la table v2.11235 (2013.3.15.34) (Publique)
- 16/03/13 : ZHPScan, Ajout de RAT.WinApps (2013.3.16.35)
- 16/03/13 : ZHPScan, Ajout de Rogue.RegistryPowerCleaner (2013.3.16.36)
- 16/03/13 : ZHPScan, Ajout de Toolbar.AOL (2013.3.16.37)
- 16/03/13 : ZHPScan, Mise à jour de la table v2.11250 (2013.3.16.38)
- 16/03/13 : ZHPScan, Recherche générique de dossiers Adware.Browse2Save (2013.3.16.39)
- 16/03/13 : ZHPScan, Ajout de Toolbar.Entrusted (2013.3.16.40)
- 17/03/13 : ZHPScan, Mise à jour de la table v2.11264 (2013.3.17.41) (Publique)
- 18/03/13 : ZHPScan, Ajout de Toobar.ZoneAlarm (2013.3.18.42)
- 18/03/13 : ZHPScan, Ajout de Toolbar.MSN (2013.3.18.43)
- 18/03/13 : ZHPScan, Mise à jour de la table v2.11279 (2013.3.18.44)
- 18/03/13 : ZHPScan, Ajout de Toolbar.BrotherSoft (2013.3.18.45)
- 18/03/13 : ZHPScan, Ajout de Adware.SmartSuggestor (2013.3.18.46)
- 18/03/13 : ZHPScan, Recherche de clé générique Hijacker.SmartBar (2013.3.18.47)
- 18/03/13 : Module O41, Créaion d'une liste blanche (2013.3.18.48)
- 19/03/13 : ZHPScan, Mise à jour de la table v2.11288 (2013.3.19.49)
- 19/03/13 : Module O43, Créaion d'une liste blanche (2013.3.19.50)
- 19/03/13 : Module O23, Création d'une liste blanche (2013.3.19.51) (Publique)
- 19/03/13 : Module O43, Dossiers CLSID vides remplacé par "Dossiers CLSID vides (999)" (2013.3.19.52) (Publique)
- 19/03/13 : Module O83, Création d'une liste blanche (2013.3.19.53)
- 19/03/13 : ZHPScan, Levée de FP Worm.SDBot (2013.3.19.54) (Publique)
- 20/03/13 : ZHPScan, Ajout de Toolbar.KeyBar (2013.3.20.55)
- 20/03/13 : ZHPScan, Ajout de Adware.SolidSavings (2013.3.20.56) (Publique)
- 20/03/13 : Module O42, Création d'une liste blanche (2013.3.20.57)
- 20/03/13 : Module O21, Création d'une liste blanche (2013.3.20.58)
- 20/03/13 : Module O24, Création d'une liste blanche (2013.3.20.59)
- 20/03/13 : Module O49, Création d'une liste blanche (2013.3.20.60)
- 20/03/13 : Module O5, Création d'une liste blanche (2013.3.20.61)
- 20/03/13 : Module O40, Création d'une liste blanche (2013.3.20.62)
- 20/03/13 : Module O48, Création d'une liste blanche (2013.3.20.63)
- 21/03/13 : Module O87, Création d'une liste blanche (2013.3.21.64)
- 21/03/13 : Module O90, Création d'une liste blanche (2013.3.21.65) (Publique)
- 21/03/13 : Module O49, Suppression d'un message de deboguage (2013.3.21.66) (Publique)
- 21/03/13 : Module O54, Création d'une liste blanche (2013.3.21.67)
- 21/03/13 : ZHPScan, Ajout de Toolbar.Alexa (2013.3.20.68)
- 21/03/13 : Module O52, Création d'une liste blanche (2013.3.21.69)
- 21/03/13 : ZHPScan, Mise à jour de la table v2.11298 (2013.3.21.70)
- 22/03/13 : ZHPScan, Ajout de Adware.BrowseForTheCause (2013.3.22.71)
- 22/03/13 : ZHPScan, Ajout de Toolbar.ScenicReflections (2013.3.22.72) (Publique)
- 22/03/13 : Module O45, Création d'une liste blanche (2013.3.22.73)
- 22/03/13 : ZHPScan, Ajout de Worm.Skidrow (2013.3.22.74)
- 22/03/13 : Module O44, Création d'une liste blanche (2013.3.22.75) (Publique)
- 23/03/13 : Module O80, Levée d'un blocage d'analyse de ZHP (2013.3.23.76)
- 23/03/13 : ZHPScan, Ajout de PUP.Bcool (2013.3.23.77)
- 24/03/13 : ZHPScan, Mise à jour de la table v2.11305 (2013.3.24.78) (Publique)
- 24/03/13 : Module O55, Création d'une liste blanche (2013.3.24.79)
- 25/03/13 : Liste blanche, Exclusion de certains logiciels (2013.3.25.80)
- 25/03/13 : Liste blanche, Mise à jour v1.2220 (2013.3.25.81) (Publique)
- 25/03/13 : ZHPScan, Recherche générique Adware.Softomate (eTOWNTBAR) (2013.3.25.82)
- 26/03/13 : Liste blanche, Mise à jour v1.2559 (2013.3.26.83)
- 26/03/13 : ZHPScan, Mise à jour de la table v2.11313 (2013.3.26.84) (Publique)
- 26/03/13 : ZHPScan, Ajout de Toolbar.BubbleDock (2013.3.26.85)
- 26/03/13 : Module O64, Création d'une liste blanche (2013.3.26.86)
- 26/03/13 : ZHPScan, Ajout de Toolbar.BSPDB (2013.3.26.87)
- 26/03/13 : Module O80, Création d'une liste blanche (2013.3.26.88)
- 26/03/13 : ZHPScan, Ajout de Trojan.Sality (2013.3.26.89)
- 26/03/13 : Module O47, Création d'une liste blanche (2013.3.26.90)
- 27/03/13 : ZHPScan, Mise à jour de la table v2.11321 (2013.3.27.91)
- 27/03/13 : ZHPScan, Ajout de Trojan.Sality (2013.3.27.92)
- 27/03/13 : ZHPScan, Ajout de Riskware.Movly (2013.3.27.93)
- 27/03/13 : Liste blanche, Mise à jour v1.2906 (2013.3.27.94) (Publique)
- 27/03/13 : ZHPScan, Ajout de Adware.Claria (2013.3.27.95)
- 27/03/13 : ZHPScan, Ajout de Toolbar.MyFreeGames (2013.3.27.96)
- 27/03/13 : Module O6, Correction d'index de liste (2013.3.27.97)
- 27/03/13 : Liste blanche, Mise à jour v1.3094 (2013.3.27.98) (Publique)
- 28/03/13 : ZHPScan, Ajout de Toolbar.IOBit (2013.3.28.99)
- 28/03/13 : Module O61, Filtrage & Affichage du nombre de fichiers temporaires (2013.3.28.100)
- 28/03/13 : ZHPScan, Mise à jour de la table v2.11331 (2013.3.28.101)
- 28/03/13 : Module O53, Création d'une liste blanche (2013.3.28.102)
- 28/03/13 : ZHPScan, Recherche générique PUP.CrossRider (Updater) (2013.3.28.103)
- 28/03/13 : ZHPScan, Ajout de PUP.ToolbarSnR (2013.3.28.104)
- 28/03/13 : Liste blanche, Mise à jour v1.3591 (2013.3.28.105) (Publique)
- 29/03/13 : ZHPScan, Ajout de Rogue.SystemProtection (2013.3.29.106)
- 29/03/13 : ZHPScan, Ajout de Hijacker.Qvo6 (2013.3.29.107)
- 29/03/13 : ZHPScan, Mise à jour de la table v2.11349 (2013.3.29.108)
- 29/03/13 : ZHPScan, Ajout de Adware.QuickCet (2013.3.29.109)
- 29/03/13 : ZHPScan, Ajout de Toolbar.MixiDJ (2013.3.29.110)
- 29/03/13 : Liste blanche, Mise à jour v1.3913 (2013.3.29.111)
- 29/03/13 : ZHPScan, Ajout de Adware.CouponDropDown (2013.3.29.112) (Publique)
- 30/03/13 : Module O39, Création d'une liste blanche (2013.3.30.113)
- 30/03/13 : Liste blanche, Mise à jour v1.4391 (2013.3.30.114) (Publique)
- 31/03/13 : Module O2, Création d'une liste blanche (2013.3.31.115)
- 31/03/13 : Liste blanche, Mise à jour v1.4622 (2013.3.31.116) (Publique)

Fevrier 2013

- 01/02/13 : ZHPScan, Mise à jour de la table v2.10503 (1.3.5.01)
- 02/02/13 : ZHPScan, Ajout de Toolbar.Splashtop (1.3.5.02)
- 02/02/13 : ZHPScan, Ajout de Toolbar.MP3Rocket (1.3.5.03)
- 02/02/13 : ZHPScan, Ajout de Toolbar.TVBar (1.3.5.04)
- 02/02/13 : ZHPScan, Ajout de Toolbar.DownTango (1.3.5.05)
- 02/02/13 : ZHPScan, Mise à jour de la table v2.10519 (1.3.5.06)
- 02/02/13 : ZHPScan, Ajout de Toolbar.ChatZum (1.3.5.07)
- 02/02/13 : ZHPScan, Ajout de Hijacker.Searchab (1.3.5.08)
- 03/02/13 : ZHPScan, Ajout de Toolbar.DeltaSearch (1.3.5.09)
- 03/02/13 : ZHPScan, Ajout de Toolbar.Brothersoft (1.3.5.10)
- 03/02/13 : Message d'information de nouvelle version au démarrage de l'application (1.3.5.11)
- 03/02/13 : ZHPScan, Mise à jour de la table v2.10530 (1.3.5.12)
- 03/02/13 : Correctif d'affichage de l'état de version dans le rapport (1.3.5.13)
- 03/02/13 : Module O88, Recherche générique de clés PUP.CrossRider (1.3.5.14)
- 04/02/13 : ZHPScan, Ajout de Toolbar.PricesSparrow (1.3.5.15)
- 04/02/13 : ZHPScan, Mise à jour de la table v2.10515 (1.3.5.16)
- 04/02/13 : ZHPScan, Ajout de Toolbar.Blekko (1.3.5.17)
- 04/02/13 : Module O4, Release de la fonction recherche doublons (1.3.5.18)
- 04/02/13 : ZHPScan, Ajout de Adware.Browse2Save (1.3.5.19)
- 04/02/13 : ZHPScan, Ajout de Toolbar.SmileyBar (1.3.5.20)
- 04/02/13 : ZHPScan, Ajout de Toolbar.SimilarSites (1.3.5.21)
- 05/02/13 : Module O88, Levée d'un Faux Positif sur Samsung SmartView (1.34.22)
- 05/02/13 : ZHPScan, Mise à jour de la table v2.10543 (1.3.5.23)
- 05/02/13 : ZHPScan, Recherche complémentaire de clé registre "\Policies\Ext" (1.3.5.24)
- 06/02/13 : ZHPScan, Ajout de Adware.GameSpyArcade (1.3.5.25)
- 06/02/13 : Module O88, Recherche générique GUID Adware.Browse2Save (1.3.5.26)
- 06/02/13 : ZHPScan, Ajout de PUP.Offerware (1.3.5.27)
- 06/02/13 : ZHPScan, Mise à jour de la table v2.10554 (1.3.5.28)
- 07/02/13 : ZHPScan, Ajout de Adware.EasyNotif (1.3.5.29)
- 07/02/13 : ZHPScan, Ajout de Toolbar.uStart (1.3.5.30)
- 07/02/13 : ZHPScan, Ajout de Hacker.FaceBook (1.3.5.31)
- 07/02/13 : ZHPScan, Mise à jour de la table v2.10565 (1.3.5.32)
- 07/02/13 : ZHPScan, Ajout de Hijacker.BasicScan (1.3.5.33)
- 07/02/13 : ZHPScan, Ajout de Adware.MyClearSearch (1.3.5.34)
- 07/02/13 : ZHPScan, Ajout de Adware.DealScout (1.3.5.35)
- 08/02/13 : ZHPScan, Ajout de Toolbar.Dgfr (1.3.5.36)
- 08/02/13 : ZHPScan, Ajout de Adware.Widdit (1.3.5.37)
- 08/02/13 : Module O88, Levée d'un FP sur Toshiba "TBSbtnSt/TBSbtnCfg" (1.3.5.38)
- 08/02/13 : ZHPScan, Mise à jour de la table v2.10571 (1.3.5.39)
- 08/02/13 : ZHPScan, Ajout de Toolbar.FreeRide (1.3.5.40)
- 09/02/13 : ZHPScan, Ajout de Toolbar.Astroburn (1.3.5.41)
- 09/02/13 : ZHPScan, Ajout de CrackStreaming.Illimitux (1.3.5.42)
- 09/02/13 : ZHPScan, Ajout de Spyware.WinToFlash (1.3.5.43)
- 09/02/13 : ZHPScan, Ajout de Hijacker.22find (1.3.5.44)
- 09/02/13 : ZHPScan, Mise à jour de la table v2.10629 (1.3.5.45)
- 10/02/13 : Module O88, Recherche générique de clé Interface PUP.SweetIM (1.3.5.46)
- 10/02/13 : ZHPScan, Ajout de Hijacker.Webalta (1.3.5.47)
- 10/02/13 : ZHPScan, Ajout de Toolbar.KeyBar (1.3.5.48)
- 10/02/13 : ZHPScan, Mise à jour de la table v2.10672 (1.3.5.49)
- 10/02/13 : ZHPScan, Ajout de Toolbar.Glarysoft (1.3.5.50)
- 10/02/13 : Module O88, Recherche générique de clé Interface Adware.Boxore (1.3.5.51)
- 11/02/13 : ZHPScan, Ajout de Hijacker.BasicSeek (1.3.5.52)
- 11/02/13 : ZHPScan, Ajout de Adware.GamesLeapSA (1.3.5.53)
- 11/02/13 : ZHPScan, Ajout de Toolbar.RebateInformer (1.3.5.54)
- 11/02/13 : ZHPScan, Ajout de Toolbar.FBDownloader (1.3.5.55)
- 11/02/13 : ZHPScan, Ajout de Hijacker.SoftQuick (1.3.5.56)
- 11/02/13 : ZHPScan, Mise à jour de la table v2.10682 (1.3.5.57)
- 11/02/13 : ZHPScan, Recherche complémentaire de clés "Software\MozillaPlugins" (1.3.5.58)
- 12/02/13 : ZHPScan, Ajout de Worm.Brontock (1.3.5.59)
- 12/02/13 : ZHPScan, Ajout de Rootkit.ZeroAccess (1.3.5.60)
- 12/02/13 : ZHPScan, Ajout de Toolbar.DealsPlugin (1.3.5.61)
- 12/02/13 : ZHPScan, Ajout de PUP.AppBario (1.3.5.62)
- 12/02/13 : Module O88, Recherche générique de clé Software PUP.AppBario (1.3.5.63)
- 13/02/13 : ZHPScan, Mise à jour de la table v2.10690 (1.3.5.64)
- 13/02/13 : Module O64, Correction d'affichage de dates erronées au format "????" (1.3.5.65)
- 13/02/13 : ZHPScan, Ajout de Toolbar.Midicase (1.3.5.66)
- 13/02/13 : Module G0, Mise au format d'une extension "isearch.avg.comh" (1.3.5.67)
- 13/02/13 : Module O61, Correction d'affichage de dates erronées au "1899" (1.3.5.68)
- 13/02/13 : ZHPScan, Ajout de Toolbar.Webplayer (1.3.5.69)
- 14/02/13 : ZHPScan, Mise à jour de la table v2.10707 (1.3.5.70)
- 14/02/13 : Module P2, Prise en charge d'un format particulier de propriétaire de Plugin (1.3.5.71)
- 14/02/13 : ZHPScan, Ajout de Toolbar.InBox (1.3.5.72)
- 14/02/13 : Module O88, Recherche générique de clé de registre PUP.AppGraffiti (1.3.5.73)
- 14/01/13 : ZHPScan, Complément de recherche de clé de registre Protocols (1.3.5.74)
- 14/02/13 : Module O88, Recherche générique de clé de registre PUP.Eoreso (1.3.5.75)
- 15/02/13 : ZHPScan, Mise à jour de la table v2.10726 (1.3.5.76)
- 15/02/13 : UAC, Suppression du redémarrage de ZHPDiag en cas d'UAC activée par l'utilisateur (1.3.5.77) (Béta)
- 15/02/13 : ZHPScan, Ajout de Virus.IhaveNet (1.3.5.78)
- 15/02/13 : ZHPScan, Ajout de Toolbar.LiveSearch (1.3.5.79)
- 15/02/13 : ZHPScan, Ajout de Rogue.ErreurChasseur (1.3.5.80)
- 16/02/13 : ZHPScan, Mise à jour de la table v2.10750 (1.3.5.81)
- 16/02/13 : ZHPScan, Ajout de PUP.FacebookRose (1.3.5.82)
- 16/02/13 : Module O88, Recherche générique de clé de registre Adware.Yontoo (1.3.5.83)
- 16/02/13 : ZHPScan, Ajout de Virus.ZoomEx (1.3.5.84)
- 16/02/13 : ZHPScan, Ajout de Hijacker.SmartBar (1.3.5.85)
- 16/02/13 : Bureau, correctif de destination du raccourci ZHPFix (1.3.5.86)
- 17/02/13 : ZHPScan, Mise à jour de la table v2.10772 (1.3.5.87)
- 17/02/13 : ZHPScan, Ajout de Toolbar.AdWebMedia (1.3.5.88)
- 17/02/13 : Module O88, levée d'un FP sur recherche générique PUP.eoRezo (SteadyVideoBHO) (1.3.5.89)
- 17/02/13 : Correctif, Privilèges sur Systèmes Windows XP (1.3.5.90)
- 17/02/13 : ZHPScan, Ajout de Toolbar.AdWebMedia (1.3.5.91)
- 17/02/13 : ZHPScan, Ajout de Adware.TimeStopper (1.3.5.92) (Publique)
- 18/02/13 : ZHPScan, Mise à jour de la table v2.10779 (1.3.5.93)
- 18/02/13 : ZHPScan, Ajout de Toolbar.WinAmp (1.3.5.94)
- 18/02/13 : ZHPScan, Mise à jour de Toolbar.01NET (1.3.5.95)
- 18/02/13 : ZHPScan, Ajout de Toolbar.SimilarSites (1.3.5.96)
- 18/02/13 : ZHPScan, Ajout de Toolbar.4shared (1.3.5.97)
- 18/02/13 : ZHPScan, Ajout de Spyware.Partner (1.3.5.98)
- 18/02/13 : Module O68, Detection de redirection vers des sites malwares (Hijacker.22Find) (1.3.5.99)
- 19/02/13 : ZHPScan, Mise à jour de la table v2.10791 (1.3.5.100)
- 19/02/13 : ZHPScan, Ajout de Adware.Bonzuna (1.3.5.101)
- 19/02/13 : ZHPScan, Ajout de Toolbar.Dynamo (1.3.5.102)
- 19/02/13 : ZHPScan, Ajout de Toolbar.BrotherSoft (1.3.5.103)
- 19/02/13 : ZHPScan, Ajout de Hijacker.SearchB1org (1.3.5.104)
- 19/02/13 : ZHPScan, Ajout de Hacker.Facebook (1.3.5.105)
- 20/02/13 : ZHPScan, Mise à jour de la table v2.10810 (1.3.5.106)
- 20/02/13 : ZHPScan, Ajout de Toolbar.DVDVideoSoft (1.3.5.107)
- 20/02/13 : ZHPScan, Mise à jour de PUP.BProtector (1.3.5.108)
- 20/02/13 : ZHPScan, Ajout de Toolbar.IMVU (1.3.5.109)
- 20/02/13 : Module M0, Modification du formatage de site "allssearch.com/user_pref" (1.3.5.110)
- 20/02/13 : ZHPScan, Ajout de Adware.Downware (1.3.5.111)
- 20/02/13 : Module R1, Complement de recherche Internet Explorer "CustomizeSearch" (1.3.5.112)
- 21/02/13 : ZHPScan, Mise à jour de la table v2.10828 (1.3.5.113)((Publique))
- 22/02/13 : ZHPScan, Ajout de Toolbar.Oberon (1.3.5.114)
- 22/02/13 : ZHPScan, Mise à jour de la table v2.10843 (1.3.5.115)
- 22/02/13 : Module O4G, recherche complémentaire Quick Launch TaskBar User (1.3.5.116)
- 22/02/13 : Module O4G, nouveau format de ligne (Desktop,Programs,QuickLaunch,TaskBar) (1.3.5.117)
- 23/02/13 : ZHPScan, Mise à jour de la table v2.10854 (1.3.5.118)
- 23/02/13 : ZHPScan, Ajout de Toolbar.GameMaster (1.3.5.119)
- 23/02/13 : ZHPScan, Ajout de Toolbar.FileBulldog (1.3.5.120)
- 23/02/13 : Module O4G, Prise en charge des arguments de cible (Cas Hijacker.22Find) (1.3.5.121) (Publique)
- 23/02/13 : ZHPScan, Ajout de Toolbar.Shareware (1.3.5.122)
- 23/02/13 : ZHPScan, Ajout de Toolbar.Avanquest (1.3.5.123)
- 24/02/13 : ZHPScan, Mise à jour de la table v2.10926 (1.3.5.124)
- 24/02/13 : ZHPScan, Recherche générique Adware.SearchYa (1.3.5.125)
- 24/02/13 : ZHPScan, Ajout de Trojan.XtremeRAT (1.3.5.126)
- 24/02/13 : ZHPScan, Recherche générique Toolbar.DeltaSearch (1.3.5.127)
- 24/02/13 : ZHPScan, Recherche générique Adware.Mirar (1.3.5.128)
- 24/02/13 : Module O61, Modification du format d'affichage, réduction de la longeur de chaîne (1.3.5.129)
- 25/02/13 : ZHPScan, Mise à jour de la table v2.10968 (1.3.5.130)
- 25/02/13 : ZHPScan, Ajout de Rogue.FakeAV (1.3.5.131)
- 25/02/13 : Module O4G, Modification du format d'affichage "http" (1.3.5.132)
- 25/02/13 : Module O4G, Traitement des raccourcis "Accessories\System Tools" (1.3.5.133)
- 26/02/13 : ZHPScan, Mise à jour de la table v2.10977 (1.3.5.134) (Publique)
- 26/02/13 : ZHPScan, Ajout de Toolbar.TomsGuide (1.3.5.135)
- 26/02/13 : Module O4G, Correctif d'affichage pour les raccourcis de dossier (1.3.5.136)
- 27/02/13 : ZHPScan, Mise à jour de la table v2.10995 (1.3.5.137)
- 27/02/13 : Module O69, Prise en charge de l'adware GamePlayLabs (1.3.5.138)
- 27/02/13 : Setup, Différenciation des icônes ZHPDiag et ZHPFix (1.3.5.139) (Béta)
- 27/02/13 : Module O4G, Exclusion de certains raccourcis du système (1.3.5.140)
- 27/02/13 : Module O69, Prise en charge de Toolbar.DeltaSearch (1.3.5.141)
- 27/02/13 : ZHPScan, Ajout de Spyware.PutLocker (1.3.5.142)
- 28/02/13 : ZHPScan, Mise à jour de la table v2.11005 (1.3.5.143)
- 28/02/13 : Module O65, Suspension provisoire de l'analyse (1.3.5.144)
- 28/02/13 : Suppression de la troncature de ligne a 255 caractères (1.3.5.145) (Publique)

Janvier 2013

- 01/01/13 : Module O42, Filtrage de certains logiciels Microsoft (1.34.01)
- 01/01/13 : ZHPScan, Ajout de PUP.SpeedyPC (1.34.02)
- 01/01/13 : ZHPScan, Optimisation de la recherche de clé Classes (Adware,PUP,Toolbar,...) (1.34.03)
- 01/01/13 : ZHPScan, Coomplément de recherche de clé CLSID URLSearchHook (1.34.04)
- 01/01/13 : Module O44, Exclusion des fichiers texte de configuration Microsoft NetCfg (W8) (1.34.05)
- 02/01/13 : Module O61, Exclusion du dossier de contacts de l'utilisateur (1.34.06)
- 02/01/13 : ZHPScan, Ajout de virus.Agent (Cas de CLSID non héxadécimal)(1.34.07)
- 03/01/13 : ZHPScan, Suppression du changelog via FTP. (1.34.08)
- 04/01/13 : ZHPScan, Ajouts multiples traitements génériques sur les clés de Registres. (1.34.09)
- 04/01/13 : ZHPScan, Ajout de Adware.Moozy (1.34.10)
- 04/01/13 : ZHPScan, Ajout de Keylogger.FreeKeylogger (1.34.11)
- 05/01/13 : Module O42, Filtrage de certains logiciels Microsoft (1.34.12)
- 06/01/13 : ZHPScan, Ajout de Dialer.IntexusDial (1.34.13)
- 06/01/13 : GUI, Ajout de l'accès donation PayPal (1.34.14)
- 07/01/13 : ZHPScan, Extension de recherche au dossiers de téléchargement utilisateur (Downloads) (1.34.15)
- 07/01/13 : Module G1, Mise au format de chaîne induite par "http://r.orange.frr%" (1.34.16)
- 07/01/13 : ZHPScan, Ajout de Toolbar.GadgetBox (1.34.17)
- 08/01/13 : ZHPScan, Ajout de Trojan.AVKill (1.34.18)
- 09/01/13 : ZHPScan, Ajout de Adware.Gabpath (1.34.19)
- 09/01/13 : Module O1, Ajout du bouclage vers une machine locale au format (192.168.X.Y) (1.34.20)
- 10/01/13 : Module O42, Filtrage de certains logiciels Légitimes Adobe (1.34.21)
- 11/01/13 : ZHPScan, Ajout de PUP.Convesoft (1.34.22)
- 11/01/13 : ZHPScan, Mise à jour de la table v2.10042 (1.34.23)
- 11/01/13 : Modules R0,R3, Traitement de doublons (1.34.24)
- 12/01/13 : Module O88, levée d'un Faux Positif sur Ulead VideoStudio (1.34.25)
- 16/01/13 : ZHPScan, Mise à jour de la table v2.10051 (1.34.26)
- 16/01/13 : ZHPScan, Ajout de Hijacker.SaveByclick (1.34.27)
- 16/01/13 : ZHPScan, Ajout de Hijacker.BrowsersProtector (1.34.28)
- 17/01/13 : ZHPScan, Recherche générique fichiers utilisateurs (Publisher & Description) (1.34.29)
- 17/01/13 : ZHPScan, Mise à jour de la table v2.10077 (1.34.30)
- 17/01/13 : ZHPScan, Ajout de Spyware.ProtectedSearch (1.34.31)
- 18/01/13 : ZHPScan, Ajout de Adware.BasicScan (1.34.32)
- 18/01/13 : ZHPScan, Mise à jour de la table v2.10113 (1.34.33)
- 18/01/13 : Module O88, Levée d'un Faux Positif sur Epson ToolBand (1.34.34)
- 18/01/13 : Module O88, Correctif d'affichage de lignes SearchScopes (1.34.35)
- 18/01/13 : Module O88, Levée d'un Faux Positif sur Acer ActiveToolBand (1.34.36)
- 18/01/13 : ZHPScan, Ajout de Adware.InstallCore (1.34.37)
- 18/01/13 : ZHPScan, Recherche complémentaire de clé registre "\CurrentVersion\Ext" (1.34.38)
- 19/01/13 : ZHPScan, Ajout de Adware.BrowseToSave (1.34.39)
- 19/01/13 : ZHPScan, Mise à jour de la table v2.10133 (1.34.40)
- 19/01/13 : ZHPScan, Ajout de Hijacker.Alnaddy (1.34.41)
- 19/01/13 : Correction mineure sur nouvelle version disponible (1.34.42)
- 19/01/13 : ZHPScan, Ajout de Toolbar.PDFSuite (1.34.43)
- 19/01/13 : ZHPScan, Mise à jour de la table v2.10148 (1.34.44)
- 20/01/13 : ZHPScan, Recherche complémentaire à la racine du profil utilisateur Firefox (1.34.45)
- 20/01/13 : Exclusion des modules O91 & O92 du rapport simplifié "HijackThis" (1.34.46)
- 21/01/13 : ZHPScan, Mise à jour de la table v2.10184 (1.34.47)
- 22/01/13 : ZHPScan, Recherche complémentaire de clé Registres IE\LowRegistry (1.34.48)
- 23/01/13 : ZHPScan, Ajout de Trojan.USB (1.34.49)
- 23/01/13 : ZHPScan, Mise à jour de la table v2.10257 (1.34.50)
- 23/01/13 : ZHPScan, Traitement des clés Registres MountPoints2 (1.34.51)
- 24/01/13 : ZHPScan, Traitement des clés Registres Minimal & Network (1.34.52)
- 25/01/13 : ZHPScan, Mise à jour de la table v2.10297 (1.34.53)
- 25/01/13 : Module O61, Correctif pour Lever un message d'overflow (<5000) (1.34.54)
- 26/01/13 : Insertion d'une version modifiée de ZHPFix (1.34.55)
- 27/01/13 : ZHPScan, Suppression de messages de contrôles (1.3.56)
- 27/01/13 : ZHPScan, Ajout de Toolbar.Bing (1.34.57)
- 27/01/13 : ZHPScan, Ajout de Hijacker.TornTV (1.34.58)
- 27/01/13 : ZHPScan, Ajout de Toolbar.AVGSearch (1.34.59)
- 27/01/13 : ZHPScan, Mise à jour de la table v2.10311 (1.34.60)
- 28/01/13 : ZHPScan, Ajout de Toolbar.Skype (1.34.61)
- 28/01/13 : ZHPScan, Ajout de Toolbar.LayoutExpress (1.34.62)
- 28/01/13 : ZHPScan, Mise à jour de la table v2.10331 (1.34.63)
- 28/01/13 : ZHPScan, Ajout de Toolbar.Toolbar.eBay (1.34.64)
- 29/01/13 : ZHPScan, Ajout de Toolbar.QuickStores (1.34.65)
- 29/01/13 : Module O47, Correctif pour Lever un message d'overflow à 999 (1.34.66)
- 29/01/13 : ZHPScan, Mise à jour de la table v2.10387 (1.34.67)
- 29/01/13 : ZHPScan, Ajout de Adware.SearchCore (1.34.68)
- 29/01/13 : ZHPScan, Ajout de Hijacker.BabSolution (1.34.69)
- 30/01/13 : ZHPScan, Mise à jour de la table v2.10418 (1.34.70)
- 30/01/13 : ZHPScan, Ajout de Hijacker.u-Search (1.34.71)
- 30/01/13 : ZHPScan, Ajout de Toolbar.Yahoo (1.34.72)
- 31/01/13 : ZHPScan, Mise à jour de la table v2.10477 (1.34.73)
- 31/01/13 : ZHPScan, Recherche complémentaire de clé Explorer\Navigating (1.34.74)
- 31/01/13 : ZHPScan, Ajout de Toolbar.ToolBand (1.34.75)

Décembre 2012

- 02/12/12 - ZHPScan : Ajout de PUP.BProtector (1.32.01)
- 03/12/12 - ZHPScan : Mise à jour Web Search (Adware.Bandoo) (1.32.02)
- 04/12/12 : ZHPScan : Groupe de recherche de fichiers sous %Drivers% (1.32.03)
- 05/12/12 : ZHPScan : Ajout de Toolbar.Minibar (1.32.04)
- 06/12/12 : Création du module O90 (PUC), Product Upgrade Codes (1.32.05)
- 06/12/12 : ZHPSearch : Correctif d'affichage des données du menu déroulant malware (1.32.06)
- 07/12/12 : ZHPScan : Ajout de PUP.AdvancedSystemProtector (1.32.07)
- 07/12/12 : ZHPScan : Ajout de PUP.Software.Updater (1.32.08)
- 08/12/12 : ZHPScan : Recherche complémentaire de fichier Firefox à la racine des profiles (1.32.09)
- 08/12/12 : Module G0 : Mise au format de chaîne induite par "http://feed.snap.do/" (1.32.10)
- 08/12/12 : Recherche de chaines hexadécimales aléatoires dans les clés de registres Software. (1.32.11)
- 09/12/12 : Supression du commentaire antihosts'@'localhost du fichier HOSTS (1.32.12)
- 09/12/12 : ZHPScan : Mise à jour de Adware.MegaSearch (1.32.13)
- 10/12/12 : Module O23/SS-SR, Correctif d'affichage d'un service Sony VAIO (1.32.14)
- 11/12/12 : Complement de recherche de chaines hexadécimales aléatoires sous Software. (1.32.15)
- 12/12/12 : Création du module O91 (REK), Random Export Key (1.32.16)
- 12/12/12 : ZHPScan : Ajout de Rogue.PCPerformer (1.32.17)
- 12/12/12 : Module O3 : Correction d'affichage de clé orpheline (1.32.18)
- 12/12/12 : Module O91 : Ajustement de la taille des chaines (Troncature à 200c) (1.32.19)
- 13/12/12 : Module O91 : Exclusion de l'énumération des clés CLSID (1.32.20)
- 14/12/12 : Doublement des noms de titre dans le code source pour palier le problème de lecture LangueDiag.ini (1.32.21)
- 15/12/12 : Module O91 : Correctif d'un message d'overflow à 999. (1.32.22)
- 15/12/12 : ZHPScan : Ajout de Rogue.FakeHDD (1.32.23)
- 16/12/12 : ZHPScan : Ajout de Spyware.PlayBryte (1.32.24)
- 16/12/12 : Module M0 : Mise au format de chaîne induite par "http://start.search.us.com?" (1.32.25)

- 17/12/12 : Doublement des titres [O2 à O39) dans le code source pour palier le problème de lecture LangueDiag.ini (1.33.01)
- 17/12/12 : Module M2 : Prise en charge d'un nouveau format logiciel (1.33.02)
- 18/12/12 : Module O43, Traitement en superflu des dossiers vides ProgramData (3.33.03)
- 18/12/12 : Modules O2/O3, Correctif d'affichage de clés orphelines (1.33.04)
- 19/12/12 : ZHPScan : Ajout de Spyware.Bywifi (1.33.05)
- 20/12/12 : Nouvelle fonction pour le handle et le PID des Process (1.33.06)
- 20/12/12 : ZHPScan, Ajout de PUP.MocaFlix (1.33.07)
- 20/12/12 : Module O91, Exclusion d'une clé légitime PixArt générant 1029 lignes (1.33.08)
- 20/12/12 : Module R0, Mise au format de chaîne induite par "http://dirgre.cea.fr:8000" (1.33.09)
- 21/12/12 : ZHPScan, Ajout de Toolbar.Freemake (1.33.10)
- 22/12/12 : ZHPScan, Ajout de Keylogger.Spyrix (1.33.11)
- 23/12/12 : ZHPScan, Ajout de PUP.SpeedMaxPc (1.33.12)
- 24/12/12 : ZHPScan, Ajout de PUP.NetSpyProtector (1.33.13)
- 24/12/12 : ZHPScan, Ajout de PUP.SoftwareEngine (1.33.14)
- 25/12/12 : Module O4G, exclusion de lignes au format "%Root%\" (1.33.15)
- 26/12/12 : ZHPScan : Insertion d'une recherche de Clés de Registre génériques Adware Bandoo (1.33.16)
- 26/12/12 : ZHPScan, Ajout de PUP.OptimizerPro (1.33.17)
- 27/12/12 : Module O4G, correctif de double affichage sur système XP (1.33.18)
- 27/12/12 : Doublement des titres (034,G0,HF) dans le code source pour palier le problème de lecture LangueDiag.ini (1.33.19)
- 27/12/12 : ZHPScan, Ajout de Keylogger.Home (1.33.20)
- 27/12/12 : ZHPScan, Ajout de PUP.SweetPCFix (1.33.21)
- 27/12/12 : Module O61, Exclusion des dossiers cache de Google Chrome (1.33.22)
- 28/12/12 : ZHPScan, Ajout de PUP.V9Software (1.33.23)
- 29/12/12 : Module O44, Correctif d'affichage de fin de chaine avec crochets multiples (1.33.24)
- 29/12/12 : ZHPScan, Classement de Toolbar.Alot en Adware.Comet (1.33.25)
- 29/12/12 : ZHPScan, Ajout de Rogue.PCSpeedUp (1.33.26)
- 29/12/12 : ZHPScan, Ajout de Worm.Vispat (1.33.27)
- 30/12/12 : Nouveau module O92, MyComputer Name Space (1.33.28)
- 30/12/12 : ZHPScan, Ajout de Adware.Freeze (1.33.29)

Novembre 2012

- 03/11/12 - Suppression de la référence au site/Blog Skyrock (1.31.35)
- 04/11/12 - Mises à jours SetACL32, SetACL64 et SigCheck (1.31.36)
- 05/11/12 - Module R1, Prise en compte du format http://.XXX.do (1.31.37)
- 08/11/12 - ZHPScan : Mise à jour (Adware.Lollipop,PUP.SpecialSavings,Adware.SearchYa,Adware.SearchAmong) (1.31.38)
- 09/11/12 - Détection des versions Microsoft Windows 8 (1.31.39)
- 11/11/12 - Détection du service de Protection Logicielle (SppSvc) sous W8 (1.31.40)
- 11/11/12 - Module O87 : Mise au format d'une valeur de clé CLSID Window 8 (1.31.41)
- 12/11/12 - ZHPScan : Mise à jour (Adware.IncrediBar). (1.31.42)
- 12/11/12 - ZHPScan : Détection des extensions Firefox dans la branche HKCU. (1.31.43)
- 13/11/12 - Module G0 : Correctif d'affichage de chaîne induite par http://www.planet-surf.com% (1.31.44)
- 14/11/12 - ZHPScan : Mise à jour (PUP.Funmoods). (1.31.45)
- 14/11/12 - Module G0 : Correctif d'affichage de chaîne induite par http://www.dreysearch.info" (1.31.46)
- 15/11/12 - Ajout de la mise à jour de ZHPScan dans l'entête de l'interface. (1.31.47)
- 17/11/12 - ZHPScan : Mise à jour (PUP.ClaroSearch,Adware.VidSaver,PUP.DataMngr). (1.31.48)
- 18/11/12 - Module O86 : Recherche de chaines aléatoires hexadécimales. (1.31.49)
- 20/11/12 - ZHPScan : Prise en charge de la Discover USA Toolbar. (1.31.50)
- 21/11/12 - ZHPScan : Mise à jour (Spyware.FamilyKeylog,PUP.SavingsSidekick) (1.31.51)
- 22/11/12 - Module O69 : Correctif d'un overflow 500 (1.31.52)
- 22/11/12 - ZHPScan : Mise à jour (PUP.OneClickDownloader) (1.31.53)
- 22/11/12 - Module O69 : Prise en charge de Toolbar.SearchResults (1.31.54)
- 23/11/12 - Module R1,O69 : Prise en compte du format http://XXX.pro/ (1.31.55)
- 23/11/12 - Module O69 : Prise en charge de Toolbar.AVGSearch (1.31.56)
- 23/11/12 - Module O69 : Prise en charge de Parasite.Pugi (1.31.57)
- 24/11/12 - ZHPScan : Mise à jour (Toolbar.PricePeep) (1.31.58)
- 24/11/12 - ZHPScan : Mise à jour (Toolbar.Wajam) (1.31.59)
- 24/11/12 - ZHPScan : Mise à jour (Adware.WebAdSystem) (1.31.60)
- 24/11/12 - ZHPScan : Mise à jour (YourFileDownloader) (1.31.61)
- 25/11/12 - ZHPScan : Modification d'affichage erroné de la date de l'update de version. (1.31.62)
- 25/11/12 - ZHPScan : Traitement des clés de registres Microsoft\Tracing. (1.31.63)
- 25/11/12 - ZHPScan : Mise à jour (Adware.2YourFace) (1.31.64)
- 25/11/12 - ZHPScan : Mise à jour (Virus.kujytuo) (1.31.65)
- 26/11/12 - ZHPScan : Mise à jour (PUP.SweetIM) (1.31.66)
- 27/11/12 - Correctif d'affichage sur l'activation de l'UAC. (1.31.67)
- 28/11/12 - Module R1,O69 : Prise en compte du format http://XXX.dz/ (1.31.68)
- 28/11/12 - ZHPScan : Mise à jour (PUP.AppGraffiti) (1.31.69)
- 28/11/12 - Module O69 : Mise à jour (PUP.VidSaver) (1.31.70)
- 29/11/12 - ZHPScan : Mise à jour (Adware.BitDownload) (1.31.71)
- 30/11/12 - ZHPScan : Mise à jour (Toolbar.Expresso) (1.31.72)
- 30/11/12 - ZHPScan : Recherche de dossiers aléatoires de l'Adware.OpenCandy (1.31.73)

Octobre 2012

- 18/10/12 : Mise à jour de ZHPScan (Toolbar.vGrabber,PUP.FCTPlugin,PUP.Blabbers). (1.31.29)

- 19/10/12 : Possibilité de désactiver l'édition du fichier de log (Voir la documentation Paramètres/EnableLog) (1.31.30)

- 19/10/12 : Correction d'affichage du mode de désactivation de l'UAC (Entête du rapport) (1.31.31)

Septembre 2012

- 04/09/12 : Modification de procédures pour la désactivation temporaire de l'UAC (1.31.16)

- 04/09/12 : Ajout d'un test de présence de l'utilitaire de tâches planifiées Windows schtasks (1.31.17)

- 05/09/12 : Détection de clés CLSID non hexadécimales dans 'Installed Component' de la clé HKUS (1.31.18)

- 06/09/12 : Indication du mode de désactivation de l'UAC dans le module d'entête 'Security Center'(1.31.19)

- 07/09/12 : Correctif dans le module O42 sur les OS 64bits (1.31.20)

- 13/09/12 : Mise à jour de l'utilitaire Sigcheck v1.8 (1.31.21)

- 20/09/12 : Mise à jour ZHPFix (1.31.22)

- 21/09/12 : Mise à jour ZHPScan (1.31.23)

- 22/09/12 : Mise à jour ZHPFix (1.31.24)

- 26/09/12 : ZHPScan, traitement de nouvelles clés software 64bits (1.31.25)

- 26/09/12 : Insertion d'une version modifiée de ZHPFix (1.31.26)

- 29/09/12 : Insertion d'une version modifiée de ZHPFix pour le traitement de l'UAC (1.31.27)

- 30/09/12 : Insertion d'une version modifiée de ZHPFix pour le traitement de l'UAC (1.31.28)

Août 2012

- 03/08/12 : Mise à jour de ZHPScan. Prise en charge de Trojan.Refreso. (1.31.14)

- 28/08/12 : Updates de SetACL32 et SetACL64 de HelgeKlein (1.31.15)

Juillet 2012
- 21/07/12 : Nouvelle version de ZHPFix (1.31.11)

- 31/07/12 : Supprime l'affichage du bouton "UAC" si l'UAC est désactivée. (1.31.12)

Juin 2012
- 15/06/12 : Mise à jour du copyrights (1.31.098)

- 17/06/12 : Application du Hotfix RAD Studio XE2 (1.31.100)

- 20/06/12 : Suppression des packages JCL/JVCL (1.31.101)

- 21/06/12 : Mise à jour de ZHPScan (1.31.102)

- 22/06/12 : Droits administrateurs sur dossier d'installation (1.31.103)

- 24/06/12 : Elévation de privilèges (Bouton UAC) (1.31.104)

- 25/06/12 : Suppression de l'affichage du bouton UAC pour les systèmes qui n'ont pas d'UAC (1.31.105)

Mai 2012
- 01/05/12 : Correctif d'affichage Publisher/Description du module O23 (1.31.03)
- 02/05/12 : Traitement de la variable d'environnement 64Bits "%ProgramFiles(x86)%" du module SS/SR (1.31.04)
- 03/05/12 : Modification du format d'affichage conduisant a une ligne tronquée du module SS/SR (1.31.05)
- 03/05/12 : Correctif dans le module O1/Host conduisant à un message d'alerte "ntdll" (1.31.06)
- 04/05/12 : le module O80/MBR passe en mode optionnel (1.31.062)
- 05/05/12 : Correctif dans le module d'update de version (1.31.063)
- 05/05/12 : le module O1/Hosts passe temporairement en mode optionnel (1.31.072)
- 09/05/12 : Mise à jour de ZHPScan (1.31.073)
- 10/05/12 : Réécriture des modules F2,F3 et R5 (1.31.080)
- 11/05/12 : Activation du module O1/Hosts en mode norlam (1.31.081)
- 13/05/12 : Début de mise en place d'un fichier de log pour la recherche d'anomalie (1.31.084)
- 14/05/12 : Affichage de la ruche [HKLM,HKCU] dans le module O3/Toolbar (1.31.085)
- 14/05/12 : Retour du module O1/Hosts en mode normal (1.31.086)
- 15/05/12 : Possibilité de décocher le module O2 dans les options (1.31.087)
- 15/05/12 : Modification d'affichage du module O8 (1.31.088)
- 16/05/12 : Codage du log pour la recherche d'anomalie des modules O41 à O46 (1.31.089)
- 16/05/12 : Suppression d'affichage de ligne sans CLSID du module R3 (1.31.90)
- 17/05/12 : Correctif d'affichage du nom d'utilisateur dans le module M2 (1.31.91)
- 17/05/12 : Codage du log pour la recherche d'anomalie des modules O47 à O65 (1.31.092)
- 20/05/12 : Mise à jourr ZHPScan (1.31.093)
- 24/05/12 : Placement du fichier de log dans le dossier %Root%\ZHP (1.31.094)
- 24/05/12 : Mise à jour ZHPScan (1.31.095)

Avril 2012
- 07/04/12 : Correctif d'un message d'erreur en utilisation de l'argument /BLF. (1.30.02)
- 08/04/12 : Mise à jour ZHPScan. (1.30.03)
- 10/04/12 : Correctif d'affichage du module O34/BootExecute. (1.30.04)
- 14/04/12 : Utilisation de la library CSIDL. (1.30.05)
- 16/04/12 : Correctif dans le module des services O23 (1.30.06)
- 17/04/12 : Activation de l'agrément Sigchek au démarrage de l'outil. (1.30.07)
- 17/04/12 : Correction mineure de code (1.30.08)
- 18/04/12 : Changement des valeurs pour les paramètres registres (1.30.09)
- 18/04/12 : Réécriture des fonctions d'accès registre pour OS W7/64Bits (1.30.10)
- 18/04/12 : Recherche complèmentaire de version pour Google Chrome (1.30.11)
- 18/04/12 : Correctif dans le module O2/BHO pour OS 64Bits (1.30.12)
- 19/04/12 : Correctif dans le module O1/Hosts. (1.30.14)
- 22/04/12 : Correction mineure de code(1.30.15)
- 24/04/12 : Mise en place du LiveUpdate dans le fichier ConfigDiag.ini (si la valeur vaut 'No', pas de connexion au serveur). (1.30.16)
- 25/04/12 : Correction mineure de code (Bouton de tests) (1.30.17)
- 27/04/12 : Désactivation de l'affichage de la personnalisation au démarrage (1.30.18)
- 28/04/12 : Optimisation de recherche du module des services SS/SR (1.30.19)
- 29/04/12 : Prise en charge des valeurs de registre ExpandString dans tous les modules (1.31.01)
- 30/04/12 : Suppression de l'affichage des valeurs de clé absentes du Module Security Center (1.31.02)

Mars 2012 (Migration RAD XE2)
- 06/01/2012 : Rapport, Rétablissement de l'affichage sur le Bureau. (1.29.8)
- 06/01/2012 - Module O48, Rectification du mode d'affichage des lignes (lecture MultiSize).(1.29.09)
- 06/01/2012 - Personnalisation : Activation du mode pour les tests. (1.29.10)
- 06/01/2012 - Module Entête, Modification d'affichage des fichiers génériques. (1.29.11)
- 07/01/2012 - Fichier aide, "ZHP.chm" de nouveau activé sur l'interface (1.29.12)
- 08/01/2012 - Adapatation pour la version intégrée à ZHP (1.29.13)
- 09/01/2012 - Suppression du message "Fichier de license occupé par un autre processus". (1.29.14)
- 10/01/2012 - Module O23, Modification pour la prise en charge de services Intel.(1.29.15)
- 12/01/2012 - Module O1, Ajout en commentaire du nombre de lignes du fichier hosts (1.29.17)
- 14/01/2012 : Module Update version, Nouvelle fonction de recherche. (1.29.18)
- 14/01/2012 : Module Entête, Ajout de variables d'environnements pour tests (1.29.19)
- 17/01/2012 : Module Génériques, Ajout du processus Winmgt.exe (64Bits) (1.29.21)
- 20/01/2012 : Module B1, Modification d'affichage de certaines lignes URL (1.29.22)
- 22/01/2012 : Module Entête, Ajout d'une détection d'une valeur de clé "Windows\Load" (Trojan.Dropper (1.29.23)
- 22/01/2012 : Module O4, Nouvelle clé de recherche sous "Windows NT" (1.29.24)
- 03/02/2012 : Ajout d'éléments pour le changelog ZHPScan (1.29.25)
- 06/02/2012 : Intégration d'une version modifiée de ZHPFix (1.29.26)
- 04/03/2012 : Prise en charge de la version d'Avast! dans le module O42 (1.29.27)
- 05/03/2012 : Création d'un module d'entête "Security Protection" pour Avast 64 Bits (1.29.28)
- 06/03/2012 : Correctif portant sur la détection de lignes Toolbar supérieur à 500 (1.29.29)
- 08/03/2012 : Correctif d'une message d'insertion dans un RichEdit (1.29.30)
- 09/03/2012 : Correctif d'une message d'insertion dans un RichEdit (O83) (1.29.31)
- 16/03/2012 : Update de SetACL 32 & 64 bits en v2.3.2.0. (1.29.32)
- 27/03/2012 : Nouvelle interfac utilisateir (1.30.00)

Mars 2012 (RAD 2007)
- 04/03/2012 : Prise en charge de la version d'Avast! dans le module O42 (1.28.32)
- 05/03/2012 : Création d'un module d'entête "Security Protection" pour Avast 64 Bits (1.28.33)
- 06/03/2012 : Correctif portant sur la détection de lignes Toolbar supérieur à 500 (1.28.34)

Février 2012
- 05/02/2012 : Intégration d'une version modifiée de ZHPFix. (1.28.32)

Janvier 2012
- 22/01/2012 : Module O4, Nouvelle clé de recherche sous "Windows NT" (1.28.315)
- 22/01/2012 : Module Entête, Ajout d'une détection d'une valeur de clé "Windows\Load" (1.28.314)
- 18/01/2012 : Changement de fonction pour la variable d'environnement "Bureau" (1.28.313)
- 15/01/2012 : Module Génériques, Ajout du processus Winmgt.exe (64Bits) (1.28.312)
- 14/01/2012 : Module Update version, Nouvelle fonction de recherche. (1.28.311)
- 10/01/2012 : Module O68, Traitement d'un format de données de registre Intel. (1.28.310)
- 10/01/2012 : Module O23, Formatage de lignes Intel (1.28.309)
- 01/01/2012 : ZHPScan : Mise à jour du changelog. (1.28.304)

Decembre 2011
- 31/12/2011 : Module Entête, Ajout de l'adresse Blog. (1.28.303)
- 30/12/2011 : Correctif d'affichage dans la détection de clés 'OpenCandy (O88). (1.28.302)
- 25/12/2011 : Intégration d'une version modifiée de ZHPFix. (1.28.302)
- 23/12/2011 : Correctif dans le fonctionnement des lignes de commande. (1.28.30)
- 20/12/2011 : Intégration d'une version modifiée de ZHPFix. (1.28.294)
- 18/12/2011 : Personnalisation, Mise au point du paramètre /RegExport. (v1.28.293)
- 17/12/2011 : Module O36, Pose d'un filtre sur les ressources Microsoft. (v1.28.292)
- 17/12/2011 : Correctif pour palier l'affichage erroné de "Nouvelle version disponible". (v1.28.291)
- 16/12/2011 : Module O36, Nouveau module, recherche de clés Session Manager. (v1.28.29)
- 15/12/2011 : Module O69, Extension de la recherche de toolbars et d'adwares sur les préférences Firefox. (v1.28.28)
- 15/12/2011 : Module O88, Détection du virus.Gendarmerie. (v1.28.271)
- 14/12/2011 : Module O4G, Prise en charge de tous les utilisateurs. (v1.28.27)
- 13/12/2011 : Module O88, Ajout d'une recherche complémentaire de clés toolbar. (v1.28.2671)
- 13/12/2011 : Module O69, Ajout d'une recherche complémentaire "CommunityToolbar". (v1.28.267)
- 12/12/2011 : Module R0 : Prise en compte d'un nouveau format de donnée de registre. (v1.28.2661)
- 12/12/2011 : Setup, Modification du paramètre [Icon] conduisant à un raccourci erroné.(v1.28.266)
- 11/12/2011 : Module O69, Ajout d'une recherche Babylon (v1.28.265)
- 10/12/2011 : Module Hijacthis, Correction de la durée d'édition (v1.28.264)
- 09/12/2011 : Module G1, Correction d'affichage de site (v1.28.2631)
- 09/12/2011 : Module O4G, Ajout d'une recherche complémentaire pour Vista. (v1.28.263)
- 07/12/2011 : Interface, Ajout d'un nouveau bouton "Pjjoints". (v1.28.262)
- 05/12/2011 : Personnalisation, Accélération de la procédure d'arrêt d'urgence (v1.28.261)
- 05/12/2011 : Interface, Ajout d'un nouveau bouton "HijackThis". (v1.28.26)
- 02/12/2011 : Personnalisation, Modification du mode d'affichage de la recherche. (v1.28.25) *Tests

Novembre 2011
- 27/11/2011 : Module O86, Extension du critère de recherche. (v1.28.2423)
- 22/11/2011 : Module O80, Correctif de lancement par ShellExecute. (v1.28.2421)
- 22/11/2011 : Intégration d'une version modifiée de ZHPFix. (1.28.242)
- 21/11/2011 : Module Entête, Ajout d'une recherche de détection du rootkit ZeroAccess. (v1.28.241)
- 21/11/2011 : Traitement du chemin court des données registre de tous les modules (v1.28.24)
- 20/11/2011 : Personnalisation, Traitement ce certaines commandes OTL. (v1.28.2313) *Tests
- 17/11/2011 : Module R1, Ajout d'une nouvelle valeur de recherche "Default_Secondary_Page_URL". (v1.28.231)
- 17/11/2011 : Module O68, Ajout de tois nouvelles valeurs de recherche. (v1.28.231)
- 17/11/2011 : Module Entête, Ajout de la langue du système d'exploitation. (v1.28.23)
- 16/11/2011 : Ajout d'un message de traitement en cours. (v1.28.2243)
- 16/11/2011 : ZHPScan, Recherche complémentaire d'extension Google Chrome. (v1.28.2242)
- 15/11/2011 : Personnalisation, Ajout des commandes StartMenuInternet. (v1.28.2241) *Tests
- 15/11/2011 : Personnalisation, Ajout de la commande SysRestore. (v1.28.2238) *Tests
- 15/11/2011 : Module Entête, Ajout d'une recherche sur les mises à jour système. (v1.28.2238)
- 14/11/2011 : Personnalisation, Ajout des commandes NetSvcs et NsLookup. (v1.28.2237) *Tests
- 14/11/2011 : Personnalisation, Ajout des commandes ActiveX et MSConfig. (v1.28.2236) *Tests
- 13/11/2011 : Module O80, Correctif de l'affichage erroné du temps d'analyse. (v1.28.2235)
- 12/11/2011 : Mise à niveau des versions SigCheck et SetACL 32 et 64Bits. (v1.28.2234)
- 12/11/2011 : Personnalisation, Ajout de la commande LUF (List Unsigned Files). (v1.28.2233) *Tests
- 11/11/2011 : Module Entête, Ajout d'une nouvelle clé de recherche Windows Genuine Advantage (XP). (v1.28.2232)
- 11/11/2011 : Personnalisation, Ajout de la commande MBR (Master Boot record). (v1.28.2231) *Tests
- 10/11/2011 : Module O65, Correctif d'erreur d'ouverture multiple de fichier de travail. (v1.28.223)
- 09/11/2011 : Module O23, Traitement d'un format de fichier spécifique MySQL. (v1.28.2224)
- 06/11/2011 : Correctif pour la levée d'un message d'overflow (O43 & O61). (v1.28.2223)
- 05/11/2011 : Personnalisation, Ajout de la récursivité avec le paramètre 'SP'. (v1.28.222) *Tests
- 05/11/2011 : Prise en compte de la clé "Internet Settings\Zones\5". (v1.28.221)
- 04/11/2011 : Personnalisation, Nouveaux paramètres registre, récursivité et export. (v1.28.22) *Tests
- 03/11/2011 : Paramètres registre, Création de nouveaux paramètres pour la gestion de l'interface (1.28.2158)
- 02/11/2011 : Personnalisation, Prise en compte de la redirection des OS 64Bits. (v1.28.2157) *Tests

Octobre 2011
- 29/10/2011 : Module SCTI, Prise en compte d'une nouvelle valeur "Start_ShowMyComputer" (1.28.2156)
- 29/10/2011 : Module O80, Possibilité de désactivation via le registre (1.28.2155)
- 28/10/2011 : Message d'alerte sur infection Navipromo/MagicControl. (1.28.2154)
- 26/10/2011 : Intégration d'une version modifiée de ZHPFix. (1.28.2153)
- 20/10/2011 : Message d'alerte, Nouvelle rubrique ( Cas Rootkit.ZAccess) (1.28.215) *Tests
- 19/10/2011 : Personnalisation, Activation du drag&drop (Glisser/Déposer) de fichier. (v1.28.214) *Tests
- 18/10/2011 : Module O34, Nouveau module BootExecute (v1.28.213)
- 18/10/2011 : Correctif majeur sur le module O48/LSA (1.28.212)
- 17/10/2011 : Module R1, Nouvelle clé de recherche (v1.28.211)
- 16/10/2011 : Modules R0 à R4, prise en compte des clés 64Bits (v1.28.21)
- 10/10/2011 : Développement du module de Personnalisation (v1.28.20) *Tests
- 05/10/2011 : Intégration d'une version modifiée de ZHPFix. (v1.28.1367)
- 03/10/2011 : Module M0, Prise en charge d'une adresse de site spécifique. (v1.28.1363)

Septembre 2011
- 29/09/2011 : Module Entête, Recherche complémentaire de drivers. (v1.28.136)
- 25/09/2011 : Module Entête, Modification dans la recherche du navigateur Chrome sous Vista. (v1.28.1354)
- 24/09/2011 : Information de la disponibilté d'une nouvelle version. (v1.28.1353)
- 23/09/2011 : Module O42, Prise en charge des valeurs de clé "ExpandString". (v1.28.1352)
- 22/09/2011 : Module Entête, Correctif dans la recherche du navigateur Chrome. (v1.28.1351)
- 20/09/2011 : Intégration d'une version modifiée de ZHPSearch. (v1.28.1350)
- 18/09/2011 : Module O1, Affichage d'un message de fichier hosts sain. (v1.28.1349)
- 17/09/2011 : Module O1, Limitation d'affichage du fichier hosts à 100 adresses. (v1.28.1348)

Aout 2011
- 31/08/2011 : Module M0, Modification du format d'affichage du site. (v1.28.1347)
- 24/08/2011 : Module Entête, Modification de détection WGA (XP). (v1.28.1343)
- 23/08/2011 : Intégration d'une version modifiée de ZHPFix. (v1.28.1342)
- 17/08/2011 : Module O59, traitement complèmentaire de la racine. (1.28.1341)
- 16/08/2011 : Intégration d'une version modifiée de ZHPFix. (v1.28.134)
- 14/08/2011 : Module M0, Recherche dans le fichier utilisateur Firefox. (1.28.133)
- 10/08/2011 : Ajout du numéro PID (Process ID) pour les processus démarrés.(1.28.1322)
- 09/08/2011 : Ajout d'information des browser internet AvantBrowser, Netscape, Pale Moon, Safari, SeaMonkey. (1.28.1321)
- 03/08/2011 : Centralisation des rapports dans le dossier %Root%\ZHP. (1.28.13)
- 02/08/2011 : Module Entête, Ajout d'une nouvelle rubrique "Windows Product Information". (1.28.10)

Juillet 2011
- 31/07/2011 : Traitement Keylooger. (1.28.07)
- 30/07/2011 : Correctif dans le module O66 conduisant à un message de violation d'accès. (1.28.05)
- 23/07/2011 : Réécriture du logiciel (Début). (1.28.00)
- 20/07/2011 : Module Entête, Ajout d'une nouvelle recherche dans "Security Center & Tools Informations". (1.27.2422)
- 19/07/2011 : Nouvelle fonction pour le calcum checksum MD5 (v1.27.242)
- 12/07/2011 : Intégration d'une version modifiée de ZHPFix. (v1.27.2406)
- 07/07/2011 : Module Entête, Ajout du shell Winlogon. (v1.27.2404)
- 06/07/2011 : Suppression de l'accès ZHPFix. Celui-ci doit être lancé avec les droits adminisrateur depuis son raccourci Bureau. (v1.27.2402)
- 05/07/2011 : Module O84, Ajout de la date de dernière modification du fichier. (v1.27.2401)
- 05/07/2011 : Insertion d'un compteur de téléchargement automatique de version. (v1.27.24)
- 03/07/2011 : Module R1, mise au format du nom de site pour la valeur SearchMigratedDefaultURL. (v1.27.2363)

Juin 2011
- 28/06/2011 : Module Entête, Correctif sur le module des fichiers cachés (v1.27.2353)
- 26/06/2011 : Intégration d'une version modifiée de ZHPFix. (v1.27.2348-2352)
- 24/06/2011 : Module Entête, Ajout d'une nouvelle valeur de recherche ""' (v1.27.2346)
- 21/06/2011 : Module Entête, Ajout d'une nouvelle rubrique 'Etat des fichiers cachés"' (v1.27.2343)
- 21/06/2011 : Module G2, prise en compte du caractère unicode "\u00E8". (v1.27.2343)
- 20/06/2011 : Divers ajustements de code. (1.27.231-1.27-2341)
- 16/06/2011 : Intégration d'une version modifiée de ZHPFix. (1.27.2304-2306)
- 15/06/2011 : Modification d'affichage du CSB/O49. (v1.27.2303)
- 13/06/2011 : Modification d'accès au clés de registre Wow6432Node/64Bits. (v1.27.2301)
- 12/06/2011 : Module O42 : Mise au format de lignes comportant des clés registre ou des dossiers. (v1.27.230)
- 10/06/2011 : Intégration d'une version modifiée de ZHPScan et ZHPFix. (1.27.229)
- 09/06/2011 : Intégration d'une version modifiée de ZHPFix. (1.27.228)
- 07/06/2011 : Module Entête, Ajout de 3 valeurs de recherche dans "Security Center & Tools Informations". (1.27.227)
- 07/06/2011 : Intégration d'une version modifiée de ZHPScan. (1.27.226)
- 05/06/2011 : Module O43 : Ajout de la branche "Menu Demarrer\Programs" (1.27.224)
- 04/06/2011 : Intégration d'une version modifiée de ZHPFix. (1.27.223)
- 04/06/2011 : prise en compte des dossiers CLSID du dossier programData. (1.27.222)
- 03/06/2011 : Intégration d'une version modifiée de ZHPScan et de ZHPFix. (1.27.22)

Mai 2011
- 31/05/2011 : Intégration d'une version modifiée de ZHPScan et de ZHPFix. (1.27.218)
- 30/05/2011 : Intégration d'une version modifiée de ZHPFix (Refonte du statut de ligne). (1.27.217)
- 26/05/2011 : Module G2, Traitement de certains caractères spéciaux unicode. (1.27.215)
- 25/05/2011 : Module Entête, Modification du masque d'affichage de la ruche pour la valeur "AutoConfigProxy"'. (1.27.214)
- 24/05/2011 : Module O41, Correctif d'affichage WINNT conduisant à un "not file" erroné. (1.27.213)
- 23/05/2011 : Intégration d'une version modifiée de ZHPScan. (1.27.212)
- 22/05/2011 : Intégration d'une version modifiée de ZHPScript et de ZHPFix. (1.27.211)
- 18/05/2011 : ZHPScript, Générateur de Scripts en développement. (1.27.207)
- 16/05/2011 : Module Entête, Ajout de valeurs de recherche dans "Security Center & Tools Informations". (1.27.205)
- 12/05/2011 : Intégration d'une version modifiée de ZHPScan. (1.27.204)
- 12/05/2011 : Intégration d'une version modifiée de ZHPScan. (1.27.203)
- 10/05/2011 : Modification de la liste des emulateurs CD/DVD. (1.27.202)
- 05/05/2011 : Module O53/Key, Affichage de l'information d'absence de fichier (1.27.201)
- 04/05/2011 : Intégration d'une version modifiée de ZHPScan. (1.27.200)
- 02/05/2011 : Intégration d'une version modifiée de ZHPFix. (1.27.194)
- 02/05/2011 : Intégration d'une version modifiée de ZHPScan. (1.27.194)

Avril 2011
- 28/04/2011 : Intégration d'une version modifiée de ZHPFix. (1.27.193)
- 26/04/2011 : Intégration d'une version modifiée de ZHPScan. (1.27.192)
- 25/04/2011 : Module O64 : Ajout de la date de dernière modification. (1.27.1911).
- 24/04/2011 : ZHPScan : Mise à jour automatique du changelog via FTP (au démarrage). (1.27.191)
- 23/04/2011 : ZHPScan : Prise en compte de clés supplémentaires.. (1.27.1907)
- 20/04/2011 : Intégration d'une version modifiée de ZHPFix. (1.27.1905)
- 20/04/2011 : ZHPScan : Fin des tests. (1.27.1904)
- 18/04/2011 : ZHPScan : Optimisation de la recherche des dossiers. (1.27.1904)
- 17/04/2011 : ZHPScan : Prise en compte de clés supplémentaires.. (1.27.1903)
- 12/04/2011 : Module O43, Prise en compte du dossier "AppData\Local" des OS Vista/W7 .(1.27.1869)
- 12/04/2011 : Module O82, Ajout de nouveaux critères de recherche. (1.27.1868)
- 11/04/2011 : Module O9, Ajout d'une recherche de clé de Registre. (1.27.1868)
- 08/04/2011 : Module O80, Ajout de l'analyse du fichier de Dump (TESTS). (1.27.1864)
- 03/04/2011 : Intégration d'une version modifiée de ZHPFix. (1.27.1862)
- 02/04/2011 : Mise à jour de ZHPScan. (1.27.1861)
- 01/04/2011 : Running processes, Ajout d'une recherche supplémentaire via le Registre. (1.27.186)
- 01/04/2011 : Passage du logiciel MBR/Gmer en v0.4.2. (1.27.1850)

Mars 2011
- 31/03/2011 : Intégration d'une version modifiée de ZHPFix. Mise à jour de ZHPScan. (1.27.1849)
- 29/03/2011 : Module O4, Ajout d'une recherche Terminal Server. (1.27.1848)
- 28/03/2011 : Intégration d'une version modifiée de ZHPFix. (1.27.1844)
- 27/03/2011 : Suppression de la création du fichier "Program" à la racine du disque système. (1.27.1843)
- 26/03/2011 : Entête, complément de reconnaissance de Mozilla Firefox pour certaines stations OS 64Bits. (1.27.1842)
- 25/03/2011 : Intégration d'une version modifiée de ZHPFix. (1.27.1841)
- 25/03/2011 : Module O89, nouveau module pour la recherche de détournement de DNS routeur. (1.27.184)
- 24/03/2011 : Correctif dans le module de recherche de sous-clés OpenCandy. (1.27.1831)
- 23/03/2011 : ZHPScan : Fiabilisation du fichier changelog. (1.27.183)
- 22/03/2011 : Intégration d'une version modifiée de ZHPFix. (1.27.182)
- 21/03/2011 : Module O39, Correctif d'affichage de ligne not file. (1.27.181)
- 19/03/2011 : Module O88, Nouveau module (TESTS) qui permet d'effectuer un scan additionnel. (1.27.18)
- 15/03/2011 : Module O39, Prise en compte des caractères accentués dans le nom de l'utilisateur. (1.27.1704)
- 14/03/2011 : Module O42/HK, Ajout de nouvelles clés Software Wow6432Node (64Bits) (1.27.1703)
- 14/03/2011 : Ajout de recherche de clé Adware.OpenCandy. (1.27.1702)
- 12/03/2011 : Ajout d'un nouveau bouton "Fontes" pour l'obtension d'un rapport sans style, fonte et couleur. (1.27.170)
- 11/03/2011 : Nouveau correctif dans le module d'insertion de ligne RichEdit. (1.27.1634)
- 10/03/2011 : Correctif dans le module d'insertion de ligne RichEdit. (1.27.1633)
- 09/03/2011 : Module O24, recherche complémentaire sur stations 64Bits. (1.27.1632)
- 09/03/2011 : Module Options, Exception par valeur de registre portant sur le MBR. (1.27.1631)
- 08/03/2011 : Module O80, Suppression du KillProcess de MBRCheck en fin de Dump. (1.27.1630)
- 07/03/2011 : Module O80, Changement d'API pour le lancement de MBRCheck. (1.27.1629)
- 05/03/2011 : Intégration d'une version modifiée de ZHPFix. (1.27.1628)
- 04/03/2011 : Moduke O4/Global Startup, pose d'un filtre sur certains processus légitimes. (1.27.1627)
- 01/03/2011 : Module M2 : Correctif d'erreur sur insertion RichEdit. (1.27.1626)

Fevrier 2011
- 27/02/2011 : Module O80 : Rétablissement du dump du MBR du disk0. (1.27.1625)
- 25/02/2011 : Intégration d'une version modifiée de ZHPSearch. (1.27.1623)
- 23/02/2011 : Intégration d'une version modifiée de ZHPFix. (1.27.1622)
- 22/02/2011 : Module O43, Recherche complémentaire dans le dossier Local Settings (XP). (1.27.1621)
- 22/02/2011 : Module O43, Ajout de la taille/poids du dossier. (1.27.1621)
- 20/02/2011 : Module R5, Nouveau module Internet Explorer Proxy Management. (1.27.162)
- 18/02/2011 : Module O82, Optimisation du temps de traitement. (1.27.1610)
- 18/02/2011 : Module entête, Ajout de valeurs HKLM relatives à la gestion des proxys. (1.27.1609)
- 18/02/2011 : Replacement chronologique du module O1 dans le rapport. (1.27.1608)
- 17/02/2011 : Intégration d'une version modifiée de ZHPFix. (1.27.1606)
- 16/02/2011 : Correctif des paramètres Security Center de l'entête. (1.27.1605)
- 16/02/2011 : Correctif d'affichage du module O44. (1.27.1604)
- 15/02/2011 : Recherche complémentaire de CLSID sur stations 64Bits. (1.27.1603)
- 15/02/2011 : Module R4 : Nouveau module Traitement du phishing Internet Explorer. (1.27.1602)
- 13/02/2011 : Module O87, Correctif dans l'identification de la présence du processus. (1.27.1601)
- 10/02/2011 : Module O4G, Suppression de l'édition des lignes Doc&Settings. (Cas Vista/W7). (1.27.1600)
- 08/02/2011 : Module R0, Application du chemin court pour le site. (1.27.1528)
- 07/02/2011 : Module M3, Correctif d'affichage pour les plugins de Mozilla Firefox. (1.27.1527)
- 05/02/2011 : Module R1, Extension de la recherche à certaines valeurs.(1.27.1526)
- 05/02/2011 : Module R0, Extension de la recherche à certaines valeurs.(1.27.1526)
- 05/02/2011 : Module M3, Nouveau module pour les plugins de Mozilla Firefox. (1.27.1526)
- 04/02/2011 : Module O87, Ajout du traitement des variables d'environnement. (1.27.1525)
- 03/02/2011 : Suppression de la concaténation des rapports ZHPDiag et ZHPSearch. (1.27.1524)
- 02/02/2011 : Intégration d'une version modifiée de ZHPFix (QuarantineRestore & EmptyFlash). (1.27.1523)

Janvier 2011
- 30/01/2011 : Module O87, Ajout du protocol. (1.27.1522)
- 29/01/2011 : Module O87, Ajustement de l'affichage de cas de fichier absent. (1.27.1521)
- 27/01/2011 : Module O87, Nouveau module " Firewall Active Exception List". (1.27.152)
- 26/01/2011 : Intégration d'une version modifiée de ZHPFix. (1.27.1516)
- 26/01/2011 : Module O47, Traitement des clés orphelines. (1.27.1515)
- 25/01/2011 : Module O47, Correctif dans la recherche de la présence de fichier. (1.27.1513)
- 25/01/2011 : Module O43, Extension de la recherche à "systemprofile\Start Menu\Programs". (1.27.1512)
- 24/01/2011 : Intégration d'une version modifiée de ZHPFix. (1.27.1511)
- 23/01/2011 : Module O86, Modification de l'algorythme de recherche. (1.27.151)
- 21/01/2011 : Intégration d'une version modifiée de ZHPFix (Commande SysRestore). (1.27.1505)
- 20/01/2011 : Module O41, Modification d'affichage des lignes comportant un "not file" . (1.27.1504)
- 19/01/2011 : Module O69, Modification d'affichage des lignes SBI comportant une URL. (1.27.1503)
- 18/01/2011 : Compatibilité avec la machine virtuelle Oracle/VirtualBox. (1.27.1502)
- 18/01/2011 : Module O80 - Changement d'API pour le lancement de l'outil MBR de Gmer. (1.27.1501)
- 15/01/2011 : Module G2 (GCE) - Correctif d'affichage de certains modules d'extension. (1.27.150)
- 12/01/2011 : Intégration d'une version modifiée de ZHPFix. (1.27.1492)
- 09/01/2011 : Module O86, Modification de l'algorythme de recherche. (1.27.1491)
- 08/01/2011 : Module O43, Recherche complémentaire dans le dossier Utilisateur/AppData. (1.27.149)
- 05/01/2011 : Intégration d'une version modifiée de ZHPFix. (1.27.1483)
- 04/01/2011 : Module d'entête, Ajout du groupe des variables d'environnement. (1.27.1482)
- 03/01/2011 : Module O86, Recherche d'infection Rogue. (1.27.1481)
- 03/01/2011 : Module d'entête, Complément de recherche de version Google. (1.27.148)

Decembre 2010
- 31/12/2010 : Module G0, Mofication d'affichage en cas d'absence d'URL (1.27.1473)
- 30/12/2010 : Module O41, Correctif d'un affichage erroné de l'objet en cas d'absence de fichier. (1.27.1472)
- 30/12/2010 : Module SR/SS, Correctif d'un affichage erroné du nom d'objet. (1.27.1471)
- 29/12/2010 : Intégration d'une version modifiée de ZHPFix. (1.27.147)
- 29/12/2010 : Module O42, Correctif d'un affichage érroné du nom du publisher. (1.27.147)
- 28/12/2010 : Module O53, Correction d'affichage de lignes avec la chaîne "wscript". (1.27.147)
- 28/12/2010 : Module O8, Filtre d'affichage de lignes avec la chaîne ".html?cmd". (1.27.147)
- 27/12/2010 : Module d'entête, Correctif sur l'activation du système de restauration pour Vista & W7 64Bits. (1.27.1462)
- 24/12/2010 : Module O68, Correctif d'affichage de présence du fichier. (1.27.146)
- 22/12/2010 : Module O85, Recherche d'infection par le ver Koobface. (1.27.145)
- 20/12/2010 : Module d'entête, Correctif sur l'activation du système de restauration pour Windows XP. (1.27.144)
- 20/12/2010 : Module O66/EventLog, passage en mode optionnel (1.27.144)
- 19/12/2010 : Module de téléchargement automatique, Correctif de boucle de version. (1.27.1432)
- 18/12/2010 : Module d'entête, Ajout de l'information sur l'activation du système de restauration du système. (1.27.143)
- 16/12/2010 : Intégration d'une version modifiée de ZHPFix. (1.27.1421)
- 11/12/2010 : Correctif dans le module d'update de version (1.27.1420)
- 08/12/2010 : Correctif dans le module O44 conduisant à un message d'erreur de date. (1.27.1412)
- 06/12/2010 : Reconnaissance automatique de la langue par défaut au démarrage du système. (1.27.140)
- 04/12/2010 : Module G2 (GCE) - Correctif d'affichage pour Google Chrome v8. (1.27.139)
- 02/12/2010 : Module O58 (SDL), Ajout de la taille du pilote en fin de ligne. (1.26.139)

Novembre 2010
- 30/11/2010 : Retrait définitif du scan de l'outil MBRCheck. Seul le raccourci sur le Bureau est conservé (1.26.138)
- 27/11/2010 : Retrait provisoire du scan de l'outil MBRCheck qui cause un blocage à 80%. La création du fichier Dump est conservée. (1.26.137)
- 27/11/2010 : Intégration d'une version modifiée de ZHPFix pour la création de la commande EmptyTemp (1.27.136)
- 22/11/2010 : Module O41, Correctif sur les stations 64bits conduisant à un affichage erroné d'absence de fichier. (1.27.135)
- 20/11/2010 : Module O53 (SMSR) - Signification de l'absence de fichier en fin de chaîne. (1.27.133)
- 19/11/2010 : Nouveau O43 (CFD) - Modification de l'affichage par l'ajout de la date et de l'heure. (1.27.132)
- 17/11/2010 : Intégration d'une version modifiée de ZHPFix pour la gestion de la quarantaine fichier/dossier. (1.27.130)
- 16/11/2010 : Module d'entête : Affichage de l'information de navigateur par défaut. (1.27.127)
- 16/11/2010 : Ajout d'une rubrique en fin de rapport indiquant la présence d'un émulateur de CD/DVD. (1.27.126)
- 15/11/2010 : Module d'entête : Ajout du navigateur Google Chrome (1.27.125)
- 12/11/2010 : Nouveau module B1 (OSP) - Page de recherche du navigateur Opera (1.27.122)
- 12/11/2010 : Nouveau module G1 (GCS) - Page de recherche du navigateur Google Chrome (1.27.122)
- 11/11/2010 : Nouveau module G2 (GCE) - Programmes d'extension du navigateur Google Chrome (1.27.12)
- 11/11/2010 : Nouveau module G0 (GCSP) - Page de démarrage du navigateur Google Chrome (1.27.12)
- 10/11/2010 : Nouveau module O84 (SPRF) - Recherche particuliere à la racine de certains dossiers (1.27.116)
- 07/11/2010 : Module O39 (APT) - Nouveau format d'affichage. (1.27.11)
- 05/11/2010 : Intégration d'une version modifiée de ZHPSearch pour la mise à jour de la liste blanche (1.27.101)
- 04/11/2010 : Module d'entête, Ajout de la valeur d'activation de l'UAC (1.27.10)
- 04/11/2010 : Intégration de nouvelle version de MBR. (1.27.09)
- 03/11/2010 : Passerelle entre ZHPSearch et ZHPDiag. (1.27.08)
- 02/11/2010 : Module d'entête, Sécurité, ajout de recherche dans les valeurs NOHIDDEN et SHOWALL. (1.27.07)
- 01/11/2010 : Module d'entête, Ajout de date/heure dans la recherche particulière de fichiers système. (1.27.062)

Octobre 2010
- 30/10/2010 : Entête, Ajout d'une recherche particulière de fichiers système (1.27.06)
- 29/10/2010 : Module R1 (PRIE) - Ajout de la recherche sur la valeur ProxyEnable (1.27.053)
- 27/10/2010 : Module ZHPSearch - Conception et interface complétement revues. (1.27.051)
- 21/10/2010 : Module d'entête, recherche de la version et de l'OS par API Windows. (1.27.05)
- 14/10/2010 : Intégration d'une version modifiée de ZHPFix pour te traitement du drag &drop de fichiers. (1.27.04)
- 12/10/2010 : Module ZHPSearch - Nouvel outil de recherche. (1.27.03)
- 06/10/2010 : Module O42 (LOIN) - Optimisation de la suppression en cas de désisntallation défaillante (1.26.688)
- 04/10/2010 : Module O4 (ALDS ) - Correctif d'affichage pour la prise en compte des dossiers pointés. (v1.26.687)
- 01/10/2010 : Module SS/SR (EGS) - Prise en compte de nouveau services non microsoft. (v1.26.686)

Septembre 2010
- 30/09/2010 : Module O4 (ALDS ) - Ajout de nouveaux dossiers de recherche. (v1.26.685)
- 30/09/2010 : Module O51 (MPSK ) - Traitement des clés orphelines. (v1.26.684)
- 29/09/2010 : Module O84 (ICW) - Retrait du module suite à incompatibilité avec certains OS. (v1.26.683)
- 28/09/2010 : Module O9 (BSMI) - Traitement des clés orphelines Extra Button MenuItem. (v1.26.682)
- 28/09/2010 : Module R3 (USH) - Traitement des clés orphelines. (v1.26.681)
- 26/09/2010 : Module O4 (ALDS) - Ajout d'un nouveau dossier de recherche. (v1.26.68)
- 25/09/2010 : Module O84 (ICW) - Création du module IP Configuration Windows. (v1.26.68)
- 24/09/2010 : Module O45 (LFP) - Modification du format d'affichage. (v1.26.67)
- 23/09/2010 : GUI, Ajout de 2 barres de status en complément de la barre de progression. (v1.26.67)
- 22/09/2010 : Modules O2 (BHO) & O3 (IETB) - Identification des clés orphelines. (v1.26.67)
- 20/09/2010 : Module O63 (LATC) - Allignement du format d'affichage sur celui du module O42/Logiciel. (v1.26.66)
- 18/09/2010 : Module O80 (MBR) - Mise en place d'une sauvegarde du MBR pour chaque disque physique. (V.1.26.65)
- 16/09/2010 : Module O4 (ALDS) - Affichage du chemin complet du fichier de lien.(V.1.26.64)
- 14/09/2010 : Module O44 (LFC) - Correctif d'un overflow à 499 - Passage en option du module O62/ADS. (V.1.26.63)
- 11/09/2010 : Module O80 (MBR) - Recherche complémentaire avec l'outil MBRCheck d'ad13. (V.1.26.62)
- 09/09/2010 : Intégration d'une version modifiée de ZHPFix pour le traitement du service CTFMon. (V.1.26.61)
- 07/09/2010 : Module B0 (SPO) - Page de démarrage du navigateur Opera. (V.1.26.60)
- 05/09/2010 : Module M0 (MFSP) - Extension de recherche à tous les profils utilisateurs. (V.1.26.59)
- 02/09/2010 : Module M2 (MFEP) - Programmes d'extension de Mozilla Firefox. (V.1.26.58)

Aôut 2010
- 31/08/2010 : Module M0 (MFSP) - Page de démarrage Mozilla Firefox. Activation du module R0, Microsoft IE StartPage. (V.1.26.57)
- 30/08/2010 : Module O42 Logiciels installés (LOIN) - Correctif d'un overflow à 999. (V.1.26.56)
- 28/08/2010 : Module d'entête (EDR) - Correctif sur Device Dos (CDRom). Intégration d'une version modifiée de ZHPFix (Tests sur les commandes de service). (V.1.26.55)
- 27/08/2010 : Intégration d'une version modifiée de ZHPFix pour la gestion des services. (V.1.26.54)
- 26/08/2010 : Module de mise à jour automatique de version. (V.1.26.53)
- 24/08/2010 : Module SS/SR (EGS) - Création d'un nouveau module pour lister l'état général des services. (V.1.26.52)
- 23/08/2010 : Module d'entête (EDR) - Correctif sur le boot Mode. Intégration d'une version modifiée de ZHPFix (Création de la commande OPT pour traiter l'optimisation). (V.1.26.51)
- 22/08/2010 : Intégration d'une version modifiée de ZHPFix (Fonction de suppression de fichiers). (V.1.26.50)
- 17/08/2010 : Module d'entête (EDR) - Correctif pour la reconnaissance des unités Floppy drive, Flash card reader et USB Key. (1.26.49)
- 14/08/2010 : Module O64 (LALS) - Correctif d'un message d'erreur à 74% "%1 n'est pas une application Win32 valide" sur station Windows 7/64bits.(V.1.26.482)
- 12/08/2010 : Module R1 (PRIE) - Recherche complémentaire dans de nouvelles clés de Base de Registres.(V.1.26.48)
- 10/08/2010 : Module O4 (ADAR) - Modification pour la prise en compte de processus ASUSTeK lancés par "AsusSender.exe". (V.1.26.47)
- 09/08/2010 : Module R1 (PRIE) - Recherche complémentaire dans de nouvelles clés de Base de Registres.(V.1.26.46)
- 08/08/2010 : Module O4 (ADAR) - Ajout de l'information de clé orpheline en cas d'absence de processus. (V.1.26.45)
- 06/08/2010 : Module O24 (ECAD), Ajout de la recherche de l'éditeur MHTML par défaut d'Internet Explorer. (V.1.26.44)
- 05/08/2010 : Intégration d'une version modifiée de ZHPFix pour le nouveau traitement des lignes software. (V.1.26.43)
- 04/08/2010 : Module O60 (DDNS) - Extension de la recherche à de nouvelles valeurs de clé de Base de Registres. (V.1.26.42)
- 03/08/2010 : Module O1 (USH) - Réintégration de l'analyse du fichier HOSTS dans le rapport par défaut. (V.1.26.41)
- 02/08/2010 : Module O69 (SBI) - Recherche complémentaire dans de nouvelles clés de Base de Registres. (V.1.26.40)
- 01/08/2010 : Module O17 (MDAD) - Extension de la recherche à de nouvelles valeurs de clé de Base de Registres. (V.1.26.39)
- 01/08/2010 : Intégration d'une version modifiée de ZHPFix (Création de la commande IFEOFix). (V.1.26.39)

Juillet 2010
- 31/07/2010 : Intégration d'un fichier de description détaillée ZHP.chm (bêta tests). (V.1.26.38)
- 29/07/2010 : Module O83 (SSS) - Ajout de la taille du fichier. (V.1.26.37)
- 29/07/2010 : Module O4 (ADAR) - Correctif sur reconnaissance de clé Policies/Explorer. (V.1.26.37)
- 27/07/2010 : Module O83 (SSS) - Recherche des services démarrés par svchost. (V.1.26.36)
- 26/07/2010 : Module O54 (MCSP ) - Correctif portant sur la concaténation de plusieurs ressources. (V.1.26.35)
- 26/07/2010 : Module O1 (USH) - Intégration d'une version modifiée de ZHPFix (Création de la commande HOSTFix). (V.1.26.34)
- 25/07/2010 : Modificatif de code non documenté. (V.1.26.33)
- 24/07/2010 : Module O4 (ADAR) - Extension de la recherche à de nouvelles clés de Base de Registres (V.1.26.32)
- 23/07/2010 : Module O54 (MCSP) - Modification du format d'affichage pour la prise en charge des processus multiples. (V.1.26.31)
- 22/07/2010 : Module O17 (MDAD) - Extension de la recherche à de nouvelles valeurs de clé de Base de Registres. (V.1.26.30)
- 21/07/2010 : Module Process (PLD) - Mise à jour de la liste blanche Microsoft. (V.1.26.29)
- 20/07/2010 : Intégration d'une version modifiée de ZHPFix. (V.1.26.28)
- 18/07/2010 : Module O4 (ADAR) - Correctif d'affichage de certaines lignes comportant la chaîne "not file" (V.1.26.27)
- 17/07/2010 : Module Process (PLD) - Création d'une liste blanche sur les processus Microsoft Corporation. (V.1.26.26)
- 15/07/2010 : Module O48 (LSA) - Prise en charge d'une nouvelle clé. (V.1.26.25)
- 14/07/2010 : Module P2 (FPN) - Ajout d'un nouveau module P2 pour les plugins du navigateur Mozilla Firefox. (V.1.26.24)
- 13/07/2010 : Intégration d'une version modifiée de ZHPFix. (V.1.26.23)
- 13/07/2010 : Module O69 (SBI) - Recherche complémentaire dans une nouvelle clé de Base de Registres. (V.1.26.22)
- 12/07/2010 : Module O44 (LFC ) - Optimisation de la recherche pour diminuer le temps de traitement. (V.1.26.21)
- 11/07/2010 : Module O43 (CFD ) - Prise en compte de tous les dossiers "Program Files" pour les OS 64Bits. (V.1.26.20)
- 11/07/2010 : Intégration d'une version modifiée de ZHPFix (Création de la commande MBRFix).. (V.1.26.19)

(C) Copyrights 2010-2013 - Nicolas Coolman - All rights reserved


ZHPdiag_Update

ZHPDiag - Mise à jour de version.

Origine

Le module de mise à jour automatique a été crée le 26 août 2010.

Caractéristiques

Il permet de télécharger et d'installer automatiquement une version de ZHPDiag.

Dans le cas d'une version ZHPDiag intégrée à ZHP. Lors du setup d'installation, il vous faut entrer le chemin d'installation de ZHP. Dans le cas contraire l'installation se fera dans le dossier par défaut (%Program Files%\ZHPDiag).

Fonctionnement

- je n'ai pas souhaité faire un démarrage automatique de la mise à jour de version de l'outil car cela peut perturber l'utilisateur qui a un problème d'internet et qui demande de l'aide sur un forum. Il s'agit donc d'un fonctionnement semi automatique dans la mesure où il nécessite l'intervention de l'utilisateur.
- Le démarrage de la mise à jour automatique de version se fait en cliquant sur le bouton update

- Si une version est disponible un message apparaît de la forme "Télécharger la version du 25/08/2010".

- Si vous acceptez, après le téléchargement un nouveau message vous demande si vous voulez "Installer la nouvelle version ?"

- Si vous acceptez, l'installation démarre en prenant la place de l'ancienne.

- Si vous refusez, le fichier téléchargé, avec numéro de version (ZHPDiag_X.XX.XX) sera présent dans le dossier d'installation de ZHPDiag. L'installation devra être lancée par l'utilisateur.

Helpers

Cette fonctionnalité va permettre aux helpers de faire installer facilement une nouvelle version au helpé.


GIF - Graphic Interchange Format

ZHPDiag - Paramètres registre

Origine

Le module Paramètres Registre (REPA) ) a été crée le 29 octobre 2011.

Caractéristiques

Lié au module REPA (REgistry PArameters). Il permet d'effectuer un paramètrage particulier de ZHPDiag. Il est basé sur la création de valeurs de clé de registre.

Liste des valeurs

- DisableModuleO80 : Désactive le module MBR/O80,
- EnableHosts : Active le module Hosts/O1,
- EnableLocalDataBase : Active la mise à jour des tables locales,

- EnableLog : Active la création du fichier de log,
- EnablePersonal : Active le module de personnalisation,
- EnableRegistryScript : Active le module de rapport de script,
- InterfaceResizeHeight : Modifie le paramètre hauteur de l'interface ZHPDiag,
- InterfaceResizeWidth : Modifie le paramètre largeur de l'interface ZHPDiag,

- LangageID : Modifie la valeur de la langue système,

LangageID

La langue du logiciel est celle donnée par le système. Toutefois il est possible de mettre la langue de son choix dans le registre, ce qui évite de le faire à chaque démarrage de ZHPDiag/Fix via les options de configuration.

Faire un copier/coller du code ci-dessous dans le NotePad Windows et l'enregistrer au format registre (.reg). Puis exécuter le fichier en acceptant la fusion des données.

****************************************************
Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\ZebHelpProcess Helper]
"LangageID"="Italien"

****************************************************

Les données de valeurs acceptées sont "Anglais", "Italien" ,"Espagnol","Allemand","Polonais","Portugais","Néerlandais",'Français".

DisableModuleO80

Pour désactiver le module MBR/O80 à chaque démarrage de ZHPDiag, il faut créer une nouvelle valeur dans la clé de registre "ZebHelpProcess Helper". Ceci afin d'éviter un message d'erreur d'exécution sur certaines machines virtuelle (VM).

Faire un copier/coller du code ci-dessous dans le NotePad Windows et l'enregistrer au format registre (.reg). Puis exécuter le fichier en acceptant la fusion des données.

****************************************************
Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\ZebHelpProcess Helper]
"DisableModuleO80"=dword:00000001
****************************************************

EnableLocalDataBase

Pour désactiver la mise à jour des tables locales à chaque démarrage de ZHPDiag, il faut créer une nouvelle valeur dans la clé de registre "ZebHelpProcess Helper". Ceci permet d'éviter une possible corruption des tables.

Faire un copier/coller du code ci-dessous dans le NotePad Windows et l'enregistrer au format registre (.reg). Puis exécuter le fichier en acceptant la fusion des données.

****************************************************
Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\ZebHelpProcess Helper]
"EnableLocalDataBase"=dword:00000001
****************************************************

EnableLog

Pour désactiver la création du fichier de traces (Log.txt) en cas de problème d'écriture sur le disque système, il faut créer une nouvelle valeur dans la clé de registre "ZebHelpProcess Helper".

Faire un copier/coller du code ci-dessous dans le NotePad Windows et l'enregistrer au format registre (.reg). Puis exécuter le fichier en acceptant la fusion des données.

****************************************************
Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\ZebHelpProcess Helper]
"EnableLog"=dword:00000000
****************************************************

EnableHosts

Pour activer le module O1/Hosts à chaque démarrage de ZHPDiag, il faut créer une nouvelle valeur dans la clé de registre "ZebHelpProcess Helper".

Faire un copier/coller du code ci-dessous dans le NotePad Windows et l'enregistrer au format registre (.reg). Puis exécuter le fichier en acceptant la fusion des données.

****************************************************
Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\ZebHelpProcess Helper]
"EnableHosts"=dword:00000001
****************************************************

EnablePersonal

Pour activer le module de personnalisation à chaque démarrage de ZHPDiag, il faut créer une nouvelle valeur dans la clé de registre "ZebHelpProcess Helper". Une nouvelle zone texte apparaît nommée "Personnalisation"

Faire un copier/coller du code ci-dessous dans le NotePad Windows et l'enregistrer au format registre (.reg). Puis exécuter le fichier en acceptant la fusion des données.

****************************************************
Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\ZebHelpProcess Helper]
"EnablePersonal"=dword:00000001
****************************************************

Pour plus d'informations sur l'utilisation, consulter le Module de personnalisation

EnableRegistryScript

Pour activer le module de rapport de script à chaque démarrage de ZHPDiag, il faut créer une nouvelle valeur dans la clé de registre "ZebHelpProcess Helper". Une fois activé un nouveau bouton apparaît.

Pour obtenir un rapport de script, il faut copier des lignes de rapport ZHPDiag dans la zone texte et cliquer sur le bouton de script. Les informations contenues dans la zone 'Begin/End" peuvent être utilisées pour la création d'un fichier registre particulier.

Exemple :
O3 - Toolbar: Ask Toolbar - {D4027C7F-154A-4066-A1AD-4243D8127440} . (.Ask - Ask Toolbar.) -- C:\Program Files\Ask.com\GenericAskToolbar.dll
O4 - HKLM\..\Run: [ApnUpdater] . (.Ask - Ask Updater.) -- C:\Program Files\Ask.com\Updater\Updater.exe

Rapport de ZHPScript, Générateur de script Registres v1.10 par Nicolas Coolman, Update du 26/10/2011
Run by Coolman at 29/10/2011 11:07:18
Web site : http://www.premiumorange.com/zeb-help-process/zhpdiag.html

==========[Begin]==========
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
"{D4027C7F-154A-4066-A1AD-4243D8127440}"=-
[-HKEY_CLASSES_ROOT\CLSID\{D4027C7F-154A-4066-A1AD-4243D8127440}]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ApnUpdater"=-
==========[End]==========

Faire un copier/coller du code ci-dessous dans le NotePad Windows et l'enregistrer au format registre (.reg). Puis exécuter le fichier en acceptant la fusion des données.

****************************************************
Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\ZebHelpProcess Helper]
"EnableRegistryScript"=dword:00000001
****************************************************

InterfaceResizeHeight - InterfaceResizeWidth

Certains utilisateurs, de portables notamment, ont des problèmes d'affichage de l'interface ZHPDiag. Ce qui occasionne un redimentionnement manuel systèmatique à chaque lancement de l'outil. Afin de palier cela vous pouvez paramètrer la hauteur et la largeur de l'interface via la Base de Registres. Cela se traduit par la création de 2 nouvelles valeurs de clés de registre "InterfaceResizeHeight" pour la hauteur et "InterfaceResizeWidth" pour la largeur.

Faire un copier/coller du code ci-dessous dans le NotePad Windows et l'enregistrer au format registre (.reg). Puis exécuter le fichier en acceptant la fusion des données.

****************************************************
Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\ZebHelpProcess Helper]
"InterfaceResizeHeight"=dword:00000300
"InterfaceResizeWidth"=dword:00000500
****************************************************

(C) Copyrights 2011 - Nicolas Coolman - All rights reserved


ZHPdiag_Entete

ZHPDiag - Entête du rapport (EDR)

Origine

- Le module d'entête du rapport (EDR) a été crée le 05 mars 2008.

Caractéristiques

- L'entête du rapport comporte la version de l'outil, la date d'enregistrement du scan, la plate forme système et la version des navigateurs Internet Explorer, Mozilla Firefox, Opera et Google Chrome. D'autres éléments permettent de donner des renseignements sur le mode de démarrage, la RAM ou sur le disque dur système. v1.24

Ajout de la liste des unités en entête de rapport (DOS/Devices). En dehors des unités fixes, une indication sera portée permettant d'identifier les unités présentes (Inserted) ou absentes (Not Inserted). Les lignes d'unités absentes sont colorées en bleu. v1.24.44

Ajout du module "Security Center & Tools Informations". v1.25.133

Une information est donnée une le taux d'occupation de l'unité système, ainsi que sur le taux d'utilisation de la mémoire (RAM). En cas de dépassement du seuil de 15%, Zeb Help Process affichera un commentaire d'alerte. v1.24.17

Ajout du module d'entête du module 'Logged in mode'. Il permet d'avoir l'information sur le mode de connection de l'utilisateur à savoir "Utilisateur (User)" ou "Administrateur (Administrator)". Lorsque l'utilisateur n'est pas connecté en mode administrateur, les informations données par le scan de l'outil sont très limitées. v1.25.1409

Ajout de l'information sur l'activation du système de restauration du système . v1.27.143

Ajout du groupe de variables d'environnement. v1.27.1482

Ajout de nouvelles valeurs de recherche dans "Security Center & Tools Informations". (1.27.205)

Ajout de 3 nouvelles valeurs de recherche dans "Security Center & Tools Informations". (1.27.227)

Ajout d'une nouvelle rubrique 'Etat des fichiers cachés". Dans le cas où tous les fichiers de tous les dossiers d'un groupe sont cachés, une information "Modified" sera placée en commentaire. (v1.27.2343)

Ajout de la valeur de clé "WarnOnHTTPSToHTTPRedirect". dans le module "Security Center & Tools Informations". (1.27.2347)

Ajout de la valeur de clé "Shell" du Winlogon. (1.27.2404)
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

Ajout d'une recherche sur l'activation du service du centre de sécurité "wscsvc". dans le module "Security Center & Tools Informations".(1.27.2422)

Ajout d'une nouvelle rubrique "Windows Product Information". Elle a pour fonction de rechercher l'authenticité de la version Windows installée. (1.28.10).

Ajout des browser internet AvantBrowser, Netscape, Pale Moon, Safari, SeaMonkey. (1.28.1321)

Ajout d'une vérification des mises à jour du système. La recherche s'effectue sur la valeur de clé "LastSuccessTime" de la clé : (1.28.2238)
HKLM\software\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update\Results\Install

Ajout de la langue du système d'exploitation. cette information est utile à l'analyseur ZHP afin de traiter les chaînes de caractères des dossiers utilisateurs étrangers comme par exemple ''Dokumente und Einstellungen". (1.28.23)

Ajout de la valeur de clé "Load" de la clé. (1.28.314) Consulter l'article Trojan Dropper
Clé : [HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows

Aperçu ZHPDiag

Rapport de ZHPDiag v1.26.24 par Nicolas Coolman, Update du 14/07/2010
Run by Coolman at 15/07/2010 09:49:51
Web site : http://www.premiumorange.com/zeb-help-process/zhpdiag.html
Contact : nicolascoolman@yahoo.fr

---\\ Web Browser
MSIE: Internet Explorer v8.0.7600.16385
OPIE: Opera 10.60 (Defaut) v1.27.127
MFIE: Mozilla Firefox v3.6.6
GCIE: Google Chrome v7.0.517.44 v1.27.127

---\\ System Information
Platform : Windows 7 Home Premium (6.1.7600)
Processor: x86 Family 15 Model 67 Stepping 3, AuthenticAMD v1.25.07
Operating System: 32 Bits v1.25.07
Boot mode: Normal (Normal boot) v1.24.17
Total RAM: 3070 MB (63% free)
System Restore: Activé (Enable) v1.27.143
System drive C: has 173 GB (74%) free of 232 GB v1.24.17

---\\ DOS/Devices
C:\ Hard drive, Flash drive, Thumb drive (Free 134 Go of 232 Go)
E:\ CD-ROM drive (Inserted)
F:\ Hard drive, Flash drive, Thumb drive (Free 166 Go of 226 Go)
G:\ Floppy drive, Flash card reader, USB Key (Not Inserted)
K:\ Floppy drive, Flash card reader, USB Key (Inserted)

---\\ Security Center & Tools Informations v1.25.133
[HKLM\SOFTWARE\Microsoft\Security Center] AntiSpywareOverride: OK
[HKLM\SOFTWARE\Microsoft\Security Center] FirewallDisableNotify: Modified
[HKLM\SOFTWARE\Microsoft\Security Center\Svc] UacDisableNotify: OK

---\\ Security Center & Tools Informations v1.27.205
[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] NoStartMenuSubFolder: Modified => EXPLORER : Les sous-menus du menu démarrer sont désactivés
[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] NoStartMenuSubFolder: OK => EXPLORER : Les sous-menus du menu démarrer sont activés
[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] NoDesktop: Modified => EXPLORER : Cache les raccourcis du Bureau
[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] NoDesktop: OK => EXPLORER : Affiche les raccourcis du Bureau
[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] NoResolveSearch: Modified => EXPLORER : Résolution des raccourcis désactivée
[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] NoResolveSearch: OK => EXPLORER : Résolution des raccourcis activée
[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] NoClose: Modified => EXPLORER : Empêche l'utilisateur d'arrêter ou de redémarrer Windows
[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] NoClose: OK => EXPLORER : Autorise l'utilisateur à arrêter ou à redémarrer Windows

---\\ Security Center & Tools Informations v1.27.227
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Associations] Application: OK => EXPLORER : Association Application
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Associations] Application: Modified => Infection BT (Hijacker.Application)
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Associations] Intl: OK => EXPLORER : Association Intl
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Associations] Intl: Modified => Infection BT (Hijacker.Intl)
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Associations] XMLLookup: OK => EXPLORER : Association XMLLookup
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Associations] XMLLookup: Modified => Infection BT (Hijacker.XMLLookup)

---\\ Security Center & Tools Informations v1.28.2238
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update\Results\Install] LastSuccessTime : Out Of Date => SYSTEM : Aucune mise à jour depuis 15 jours !
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update\Results\Install] LastSuccessTime : OK => SYSTEM : Mises à jour réalisées dans la dernière quinzaine

---\\ Logged in mode
Computer Name: PC-DE-COOLMAN
User Name: Coolman v1.26
All Users Names: Coolman, Administrateur,
Unselected Option: O1,O45,O61,O65,O82 v1.25.1413
Logged in as Administrator

---\\ Environnement Variables v1.27.1482
%AppData%=%USERPROFILE%\AppData\Roaming
%LocalAppData%=%USERPROFILE%\AppData\Local
%StartMenu%=%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Start Menu

---\\ Etat des fichiers cachés v1.27.2343
Mes images (My Pictures) : 3/3 (Modified)
Mes musiques (My Musics) : 10/10 (Modified)
Mes Videos (My Videos) : 1/28
Mes Favoris (My Favorites) : 2/27
Mes Documents (My Documents) : 1/60
Mon Bureau (My Desktop : 0/20
Menu demarrer (Programs) : 3/48

---\\ Security Center & Tools Informations v1.27.2422
[HKLM\SYSTEM\CurrentControlSet\Services] wscsvc : Modified => SYSTEM : Centre de Sécurité désactivé

---\\ Windows Product Information v1.28.10
Windows 7 Home Premium Edition, 32-bit Service Pack 1 (Build 7601)
Windows Server License Manager Script : OK (A partir de Vista)
~ Windows(R) 7, OEM_COA_NSLP channel (A partir de Vista)
Windows ID Activation : OK (A partir de Vista)
~ Windows Partial Key : BYPGM (A partir de Vista)
Windows License : OK (A partir de Vista)
~ Windows Remaining Initializations Number : 5 (A partir de Vista)
Software Protection Service (Protection logicielle) : OK
Windows Automatic Updates : OK (A partir de Vista)

---\\ Web Browser v1.28.1321
OBIE: AvantBrowser v11.9.0.16
OBIE: Netscape Navigator v9.0.0.6 (en-US)
OBIE: Pale Moon v3.6.15 (en-US)
OBIE: Safari v5.34.50.0
OBIE: SeaMonkey v2.0.14 (fr)

Action ZHPFix (Exemple 1 - Cas d'une donnée entière)

[HKLM\SOFTWARE\Microsoft\Security Center] {ValueKey} : Modified

{Key} :Clé de Base de Registres [HKLM\SOFTWARE\Microsoft\CurrentVersion\Explorer\Associations]
{ValueKey} : Valeur de clé de {Key}

L'outil restaure la donnée de la valeur de {ValueKey}
- La donnée DWORD par défaut de valeur "AntiVirusDisableNotify" est '0'
- La donnée DWORD par défaut de valeur "FirewallDisableNotify" est '0'
- etc...

Action ZHPFix (Exemple 2 - Cas d'une donnée chaîne)

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Associations] {ValueKey} : Modified

{Key} :Clé de Base de Registres [HKLM\SOFTWARE\Microsoft\Security Center]
{ValueKey} : Valeur de clé de {Key}

L'outil restaure la donnée de la valeur de {ValueKey}
- La donnée Chaîne par défaut de valeur "Application" est "http://shell.windows.com/fileassoc/%04x/xml/redir.asp?Ext=%s"
- La donnée Chaîne par défaut de valeur "Intl" est "http://shell.windows.com/fileassoc/fileassoc.asp?LangID=%04x&Ext=%s"
- La donnée Chaîne par défaut de valeur "XMLLookup" est "http://shell.windows.com/fileassoc/fileassoc.asp?LangID=%04x&Ext=%ss"

Rapport ZHPFix (Exemple d'une protection désactivée)

Lignes saisies (2) :
[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusDisableNotify: Modified
[HKLM\SOFTWARE\Microsoft\Security Center] FirewallDisableNotify: Modified

Rapport de ZHPFix v1.12.3133 par Nicolas Coolman, Update du 02/08/2010

========== Elément(s) de donnée du Registre ==========
[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusDisableNotify: Modified => Donnée supprimée avec succès
[HKLM\SOFTWARE\Microsoft\Security Center] FirewallDisableNotify: Modified => Donnée supprimée avec succès

========== Récapitulatif ==========
2 : Elément(s) de donnée du Registre

Rapport ZHPFix (Exemple d'une action Hijacker)

Lignes saisies (1) : (La donnée de la valeur Intl a été modifiée avec "http://chercheUs.com")
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Associations] Intl: Modified

Rapport de ZHPFix v1.12.3202 par Nicolas Coolman, Update du 07/06/2011

========== Elément(s) de donnée du Registre ==========
SUPPRIME Explorer Association Data Intl: http://chercheUs.com

========== Récapitulatif ==========
1 : Elément(s) de donnée du Registre

Exemples d'infection

---\\ Security Center & Tools Informations
[HKLM\SOFTWARE\Microsoft\Security Center] FirewallDisableNotify: Modified => Infection Diverse (Disabled.SecurityCenter)
[HKLM\SOFTWARE\Microsoft\Security Center] UpdatesDisableNotify: Modified => Infection Diverse (Disabled.WindowsUpdate)

Exemples d'alerte

---\\ System Information
Total RAM: 3069 MB (12% free) => Seuil critique dépassé
System drive C: has 15 GB (9%) free of 232 GB => Seuil critique dépassé

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_Entete

ZHPDiag - Windows Product Information (WPI)

Origine

- Le module Windows Product Information (WPI) a été crée le 02 août 2011.

Caractéristiques

Le module Windows Product Information (WPI) est inséré dans l'entête du rapport. Il a pour fonction de rechercher l'authenticité de la version Windows installée. (1.28.10).

Détail

Windows Server License Manager Script :
- Le fichier de script VBS "c:\Windows\System32\slmgr.vbs" est présent.
- Il permet la recherche d'éléments particuliers sur la licence et l'activation du produit.
- En cas d'absence, il s'agit généralement d'une installation Windows illicite.

~ Windows(R) 7, OEM_COA_NSLP channel
- L'installation OEM est conforme

~ Windows(R) 7, OEM_SLP channel
System Locked Preinstallation (OEM_SLP): OK
- L'installation s'est fait avec une version OEM utilisée par les fafriquants d'ordinateurs. Ceci à pour effet de préactiver les installations de Microsoft Windows.

~ Windows(R) 7, OEM_COA_NSLP channel
- L'installation OEM est conforme

~ Windows Partial Key : {Random}
- Il s'agit de la clé partielle du produit.

Windows ID Activation : OK
- La license est active.

Windows License : OK
- La license est présente.

Key Management Service client information : OK
- Le service existe, il s'agit d'une installation illicite.

Software Protection Service (Protection logicielle) : OK
- Le service de protection logicielle est démarré en automatique.

Windows Automatic Updates : OK
- Le service de mises à jour automatiques de Windows est démarré.

Windows Genuine Adventage : OK
- L'authentification du produit WGA est activée.

Windows Genuine Adventage (antiwpa) : OK
- L'authentification du produit WGA est crackée avec l'utilitaire antiWPA..

Aperçu ZHPDiag

---\\ Windows Product Information v1.28.10
Windows 7 Home Premium Edition, 32-bit Service Pack 1 (Build 7601)
Windows Server License Manager Script : OK (A partir de Vista)
~ Windows(R) 7, OEM_COA_NSLP channel (A partir de Vista)
Windows ID Activation : OK (A partir de Vista)
~ Windows Partial Key : BYPGM (A partir de Vista)
Windows License : OK (A partir de Vista)
~ Windows Remaining Initializations Number : 5 (A partir de Vista)
Software Protection Service (Protection logicielle) : OK
Windows Automatic Updates : OK (A partir de Vista)

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_Entete

ZHPDiag - Security Center & Tools Information (SCTI)

Origine

- Le module Security Center & Tools Information (SCTI) a été crée le 05 mars 2008.

Caractéristiques

Le centre de sécurité de Windows, l'editeur de Base de Registres (BDR) et le Gestionnaires des tâches sont souvent la cible de malwares qui cherchent à réduire la protection du système. Le premier objectif du malware est de modifier ou de créer de nombreuses clés de BDR à l'insu de l'utilisateur afin de supprimer ou de réduire les protections de l'antivirus et/ou du pare-feu. Ensuite il va s'efforcer d'empecher le téléchargement et l'installation des mises à jour du système afin de pouvoir en exploiter les failles. Enfin le malware va s'attaquer à supprimer les accès au gestionnaire des tâches et à l'éditeur de Base De Registres. Afin de vérifier si le système subit une telle attaque, ZHPDiag énumère un ensemble de valeurs de BDR succeptibles d'être concernées. En fonction du cas, la valeur de clé portera la mention 'OK' ou 'Modified' dans le cas le l'action malware. v1.25.133

Ajout de nouvelles valeurs de recherche dans "Security Center & Tools Informations". (1.27.205)
- La valeur "NoDesktop" qui permet d'afficher ou de cacher les raccourcis du Bureau,
- La valeur "NoResolveSearch" qui accepte ou empêche le système d'effectuer une recherche complète sur le lecteur cible lors de la résolution d'un raccourci,
- La valeur "NoStartMenuSubFolder" qui permet d'activer ou de désactiver les sous-menus du menu démarrer,
- La valeur "NoClose" qui autorise ou refuse à l'utilisateur la possibilité d'arrêter ou à redémarrer Windows

Ajout de 3 nouvelles valeurs de recherche dans "Security Center & Tools Informations". (1.27.227)
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Associations\Intl]
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Associations\Application]
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Associations\XMLLookup]

Ajout de la valeur de clé "WarnOnHTTPSToHTTPRedirect". La donnée de cette valeur pilote la suppression de l'affichage de l'alerte de sécurité de Microsoft Internet Explorer : "Vous allez être redirigé vers une connexion qui n'est pas sécurisée". (1.27.2347)

Ajout d'une recherche sur l'activation du service du centre de sécurité "wscsvc". (1.27.2422)
HKLM\SYSTEM\CurrentControlSet\Services\wscsvc

Ajout d'une nouvelle valeurs de recherche dans "Security Center & Tools Informations". (1.28.2156)
[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Start_ShowMyComputer]

Ajout de nouvelles valeurs de recherche dans "Security Center & Tools Informations". (2013.5.24.2)
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer|NoSMHelp
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer|NoFind

Ajout de nouvelles valeurs de recherche dans "Security Center & Tools Informations". (2013.10.17.11)
[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
- Start_ShowHelp,
- Start_ShowMyDocs,
- Start_ShowMyGames,
- Start_ShowMyMusic,
- Start_ShowMyPics,
- Start_ShowPrinters,
- Start_ShowSearch
- Start_ShowSetProgramAccessAndDefaults,

Aperçu ZHPDiag

---\\ Security Center & Tools Informations v1.25.133
[HKLM\SOFTWARE\Microsoft\Security Center] AntiSpywareOverride: OK
[HKLM\SOFTWARE\Microsoft\Security Center] FirewallDisableNotify: Modified
[HKLM\SOFTWARE\Microsoft\Security Center\Svc] UacDisableNotify: OK

---\\ Security Center & Tools Informations v1.27.205
[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] NoStartMenuSubFolder: Modified => EXPLORER : Les sous-menus du menu démarrer sont désactivés
[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] NoStartMenuSubFolder: OK => EXPLORER : Les sous-menus du menu démarrer sont activés
[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] NoDesktop: Modified => EXPLORER : Cache les raccourcis du Bureau
[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] NoDesktop: OK => EXPLORER : Affiche les raccourcis du Bureau
[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] NoResolveSearch: Modified => EXPLORER : Résolution des raccourcis désactivée
[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] NoResolveSearch: OK => EXPLORER : Résolution des raccourcis activée
[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] NoClose: Modified => EXPLORER : Empêche l'utilisateur d'arrêter ou de redémarrer Windows
[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] NoClose: OK => EXPLORER : Autorise l'utilisateur à arrêter ou à redémarrer Windows

---\\ Security Center & Tools Informations v1.27.227
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Associations] Application: OK => EXPLORER : Association Application
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Associations] Application: Modified => Infection BT (Hijacker.Application)
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Associations] Intl: OK => EXPLORER : Association Intl
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Associations] Intl: Modified => Hijacker.Intl
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Associations] XMLLookup: OK => EXPLORER : Association XMLLookup
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Associations] XMLLookup: Modified => Hijacker.XMLLookup

---\\ Security Center & Tools Informations v1.27.2422
[HKLM\SYSTEM\CurrentControlSet\Services] wscsvc : Modified => SYSTEM : Centre de Sécurité désactivé

---\\ Security Center & Tools Informations v2013.5.24.2
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] NoMSHelp: OK => EXPLORER : MSHelp
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] NoFind: Modified => PUM.Hijack

Action ZHPFix (Exemple 1 - Cas d'une donnée entière)

[HKLM\SOFTWARE\Microsoft\Security Center] {ValueKey} : Modified

{Key} :Clé de Base de Registres [HKLM\SOFTWARE\Microsoft\CurrentVersion\Explorer\Associations]
{ValueKey} : Valeur de clé de {Key}

L'outil restaure la donnée de la valeur de {ValueKey}
- La donnée DWORD par défaut de valeur "AntiVirusDisableNotify" est '0'
- La donnée DWORD par défaut de valeur "FirewallDisableNotify" est '0'
- etc...

Action ZHPFix (Exemple 2 - Cas d'une donnée chaîne)

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Associations] {ValueKey} : Modified

{Key} :Clé de Base de Registres [HKLM\SOFTWARE\Microsoft\Security Center]
{ValueKey} : Valeur de clé de {Key}

L'outil restaure la donnée de la valeur de {ValueKey}
- La donnée Chaîne par défaut de valeur "Application" est "http://shell.windows.com/fileassoc/%04x/xml/redir.asp?Ext=%s"
- La donnée Chaîne par défaut de valeur "Intl" est "http://shell.windows.com/fileassoc/fileassoc.asp?LangID=%04x&Ext=%s"
- La donnée Chaîne par défaut de valeur "XMLLookup" est "http://shell.windows.com/fileassoc/fileassoc.asp?LangID=%04x&Ext=%ss"

Rapport ZHPFix (Exemple d'une protection désactivée)

Lignes saisies (2) :
[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusDisableNotify: Modified
[HKLM\SOFTWARE\Microsoft\Security Center] FirewallDisableNotify: Modified

Rapport de ZHPFix v1.12.3133 par Nicolas Coolman, Update du 02/08/2010

========== Elément(s) de donnée du Registre ==========
[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusDisableNotify: Modified => Donnée supprimée avec succès
[HKLM\SOFTWARE\Microsoft\Security Center] FirewallDisableNotify: Modified => Donnée supprimée avec succès

========== Récapitulatif ==========
2 : Elément(s) de donnée du Registre

Rapport ZHPFix (Exemple d'une action Hijacker)

Lignes saisies (1) : (La donnée de la valeur Intl a été modifiée avec "http://chercheUs.com")
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Associations] Intl: Modified

Rapport de ZHPFix v1.12.3202 par Nicolas Coolman, Update du 07/06/2011

========== Elément(s) de donnée du Registre ==========
SUPPRIME Explorer Association Data Intl: http://chercheUs.com

========== Récapitulatif ==========
1 : Elément(s) de donnée du Registre

Exemples d'infection

---\\ Security Center & Tools Informations
[HKLM\SOFTWARE\Microsoft\Security Center] FirewallDisableNotify: Modified => Infection Diverse (Disabled.SecurityCenter)
[HKLM\SOFTWARE\Microsoft\Security Center] UpdatesDisableNotify: Modified => Infection Diverse (Disabled.WindowsUpdate)

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_081

ZHPDiag - Message d'alerte

Origine

Le module Message d'alerte (MEAL) )a été crée le 20 octobre 2011.

Caractéristiques

Lié au module MEAL (MEssage d'ALerte). Il permet d'afficher un message d'alerte lorqu'une clé, valeur ou donnée de base de registre est modifiée par un malware.

Liste des messages

WARNING : Windows update file wuauclt.exe not found
WARNING : RootKit.ZAccess found with file consvr.dll
WARNING : Adware.Navipromo/MagicControl found in registry or folder

RootKit.ZAccess

WARNING : RootKit.ZAccess found with file consvr.dll

Détection de la présence du rootkit ZAccess dans la donnée de la valeur "Windows" de la clé SubSystems. (1.28.215)

La ressource "ConSrv.dll" se sustitue à la ressource "Winsrv.dll"

Donnée d'origine de la valeur Windows
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems]
"Windows"=" {...} ServerDll=winsrv:ConServerDllInitialization,2 {...}"

Donnée modifiée de la valeur Windows
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems]
"Windows"=" {...} ServerDll=consrv:ConServerDllInitialization,2 {...}"

Aperçu ZHPDiag

---// Alert Message
WARNING : RootKit.ZAccess found with file consvr.dll

Action ZHPFix

Pour RootKit.ZAccess, aucune prise en charge du fait de la complexité de la désinfection, il faut suivre la méthode donnée par Malekal (Voit lien). Une restauration de Windows à une date antérieure peut résoudre le problème.

Liens

Zaccess sur Windows 64 bits

(C) Copyrights 2011 - Nicolas Coolman - All rights reserved


ZHPdiag_LMB

ZHPDiag - Modules de base (LMB)

Origine

- La création de la liste des modules de base a démarrée 5 mars 2008.

Caractéristiques

- 05/03/2008 : Module d'entête (EDR)
- 05/03/2008 : Module PLD Processus lancés au démarrage (PLD)
- 07/09/2010 : Module B0 Page de démarrage du navivateur Opera (SPO)
- 12/11/2010 : Module B1 Page de recherche du navigateur Opera (OSP)
- 05/03/2008 : Module F2 Modification d'une valeur System.ini (MVS)
- 05/03/2008 : Module F3 Modification d'une valeur Win.Ini (MVW)
- 11/11/2010 : Module G0 Page de démarrage du navigateur Google Chrome (GCSP)
- 12/11/2010 : Module G1 Page de recherche du navigateur Google Chrome (GCS)
- 11/11/2010 : Module G2 Extensions du navigateur Google Chrome (GCE)
- 31/08/2010 : Module M0 Page de démarrage de Mozilla Firefox (MFSP)
- 11/03/2008 : Module M1 Search Page Redirection (SPR)
- 01/09/2010 : Module M2 Programmes d'extension de Mozilla Firefox (MFEP)
- 05/02/2011 : Module M3 Plugins de navigateur Mozilla Firefox (MFPP)
- 12/03/2008 : Module P1 Opera Plugin Navigator) (OPN)
- 14/07/2010 : Module P2 Firefox Plugin Navigator) (FPN)
- 15/03/2008 : Module R0 Pages de démarrage d'Internet Explorer (PDIE)
- 15/03/2008 : Module R1 Pages de recherche d'Internet Explorer (PRIE)
- 20/03/2008 : Module R3 Internet Explorer URLSearchHook (USH)
- 15/02/2011 : Module R4 Internet Explorer Other Keys (IEOK)
- 20/02/2011 : Module R5 Internet Explorer Proxy Management (IEPM)
- 20/03/2008 : Module O1 Redirection du fichier Hosts (RFH)
- 24/03/2008 : Module O2 Browser Helper Objects de navigateur (BHO)
- 24/03/2008 : Module O3 Internet Explorer Toolbars (IETB)
- 08/04/2008 : Module O4 Applications démarrées automatiquement par le registre (ADAR)
- 08/04/2008 : Module O4 Applications lancées au démarrage du système (ALDS)
- 08/04/2008 : Module O5 Invisibilité de l'icône d'options IE dans le panneau de Configuration (IIPC)
- 10/04/2008 : Module O6 Restriction de l'accès aux options IE par l'Administrateur (RAIE)
- 10/04/2008 : Module O7 Restriction de l'accès à Regedit par l'Administrateur (RARE)
- 15/04/2008 : Module O8 Lignes supplémentaires dans le menu contextuel d'Internet Explorer (LSMI)
- 15/04/2008 : Module O9 Boutons situés sur la barre d'outils principale d'Internet Explorer (BSMI)
- 20/05/2008 : Module O10 Piratages de Winsock (LSP)
- 20/05/2008 : Module O11 Onglet supplémentaire dans les options avancées d'Internet Explorer (OSOI)
- 27/05/2008 : Module O12 Internet Explorer Plugins (IEP)
- 27/05/2008 : Module O13 Piratage des préfixes d'URL d'Internet Explorer (PFUI)
- 28/05/2008 : Module O14 Paramètres par défaut des options Internet Explorer (PDOI)
- 04/06/2008 : Module O15 Site dans la Zone de confiance d'Internet Explorer (SZCI)
- 04/06/2008 : Module O16 Objets ActiveX (OAX)
- 05/06/2008 : Module O17 Modification Domaine/Adresses DNS (MDAD)
- 09/07/2008 : Module O18 Protocole additionnel et piratage de protocole (PAPP)
- 09/07/2008 : Module O19 Piratage de feuille de style Utilisateur (PFSU)
- 10/07/2008 : Module O20 Valeur de sous-clés Winlogon Notify (VWN)
- 10/07/2008 : Module O20 Valeur de Registre AppInit_DLLs (VRAD)
- 15/08/2008 : Module O21 Shell Service Object Delay Load (SSODL)
- 20/08/2008 : Module O22 Clé de Registre autorun SharedTaskScheduler (STS)
- 20/08/2008 : Module O23 Services NT non Microsoft et non désactivés (SMND)
- 23/08/2008 : Module O24 Énumération des composants Active Desktop (ECAD)
- 21/03/2010 : Module d'entête "Security Center & Tools Informations" (ECTI)
- 18/10/2011 : Module O34 BootExcute (BEX)
- 16/12/2011 : Module O36 Session Manager Key (SMK)


ZHPdiag_PLD

ZHPDiag - Processus lancés au démarrage (PLD)

Origine

- Le module des processus lancés au démarrage (PLD) a été crée le 05 mars 2008.

Caractéristiques

- Ce module recense l'ensemble des processus qui sont lancés au démarrage du système. Il provient d'une part de données situées dans les clés Run,RunOnce ou RunServices de la Base De Registres et d'autre part de données chargées au démarrage de certains services.

- Ajout du MD5, du propriétaire et de la désignation du fichier. v1.25.02

- Ajout de la taille du fichier en fin de ligne entre crochets. L'étoile indique la présence d'un caractère inaffichable dans le nom du processus et probablement inséré par l'action d'un malware. v1.25.1337

- De plus en plus de malwares usurpent des noms de propriétaires connus. c'est le cas notamment de 'Micrososoft Corporation'. De façon à tenir compte de cela, le filtre sur les processus générics de Microsoft lancés au démarrage reposera désormais sur une liste blanche. v1.26.26

- Ajout du ProcessID (PID). v1.28.1323

Aperçu ZHPDiag

---\\ Processus lancés
C:\WINDOWS\System32\alg.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe

---\\ Processus lancés v1.25.02
[MD5.21293443961A4E2597453EE7A9347F22] - (.Hewlett-Packard - hpwuSchd Application.) -- C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
[MD5.7088B136BB58A5F95CF0DE8386CA6C0F] - (.Pas de propriétaire - Pas de description.) -- C:\HP\KBD\KbdStub.EXE

---\\ Processus lancés v1.25.1337
[MD5.FF473648E7B1B37C7F3249A6549FAC72] - (.Hewlett-Packard - HpqSRmon.) -- C:\Program Files\HP\Digital Imaging\bin\hpqSRMon.exe [150016]
[MD5.FF473648E7B1B37C7F3249A6549FAC72] - (.Hewlett-Packard - HpqSRmon.) -- C:\Program Files\HP\Digital Imaging\bin\hpqSRMon .exe [150016]*

---\\ Processus lancés v1.28.1323
[MD5.9A4322EE420D6FACD4D4B1FF6CB80000] - (.Hewlett-Packard Company - hpsysdrv.) -- C:\hp\support\hpsysdrv.exe [65536] [PID.3052]

Aperçu HJT

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe

Aperçu USBFix

############################## | Processus actifs |
C:\Windows\System32\smss.exe 444
C:\Windows\system32\csrss.exe 520

Aperçu OTL

========== Processes (SafeList) ==========
PRC - C:\WINDOWS\explorer.exe (Microsoft Corporation)
PRC - C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe (Apple, Inc.)

Exemples d'infection

---\\ Processus lancés
[MD5.F37F33C261276D4631E36AB50B7ADF47] - (.ApexDC++ Development Team - ApexDC++.) -- C:\Users\...\AppData\Local\Temp\Omg.exe [206336] => Infection Diverse (Trojan.FraudPack)
[MD5.718DA73CA338A0509B996ED6343F21CC] - (.Pas de propriétaire - IE3SH Application.) -- C:\Program Files\SGPSA\ie3sh.exe [65344] => Infection BT (Fast Browser Search Toolbar)
[MD5.D52BFDBFABE02CF9B8878A66CBC31C7F] - (.ApexDC++ Development Team - ApexDC++.) -- C:\Users\Geoffrey\AppData\Local\Temp\Omh.exe [202752] => Infection Diverse (Trojan.FraudPack)
[MD5.00000000000000000000000000000000] - (.Pas de propriétaire - Pas de description.) -- C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\Ijl.exe [171008] => Infection Diverse (Trojan.FraudPack)

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_Bx

ZHPDiag - B0,B1

Origine

- Ces modules ont été créés à partir de septembre 2010.

Caractéristiques

- Ces modules permettent d'analyser les pages de démarrage et de recherche du navigateur Opera.

Evolutions

- 07/09/2010 : Module B0 Page de démarrage du navivateur Opera (SPO)
- 12/11/2010 : Module B1 Page de recherche du navigateur Opera (OSP)


ZHPdiag_B0

ZHPDiag - Module B0 (SPO)

Origine

Le module B0 (SPO) a été crée le 07 septembre 2010.

Caractéristiques

Lié au module SPO (Start Page Opera). Il permet de rechercher la page de démarrage du navigateur Opera. Cette information est tirée du fichier de préférences de l'utilisateur "operaprefs.ini" situé dans le dossier "%AppData%\Opera\Opera\". v1.26.60

Aperçu ZHPDiag

---\\ Page de démarrage du navigateur Opera (B0)
B0 - SPO: operaprefs.ini [Coolman] Home URL=http://www.aol.fr/

Exemples d'infection

---\\ Page de démarrage du navigateur Opera (B0)
B0 - SPO: operaprefs.ini [Coolman] Home URL= http://www.cherche.us/

Action ZHPFix

B0 - SPO: operaprefs.ini [ {UserName}] {HttpName}

{UserName} : Nom de l'utilisateur,
{HttpName} : Nom du site contenu dans le fichier de préférences de l'utilisateur,

- L'outil supprime la page de démarrage et la remplace par celle de google "http://www.google.fr/"

Rapport ZHPFix (Exemple)

B0 - SPO: operaprefs.ini [Coolman] Home URL= http://www.cherche.us/

Rapport de ZHPFix v1.12.3147 par Nicolas Coolman, Update du 07/09/2010

========== Préférences navigateur ==========
B0 - SPO: operaprefs.ini [Coolman] Home URL=http://www.aol.fr/ => Valeur supprimée avec succès

========== Récapitulatif ==========
1 : Préférences navigateur

Relancer le navigateur Opera pour prendre en compte les modifications.

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPDiag_G1

ZHPDiag - Module B1 (OSP)

Origine

Le module B1 (OSP) a été crée le 12 novembre 2010.

Caractéristiques

Lié au module OSP (Opera Search Page). Il permet de rechercher la page de recherche du navigateur Opera. Cette information est tirée du fichier de préférences de l'utilisateur "search.ini".

Aperçu ZHPDiag

---\\ Opera, Pages de démarrage et de recherche (B0,B1)
B1 - OSP: search.ini [Coolman] URL=http://search.opera.com

Exemples d'infection

---\\ Opera, Pages de démarrage et de recherche (B0,B1)
B1 - OSP: search.ini [Coolman] URL=http://www.cherche.us

Action ZHPFix

B1 - OSP: search.ini [[UserName}] URL= {HttpName}

{UserName} : Nom de l'utilisateur,
{HttpName} : Nom du site contenu dans le fichier de préférences de l'utilisateur,

- L'outil supprime la page de recherche et la remplace par celle de google "http://www.google.fr/"

Rapport ZHPFix (Exemple)

B1 - OSP: search.ini [Coolman] URL=http://www.cherche.us

Rapport de ZHPFix 1.12.3217 par Nicolas Coolman, Update du 12/11/2010

========== Préférences navigateur ==========
B1 - OSP: search.ini [Coolman] URL=http://www.cherche.us => Valeur supprimée avec succès

========== Récapitulatif ==========
1 : Préférences navigateur

End of the scan

Relancer le navigateur pour prendre en compte les modifications.

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_Gx

ZHPDiag - G0,G1,G2

Origine

- Ces modules ont été créés le 11 Novemdre 2010.

Caractéristiques

- Ces modules permettent d'analyser les pages de démarrage et de recherche du navigateur Google Chrome. Il recense aussi les extensions de programme du navigateur.

Evolutions

- 12/11/2010 : Nouveau module G1 (GCS) - Page de recherche du navigateur Google Chrome.
- 11/11/2010 : Nouveau module G2 (GCE) - Programmes d'extension du navigateur Google Chrome.
- 11/11/2010 : Nouveau module G0 (GCSP) - Page de démarrage du navigateur Google Chrome.


ZHPDiag_G0

ZHPDiag - Module G0 (GCSP)

Origine

Le module G0 (GCSP) a été crée le 11 novembre 2010.

Caractéristiques

Lié au module GCSP (Google Chrome Start Page). Il permet de rechercher la page de démarrage de Google Chrome. Cette information est tirée du fichier de préférences de l'utilisateur (Preferences).

Aperçu ZHPDiag

---\\ Page de démarrage de Google Chrome (G0)
G0 - GCSP: Preference [User Data\Default][HomePage] http://www.google.fr
G0 - GCSP: Preference [User Data\Default] http://www.google.ch

Exemples d'infection

---\\ Page de démarrage de Google Chrome (G0)
G0 - GCSP: Preference [User Data\Default] http://www.cherche.us/

Action ZHPFix

G0 -GCSP: Preference [User Data\Default] - {HttpName}

{HttpName} : Nom du site contenu dans le fichier de préférences de l'utilisateur,

- L'outil supprime la page de démarrage et la remplace par celle de google "http://www.google.fr/"

Rapport ZHPFix (Exemple)

G0 - GCSP: Preference [User Data\Default] http://www.cherche.us/

Rapport de ZHPFix 1.12.3216 par Nicolas Coolman, Update du 09/11/2010

========== Préférences navigateur ==========
G0 - GCSP: Preference [User Data\Default] http://www.cherche.us => Valeur supprimée avec succès

========== Récapitulatif ==========
1 : Préférences navigateur

End of the scan

Relancer le navigateur pour prendre en compte les modifications.

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPDiag_G1

ZHPDiag - Module G1 (GCS)

Origine

Le module G1 (GCS) a été crée le 12 novembre 2010.

Caractéristiques

Lié au module GCS (Google Chrome Search Page). Il permet de rechercher la page de recherche de Google Chrome. Cette information est tirée du fichier de préférences de l'utilisateur (Preferences).

Aperçu ZHPDiag

---\\ Page de recherche de Google Chrome (G1)
G1 - GCS: Preference [User Data\Default] http://www.bing.com

Exemples d'infection

---\\ Page de recherche de Google Chrome (G1)
G1 - GCS: Preference [User Data\Default] http://www.cherche.us/

Action ZHPFix

G1 -GCS: Preference [User Data\Default] - {HttpName}

{HttpName} : Nom du site contenu dans le fichier de préférences de l'utilisateur,

- L'outil supprime la page de démarrage et la remplace par celle de google "http://www.google.fr/"

Rapport ZHPFix (Exemple)

G1 - GCS: Preference [User Data\Default] http://www.cherche.us/

Rapport de ZHPFix 1.12.3217 par Nicolas Coolman, Update du 12/11/2010

========== Préférences navigateur ==========
G1 - GCS: Preference [User Data\Default] http://www.cherche.us => Valeur supprimée avec succès

========== Récapitulatif ==========
1 : Préférences navigateur

End of the scan

Relancer le navigateur pour prendre en compte les modifications.

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_M2

ZHPDiag - Module G2 (GCE)

Origine

Le module G2 (GCE) a été crée le 11 nobembre 2010.

Caractéristiques

Lié au module GCE (Google Chrome Extensions). Il permet de lister tous les programmes d'extension du navigateur Google Chrome.

- La recherche s'effectue dans le fichier de préférences de l'utilisateur "Preferences".

Aperçu ZHPDiag

---\\ Google Chrome Extensions (G2)
G2 - GCE: Preference [User Data\Default] [faminaibgiklngmfpfbhmokfmnglamcm] PanicButton v.0.12 (Activé)
G2 - GCE: Preference [User Data\Default] [gighmmpiobklfepjocnamgkkbiglidom] AdBlock v.2.2.7 (Activé)

Exemple d'infection

Action ZHPFix

G2 - GCE: Preference [User Data\Default] [{KeyProduct}] {NameProduct} {VersionProduct} ({ModeActivate})

{KeyProduct} : Clé du produit (Dossier).
{NameProduct} : Nom du produit.
{VersionProduct} : Version du produit
{ModeActivate} : Mode d'activation (Plugin Activé ou Désactivé)

- L'outil supprime le dossier {KeyProduct},
- L'outil supprime la clé du produit {KeyProduct} dans le fichier de préférence,
- L'outil supprime le fichier de préférences (07/06/2013),

ZHPFix (Exemple)

G2 - GCE: Preference [User Data\Default] [gighmmpiobklfepjocnamgkkbiglidom] PanicButton v.0.12 (Activé)

Rapport de ZHPFix 1.12.3216 par Nicolas Coolman, Update du 09/11/2010

========== Préférences navigateur ==========
C:\Users\Coolman\AppData\Local\Google\Chrome\User Data\Default\Extensions\gighmmpiobklfepjocnamgkkbiglidom => Supprimé et mis en quarantaine

========== Récapitulatif ==========
1 : Préférences navigateur

End of the scan

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_Rx

ZHPDiag - M0, M1, M2 (Mozilla Firefox)

Origine

La création du premier module a démarrée en mars 2008.

Caractéristiques

- Ces modules permettent d'analyser les pages de démarrage et de recherche du navigateur Mozilla Firefox.

Evolutions

- 02/09/2010 : Module M2 Programmes d'extension de Mozilla Firefox (MFEP)
- 31/08/2010 : Module M0 Page de démarrage de Mozilla Firefox (MFSP)
- 11/03/2008 : Module M1 Search Page Redirection (SPR)


ZHPdiag_081

ZHPDiag - Module M0 (MFSP)

Origine

Le module M0 (MFSP) a été crée le 31 août 2010.

Caractéristiques

Lié au module MFSP (Mozilla Firefox Start Page). Il permet de rechercher la page de démarrage de Mozilla Firefox. Cette information est tirée du fichier de préférences de l'utilisateur (prefs.js).

Extension de recherche aux divers profils utilisateurs. v1.26.59

Ajout d'une recherche dans le fichier utilisateur 'User.js". (1.28.133)
Ce fichier utilisateur est très intéressant car il permet de mettre à jour le fichier javascript des préférences "pref.js".
En fait les données de "user.js" sont prioritaires sur celles présentes dans "pref.js" et viennent le modifier.
Ainsi un malware peut facilement pirater votre page de démarrage Firefox simplement en insérant une ligne dans le fichier "user.js".
Ceci explique que, même après un nettoyage réussi dans le fichier "pref.js", au démarrage suivant la redirection soit toujours présente !

Aperçu ZHPDiag

---\\ Mozilla Firefox, Plugins,Demarrage,Recherche,Extensions (P2,M0,M1,M2,M3)
M0 - MFSP: prefs.js [Coolman - c0xcfafn.default] http://www.opera.com/download/
M0 - MFSP: prefs.js [Coolman - c0xcfafn.default] http://www.google.fr/

---\\ Mozilla Firefox, Plugins,Demarrage,Recherche,Extensions (P2,M0,M1,M2,M3) (1.28.133)
M0 - MFSP: user.js [Coolman - c0xcfafn.default] http://www.seeearch.com/

Exemples d'infection

---\\ Page de démarrage de Mozilla Firefox (M0)
M0 - MFSP: prefs.js [Coolman - c0xcfafn.default] http://www.cherche.us/
M0 - MFSP: user.js [Coolman - c0xcfafn.default] http://www.seeearch.com/

Action ZHPFix (N°1)

M0 - MFSP: prefs.js [ {UserName}- {UserDir] {HttpName}

{UserName} : Nom de l'utilisateur,
{HttpName} : Nom du site contenu dans le fichier de préférences de l'utilisateur pref.js,
{UserDir} : Dossier de l'utilisateur.

- L'outil supprime la page de démarrage et la remplace par celle de google "http://www.google.fr/"

Action ZHPFix (N°2)

M0 - MFSP: user.js [ {UserName}- {UserDir] {HttpName}

{UserName} : Nom de l'utilisateur,
{HttpName} : Nom du site contenu dans le fichier de préférences de l'utilisateur user.js,
{UserDir} : Dossier de l'utilisateur.

- L'outil supprime la page de démarrage et la remplace par celle de google "http://www.google.fr/"

Rapport ZHPFix (Exemple)

M0 - MFSP: prefs.js [Coolman - n3vs15la.default] http://www.opera.com/download/

Rapport de ZHPFix v1.12.3142 par Nicolas Coolman, Update du 31/08/2010

========== Préférences navigateur ==========
M0 - MFSP: prefs.js [Coolman - n5vs13la.default] http://www.opera.com/download/ => Valeur supprimée avec succès

========== Récapitulatif ==========
1 : Préférences navigateur

Relancer le navigateur pour prendre en compte les modifications.

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_P1

ZHPDiag - Module M1 (SPR)

Origine

- Le module M1 (SPR) a été crée le 11 mars 2008.

Caractéristiques

- Lié au module SPR (Search Page Redirection). De nombreuses extensions sont proposées pour le navigateur Firefox. Certaines d'entre elles, non désirées, peuvent provoquer une redirection de la page de recherche. Afin de pister une éventuelle redirection, l'outil énumère l'ensemble des dossiers comportant une redirection. Ensuite l'analyse de ZHP pourra déterminer la légitimité ou la nocivité de l'adresse spécifiée.

- La recherche s'effectue dans le dossier "%PROGRAMFILES%\Mozilla FireFox\extensions".

Aperçu ZHPDiag

----\\ Pages de recherche de Mozilla Firefox (M1)
M1 - SPR:Search Page Redirection - C:\Program Files\Mozilla FireFox\extensions\talkback@mozilla.org

Action ZHPFix

M1 - SPR:Search Page Redirection - {FileName}

{FileName} : Nom du fichier.

- L'outil supprime le fichier.

Exemple d'infection

----\\ Pages de recherche de Mozilla Firefox (M1)
M1 - SPR:Search Page Redirection - C:\Program Files\Mozilla Firefox\extensions\search@searchsettings.com

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_M2

ZHPDiag - Module M2 (MFEP)

Origine

Le module M2 (MFEP) a été crée le 02 septembre 2010.

Caractéristiques

Lié au module MFEP (Mozilla Firefox Extension Programs). Il permet de lister tous les programmes d'extension du navigateur Mozilla Firefox. Cette liste s'établie pour chaque profil d'uilisateur

- La recherche s'effectue dans le fichier de préférences de l'utilisateur "prefs.js".

Aperçu ZHPDiag

---\\ Programmes d'extension pour Mozilla Firefox (M2)
M2 - MFEP: prefs.js [Coolman - n9vt152a.default\{20a82645-c095-46ed-80e3-08825760534b}] [MicrosoftCG] Microsoft .NET Framework Assistant 1.2.1 (.Microsoft.)
M2 - MFEP: prefs.js [Coolman - n9vt152a.default\{635abd67-4fe9-1b23-4f01-e679fa7484c1}] [yahoo.ytff] Yahoo! Toolbar 2.1.4.20100423010936 (.Yahoo!.)
M2 - MFEP: prefs.js [Coolman - n9vt152a.default\{b9db16a4-6edc-47ec-a1f4-b86292ed211d}] [dwhelper] DownloadHelper 4.8 (.Michel Gutierrez.)
M2 - MFEP: prefs.js [Coolman - n9vt152a.default\{d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d}] [adblockplus] Adblock Plus 1.2.2 (.Wladimir Palant.)
M2 - MFEP: prefs.js [Coolman - n9vt152a.sauve\{d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d}] [adblockplus] Adblock Plus 1.2.2 (.Wladimir Palant.)

Exemple d'infection

---\\ Programmes d'extension pour Mozilla Firefox (M2)
M2 - MFEP: prefs.js [Clément - ybe1p55v.default\{29bba41f-7e50-465b-9b8f-7dc7cb677df7}] [] XUL Cache 1.0 (.Canonical Ltd..) => Infection BT (Search.Hijacker)
M2 - MFEP: prefs.js [Félix - 2wi79avf.default\searchtoolbar@zugo.com] [] Search Toolbar 1.1 (.Zugo Ltd.) => Infection BT (Adware.Zugo)

Action ZHPFix

M2 - MFEP: prefs.js [{userName} - {random}.default\ExtensionDir] [ {PrefName} ] {LogName} (. {PublisherName} .)

{UserName} : Nom de l'utilisateur.
{ExtensionDir} : Dossier d'extension du logiciel.
{Logname} : Nom du logiciel d'extension, suivi du numéro de version (Données du fichier install.rdf)
{PrefName} : Nom du logiciel d'extension inséré dans le fichier de préférence de l'utilisateur.
{PublisherName} : Propriétairedu logiciel d'extension (Donnée du fichier install.rdf)

1) Le dossier {ExtensionDir} est supprimé,
2) Supprime les lignes du fichier de préférences de l'utilisateur (Seulement en cas de présence de {PrefName}).

ZHPFix (Pas de référence pour le fichier de préférences)

Ligne saisie :
M2 - MFEP: prefs.js [Coolman - n9vt152a.default\{d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d}] [] Adblock Plus 1.2.2 (.Wladimir Palant.)

Rapport de ZHPFix v1.12.3143 par Nicolas Coolman, Update du 02/09/2010

========== Dossier(s) ==========
C:\Users\Coolman\AppData\Roaming\Mozilla\Firefox\Profiles\n9vt152a.default\extensions\{d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d} => Supprimé et mis en quarantaine

========== Récapitulatif ==========
1 : Dossier(s)

ZHPFix (Référence pour le fichier de préférences)

Ligne saisie :
M2 - MFEP: prefs.js [Coolman - n9vt152a.default\{635abd67-4fe9-1b23-4f01-e679fa7484c1}] [yahoo.ytff] Yahoo! Toolbar 2.1.4.20100423010936 (.Yahoo!.)

Rapport de ZHPFix v1.12.3143 par Nicolas Coolman, Update du 01/09/2010

========== Préférences navigateur ==========
/*user_pref("yahoo.ytff.cacheloader.grp_app", "Thu, 02 Sep 2010 15:43:59 GMT");*/ => Valeur supprimée avec succès
/*user_pref("yahoo.ytff.cacheloader.ytff", "Thu, 02 Sep 2010 15:43:59 GMT");*/ => Valeur supprimée avec succès
/*user_pref("yahoo.ytff.etp.lasttiptimestamp", "Fri, 27 Aug 2010 20:24:57 GMT");*/ => Valeur supprimée avec succès
/*user_pref("yahoo.ytff.general.addtomy", true);*/ => Valeur supprimée avec succès
...

========== Dossier(s) ==========
C:\Users\Coolman\AppData\Roaming\Mozilla\Firefox\Profiles\n9vt152a.default\extensions\{635abd67-4fe9-1b23-4f01-e679fa7484c1} => Supprimé et mis en quarantaine

========== Récapitulatif ==========
1 : Dossier(s)
26 : Préférences navigateur

Rapport ZHPFix (Fichier de préférences absent)

Ligne saisie :
M2 - MFEP: prefs.js [Coolman - n9vt152a.default\{d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d}] [adblockplus] Adblock Plus 1.2.2 (.Wladimir Palant.)

Rapport de ZHPFix v1.12.3143 par Nicolas Coolman, Update du 01/09/2010

========== Préférences navigateur ==========
C:\Users\Coolman\AppData\Roaming\Mozilla\Firefox\Profiles\n9vt153a.default\prefs.js => Fichier absent

========== Récapitulatif ==========
1 : Préférences navigateur

Plus d'Informations

Programmes d'extension pour Mozilla Firefox
Mozilla Firefox (Hotline-PC.org)
Firefox : Profils / Extensions etc

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_M3

ZHPDiag - Module M3 (MFPP)

Origine

Le module M3 (MFPP) a été crée le 05 février 2011.

Caractéristiques

Lié au module MFPP (Mozilla Firefox Plugin Program). Il permet de recencer les plugins du navigateur Mozilla Firefox. Les fichiers sont généralement écrit en langage XML.

La recherche s'effectue dans le dossier "Profile" de l'utilisateur, ansi que dans le dossier des programmes.

Aperçu ZHPDiag

---\\ Mozilla Firefox, Plugins,Demarrage,Recherche,Extensions (P2,M0,M1,M2,M3)
M3 - MFPP: Plugins - [Coolman] -- C:\Users\Coolman\AppData\Roaming\Mozilla\Firefox\Profiles\n5vs13lb.default\searchplugins\bing.xml
M3 - MFPP: Plugins - [Coolman] -- C:\Users\Coolman\AppData\Roaming\Mozilla\Firefox\Profiles\n5vs13lb.default\searchplugins\SearchquWebSearch.xml
M3 - MFPP: Plugins - [Coolman] -- C:\Users\Coolman\AppData\Roaming\Mozilla\Firefox\Profiles\n5vs13lb.Essai\searchplugins\bing.xml
M3 - MFPP: Plugins - [Coolman] -- C:\Program Files\Mozilla FireFox\searchplugins\SearchquWebSearch.xml

Aperçu OTL

[2010/09/24 16:20:55 | 000,002,395 | ---- | M] () -- C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\yu5ehpk5.default\searchplugins\askcom.xml
[2010/09/18 14:58:53 | 000,001,575 | ---- | M] () -- C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\yu5ehpk5.default\searchplugins\cherche.xml

Exemples d'infection

---\\ Mozilla Firefox, Plugins,Demarrage,Recherche,Extensions (P2,M0,M1,M2,M3)
M3 - MFPP: Plugins - [Coolman] -- C:\Users\Coolman\AppData\Roaming\Mozilla\Firefox\Profiles\\n5vs13lb.default\searchplugins\SearchquWebSearch.xml => Infection BT (Adware.Bandoo)
M3 - MFPP: Plugins - [Coolman] -- C:\Program Files\Mozilla FireFox\searchplugins\SearchquWebSearch.xml => Infection BT (Adware.Bandoo)

Action ZHPFix

M3 - MFPP: Plugins - [UserName] -- {FileName}
{UserName} : Nom de l'utilisateur,
{FileName} : Nom du fichier, comporte le nom du dossier de profil de l'utilisateur {UserProfile},
{UserProfile} : Dossier Profile de l'utilisateur.

- L'outil supprime le fichier {FileName}.

Rapport ZHPFix (Exemple)

M3 - MFPP: Plugins - [Coolman] -- C:\Users\Coolman\AppData\Roaming\Mozilla\Firefox\Profiles\\n5vs13lb.default\searchplugins\SearchquWebSearch.xml

Rapport de ZHPFix v1.12.3250 par Nicolas Coolman, Update du 05/02/2011

========== Fichier(s) ==========
C:\Users\Coolman\AppData\Roaming\Mozilla\Firefox\Profiles\\n5vs13lb.default\searchplugins\SearchquWebSearch.xml => Supprimé et mis en quarantaine

========== Récapitulatif ==========
1 : Fichier(s)

Liens

(C) Copyrights 2011 - Nicolas Coolman - All rights reserved


ZHPdiag_Rx

ZHPDiag - R0,R1,R3,R4

Origine

- Ces modules ont été créés en avril 2008.

Caractéristiques

- Ces modules permettent d'analyser les pages de démarrage et de recherche du navigateur Microsoft Internet Explorer.

Evolutions

- 15/03/2008 : Module R0 Pages de démarrage d'Internet Explorer (PDIE)
- 15/03/2008 : Module R1 Pages de recherche d'Internet Explorer (PRIE)
- 20/03/2008 : Module R3 Internet Explorer URLSearchHook (USH)
- 15/02/2011 : Module R4 Internet Explorer Other Keys (IEOK)
- 20/02/2011 : Module R5 Internet Explorer Proxy Management (IEPM)

(C) Copyrights 2010-2011 - Nicolas Coolman - All rights reserved


ZHPdiag_R0

ZHPDiag - Module R0 (PDIE)

Origine

Le module R0 (PDIE) a été crée le 15 mars 2008.

Caractéristiques

Ce module recherche les paramètres de la page de démarrage par défaut du navigateur Microsoft Internet Explorer. Le piratage de la page de démarrage permet notamment l'affichage de popups indésirables.

La recherche s'effectue dans la dans la valeur "Start Page" de la clé de Base de Registres [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Main]

Extension de la recherche dans la valeur "Start Page" de la clé de Base de Registres [HKEY_USERS\S-1-5-21-{Ramdom}\Software\Microsoft\Internet Explorer\Main] (v1.27.1526)

Aperçu ZHPDiag

---\\ Pages de démarrage d'Internet Explorer (R0)
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

---\\ Internet Explorer, Démarrage,Recherche,URLSearchHook (R0,R1,R3) (v1.27.1526)
R0 - HKUS\S-1-5-21-{Ramdom}\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

Equivalence HijackThis

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

Action ZHPFix

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = {httpName}

{Key} : Clé de Base de Registres [HKCU\SOFTWARE\Microsoft\Internet Explorer\Main]
{httpName} : Donnée de la valeur "Start Page" de la clé {Key}

- L'outil efface la donnée {httpName} et place la page de démarrage de Google (http://www.google.fr/).

Rapport ZHPFix (Exemple)

Ligne saisie :
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.cherche.us/

Rapport de ZHPFix v1.12.3132 par Nicolas Coolman, Update du 02/08/2010

========== Donnée(s) du Registre ==========
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.cherche.us/ => Donnée supprimée avec succès

========== Récapitulatif ==========
1 : Donnée(s) du Registre

Exemple d'infection

---\\ Pages de démarrage d'Internet Explorer (R0)
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.cherche.us/ => Infection BT (cherche.us.Hjk)

---\\ Pages de démarrage d'Internet Explorer (R0)
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.nuevaq.fm => ZHPHosts Black List
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.nuevaq.fm => ZHPHosts Black List
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://www.nuevaq.fm => ZHPHosts Black List
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://www.nuevaq.fm => ZHPHosts Black List

Liens

* HijacThis, Mode d'emploi (Assiste.com)

(C) Copyrights 2010-2011 - Nicolas Coolman - All rights reserved


ZHPdiag_R1

ZHPDiag - Module R1 (PRIE)

Origine

Le module R1 (PRIE) a été crée le 15 mars 2008.

Caractéristiques

A la base ce module recherchait les paramètres de la page de recherche par défaut du navigateur Microsoft Internet Explorer. Aujourd'ui d'autres éléments sont recensés.

- La recherche s'effectue sur les clés de Base de Registres suivantes :
[HKCU\SOFTWARE\Microsoft\Internet Explorer\Main]
[HKLM\SOFTWARE\Microsoft\Internet Explorer\Main]
[HKCU\SOFTWARE\Microsoft\Internet Explorer\Search]
[HKLM\SOFTWARE\Microsoft\Internet Explorer\Search]
[HKLM\SOFTWARE\Microsoft\Internet Explorer\AboutURLs] v1.28.212
[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings]
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings]
[HKEY_USERS\S-1-5-21-{Ramdom}\Software\Microsoft\Internet Explorer\Main]

Complément de recherche Internet Explorer sur les valeurs :
"Default_Page_URL" et "Default_Search_URL" v1.26.46
"Extensions Off Page" et "Security Risk Page" v1.26.48
"ProxyEnable" v1.27.06
"SearchMigratedDefaultName", "SearchMigratedDefaultURL" et "Search Page ". (v1.27.1526)
"Default_Secondary_Page_URL". (v1.28.231)
"Search Bar". (v2013.10.20.54)

Aperçu ZHPDiag

---\\ Pages de recherche d'Internet Explorer (R1)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

---\\ Pages de recherche d'Internet Explorer (R1) v1.26.46
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

---\\ Pages de recherche d'Internet Explorer (R1) v1.26.48
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Extensions Off Page = about:NoAdd-ons
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Security Risk Page = about:SecurityRisk

---\\ Internet Explorer, Démarrage,Recherche,URLSearchHook (R0,R1,R3) (v1.27.1526)
R1 - HKUS\S-1-5-21-{Ramdom}\Software\Microsoft\Internet Explorer\Main,SearchMigratedDefaultName = cherche.us
R1 - HKUS\S-1-5-21-{Ramdom}\Software\Microsoft\Internet Explorer\Main,SearchMigratedDefaultURL = http://www.cherche.us

---\\ Internet Explorer, Démarrage,Recherche,URLSearchHook, Phishing (R0,R1,R3,R4) (v1.28.212)
R1 - HKLM\SOFTWARE\Microsoft\Internet Explorer\AboutURLs,Tabs = http://seeearch.com

---\\ Internet Explorer, Démarrage,Recherche,URLSearchHook, Phishing (R0,R1,R3,R4) (v1.28.231)
R1 - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Secondary_Page_URL = http://www.search-web.net

Equivalence HijackThis

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

Equivalence OTL

========== Internet Explorer ==========
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=54896
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Extensions Off Page = about:NoAdd-ons
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Security Risk Page = about:SecurityRisk

Exemple d'infection

---\\ Pages de recherche d'Internet Explorer (R1)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.cherche.us/ => Infection BT (cherche.us.Hjk)

---\\ Pages de recherche d'Internet Explorer (R1) Trojan-Downloader.Win32.Agent.eckq
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.nuevaq.fm => ZHPHosts Black List
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.nuevaq.fm => ZHPHosts Black List
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.nuevaq.fm => ZHPHosts Black List
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.nuevaq.fm => ZHPHosts Black List
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.nuevaq.fm => ZHPHosts Black List
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.nuevaq.fm => ZHPHosts Black List

Action ZHPFix

R1 - {Key}, {ValueKey} = {DataKey}

{Key} : Clé de Base De Regitres (voir la liste ci-dessus.
{ValueKey} : Valeur de clé de {Key}, par exemple : SearchPage,ProxyServer.
{DataKey} : Donnée de la valeur {ValueKey}

- L'outil initialise la donnée {DataKey} de la valeur de clé.

a) Pour la valeur ProxyServer, la donnée est initialisée avec la donnée par défaut "http://127.0.0.1:8080"
b) Pour la valeur ProxyOverride, la donnée est initialisée avec la donnée par défaut "*.local"
c) Pour la valeur Extensions Off Page, la donnée est initialisée avec la donnée par défaut "about:NoAdd-ons"
d) Pour la valeur Security Risk Page, la donnée est initialisée avec la donnée par défaut "about:SecurityRisk"
e) Dans tous les autres cas, la donnée de la valeur sera vidée.

Rapport ZHPFix

Ligne saisie :
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:5555
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local;<local>

Rapport de ZHPFix v1.12.3118 par Nicolas Coolman, Update du 07/07/2010

========== Elément de données du Registre ==========
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local;<local> => Donnée supprimée avec succès
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:5555 => Donnée supprimée avec succès

========== Récapitulatif ==========
2 : Elément de données du Registre

Liens

* HijackThis, Mode d'emploi (Assiste.com)

(C) Copyrights 2010-2011 - Nicolas Coolman - All rights reserved


ZHPdiag_R3

ZHPDiag - Module R3 (USH)

Origine

Le module R3 (USH) a été crée le 15 mars 2008.

Caractéristiques

Ce module recherche les paramètres URLSearchHook du navigateur Microsoft Internet Explorer.
- La recherche s'effectue dans la clé de Base de Registres [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\URLSearchHooks]

Prise en compte de la branche HKLM. v.1.22

Ajout du propriétaire et de la désignation du fichier. v1.25.02

Prise en compte des clés orphelines. v1.26.681
Cette ligne : R3 - URLSearchHook: (no name) - {48e8c531-8f46-46bf-87f2-547266ec93e8} . (.Pas de propriétaire - Pas de description.) (No version) -- (.not file.)
Devient : R3 - URLSearchHook: (no name) - {48e8c531-8f46-46bf-87f2-547266ec93e8} Clé orpheline

Aperçu ZHPDiag

---\\ Internet Explorer URLSearchHook (R3)
R3 - URLSearchHook: Microsoft Url Search Hook - {CFBFAE00-17A6-11D0-99CB-00C04FD64497} - C:\Windows\System32\ieframe.dll

---\\ Internet Explorer URLSearchHook (R3) v1.25.02
R3 - URLSearchHook: Microsoft Url Search Hook - {CFBFAE00-17A6-11D0-99CB-00C04FD64497} . (.Microsoft Corporation - Navigateur Internet.) (8.00.7600.16385 (win7_rtm.090713-1255)) -- C:\Windows\System32\ieframe.dll

---\\ Internet Explorer, Démarrage,Recherche,URSearchHook (R0,R1,R3) v1.26.681
R3 - URLSearchHook: (no name) - {48e8c531-8f46-46bf-87f2-547266ec93e8} Clé orpheline

Equivalence HijackThis

R3 - URLSearchHook: Microsoft Url Search Hook - {CFBFAE00-17A6-11D0-99CB-00C04FD64497} - C:\Windows\System32\ieframe.dll

Exemple d'infection

R3 - URLSearchHook: SearchHelper Class - {91C18ED5-5E1C-4AE5-A148-A861DE8C8E16} . (.MTWB - MTWB3SH.) (1.0.0.4) -- C:\Program Files\SGPSA\mtwb3sh.dll => Infection BT (Search Guard Plus.Adw)
R3 - URLSearchHook: Microsoft Url Search Hook - {00000000-6E41-4FD3-8538-502F5495E5FC} . (.Pas de propriétaire - Pas de description.) (No version) -- (.not file.) => Infection FakeAlert (Trojan.FakeAlert)
R3 - URLSearchHook: NetAssistantBHO Class - {E38FA08E-F56A-4169-ABF5-5C71E3C153A1} . (.W3i, LLC - My.Freeze.com NetAssistant.) (3, 8, 2, 0) -- C:\Program Files\Freeze.com\My.Freeze.com NetAssistant\NetAssistant.dll => Infection BT
R3 - URLSearchHook: Microsoft Url Search Hook - {E312764E-7706-43F1-8DAB-FCDD2B1E416D} . (.Pas de propriétaire - Pas de description.) (No version) -- (.not file.) => Infection BT (Search Settings.Adw)

Action ZHPFix

R3 - URLSearchHook: Microsoft Url Search Hook - {CLSIDName} . (...) () -- {FileName}

{Key} : clé de Base de Registres [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\URLSearchHooks]
{CLSIDName} : Valeur CLSID de la clé {Key}
{FileName} : Donnée de la valeur par défaut de la clé [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CLSIDName}\InProcServer32]

1) L'outil supprime la valeur de clé {CLSIDName}
2) L'outil supprime la clé [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CLSIDName}]
3) L'outil supprime la clé [HKEY_CLASSES_ROOT\CLSID\{CLSIDName}]
4) L'outil supprime le fichier {FileName}

Rapport ZHPFix (Clé orpheline)

R3 - URLSearchHook: (no name) - {48e8c531-8f46-46bf-87f2-547266ec93e7} Clé orpheline

Rapport de ZHPFix 1.12.3203 par Nicolas Coolman, Update du 27/09/2010

========== Valeur(s) du Registre ==========
R3 - URLSearchHook: (no name) - {48e8c531-8f46-46bf-87f2-547266ec93e7} Clé orpheline => Valeur supprimée avec succès

========== Récapitulatif ==========
1 : Valeur(s) du Registre

Liens

* HijacThis, Mode d'emploi (Assiste.com)


ZHPdiag_R0

ZHPDiag - Module R4 (IEOK)

Origine

Le module R4 (IEOK) a été crée le 15 Février 2011.

Caractéristiques

Lié au module R4 (Internet Explorer Other Keys). Il permet de recencer certaines clés succeptibles d'être modifiées à l'insu de l'utilisateur et qui modifient le fonctionnement du navigateur Microsoft Internet Explorer.

Depuis sa version 8, Internet Explorer se dote d'un filtre de phishing. Certains malwares comme le Rogue.AntiviraAV se chargent de désactiver ce contrôle anti-phishing. La recherche s'effectue sur les données des valeurs de clés suivantes :
HKCU\Software\Microsoft\Internet Explorer\PhishingFilter,Enabled (Valeur par défaut = 2)
HKLM\Software\Microsoft\Internet Explorer\PhishingFilter,EnabledV8 (Valeur par défaut = 1)

Aperçu ZHPDiag

---\\ Internet Explorer, Démarrage,Recherche,URLSearchHook,Phishing (R0,R1,R3,R4)
R4 - HKCU\Software\Microsoft\Internet Explorer\PhishingFilter,Enabled = 2
R4 - HKLM\Software\Microsoft\Internet Explorer\PhishingFilter,EnabledV8 = 1

Action ZHPFix

R4 - {Keyname},{ValueKey} = {DataKey}

{KeyName} : Clé de Base de Registres [{Ruche}\Software\Microsoft\Internet Explorer\PhishingFilter]
{ValueKey} : Valeur de clé {KeyName}
{DataKey} : Donnée de la valeur de clé {ValueKey}

- L'outil restaure la donnée par défaut {DataKey} de la valeur de clé {ValueKey}.

Exemple d'infection

---\\ Internet Explorer, Démarrage,Recherche,URLSearchHook,Phishing (R0,R1,R3,R4)
R4 - HKCU\Software\Microsoft\Internet Explorer\PhishingFilter,Enabled = 0
O4 - HKCU\..\Run: [givlafxe] C:\Users\CAPELL~1\AppData\Local\Temp\yiruwlqrq\yqhnvwwdlta.exe
O4 - HKCU\..\Run: [euulujag] C:\Users\CAPELL~1\AppData\Local\Temp\wwdvrvivs\yemgujvtsbl.exe

Rapport ZHPFix (Exemple)

Ligne saisie :
R4 - HKCU\Software\Microsoft\Internet Explorer\PhishingFilter,Enabled = 0

Rapport de ZHPFix 1.12.3252 par Nicolas Coolman, Update du 15/02/2011
Windows 7 Home Premium Edition, 32-bit (Build 7600)

========== Elément(s) de donnée du Registre ==========
R4 - HKCU\Software\Microsoft\Internet Explorer\PhishingFilter,Enabled = 0 => Donnée supprimée avec succès

========== Récapitulatif ==========
1 : Elément(s) de donnée du Registre

End of the scan

Liens

Phishing-Filter

(C) Copyrights 2011 - Nicolas Coolman - All rights reserved


ZHPdiag_R1

ZHPDiag - Module R5 (IEPM)

Origine

Le module R5 (IEPM) a été crée le 20 février 2011.

Caractéristiques

Lié au module Internet Explorer Proxy Management (IEPM). Il permet de recenser les paramètres du proxy utilisé par Microsoft Internet Explorer.

- La recherche s'effectue sur les clés de Base de Registres suivantes :
[HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings]
[HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings]

- Pour les valeurs de registre suivantes :
ProxyOverride
ProxyServer
ProxyEnable
MigrateProxy
ProxyHttp1.1
EnableHttp1_1
AutoConfigProxy

I. PROXY : LES VALEURS DE REGISTRE PRINCIPALES.

La gestion des proxys se fait principalement autour de 3 valeurs de registres principales "ProxyEnable", "ProxyServer" et "ProxyOverride".

- ProxyEnable : Autorise ou refuse l'utilisation d'un proxy
- ProxyServer : Permet la description du proxy et de son port comme par exemple "http=localhost:8080".
- ProxyOverride : Configure l'évitement du serveur proxy pour les adresses locales.

De nombreux malware utilisent les paramètres des proxys afin d'établir une connexion directe à leurs serveurs, c'est le cas notamment des rogues, des trojans ou de certains vers ayant des caractéristiques de porte dérobée comme KoobFace.

La première chose à observer est la donnée de la valeur "ProxyEnable", c'est elle qui va autoriser ou refuser la connexion au proxy.

La ligne suivante signale que la connexion à un proxy est refusée ou qu'il n'y a pas de proxy d'installé.
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyEnable = 0
R5 - HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyEnable = 0

Cette configuration s'accompagne généralement de lignes au format :
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = <local>
R5 - HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R5 - HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = <local>

Les lignes suivantes signalent que la connexion à un proxy est autorisée :
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyEnable = 1
R5 - HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyEnable = 1

C'est ce dernier cas qui intéresse plus particulièrement le helper car il permet une utilisation frauduleuse d'un proxy.

Il faut maintenant s'interesser aux deux autres valeurs "ProxyOverride" et "ProxyServer"

ProxyOverride Configure l'évitement du serveur proxy pour les adresses locales. A côtè des données légitimes données ci-avant, il faut suspecter les concaténations surchargées de chaînes de caractèress avec un point-virgule ";" comme par exemple "<local>;*.local" ou ";localhost;<local>";

ProxyServer donne la description du proxy et du port qu'il utilise. Il s'agit généralement de l'IP de boucle local accouplée avec un port aléatoire différent de 8080. Cette astuce permet de faire croire que l'on est en présence d'une adresse IP légitime de boucle locale "127.0.0.1".

Sur le principe le malware procède ainsi :
a) Il diminue ou supprime la protection du parefeu,
b) Il s'arrange pour ouvrir un port spécifique frauduleux sur l'IP locale, soit par le biais d'un trojan soit par l'exploitation d'une faille de sécurité du système,
c) Il place les informations dans la donnée de la valeur "ProxyServer" qui devient la nouvelle adresse locale reroutée vers le port spécifique,
d) Les paramètres de cette adresse locale malware sont passés à la donnée de la valeur "ProxyOverride",
e) Il autorise le proxy en modifiant la donnée de la valeur "ProxyEnable".
f) Le proxy utilise les paramètres de ProxyOverride pour se connecter à son serveur via le port spécifique défini dans ProxyServer.

Aperçu ZHPDiag : Cas d'infections rogues :

Utilisation du Proxy via l'adresse de bouclage Local "127.0.0.1" mais avec un port aléatoire :

---\\ Internet Explorer, Proxy Management (R5)
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyEnable = 1
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = local;*.local
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local;<local>
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = <local>;*.local
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,Proxyserver = http=127.0.0.1:5555 (Rogue.AntispywareSoft)
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,Proxyserver = http=127.0.0.1:5557 (Rogue.AVSecuritySuite)
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,Proxyserver = http=127.0.0.1:5643 (Rogue.AVSecuritySuite)
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,Proxyserver = http=127.0.0.1:6522 (Rogue.AntimalwareDoctor)
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,Proxyserver = http=127.0.0.1:18810 (Rogue.AntiviraAV)
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,Proxyserver = http=127.0.0.1:25520 (Rogue.SmartEngine)
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:25410 (Rogue.InternetSecurityEssentials)

Aperçu ZHPDiag : Cas d'infection KoobFace (Worm.KoobFace) :

---\\ Internet Explorer, Proxy Management (R5)
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyEnable = 1
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local;localhost
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = ;localhost;<local>
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,proxyserver = http=localhost:7171
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,proxyserver = http=127.0.0.1:8181

Aperçu ZHPDiag : Cas d'infection DNS :

Utilisation de l'Adresse IP d'un serveur Proxy Russe identifié (Ukraine Promnet) sur le port standard 8080.

---\\ Internet Explorer, Proxy Management (R5)
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyEnable = 1
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,proxyserver = 93.188.162.230:80
R5 - HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyEnable = 1
R5 - HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings,proxyserver = 93.188.162.230:80
O17 - HKLM\System\CCS\Services\Tcpip\..\{04F87BC5-7D49-4D5C-A720-07BA8A9A8C0B}: NameServer = 93.188.162.230,93.188.166.210
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 93.188.162.230,93.188.166.210
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: DhcpNameServe = 93.188.162.230,93.188.166.210

Aperçu ZHPDiag : Cas d'infection diverse (trojan TROJ_PROXY.AEI) :

Utilisation du Proxy via l'adresse de bouclage Local "localhost" modifiée avec un port aléatoire :

---\\ Internet Explorer, Proxy Management (R5)
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyEnable = 1
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local;
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,proxyserver = http=localhost:7070

II. PROXY : LES VALEURS DE REGISTRE SECONDAIRES.

A côte des valeurs de registre principales, nous trouvons d'autres valeurs qui permettent le paramètrage du proxy. Il s'agit des valeurs "AutoConfigProxy", "MigrateProxy", "ProxyHttp1.1" et "EnableHttp1_1"

1) AutoConfigProxy.

La donnée de cette valeur de registre permet d'accèder aux fonctionnalités internet via la ressource wininet.dll.
La ressource wininet.dll (Extensions Internet pour Win32) contient les fonctions de l'API Windows WinInet. Cette API gère les fonctionnalités d'accès internet et notamment le protocole HTTP utilisé par le navigateur Internet Explorer.

Trois cas sont possibles, légitime, anormal ou malware :

a) Tout d'abord le cas légitime, la ressource est présente dans son dossier système d'origine %System32%.
R5 - HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigProxy = wininet.dll

NB : Afin de vérifier que la ressource n'est pas patchée, une recherche MD5 de wininet est ajoutée en entête du rapport.
---\\ Recherche particulière de fichiers génériques
[MD5.78B9ADA2BC8946AF7B17678E0D07A773] - (.Microsoft Corporation - Extensions Internet pour Win32.) (.21/12/2010 06:38:22.) -- C:\Windows\System32\wininet.dll [981504]

b) Ensuite le cas anormal, il cause un dysfonctionnement d'Internet Explorer, la ressource est absente de son dossier d'origine %System32% :
R5 - HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigProxy = wininet.dll (Not file)

c) Enfin le cas malware possible car la ressource est remplacée :
R5 - HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigProxy = Mininet.dll

2) MigrateProxy.

La donnée de cette valeur de registre autorise ou refuse à distance la configuration proxy saisie par l'utilisateur.

a) Cette ligne indique l'impossibilité de modifier la configuration du proxy :
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,MigrateProxy = 0

b) Cette ligne indique la possibilité de modifier la configuration du proxy :
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,MigrateProxy = 1

3) ProxyHttp1.1

La donnée de cette valeur de registre active ou désactive le Proxy HTTP1.1.

a) Cette ligne indique que le proxy HTTP1.1 est activé :
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyHttp1.1 = 1

b) Cette ligne indique que le proxy HTTP1.1 est désactivé :
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyHttp1.1 = 0

4) EnableHttp1_1

La donnée de cette valeur de registre autorise ou refuse l'exécution des requêtes GET HTTP1.1.
Pour être opérationnelle, il faut que le proxy HTTP1.1 soit activé (ProxyHttp1.1 = 1).

a) Cette ligne autorise l'exécution des requêtes GET HTTP/1.1
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyHttp1.1 = 1
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,EnableHttp1_1 = 1

a) Cette ligne autorise l'exécution des requêtes GET HTTP/1.0
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyHttp1.1 = 1
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,EnableHttp1_1 = 0

EXEMPLES :

1 - Cas légitime sans proxy :

- ProxyServer est absent,
- ProxyEnable est désactivé,
- Les requêtes GET HTTP1.1 d'Internet Explorer sont autorisées.

---\\ Internet Explorer, Proxy Management (R5)
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = no key
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyEnable = 0
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,MigrateProxy = 0
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyHttp1.1 = 1
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,EnableHttp1_1 = 1
R5 - HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigProxy = wininet.dll

2 - Cas anormal, dysfonctionnement :

- ProxyEnable est activé,
- ProxyServer est rerouté vers un port spécifique,
- AutoConfigProxy empêche l'éxécution des fonctionnalités de la ressource wininet.dll (Dossier d'origine %System32%).

---\\ Internet Explorer, Proxy Management (R5)
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:8080
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyEnable = 1
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,MigrateProxy = 1
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyHttp1.1 = 1
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,EnableHttp1_1 = 1
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigProxy = wininet.dll (.Not file)

3 - Cas malware :

- ProxyEnable est activé,
- ProxyServer est rerouté vers un port spécifique,
- AutoConfigProxy va exécuter les fonctionnalités d'une API patchée de wininet.

---\\ Internet Explorer, Proxy Management (R5)
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:4343
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyEnable = 1
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,MigrateProxy = 1
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyHttp1.1 = 1
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,EnableHttp1_1 = 1
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigProxy = C:\Users\Coolman\AppData\Roaming\wininet.dll

4 - Cas malware (Détournement de proxy)

M2 - MFEP: prefs.js [Audrey J - mfkcaitw.default\foxyproxy@eric.h.jung] [] FoxyProxy Basic v2.2 (.LeahScape, Inc..) => Infection Web (Hijacker.Proxy)
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,Autoconfigproxy = 0 => Infection Web (Hijacker.Proxy)

Action ZHPFix

R5 - {Key}, {ValueKey} = {DataKey}

{Key} : Clé de Base De Regitres (voir la liste ci-dessus.
{ValueKey} : Valeur de clé de {Key}, par exemple : ProxyOverride,ProxyServer.
{DataKey} : Donnée de la valeur {ValueKey}

- L'outil initialise la donnée {DataKey} de la valeur de clé.

a) Pour la valeur ProxyServer, la donnée est initialisée avec la donnée par défaut "http://127.0.0.1:8080"
b) Pour la valeur ProxyOverride, la donnée est initialisée avec la donnée par défaut "*.local"
c) Pour la valeur AutoConfigProxy, la donnée est initialisée avec la donnée par défaut "wininet.dll"
e) Dans tous les autres cas, la donnée de la valeur sera vidée.

Rapport ZHPFix

Ligne saisie :
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:5555
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local;<local>

Rapport de ZHPFix v1.12.3255 par Nicolas Coolman, Update du 20/02/2011

========== Elément de données du Registre ==========
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local;<local> => Donnée supprimée avec succès
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:5555 => Donnée supprimée avec succès

========== Récapitulatif ==========
2 : Elément de données du Registre

Liens

http://support.microsoft.com/kb/819961
http://support.microsoft.com/kb/947513/fr

(C) Copyrights 2011 - Nicolas Coolman - All rights reserved


ZHPdiag_Fx

ZHPDiag - P1,P2

Origine

- Ces modules ont été créés en mars 2008 et en juillet 2010.

Caractéristiques

- Ces modules permettent de lister l'ensemble des plugins installés pour le navigateur Opera et Mozilla Firefox.

Evolutions

- 12/03/2008 : Module P1 Opera Plugin Navigator) (OPN)
- 14/07/2010 : Module P2 Firefox Plugin Navigator) (FPN)


ZHPdiag_012

ZHPDiag - Module O12 (IEP)

Origine

- Le module O12 (IEP) a été crée le 27 mai 2008.

Caractéristiques

- Ce module énumère les programmes d'extension (plugins) d'Internet Explorer. Ces plugins sont lancés au démarrage du navigateur.

- La recherche s'effectue dans les sous clés de la clé de Base de Registres :[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Plugins\Extension] sur la donnée de la valeur "Location".

Aperçu ZHPDiag

---\\ Internet Explorer Plugins (O12)
O12 - Plugin for .mpeg - C:\Program Files\Internet Explorer\PLUGINS\npqtplugin3.dll

Equivalence HijackThis

O12 - Plugin for .mpeg: C:\Program Files\Internet Explorer\PLUGINS\npqtplugin3.dll
O12 - Plugin for .mpg: C:\Program Files\Internet Explorer\PLUGINS\npqtplugin3.dll

Equivalence OTL

Action ZHPFix

O12 - Plugin for {key} - {FileName}

{key} : Sous-clé de la branche Registre : [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Plugins\Extension]
{FileName} : Donnée de la valeur "Location" de la clé {Key}.

1) L'outil supprime la clé de Base de Registres {Key}.
2) L'outil supprime le fichier {FileName}.

Liens

* IE plugins

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_F2

ZHPDiag - Module P1 (OPN)

Origine

- Le module P1 (OPN) a été crée le 12 mars 2008.

Caractéristiques

- Lié au module OPN (Opera Plugin Navigator). Il permet de lister l'ensemble des plugins installés pour le navigateur Opera. Certains plugins peuvent être des programmes malwares. L'analyse de ZHP permettra de les identifier.

- La recherche s'effectue dans le dossier "\Program Files\Opera\Program\Plugins\"

- Ajout de la description et de la désignation du fichier. v1.25.02

- Le titre du module changede nom pour prendre en compte les plugins P2 de Mozilla Firefox. v1.26.23

Aperçu ZHPDiag

---\\ Plugin de navigateur Opera (P1)
P1 - OPN:Opera Plugin Navigator - C:\Program Files\Opera\Program\Plugins\npdsplay.dll
P1 - OPN:Opera Plugin Navigator - C:\Program Files\Opera\Program\Plugins\NPSWF32.dll
P1 - OPN:Opera Plugin Navigator - C:\Program Files\Opera\Program\Plugins\NPSWF32_FlashUtil.exe
P1 - OPN:Opera Plugin Navigator - C:\Program Files\Opera\Program\Plugins\npwmsdrm.dll

---\\ Plugin de navigateur Opera (P1) v1.25.02
P1 - OPN:Opera Plugin Navigator . (.Apple Inc. - The QuickTime Plugin allows you to view a wide variety of multimedia c.) -- C:\Program Files\Opera\Program\Plugins\npqtplugin.dll

---\\ Plugins de navigateurs Opera/Firefox(P1/P2) v1.26.23
P1 - OPN:Opera Plugin Navigator . (.Apple Inc. - The QuickTime Plugin allows you to view a wide variety of multimedia c.) -- C:\Program Files\Opera\Program\Plugins\npqtplugin.dll

Equivalence HJT

Equivalence MBAM

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_P1

ZHPDiag - Module P2 (FPN)

Origine

- Le module P2 (FPN) a été crée le 14 juillet 2010.

Caractéristiques

- Lié au module FPN (Firefox Plugin Navigator). Il permet de lister l'ensemble des plugins installés pour le navigateur Mozilla Firefox. Certains plugins peuvent être des programmes malwares. L'analyse de ZHP permettra de les identifier.

- La recherche s'effectue dans le dossier "\Program Files\Mozilla Firefox\Plugins\"

- Le titre du module change de nom pour prendre en compte les plugins P2 de Mozilla Firefox. v1.26.23

- Recherche complémentaire dans les clés de base de Registres suivante : v1.26.24
HKEY_LOCAL_MACHINE\SOFTWARE\MozillaPlugins]
[HKEY_CURRENT_USER\SOFTWARE\MozillaPlugins]

Aperçu ZHPDiag

---\\ Plugins de navigateurs Opera/Firefox(P1/P2) v1.26.23
P2 - FPN:Firefox Plugin Navigator . (.RealNetworks, Inc. - RealJukebox Netscape Plugin.) -- C:\Program Files\Mozilla Firefox\Plugins\nprjplug.dll
P2 - FPN:Firefox Plugin Navigator . (.RealNetworks, Inc. - 6.0.12.448.) -- C:\Program Files\Mozilla Firefox\Plugins\nprpjplug.dll

---\\ Plugins de navigateurs Opera/Firefox(P1/P2) v1.26.24
P2 - FPN: [HKLM] [@real.com/nprpjplug;version=6.0.12.448] - (.RealNetworks, Inc. - 6.0.12.448.) -- c:\program files\real\realplayer\Netscape6\nprpjplug.dll

Equivalence OTL

========== FireFox ==========
FF - HKLM\software\mozilla\Mozilla Thunderbird 2.0.0.23\extensions\\Plugins: C:\Program Files\Mozilla Thunderbird\plugins
[2009/07/19 22:45:29 | 000,000,000 | ---D | M] -- C:\Users\UGUR\AppData\Roaming\mozilla\Extensions\mozswing@mozswing.org
[2010/07/17 18:41:40 | 000,000,000 | ---D | M] -- C:\Users\UGUR\AppData\Roaming\mozilla\Firefox\Profiles\h37d7p54.default\extensions

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_Fx

ZHPDiag - F2,F3

Origine

- Ces modules ont été créés en mars 2008.

Caractéristiques

- Ces modules permettent d'analyser les informations en provences de certains fichiers système comme Win.ini et System.ini.

Evolutions

- 05/03/2008 : Module F2 Modification d'une valeur System.ini (MVS)
- 05/03/2008 : Module F3 Modification d'une valeur Win.Ini (MVW)


ZHPdiag_F2

ZHPDiag - Module F2 (MVS)

Origine

- Le module F2 (MVS) a été crée le 11 mars 2008.
- Modifié le 18/07/2010.

Caractéristiques

Lié au module MVS (Modification d'une valeur System.ini). Il permet de lister certaines valeurs de la clé de base de Registres :
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

Valeur : Shell
Valeur : Userinit
Valeur : VMApplet v1.26.28

Aperçu ZHPDiag

---\\ Modification d'une valeur Ini (Changed inifile value, mapped to Registry) (F2)
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\cmd.exe
F2 - REG:system.ini: Shell=cmd.exe
F2 - REG:system.ini: VMApplet=C:\Windows\System32\shell32.dll (Vista) v1.26.28
F2 - REG:system.ini: VMApplet=C:\Windows\System32\SystemPropertiesPerformance.exe (Windows 7) v1.26.28

Equivalence HJT

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\cmd.exe
F2 - REG:system.ini: Shell=cmd.exe

Equivalence OTL

O20 - HKLM Winlogon: Shell - (explorer.exe) - C:\Windows\explorer.exe (Microsoft Corporation)
O20 - HKLM Winlogon: UserInit - (C:\Windows\system32\userinit.exe) - C:\Windows\System32\userinit.exe (Microsoft Corporation)
O20 - HKLM Winlogon: VMApplet - (rundll32 shell32) - C:\Windows\System32\shell32.dll (Microsoft Corporation)

Action ZHPFix

F2 - REG:system.ini: {ValueKey} = [FileName}

[Key} : Clé de Base de Registres [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
{ValueKey} : Valeur de la clé {key}
[FileName} : Donnée de la valeur {ValueKey}

1) L'outil supprime la donnée de la valeur {ValueKey}
2) L'outil supprime le fichier [FileName}

Exemple d'infection

F2 - REG:system.ini: Shell=Explorer.exe rundll32.exe htql.ano hvnqx
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,

Liens

* VmApplet (Technet)


ZHPdiag_F3

ZHPDiag - Module F3 (MVW)

Origine

- Le module F3 (MVW) a été crée le 05 mars 2008.

Caractéristiques

- Lié au module MVW (Modification d'une valeur Win.Ini) - (Created inifile value, mapped to Registry). La modification se fait via la Base de Registres au niveau de la clé :
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]

- Les valeurs de clés concernées sont 'Load' et 'Run'.

NB : Sous Windows Vista, par défaut il n'y a pas de clé "Run" et la clé "Load" est vide

Aperçu ZHPDiag

---\\ Created inifile Value, Mapped to Registry (F3)
F3 - REG:win.ini: load=dance.exe
F3 - REG:win.ini: run=C:\Windows\System32\dance.exe

Equivalence HJT

F3 - REG:win.ini: load=dance.exe
F3 - REG:win.ini: run=C:\Windows\System32\dance.exe

Action ZHPFix

F3 - REG:win.ini: {ValueKey} = {FileName]

[Key} : Clé de Base de Registres [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows]
{ValueKey} : Valeur de la clé {key}
[FileName} : Donnée de la valeur {ValueKey}

1) L'outil supprime la donnée de la valeur {ValueKey}
2) L'outil supprime le fichier [FileName}

Exemple d'infection

---\\ Created inifile Value, Mapped to Registry (F3)
F3 - REG:win.ini: load=C:\Windows\aiweb.exe => Infection FakeAlert (Trojan.FakeAV)
F3 - REG:win.ini: run=C:\Windows\aiweb.exe => Infection FakeAlert (Trojan.FakeAV)

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_RO1

ZHPDiag - Module O1 (USH)

Origine

- Le module O1 (USH) a été crée le 20 mars 2008.

Caractéristiques

- Ce module recherche les détournements du fichier "Hosts" qui contient les mappages de noms d'hôtes en adresses IP.
- Le fichier Hosts est situé dans le dossier "C:\Windows\System32\drivers\etc". Il peut comporter jusqu'à plusieurs centaines de miliers d'adresses.

- Réintégration du module O1 dans le rapport par défaut. L'analyse portant sur des fichiers HOSTS de plusieurs centaines de milliers de lignes entraînait un temps de traitement de plusieurs minites. Désormais la recherche s'effectuera sur les 15000 premières lignes. En cas de fichiers hosts plus volumineux, une message indiquera le nombre de lignes et la nécessité d'utiliser la commande "HOSTFix" de ZHPFix pour lister et fixer toutes les redirections. v1.26.41

Aperçu ZHPDiag

---\\ Redirection du fichier Hosts (O1)
O1 - Hosts: 216.177.73.139 auto.search.msn.com
O1 - Hosts: 216.177.73.139 search.netscape.com

---\\ Redirection du fichier Hosts (O1) v1.26.41
O1 - Hosts: 128.0.0.1 www.007guard.com
O1 - Hosts: 129.0.0.1 007guard.com
O1 - Hosts: 130.0.0.1 008i.com
Votre fichier Hosts comporte 15132 lignes. Utiliser la commande "HOSTFix" de ZHPFix pour lister et fixer toutes les redirections.

Equivalence HijackThis

O1 - Hosts: 216.177.73.139 auto.search.msn.com
O1 - Hosts: 216.177.73.139 search.netscape.com

Equivalence OTL

O1 HOSTS File: ([2010/04/23 14:29:59 | 000,392,770 | R--- | M]) - C:\WINDOWS\system32\drivers\etc\hosts
O1 - Hosts: 127.0.0.1 localhost

Exemple d'infection

O1 - Hosts: 89.149.193.61 www.google.com
O1 - Hosts: 89.149.193.61 us.search.yahoo.com
O1 - Hosts: 89.149.193.61 uk.search.yahoo.com

Action ZHPFix

O1 - Hosts: {Domain}

{Domain} : Adresse IP et nom du domaine.

1) Lorsqu'une ligne O1 est donnée en nettoyage, l'outil lance automatiquement la commande 'HOSTFix' qui permet de remplacer le fichier par une copie saine.

2) Il est possible aussi d'utiliser directement la commande "HOSTFix" au lieu de saisir une ou plusieurs lignes O1.

Liens

* Hosts file redirection (Assiste.com)
* Modifier son fichier hosts (CCM)


ZHPdiag_02

ZHPDiag - Module O2 (BHO)

Origine

Le module O2 (BHO) a été crée le 24 mars 2008.

Caractéristiques

Ce module recherche l'ensemble des Browser Helper Objects (BHO) installés. Un BHO est une application qui ajoute certaines fonctionnalités au navigateur Web.
- La recherche s'effectue sur les sous-clés CLSID de la clé de Base de Registres [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects]
- Ajout du propriétaire et de la désignation du fichier. v1.25.02

En cas d'absence de startup et de fichier, et donc de propriétaire et de déscription du fichier, il y a affichage désormais de la mention "Clé orpheline". Les clés orphelines proviennent généralement d'une désinstallation logicielle mal faite ou d'une désinfection partielle.

La ligne :
O2 - BHO: (no name) - {00000000-17A6-11D0-99CB-00C04FD64497} . (.Pas de propriétaire - Pas de description.) -- (.not file.)
devient :
O2 - BHO: (no name) - {00000000-17A6-11D0-99CB-00C04FD64497} Clé orpheline v1.26.661

Aperçu ZHPDiag

---\\ Browser Helper Objects de navigateur (O2)
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Program Files\Google\Google Toolbar\GoogleToolbar.dll

---\\ Browser Helper Objects de navigateur (O2) v1.25.02
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} . (.Google Inc. - GoogleToolbarNotifier.) -- C:\Program Files\Google\GoogleToolbarNotifier\5.4.4525.1752\swg.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} . (.Pas de propriétaire - Pas de description.) -- C:\Program Files\Google\Google Toolbar\GoogleToolbar.dll

---\\ Browser Helper Objects de navigateur (O2) v1.26.67
O2 - BHO: (no name) - {00000000-17A6-11D0-99CB-00C04FD64497} Clé orpheline

Equivalence HijackThis

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\5.4.4525.1752\swg.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Program Files\Google\Google Toolbar\GoogleToolbar.dll

Equivalence OTL

O2 - BHO: (JQSIEStartDetectorImpl Class) - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll (Sun Microsystems, Inc.)

Equivalence AD-Remover

============== ACTION(S) ==============
1,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{F0626A63-410B-45E2-99A1-3F2475B2D695}

Exemple d'infection

O2 - BHO: MyWebSearch Search Assistant BHO - {00A6FAF1-072E-44cf-8957-5838F569A31D} . (.Pas de propriétaire - Pas de description.) -- C:\Program Files\MyWebSearch\bar\1.bin\MWSSRCAS.DLL => Infection BT (MyWebSearch.Spy)

- Iinfection avec usurpation de nom de propriétaire :
O2 - BHO: (no name) - {27598B57-2F92-42F0-A5FE-CF22BAFFC149} . (.Microsoft Corporation - User Idle Monitor.) -- c:\windows\system32\ghfuhwu.dll => Infection BT

Action ZHPFix (Cas général)

O2 - BHO: (no name) - {CLSIDKey} - {FileName}

{Key} : Clé de Base de Registres [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects]
{Startup} : Valeur par défaut de la clé [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CLSIDKey}]
{CLSIDKey} : Sous-clé CLSID de la Clé {Key}
{FileName} : Donnée de la valeur par défaut de la clé [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CLSIDKey}\InProcServer32]

1) L'outil supprime la clé [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\CLSIDKey}]
2) L'outil supprime la clé [HKLM\SOFTWARE\Classes\CLSID\{CLSIDKey}]
3) L'outil supprime la clé [HKEY_CLASSES_ROOT\CLSID\{CLSIDKey}]
4) L'outil supprime le fichier {FileName}

Action ZHPFix (Cas d'une clé orpheline)

O2 - BHO: {Startup} - {CLSIDKey} Clé orpheline

{Key} : Clé de Base de Registres [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects]
{Startup} : Valeur par défaut de la clé [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CLSIDKey}]
{CLSIDKey} : Sous-clé CLSID de la Clé {Key}
{FileName} : Donnée de la valeur par défaut de la clé [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CLSIDKey}\InProcServer32]

1) L'outil supprime la clé [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\CLSIDKey}]
2) L'outil supprime la clé [HKLM\SOFTWARE\Classes\CLSID\{CLSIDKey}]
3) L'outil supprime la clé [HKEY_CLASSES_ROOT\CLSID\{CLSIDKey}]

Rapport ZHPFix (Cas général)

O2 - BHO: MyWebSearch Search Assistant BHO - {00A6FAF1-072E-44cf-8957-5838F569A31D} . (...) -- C:\Program Files\MyWebSearch\bar\1.bin\MWSSRCAS.DLL

Rapport de ZHPFix v1.12.3133 par Nicolas Coolman, Update du 02/08/2010

========== Clé(s) du Registre ==========
O2 - BHO: MyWebSearch Search Assistant BHO - {00A6FAF1-072E-44cf-8957-5838F569A31D} . (...) -- C:\Program Files\MyWebSearch\bar\1.bin\MWSSRCAS.DLL => Clé supprimée avec succès
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{00A6FAF1-072E-44cf-8957-5838F569A31D}] => Clé supprimée avec succès
[HKCR\CLSID\{00A6FAF1-072E-44cf-8957-5838F569A31D}] => Clé supprimée avec succès

========== Fichier(s) ==========
C:\Program Files\MyWebSearch\bar\1.bin\MWSSRCAS.DLL => Supprimé et mis en quarantaine

========== Récapitulatif ==========
3 : Clé(s) du Registre
1 : Fichier(s)

Rapport ZHPFix (Cas d'une clé orpheline)

O3 - Toolbar: (no name) - {00000000-17A6-11D0-99CB-00C04FD64497} Clé orpheline

Rapport de ZHPFix v1.12.3155 par Nicolas Coolman, Update du 20/09/2010

========== Clé(s) du Registre ==========
O2 - BHO: (no name) - {00000000-17A6-11D0-99CB-00C04FD64497} Clé orpheline => Clé supprimée avec succès
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{00000000-17A6-11D0-99CB-00C04FD64497}] => Clé supprimée avec succès
[HKCR\CLSID\{00000000-17A6-11D0-99CB-00C04FD64497}] => Clé supprimée avec succès

========== Récapitulatif ==========
3 : Clé(s) du Registre

Liens

* Browser Helper Objects

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_03

ZHPDiag - Module O3 (IETB)

Origine

- Le module O3 (IETB) a été crée le 24 mars 2008.

Caractéristiques

- Ce module liste l'ensemble des barres d'outils (Toolbars) du navigateur Microsoft Internet Explorer.

- La recherche s'effectue dans la clé de Base de Registres [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]

- Ajout de la Branche HKCU v1.23
- Ajout du propriétaire et de la désignation du fichier. v1.25.02

En cas d'absence de startup et de fichier, et donc de propriétaire et de déscription du fichier, il y a affichage désormais de la mention "Clé orpheline". Les clés orphelines proviennent généralement d'une désinstallation logicielle mal faite ou d'une désinfection partielle.

La ligne :
O3 - Toolbar: (no name) - {00000000-17A6-11D0-99CB-00C04FD64497} . (.Pas de propriétaire - Pas de description.) -- (.not file.)
devient :
O3 - Toolbar: (no name) - {00000000-17A6-11D0-99CB-00C04FD64497} Clé orpheline v1.26.67

Aperçu ZHPDiag

---\\ Internet Explorer toolbars (O3)
O3 - Toolbar: ALOT Toolbar - {5AA2BA46-9913-4dc7-9620-69AB0FA17AE7} - C:\Program Files\alot\bin\alot.dll

---\\ Internet Explorer toolbars (O3) v1.25.02
O3 - Toolbar: ALOT Toolbar - {5AA2BA46-9913-4dc7-9620-69AB0FA17AE7} . (.Pas de propriétaire - Pas de description.) -- C:\Program Files\alot\bin\alot.dll

---\\ Internet Explorer toolbars (O3) v1.26.661
O3 - Toolbar: (no name) - {5AA2BA46-9913-4dc7-9620-69AB0FA17AE7} Clé orpheline

Equivalence HijackThis

O3 - Toolbar: ALOT Toolbar - {5AA2BA46-9913-4dc7-9620-69AB0FA17AE7} - C:\Program Files\alot\bin\alot.dll

Equivalence OTL

O3 - HKLM\..\Toolbar: (My Web Search) - {07B18EA9-A523-4961-B6BB-170DE4475CCA} - C:\Program Files\MyWebSearch\bar\1.bin\MWSBAR.DLL (MyWebSearch.com)

Equivalence AD-Remover

============== ACTION(S) ==============
0,Value found: HKLM\Software\Microsoft\Internet Explorer\Toolbar|{07B18EA9-A523-4961-B6BB-170DE4475CCA}
0,Value found: HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser|{07B18EA9-A523-4961-B6BB-170DE4475CCA}

Exemple d'infection

---\\ Internet Explorer Toolbars (O3)
O3 - Toolbar: Fast Browser Search Toolbar - {1BB22D38-A411-4B13-A746-C2A4F4EC7344} . (.Pas de propriétaire - IE Toolbar Engine.) -- C:\Program Files\Fast Browser Search\IE\FBStoolbar.dll => Infection BT (Fast Browser Search Toolbar)

Action ZHPFix (Cas général)

O3 - Toolbar: {Startup} - {CLSIDValue} . (...) -- {FileName}

{Key} : Clé de Base de Registres [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
{Startup} : Valeur par défaut de la clé [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CLSIDValue}]
{CLSIDValue} : Valeur CLSID de la clé {Key}
{FileName} : Donnée de la valeur par défaut de la clé [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CLSIDValue}\InProcServer32]

1) L'outil supprime la valeur de clé {CLSIDValue} de la clé {Key}
2) L'outil supprime la clé [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CLSIDValue}]
3) L'outil supprime la clé [HKEY_CLASSES_ROOT\CLSID\{CLSIDValue}]
4) L'outil supprime le fichier {FileName}

Action ZHPFix (Cas d'une clé orpheline)

O3 - Toolbar: (no name) - {CLSIDValue} Clé orpheline

{Key} : Clé de Base de Registres [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
{Startup} : Valeur par défaut de la clé [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CLSIDValue}]
{CLSIDValue} : Valeur CLSID de la clé {Key}
{FileName} : Donnée de la valeur par défaut de la clé [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CLSIDValue}\InProcServer32]

1) L'outil supprime la valeur de clé {CLSIDValue} de la clé {Key}
2) L'outil supprime la clé [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CLSIDValue}]
3) L'outil supprime la clé [HKEY_CLASSES_ROOT\CLSID\{CLSIDValue}]

Rapport ZHPFix (Cas général)

O3 - Toolbar: ALOT Toolbar - {5AA2BA46-9913-4dc7-9620-69AB0FA17AE7} . (.Pas de propriétaire - Pas de description.) -- C:\Program Files\alot\bin\alot.dll

Rapport de ZHPFix v1.12.3133 par Nicolas Coolman, Update du 02/08/2010

========== Valeur(s) du Registre ==========
O3 - Toolbar: ALOT Toolbar - {5AA2BA46-9913-4dc7-9620-69AB0FA17AE7} . (.Pas de propriétaire - Pas de description.) -- C:\Program Files\alot\bin\alot.dll => Valeur supprimée avec succès

========== Clé(s) du Registre ==========
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{5AA2BA46-9913-4dc7-9620-69AB0FA17AE7}] => Clé supprimée avec succès
[HKCR\CLSID\{5AA2BA46-9913-4dc7-9620-69AB0FA17AE7}] => Clé supprimée avec succès

========== Fichier(s) ==========
C:\Program Files\alot\bin\alot.dll => Supprimé et mis en quarantaine

========== Récapitulatif ==========
2 : Clé(s) du Registre
1 : Valeur(s) du Registre
1 : Fichier(s)

Rapport ZHPFix (Cas d'une clé orpheline)

O3 - Toolbar: (no name) - {00000000-17A6-11D0-99CB-00C04FD64497} Clé orpheline

Rapport de ZHPFix v1.12.3155 par Nicolas Coolman, Update du 20/09/2010

========== Clé(s) du Registre ==========
O3 - Toolbar: (no name) - {00000000-17A6-11D0-99CB-00C04FD64497} Clé orpheline => Clé supprimée avec succès
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{00000000-17A6-11D0-99CB-00C04FD64497}] => Clé supprimée avec succès
[HKCR\CLSID\{00000000-17A6-11D0-99CB-00C04FD64497}] => Clé supprimée avec succès

========== Récapitulatif ==========
3 : Clé(s) du Registre

Liens

* Internet Explorer toolbars

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_04

ZHPDiag - Module O4 (ADAR)

Origine

- Le module O4 (ADAR) a été crée le 08 avril 2008.

Caractéristiques

- Ce module énumère l'ensemble des applications lancées au démarrage du système. Le traitement se fait à partir des clés de Base De Registres Run, RunOnce et RunServices.
- Traitement des branches HKUS. v1.23
- Traitement des branches HKUS\..\Policies\Explorer. v1.24.27
- Ajout du nom du propriétaire et de la désignation du processus. v1.25.02
- Ajout de l'information "Not file" en cas d'absence de processus. v1.26.21
- Ajout de clés utilisateur spécifiques. v1.26.32
- Ajout de l'information "Clé orpheline" (Orphean Key) en cas d'absence de processus. v1.26.45
- Ajout d'une nouvelle clé de recherche Terminal Server. v1.27.1848
- Ajout d'une nouvelle clé de recherche sous Windows NT. v1.28.315

Liste complète des branches recensées

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
[HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Run] v1.28.315

Policies Explorer :
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run]
[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run]
[HKUS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\policies\explorer\Run]
[HKUS\S-1-5-XX\Software\Microsoft\Windows\CurrentVersion\policies\explorer\Run]

[HKUS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
[HKUS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
[HKUS\S-1-5-XX\Software\Microsoft\Windows\CurrentVersion\RunOnce]

[HKUS\ {SID} \Software\Microsoft\Windows\CurrentVersion\Run] v1.26.32
[HKUS\ {SID} \Software\Microsoft\Windows\CurrentVersion\RunOnce] v1.26.32

Terminal Server :
[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\Software\Microsoft\Windows\CurrentVersion\Run]
[HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\Software\Microsoft\Windows\CurrentVersion\Run]

OS 64 bits Vista & Windows 7 :
[HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run]
[HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnce]

Aperçu ZHPDiag

---\\ Applications démarrées automatiquement par le registre (O4)
O4 - HKLM\..\Run: [HFFSRV] - c:\windows\hffext\hffsrv.exe
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] - C:\Program Files\Windows Sidebar\Sidebar.exe

---\\ Applications démarrées automatiquement par le registre (O4) v1.25.02
O4 - HKLM\..\Run: [HFFSRV] . (.Pas de propriétaire - Pas de description.) -- c:\windows\hffext\hffsrv.exe
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] . (.Microsoft Corporation - Gadgets du Bureau Windows.) -- C:\Program Files\Windows Sidebar\Sidebar.exe

---\\ Applications démarrées automatiquement par le registre (O4) v1.25.1436
O4 - HKLM\..\Wow6432Node\Run: [KBD] . (.Microsoft - Kbd Stub.) -- C:\Program Files (x86)\Hewlett-Packard\KBD\KbdStub.exe

---\\ Applications démarrées automatiquement par le registre (O4) v1.26.32
O4 - HKUS\S-1-5-21-0123456789-012345678-012345678-1000\..\Run: [msnmsgr] C:\Program Files\Windows Live\Messenger\msnmsgr.exe (.not file.)
O4 - HKUS\S-1-5-21-0123456789-012345678-012345678-1000\..\Run: [DAEMON Tools Lite] C:\Program Files\DAEMON Tools Lite\DTLite.exe

---\\ Applications démarrées automatiquement par le registre (O4) v1.26.45
O4 - HKLM\..\Run: [QuickTime Task] Clé orpheline
O4 - HKLM\..\Run: [QuickTime Task] Orphean Key

---\\ Applications démarrées automatiquement par le registre (O4) v1.27.1848
O4 - HKLM\..\Terminal Server\Run: [NVIDIA driver monitor] c:\windows\nvsvc32.exe

Equivalence HJT

O4 - HKCU\..\Run: [HKCU] C:\WINDOWS\system32\Winlog\winlogon.exe
O4 - HKLM\..\Policies\Explorer\Run: [Policies] C:\WINDOWS\system32\Winlog\winlogon.exe
O4 - HKUS\S-1-5-21-484763869-1343024091-725345543-1005\..\RunOnce: [NeroHomeFirstStart] "C:\Program Files\Fichiers communs\Nero\Lib\NMFirstStart.exe"

Equivalence RSIT

======Registry dump======
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"HKLM"=C:\WINDOWS\system32\Winlog\winlogon.exe []
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
"Policies"=C:\WINDOWS\system32\Winlog\winlogon.exe []

Equivalence OTL

O4 - HKU\S-1-5-21-299502267-1965331169-725345543-1003..\Run: [HKCU] C:\WINDOWS\system32\explorer\explorer.exe ()
[2010-02-20 00:29:31 | 001,306,624 | RHS- | M] () Unable to obtain MD5 -- C:\WINDOWS\system32\winlog\Winlogon.exe
O4 - HKLM\..\Run: [My Web Search Bar Search Scope Monitor] C:\Program Files\MyWebSearch\bar\1.bin\M3SRCHMN.EXE (MyWebSearch.com) => Infection BT (MyWebSearch.Spy)

Exemple N°1 (Cas d'une version nLite Windows non officielle)

O4 - HKUS\S-1-5-18\..\RunOnce: [nltide_2] regsvr32 /s /n /i:u shell32
O4 - HKUS\S-1-5-18\..\RunOnce: [nltide_3] rundll32 advpack.dll,launchinfsectionex nlite.inf,c,,4,n
O4 - HKUS\S-1-5-18\..\RunOnce: [nltide_2] regsvr32 /s /n /i:u shell32
O4 - HKUS\S-1-5-18\..\RunOnce: [nltide_3] rundll32 advpack.dll,launchinfsectionex nlite.inf,c,,4,n
O4 - HKUS\S-1-5-19\..\RunOnce: [nltide_2] regsvr32 /s /n /i:u shell32
O4 - HKUS\S-1-5-19\..\RunOnce: [nltide_3] rundll32 advpack.dll,launchinfsectionex nlite.inf,c,,4,n
O4 - HKUS\S-1-5-20\..\RunOnce: [nltide_2] regsvr32 /s /n /i:u shell32

Exemple N°2 (Cas d'une version pirate de Windows)

O4 - HKUS\S-1-5-18\..\RunOnce: [LSD_III] . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\LSD\end.cmd
O4 - HKUS\S-1-5-18\..\RunOnce: [LSD_III] . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\LSD\end.cmd
O4 - HKUS\S-1-5-20\..\RunOnce: [LSD_III] . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\LSD\end.cmd

Exemple N°3 (Cas d'une Infection)

- Infection FakeAlert (Trojan.FakeAlert) :
[MD5.23E80FFD5F952C35F7687A0D544DF835] - (.Pas de propriétaire - Pas de description.) -- C:\program files\google\google desktop search\gcdtmp1070\googledesktop.exe [142336]
[MD5.23E80FFD5F952C35F7687A0D544DF835] - (.Pas de propriétaire - Pas de description.) -- C:\documents and settings\...\application data\msa\baka6.exe [142336]
[MD5.23E80FFD5F952C35F7687A0D544DF835] - (.Pas de propriétaire - Pas de description.) -- c:\program files\google\google desktop search\gcdtmp1077\googledesktop.exe [142336]
[MD5.23E80FFD5F952C35F7687A0D544DF835] - (.Pas de propriétaire - Pas de description.) -- c:\program files\hp\digital imaging\{5b79cfd1-6845-4158-9d7d-6be89df2c135}\hpzcdl01sdiutilities53075.exe [142336]
[MD5.23E80FFD5F952C35F7687A0D544DF835] - (.Pas de propriétaire - Pas de description.) -- c:\program files\fichiers communs\logitech\qcdrv\bin\ptb\logitechlcamwzrd.exe [142336]
O4 - HKLM\..\Run: [mscjaccelerator] . (.Pas de propriétaire - Pas de description.) -- C:\documents and settings\...\application data\msa\baka7.exe
O4 - HKLM\..\Run: [allinoneSetup] . (.Pas de propriétaire - Pas de description.) -- c:\program files\hp\digital imaging\{5b79cfd1-6845-4158-9d7d-6be89df2c135}\hpzcdl01sdiutilities53075.exe
O4 - HKLM\..\Run: [LogitechLogitech] . (.Pas de propriétaire - Pas de description.) -- c:\program files\fichiers communs\logitech\qcdrv\winall\xprs\lvui2rclvcodec2.exe
O4 - HKLM\..\Run: [QuickCamLVUI2] . (.Pas de propriétaire - Pas de description.) -- C:\program files\fichiers communs\logitech\qcdrv\winall\xprs\lvui2rclvcodec2.exe
O4 - HKLM\..\Run: [mscjlaunch] . (.Pas de propriétaire - Pas de description.) -- c:\documents and settings\christian.nom-eb85c523610.001\application data\msa\baka7.exe
O4 - HKLM\..\Run: [GoogleGoogle] . (.Pas de propriétaire - Pas de description.) -- C:\program files\google\google desktop search\gcdtmp1070\googledesktop.exe
O4 - HKLM\..\Run: [mscjQuick] . (.Pas de propriétaire - Pas de description.) -- c:\documents and settings\christian.nom-eb85c523610.001\application data\msa\baka6.exe
O4 - HKLM\..\RunServices: [launchQuick] . (.Pas de propriétaire - Pas de description.) -- C:\documents and settings\christian.nom-eb85c523610.001\application data\msa\baka7.exe
O4 - HKLM\..\RunServices: [DesktopDesktop] . (.Pas de propriétaire - Pas de description.) -- c:\program files\google\google desktop search\gcdtmp1077\googledesktop.exe
O4 - HKLM\..\RunServices: [GoogleDesktop5.7.802.22438] . (.Pas de propriétaire - Pas de description.) -- c:\program files\google\google desktop search\gcdtmp1673\googledesktop5.7.802.22438.exe
O4 - HKLM\..\RunServices: [LTroblAgQuickCam] . (.Pas de propriétaire - Pas de description.) -- C:\Program Files\Fichiers Communs\logitech\qcdrv\bin\ptb\logitechlcamwzrd.exe
O4 - HKLM\..\RunServices: [DesktopGoogle] . (...) -- C:\program files\google\google desktop search\gcdtmp1070\googledesktop.exe
O4 - HKUS\S-1-5-21-2154023944-3558821995-1915564575-1000\..\Run: [XA5RJ9EADJ] . (...) -- C:\Users\...\AppData\Local\Temp\Bjr.exe

Infection Bot (Backdoor.Bot) avec usurpation de nom de propriétaire légitime
O4 - HKCU\..\Run: [GoogleApps] . (.Microsoft Inc. - Microsoft Component.) -- C:\Documents and Settings\adrien\Mes documents\System32\4242.exe
O4 - HKUS\S-1-5-21-3664331877-2587049494-2928149487-1005\..\Run: [GoogleApps] . (.Microsoft Inc. - Microsoft Component.) -- C:\Documents and Settings\adrien\Mes documents\System32\4242.exe

Action ZHPFix

O4 - {Key}: [ {KeyValue} ] . (...) -- {FileName}

{Key} : Clé de Base de Registres [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
{KeyValue} : Valeur de la clé {Key}
{FileName} : Donnée de la valeur {KeyValue}

1) L'outil supprime la valeur {KeyValue} de la clé {Key}
2) L'outil supprime le fichier {FileName}

NB : Dans le cas d'une recherche d'optimisation, consulter la commande OPT

Rapport ZHPFix N°1 (Cas général)

Lignes Saisies :
O4 - HKLM\..\RunServices: [LTroblAgQuickCam] . (...) -- C:\Program Files\Fichiers Communs\Logitech\qcdrv\in\ptb\logitechlcamwzrd.exe
O4 - HKLM\..\Run: [eorezo] . (.EoRezo - EoRezo.) -- C:\Program Files\EoRezo\eorezo.exe
O4 - HKLM\..\RunOnce: [SoftwareHelper] . (.EoRezo - SoftwareHelper.) -- C:\Users\stéphane et agnès\AppData\Roaming\eoRezo\SoftwareUpdate\SoftwareUpdateHP.exe
O4 - Global Startup: Mozilla Firefox 3.6 Beta 4.lnk . (.Mozilla Corporation - Firefox.) -- C:\Program Files\Mozilla Firefox 3.6 Beta 4\firefox.exe

Rapport de ZHPFix v1.12.3133 par Nicolas Coolman, Update du 05/08/2010

========== Processus mémoire ==========
C:\Users\stéphane et agnès\AppData\Roaming\eoRezo\SoftwareUpdate\SoftwareUpdateHP.exe [368224] => Supprimé et mis en quarantaine
C:\Program Files\EoRezo\eorezo.exe [667648] => Supprimé et mis en quarantaine

========== Valeur(s) du Registre ==========
O4 - HKLM\..\Run: [LTroblAgQuickCam] . (...) -- C:\Program Files\Fichiers Communs\Logitech\qcdrv\in\ptb\logitechlcamwzrd.exe => Valeur supprimée avec succès
O4 - HKLM\..\Run: [eorezo] . (.EoRezo - EoRezo.) -- C:\Program Files\EoRezo\eorezo.exe => Valeur supprimée avec succès
O4 - HKLM\..\RunOnce: [SoftwareHelper] . (.EoRezo - SoftwareHelper.) -- C:\Users\stéphane et agnès\AppData\Roaming\eoRezo\SoftwareUpdate\SoftwareUpdateHP.exe => Valeur supprimée avec succès

========== Fichier(s) ==========
C:\Program Files\Fichiers Communs\Logitech\qcdrv\in\ptb\logitechlcamwzrd.exe => Supprimé et mis en quarantaines
O4 - Global Startup: Mozilla Firefox 3.6 Beta 4.lnk . (.Mozilla Corporation - Firefox.) -- C:\Program Files\Mozilla Firefox 3.6 Beta 4\firefox.exe => Supprimé et mis en quarantaine

========== Récapitulatif ==========
3 : Valeur(s) du Registre
2 : Fichier(s)

Rapport ZHPFix N°2 (Cas d'une clé orpheline)

Ligne Saisie
O4 - HKLM\..\Run: [QuickTime Task] Clé orpheline

Rapport de ZHPFix v1.12.3133 par Nicolas Coolman, Update du 05/08/2010

========== Valeur(s) du Registre ==========
O4 - HKLM\..\Run: [QuickTime Task] Clé orpheline => Valeur supprimée avec succès

========== Récapitulatif ==========
1 : Valeur(s) du Registre

Rapport ZHPFix N°3 (Cas d'une optimisation)

Ligne Saisie :
OPT:O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] . (.Adobe Systems Incorporated - Adobe Acrobat SpeedLauncher.) -- C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe

Rapport de ZHPFix v1.12.3137 par Nicolas Coolman, Update du 23/08/2010

========== Valeur(s) du Registre ==========
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] . (.Adobe Systems Incorporated - Adobe Acrobat SpeedLauncher.) -- C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe => Valeur supprimée avec succès

========== Récapitulatif ==========
1 : Valeur(s) du Registre

Liens

* Autoloading programs from Registry

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_04G

ZHPDiag - Module O4 (ALDS)

Origine

Le module O4 (ALDS) a été crée le 08 avril 2008.

Caractéristiques

Ce module énumère l'ensemble des raccourcis d'applications placées dans le dossier de démarrage de Windows.

Ajout du propriétaire et de la désignation du fichier. v1.24

Ajout du chemin complet du fichier de lien afin de permettre une meilleure suppression avec ZHPFix. v1.26.64

De nombreux malwares placent des raccourcis dans le dossier "Windows\Start Menu\Programs". C'est le cas notamment de certains rogues comme "SecurityTool". Des logiciels légitimes aussi peuvent placer un raccourci dans ce dossier, c'est le cas par exemple d'Analog Clock d'Opera Software. Même s'il ne s'agit pas à proprement parlé d'un lien "Global Startup", il est toutefois intéressant d'en avoir la liste dans ce module. v1.26.68

Ajout de recherche dans d'autres dossiers utilisateurs afin de lister un plus grand nombres de liens commes ceux placés sur le "Bureau" et ceux lancès en "Quick Launch" par Microsoft Internet Explorer. Ces dossiers de raccourcis sont souvent utilisés par les rogues comme notamment "AntiMalwareDoctor". Pour ces lignes spécifiques, une nouvelle entête a été créée sous le nom "Autres liens utilisateurs". Dans le cas où le fichier de lien ne pointe pas vers un fichier, la mension "Clé orpheline" est ajoutée. v1.26.685

Ajout d'une recherche complémentaire pour Vista dans le dossier "ProgramData\Microsoft\Windows\Start Menu\Programs\Startup". v1.28.263

Nouveau format de ligne qui permet d'éviter la troncature des lignes à 255 caractères : v1.3.5.117

GS\Accessories: C:\Users\Coolman\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\
GS\Desktop: C:\Users\Coolman\Desktop\
GS\Programs: C:\Users\Coolman\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\
GS\QuickLaunch: C:\Users\Coolman\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\
GS\TaskBar: C:\Users\Coolman\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\

Liste complète des dossiers recensés

C:\Documents and Settings\{UserName}\Menu Démarrer\Programmes\Démarrage\
C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\
C:\Users\All Users\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\ (A partir de Vista)
C:\Users\All Users\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ (A partir de Vista)

C:\Users\{Username}\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\ (A partir de Vista)
C:\Users\{Username}\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar (A partir de Vista)
C:\Users\{Username}\Desktop\ (Vista & Windows 7)

Aperçu ZHPDiag

---\\ Applications démarrées par registre & par dossier(O4)
O4 - Global Startup: Adobe Gamma Loader.lnk - C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Startup: idrive.exe
O4 - Startup: Microsoft Office.lnk.disabled

---\\ Applications démarrées par registre & par dossier(O4) v1.24
O4 - Global Startup: HP Digital Imaging Monitor.lnk . (.Hewlett-Packard Co. - HP Digital Imaging Monitor.) -- C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: Microsoft Office.lnk.disabled . (.Pas de propriétaire - Pas de description.) -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Microsoft Office.lnk.disabled

---\\ Applications démarrées par registre & par dossier(O4) v1.26.64
O4 - Global Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\HP Digital Imaging Monitor.lnk . (.Hewlett-Packard Co. - HP Digital Imaging Monitor.) -- C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe

---\\ Applications démarrées par registre & par dossier(O4) v1.26.68
O4 - Global Startup: C:\Users\Coolman\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk . (.Microsoft Corporation.) -- C:\Program Files\Internet Explorer\iexplore.exe

---\\ Autres liens utilisateurs (O4) v1.26.685
O4 - Global Startup: C:\Users\Coolman\Desktop\ZHPLite.lnk . (.Nicolas Coolman.) -- C:\Program Files\ZebHelpProcess Lite\ZHP2.exe
O4 - Global Startup: C:\Users\Coolman\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\WampServer.lnk . (.Aestan Software.) -- C:\wamp\wampmanager.exe
O4 - Global Startup: C:\Users\Coolman\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Window Switcher.lnk - Clé orpheline

---\\ Autres liens utilisateurs (O4) v1.3.5.117
O4 - GS\TaskBar: CDBurnerXP.lnk . (.Canneverbe Limited.) -- C:\Program Files (x86)\CDBurnerXP\cdbxpp.exe
O4 - GS\TaskBar: Google Chrome.lnk . (.Google Inc..) -- C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
O4 - GS\Programs: Internet Explorer (64-bit).lnk . (.Microsoft Corporation.) -- C:\Program Files (x86)\Internet Explorer\iexplore.exe
O4 - GS\Programs: Internet Explorer.lnk . (.Microsoft Corporation.) -- C:\Program Files (x86)\Internet Explorer\iexplore.exe
O4 - GS\Desktop: iexplore.exe.lnk . (.Microsoft Corporation.) -- C:\Program Files (x86)\Internet Explorer\iexplore.exe
O4 - GS\Desktop: Microsoft Visual C++ 2010 Express.lnk . (.Microsoft Corporation.) -- C:\Program Files (x86)\Microsoft Visual Studio 10.0\Common7\IDE\VCExpress.exe
O4 - GS\QuickLaunch: Google Chrome.lnk . (.Google Inc..) -- C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
O4 - GS\QuickLaunch: Launch Internet Explorer Browser.lnk . (.Microsoft Corporation.) -- C:\Program Files (x86)\Internet Explorer\iexplore.exe

Equivalence HJT

O4 - Startup: idrive.exe
O4 - Startup: Microsoft Office.lnk.disabled
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

Equivalence OTL

O4 - Startup: C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\SoundFLOW.lnk = C:\Program Files\Sony\SoundFLOW\SoundFLOW.exe (Sony Corporation)
O4 - Startup: C:\Documents and Settings\Johnn.J\Menu Démarrer\Programmes\Démarrage\winesm32.exe ()

Exemples d'infection

---\\ Applications démarrées par registre & par dossier(O4)
O4 - Global Startup: C:\Documents and Settings\All Users\Start Menu\Programs\Startup\winlgn.exe => Infection Diverse (Trojan.Agent)
O4 - Global Startup: C:\Documents and Settings\All Users\Start Menu\Programs\Startup\SRVSPOOL.EXESRVSPOOL.exe => Infection Diverse (Trojan.Agent)
O4 - Global Startup: Start Shopper Link System Tray App.lnk = %Allusersprofile%\Application Data\ipd\tray.exe => Infection Diverse (Malware.Bot)
O4 - Global Startup: wmsncs.exe => Infection Diverse (Malware.Bot)
O4 - Global Startup: .security => Infection Rogue (Multiple.Rog)

Action ZHPFix

O4 - Global Startup: {LinkName}.lnk .(...). -- {FileName}

{FileName} : Nom du fichier.
{LinkName} : Nom du raccourci vers lequel pointe le fichier {FileName}.

1) L'outil supprime le fichier de raccourci {LinkName]
2) L'outil supprime le fichier {FileName]

Action ZHPFix (Cas d'une clé orpheline)

O4 - Global Startup: {LinkName}.lnk - Clé orpheline

{FileName} : Nom du fichier.

L'outil supprime le fichier de raccourci {LinkName]

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_05

ZHPDiag - Module O5 (IIPC)

Origine

- Le module O5 (IIPC) a été crée le 08 avril 2008.

Caractéristiques

- Ce module affiche les paramètres contenus dans le fichier "control.ini" et correspondant au panneau de contrôle du navigateur Microsoft Internet Explorer.

- La recherche s"effectue au niveau de la donnée de la valeur"inetcpl.cpl" des clés de Base de Registres :
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Control Panel\don't load]
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Control Panel\don't load]

- Ajout d'une information spécifique de la ruche pour distinguer les environnements système. v1.23

NB : Le fichier "control.ini" n'existe plus sous Windows 7.

Aperçu ZHPDiag

---\\ Invisibilité de l'icône d'options IE dans le panneau de Configuration (O5) v1.23
O5 - control.ini: [HKCU\..\Control Panel] inetcpl.cpl=no
O5 - control.ini: [HKLM\..\Control Panel] inetcpl.cpl=no

Equivalence HijackThis

O5 - control.ini: inetcpl.cpl=no

Action ZHPFix

- L'outil supprime la valeur "inetcpl.cpl".

Liens

* IE Options icon not visible in Control Panel
* Comment supprimer des fichiers cookies dans Internet Explorer


ZHPdiag_06

ZHPDiag - Module O6 (RAIE)

Origine

- Le module O6 (RAIE) a été crée le 14 avril 2008.

Caractéristiques

- Ce module permet de rechercher dans la Base De Registres s'il y a restriction sur l'accès aux options d'Internet Explorer. A côté de la restriction faite par l'Administrateur, certains logiciels comme Spybot S&D peuvent provoquer la création de cette ligne lorsque l'option "Verrouiller la page de démarrage" est activée.

- Pour le panneau de contrôle, la recherche s'effectue dans la clé [HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel] et la valeur "Homepage".
- Pour les restrictions, la recherche s'effectue dans la clé [HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Restrictions] et la valeur "NoBrowserOptions".

NB : La clé "Control Panel" est absente sous Vista.

Aperçu ZHPDiag

---\\ Restriction de l'accès aux options IE par l'Administrateur (O6)
O6- HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel présent
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restriction présente

Equivalence HijackThis

O6- HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel présent
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restriction présente

Action ZHPFix

CAS : O6- HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel présent

{Key} : Clé de Base de Registres [HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel].
{KeyValue} : Valeur "Homepage" de la clé {Key}.

1) L'outil restaure l'élément de donnée par défaut de la valeur {KeyValue}.

CAS : O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restriction présente

{Key} : Clé de Base de Registres [HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Restrictions].
{KeyValue} : Valeur "NoBrowserOptions" de la clé {Key}.

1) L'outil restaure l'élément de donnée par défaut de la valeur{KeyValue}.

Liens

* IE Options access restricted by Administrator
* Clipboard Formats (Microsoft MSDN)


ZHPdiag_07

ZHPDiag - Module O7 (RARE)

Origine

- Le module O7 (RARE) a été crée le 14 avril 2008.

Caractéristiques

- Ce module permet de rechercher la valeur de clé de registre DisableRegedit. Selon la donnée de cette valeur de clé, l'accès à la Base De Registres peut être totalement verrouillé.

- La recherche s'effectue sur la valeur "DisableRegedit" de la clé de Base de Registres [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\system].

Aperçu ZHPDiag

---\\ Regedit access restricted by Administrator (O7)
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1

Equivalence HijackThis

O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1

Action ZHPFix

O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1

{Key} : Clé de Base de Registres [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\system].
{KeyValue} : Valeur "DisableRegedit" de la clé {Key}.

- L'outil restaure l'élément de donnée par défaut de la valeur {KeyValue}.

Liens

* Regedit access restricted by Administrator


ZHPdiag_08

ZHPDiag - Module O8 (LSMI)

Origine

- Le module O8 (LSMI) a été crée le 15 avril 2008.

Caractéristiques

Ce module énumère les lignes supplémentaires dans le menu contextuel d'Internet Explorer. Cette action ajoute des éléments au menu contextuel lorsque l'on fait un clic droit sur une page Web.

La recherche s'effectue dans la clé de Base de Registres [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt]

Ajout du nom du propriétaire et de la désignation du fichier. v1.25.02

Le module O8 supporte la commande d'optimisation OPT. Pour rappel, cette commande permet de supprimer la clé de registre et de conserver le processus déclencheur.

Aperçu ZHPDiag

---\\ Lignes supplémentaires dans le menu contextuel d'Internet Explorer (O8)
O8 - Extra context menu item: E&xporter vers Microsoft Excel - C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE

---\\ Lignes supplémentaires dans le menu contextuel d'Internet Explorer (O8) v1.25.02
O8 - Extra context menu item: E&xporter vers Microsoft Excel . (.Microsoft Corporation - Microsoft Excel.) -- C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE

Equivalence HijackThis

O8 - Extra context menu item: E&xporter vers Microsoft Excel - C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE

Equivalence OTL

O8 - Extra context menu item: E&xporter vers Microsoft Excel - C:\Program Files\Microsoft Office\Office12\EXCEL.EXE (Microsoft Corporation)

Equivalence MBAM

Clé(s) du Registre infectée(s):
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt\Recherche avec cherche.us (Redir.ChercheUs)

Exemple d'infection

O8 - Extra Context Menu Item: Ò×È¤¹ºÎï - :\Program Files\ad4all\link1\ebaylink.htm => Infection Diverse
O8 - Extra Context Menu Item: &every toolbar search - res://:\Program Files\everyt~1.1\everycom.dll/gorsdn.dll.htm => Infection BT (EveryToolbar.Adw)
O8 - Extra Context Menu Item: &download by netants - :\Program Files\netants\naget.htm => Infection Diverse (Cydoor.D.Adw)

Action ZHPFix

O8 - Extra context menu item: {KeyName} - {FileName}

{Key} : Clé de Base de Registres [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt].
{KeyName} : Sous clé de {Key}.
{FileName} : Valeur par défaut de la clé {KeyName}.

1) L'outil supprime la clé {KeyName}
2) L'outil supprime le fichier {FileName}

Rapport ZHPFix (Exemple)

Ligne saisie :
O8 - Extra context menu item: Add to Windows &Live Favorites - (.not file.) - http:\\favorites.live.com\quickadd.aspx => ZHPHosts White List (Live Toolbar)

Rapport de ZHPFix v1.12.3133 par Nicolas Coolman, Update du 02/08/2010

========== Clé(s) du Registre ==========
O8 - Extra context menu item: Add to Windows &Live Favorites - (.not file.) - http:\\favorites.live.com\quickadd.aspx => Clé supprimée avec succès

========== Récapitulatif ==========
1 : Clé(s) du Registre

Liens

* Extra items in IE right-click menu

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_09

ZHPDiag - Module O9 (BSMI)

Origine

Le module O9 (BSMI) a été crée le 15 avril 2008.

Caractéristiques

Ce module liste les éléments ajoutés dans la barre d'outils d'Internet Explorer ou dans le menu Outils d'IE. La recherche s'effectue sur les sous-clés CLSID de la clé de Base de Registres [HKCU\Software\Microsoft\Internet Explorer\Extensions\CmdMapping].

Ajout du propriétaire et de la désignation du fichier. v1.25.02

Ajout du traitement des clés orphelines. v1.26.682

Le module O9 supporte la commande d'optimisation OPT. Pour rappel, cette commande permet de supprimer la clé de registre et de conserver le processus déclencheur.

Ajout d'une recherche supplémentaire dans la clé de Base de Registres [HKLM\Software\Microsoft\Internet Explorer\Extensions]. v1.27.1868

Aperçu ZHPDiag

---\\ Boutons situés sur la barre d'outils principale d'Internet Explorer (O9)
O9 - Extra button: Afficher ou masquer l'HP Smart Web Printing - {DDE87865-83C5-48c4-8357-2F5B1AA84522} - C:\Program Files\HP\Digital Imaging\Smart Web Printing\hpswp_BHO.dll

---\\ Boutons situés sur la barre d'outils principale d'Internet Explorer (O9) v1.25.02
O9 - Extra button: Afficher ou masquer l'HP Smart Web Printing - {DDE87865-83C5-48c4-8357-2F5B1AA84522} . (.Hewlett-Packard Co. - HP Smart Web Printing add-on for Internet Explorer.) -- C:\Program Files\HP\Digital Imaging\Smart Web Printing\hpswp_BHO.dll

---\\ Boutons situés sur la barre d'outils principale d'Internet Explorer (O9) v1.26.682
O9 - Extra button: Afficher ou masquer l'HP Smart Web Printing - {DDE87865-83C5-48c4-8357-2F5B1AA84522} - Clé orpheline

Equivalence HijackThis

O9 - Extra button: Afficher ou masquer l'HP Smart Web Printing - {DDE87865-83C5-48c4-8357-2F5B1AA84522} - C:\Program Files\HP\Digital Imaging\Smart Web Printing\hpswp_BHO.dll

Equivalence OTL

O9 - Extra 'Tools' menuitem : Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre6\bin\npjpi160_17.dll (Sun Microsystems, Inc.)
O9 - Extra Button: ShopperReports - Compare product prices - {C5428486-50A0-4a02-9D20-520B59A9F9B2} - C:\Program Files\ShoppingReport\Bin\2.5.0\ShoppingReport.dll File not found

Exemple d'infection

O9 - Extra button: ShopperReports - Compare product prices - {DB38E21A-0133-419d-92AD-ECDFD5244D6D} - C:\Program Files\ShoppingReport2\Bin\2.7.12\ShoppingReport.dll (file missing) => Infection FakeAlert
O9 - Extra button: ShopperReports - Compare travel rates - {EB620C54-E229-4942-87CE-E717109FC8C6} - C:\Program Files\ShoppingReport2\Bin\2.7.12\ShoppingReport.dll (file missing) => Infection FakeAlert

Action ZHPFix

O9 - Extra button: {Startup} - {CLSIDKey} . (...) -- {FileName}
O9 - Extra 'Tools' menuitem: {Startup} - {CLSIDKey} . (...) -- {FileName}

{Key} : Clé de Base de Registres [HKCU\Software\Microsoft\Internet Explorer\Extensions\CmdMapping]
{Startup} : Donnée de la valeur "MenuText" de la clé {CLSIDKey}
{CLSIDKey} : Sous-clé CLSID de la Clé {Key}
{FileName} : Donnée de la valeur par défaut de la clé [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CLSIDKey}\InProcServer32]

1) L'outil supprime la clé [HKCU\Software\Microsoft\Internet Explorer\Extensions\CmdMapping\CLSIDKey}]
2) L'outil supprime la clé [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CLSIDKey}]
3) L'outil supprime la clé [HKEY_CLASSES_ROOT\CLSID\{CLSIDKey}]
4) L'outil supprime le fichier {FileName}

Action ZHPFix (Clé orpheline)

O9 - Extra button: {Startup} - {CLSIDKey} - Clé orpheline
O9 - Extra 'Tools' menuitem: {Startup} - Clé orpheline

{Key} : Clé de Base de Registres [HKCU\Software\Microsoft\Internet Explorer\Extensions\CmdMapping]
{Startup} : Donnée de la valeur "MenuText" de la clé {CLSIDKey}
{CLSIDKey} : Sous-clé CLSID de la Clé {Key}

1) L'outil supprime la clé [HKCU\Software\Microsoft\Internet Explorer\Extensions\CmdMapping\CLSIDKey}]
2) L'outil supprime la clé [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CLSIDKey}]
3) L'outil supprime la clé [HKEY_CLASSES_ROOT\CLSID\{CLSIDKey}]

Rapport ZHPFix (Clé orpheline)

O9 - Extra button: Quick-Launching Area - {10954C80-4F0F-11d3-B17C-00C0DFE39736} - Clé orpheline

Rapport de ZHPFix v1.12.3204 par Nicolas Coolman, Update du 29/09/2010

========== Clé(s) du Registre ==========
O9 - Extra button: Quick-Launching Area - {10954C80-4F0F-11d3-B17C-00C0DFE39736} . (...) - Clé orpheline => Clé supprimée avec succès
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{10954C80-4F0F-11d3-B17C-00C0DFE39736}] => Clé supprimée avec succès
[HKEY_CLASSES_ROOT\CLSID\{10954C80-4F0F-11d3-B17C-00C0DFE39736}] => Clé supprimée avec succès

========== Récapitulatif ==========
3 : Clé(s) du Registre

Liens

* Extra buttons on main IE button toolbar, or extra items in IE 'Tools' menu


ZHPdiag_010

ZHPDiag - Module O10 (LSP)

Origine

- Le module O10 (LSP) a été crée le 20 mai 2008.

Caractéristiques

- Ce module liste toutes les ressources se trouvant dans les sous-clés Winsock2. L'analyseur de ZHP permettra de définir la légitimité ou la nocivité des ressources.

- Ajout du propriétaire et de la désignation du fichier. v1.25.02

Aperçu ZHPDiag

---\\ Winsock hijacker (Layered Service Provider) (O10)
O10 - WLSP:\000000000004\Winsock LSP File - C:\Windows\system32\pnrpnsp.dll

---\\ Winsock hijacker (Layered Service Provider) (O10) v1.25.02
O10 - WLSP:\000000000004\Winsock LSP File . (.Microsoft Corporation - Fournisseur d’espace de noms PNRP.) -- C:\Windows\system32\pnrpnsp.dll
O10 - Broken Internet access because of LSP provider (.no file.) -- C:\WINDOWS\system32\winrnr.dll

Equivalence HijackThis

O10 - WLSP:\000000000004\Winsock LSP File - C:\Windows\system32\pnrpnsp.dll

Equivalence OTL

O10 - NameSpace_Catalog5\Catalog_Entries\000000000007 [] - C:\Program Files\Bonjour\mdnsNSP.dll (Apple Inc.)

Exemple d'infection

O10 - Broken Internet access because of LSP provider 'c:\program files\newdotnet\newdotnet6_38.dll'
O10 - Broken Internet access because of LSP provider 'rsvp322.dll'

Liens

* Piratages de Winsock LSP

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_011

ZHPDiag - Module O11 (OSOI)

Origine

- Le module O11 (OSOI) a été crée le 20 mai 2008.

Caractéristiques

- Ce module traite des Onglets supplémentaires dans les options avancées d'Internet Explorer. Le traitement se fait par lecture de clés de Registre.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\AdvancedOptions]

- Ajout du propriétaire et de la désignation du fichier. v1.25.05

Aperçu ZHPDiag

---\\ Onglet supplémentaire dans les options avancées d'Internet Explorer (O11)
O11 - Options group: [accessibility] Accessibility - C:\Windows\SysWOW64\inetcpl.cpl
O11 - Options group: [browse] Browsing - C:\Windows\SysWOW64\inetcpl.cpl

---\\ Onglet supplémentaire dans les options avancées d'Internet Explorer (O11) v1.25.05
O11 - Options group: [accessibility] Accessibility .(.Microsoft Corporation - Element du panneau de congiguration .) -- C:\Windows\SysWOW64\inetcpl.cpl
O11 - Options group: [browse] Browsing .(.Microsoft Corporation - Element du panneau de congiguration .) - - C:\Windows\SysWOW64\inetcpl.cpl

Equivalence HijackThis

O11 - Options group: [accessibility] Accessibility - C:\Windows\SysWOW64\inetcpl.cpl
O11 - Options group: [browse] Browsing - C:\Windows\SysWOW64\inetcpl.cpl

Equivalence OTL

Action ZHPFix

O11 - Options group: [ {key} ] {Startup} - {FileName}

{key} : Sous-clé de la branche Registre : [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\AdvancedOptions]
{Startup} : Donnée de la valeur "Text" de la clé {Key}.
{FileName} : Donnée de la valeur "BitMap" de la clé {Key}.

1) L'outil supprime la clé de Base de Registres {Key}.
2) L'outil supprime le fichier {FileName}.

Liens

* Extra group in IE 'Advanced Options' window


ZHPdiag_013

ZHPDiag - Module O13 (PFUI)

Origine

- Le module O13 (PFUI) a été crée le 27 mai 2008.

Caractéristiques

- Ce module recherche la valeur de la clé de Registre [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\URL] au niveau des valeurs "DefaultPrefix" et "Prefixes".
- Toutes les URL sont par défaut préfixées avec http://. Des pirates comme CoolWebSearch sont connus pour modifier ce préfixe.

Aperçu ZHPDiag

---\ Piratage de IE DefaultPrefix (O13)
O13 - DefaultPrefix: http://google.fr
O13 - Prefixes: http://Zebulon.fr

Equivalence HijackThis

O13 - DefaultPrefix: http://google.fr
O13 - Prefixes: http://Zebulon.fr

Equivalence OTL

O13 - gopher Prefix: missing

Action ZHPFix

O13 - {Valuekey}: {HttpFile}

{Key} : Clé de la Base de Registres [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\URL]
{Valuekey} : Valeur "DefaultPrefix" ou "Prefixes" de la clé {Key}
{HttpFile} : Donnée de la valeur {Valuekey} de la clé {Key}

1) L'outil restaure la donnée par défaut de la valeur "DefaultPrefix" ou "Prefixes" de clé de Base de Registres {Key}.

Exemple d'infection

O13 - DefaultPrefix: http://antivirusprotector.com
O13 - Prefixes: http://aol-di.com
O13 - DefaultPrefix: http://%73%65%61%72%63%68%2D%6C%69%6E%6B%73%2E%6E%65%74/?my=
O13 - DefaultPrefix: http://www.heretofind.com/show.php?id=18&q=
O13 - WWW Prefix: http://www.heretofind.com/show.php?id=18&q=
O13 - Home Prefix: http://www.heretofind.com/show.php?id=18&q=
O13 - Mosaic Prefix: http://www.heretofind.com/show.php?id=18&q=
O13 - Gopher Prefix: http://www.heretofind.com/show.php?id=18&q=

Liens

* IE DefaultPrefix hijack

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_014

ZHPDiag - Module O14 (PDOI)

Origine

- Le module O14 (PDOI) a été crée le 28 mai 2008.

Caractéristiques

- Ce module recherche les paramètres du fichier "%Windir%\Inf\iereset.inf" qui contient des options de Microsoft Internet Explorer.

- Les lignes par défaut légitimes suivantes ne sont pas affichées :
O14 - IERESET.INF: START_PAGE_URL=START_PAGE_URL="http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome"
O14 - IERESET.INF: SEARCH_PAGE_URL=SEARCH_PAGE_URL="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch"
O14 - IERESET.INF: SAFESITE_VALUE=SAFESITE_VALUE="http://home.microsoft.com/intl/fr/"

- Le fichier 'iereset.inf' n'existe plus sous Windows 7.

Aperçu ZHPDiag

---\\ Piratage de l'Option 'Rétablir les paramètres Web' (O14)
O14 - IERESET.INF: START_PAGE_URL=http://www.files-ftp.com/~unicorni/phpBB2/index.php

Equivalence HijackThis

O14 - IERESET.INF: START_PAGE_URL=http://www.files-ftp.com/~unicorni/phpBB2/index.php

Equivalence OTL

Action ZHPFix

- L'outil ne traite pas ce module, le fichier 'iereset.inf' n'existe plus sous Windows 7.

Exemple d'infection

---\\ Piratage de l'Option 'Rétablir les paramètres Web' (O14)
O14 - IERESET.INF: START_PAGE_URL=http://www.photoshop.softwarecenterz.com => ZHPHosts Black List
O14 - IERESET.INF: START_PAGE_URL=http://www.securedaccess.com => ZHPHosts Black List

Liens

* Reset Web Settings' hijack

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_015

ZHPDiag - Module O15 (SZCI)

Origine

- Le module O15 (SZCI) a été crée le 04 juin 2008.

Caractéristiques

- Ce module recherche les sites indésirables placés dans la Zone de confiance d'Internet Explorer. Souvent AOL et CoolWebSearch s'insèrent silencieusement dans cette zone.
- Prise en charge de la branche HKLM. v1.22
- Prise en compte de la clé "EscDomains" et nouveau format d'affichage. v1.23

- Clés de registre concernées :
[HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains]
[HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains]
[HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\EscDomains]
[HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\EscDomains]

Aperçu ZHPDiag

---\\ Site dans la Zone de confiance d'Internet Explorer (O15)
O15 - Trusted Zone: [HKCU]0007ideal.com
O15 - Trusted Zone: [HKLM]0007ideal.com v1.22

---\\ Site dans la Zone de confiance d'Internet Explorer (O15) v1.23
O15 - Trusted Zone: [HKCU\...\Domains] 0007ideal.com
O15 - Trusted Zone: [HKCU\...\EscDomains] 0007ideal.com

Equivalence HijackThis

O15 - Trusted Zone: [HKCU]0007ideal.com
O15 - Trusted Zone: [HKLM]0007ideal.com

Equivalence OTL

O15 - HKCU\..Trusted Domains: buy-security-essentials.com ([]http in Sites de confiance)
O15 - HKCU\..Trusted Domains: download-soft-package.com ([]http in Sites de confiance)

Exemple d'infection

O15 - Trusted Zone: *.frame.crazywinnings.com => Infection LOP (C2 Media.troj)
O15 - Trusted Zone: *.static.topconverting.com => Infection LOP (C2 Media.troj)
O15 - Trusted Zone: *.05p.com (HKLM) => Infection LOP (C2 Media.troj)

Action ZHPFix

O15 - Trusted Zone: [ {Ruche} \...\ {KeyDomain} ] {SiteName}

{Key} : Clé de la Base de registres [ {Ruche} \Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap]
{Ruche} : Nom de la ruche, "HKCU" ou "HKLM".
{KeyDomain} : Sous-clé "EscDomains" ou 'Domains' de la clé {Key}
{SiteName} : Donnée de la valeur DWORD "http" de la clé {KeyDomain}

1) L'outil modifie la donnée de {SiteName} avec la valeur entiere 4. Le site passe du mode autorisé (2) au mode bloqué (4).

Rapport ZHPFix (Exemple)

Ligne saisie :
O15 - Trusted Zone: [HKCU\...\Domains] *.chat-land.org

Rapport de ZHPFix v1.12.3141 par Nicolas Coolman, Update du 27/08/2010

========== Elément(s) de donnée du Registre ==========
O15 - Trusted Zone: [HKCU\...\Domains] *.chat-land.org => Donnée supprimée avec succès

========== Récapitulatif ==========
2 : Elément(s) de donnée du Registre

Liens

* Unwanted site in Trusted Zone

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_016

ZHPDiag - Module O16 (OAX)

Origine

- Le module O16 (OAX) a été crée le 04 juin 2008.

Caractéristiques

- Ce module permet d'énumérer les objets ActiveX. Les lignes légitimes issues de Java Runtime Environment ne sont pas affichées.
- La recherche s'effectue sur les sous-clés CLSID de la clé [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units]
- Ajout de l'information sur la présence du fichier. v1.25.04

Aperçu ZHPDiag

---\\ Objets ActiveX (Downloaded Program Files)(O16)
O16 - DPF: {149E45D8-163E-4189-86FC-45022AB2B6C9} (SpinTop DRM Control) - C:/Program Files/Jigsaw Puzzle Platinum/Images/stg_drm.ocx
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://webscanner.kaspersky.fr/kavwebscan_unicode.cab

---\\ Objets ActiveX (Downloaded Program Files)(O16 ) v1.25.04
O16 - DPF: {CC450D71-CC90-424C-8638-1F2DBAC87A54} (ArmHelper Control) - (.No file.) - C:/Program Files/Jigsaw Puzzle Platinum/Images/armhelper.ocx

Equivalence HijackThis

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.m...ash/swflash.cab

Equivalence OTL

O16 - DPF: {DF780F87-FF2B-4DF8-92D0-73DB16A1543A} http://m.boonty.com/webgames/_popcap/popcaploader_v10.cab (PopCapLoader Object)

Exemple d'infection

O16 - DPF: {11F1D260-129E-4EB7-B37E-57E3D97A3DF1} - hllp://akamai.downloadv3.com/binaries/P2EClient/EGAUTH_1044_FR_XP.cab => Infection BT (Dialer)
O16 - DPF: {C771B05E-E725-4516-97A5-4CE5EB163CFB} - hllp://www.megabaise.com/dialers/megabaiseX.exe => Infection BT (Carpediem Dialer)

Action ZHPFix

O16 - DPF: {KeyCLSID} ( {KeyStartup} ) - {FileName}
O16 - DPF: {KeyCLSID} ( {KeyStartup} ) - {httpName}

{Key} : Clé de la Base de registres [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units]
{KeyCLSID} : Sous-clé CLSID' de la clé {Key}
{FileName} : Donnée de la valeur "CODEBASE" de la clé {KeyCLSID}
{HttpName} : Donnée de la valeur "CODEBASE" de la clé {KeyCLSID}
{KeyStartup} : Donnée par défaut de la clé [HKLM\SOFTWARE\Classes\CLSID\ {KeyCLSID} ]

1) L'outil supprime la clé {KeyCLSID}.
2) L'outil supprime la clé {KeyStartup}.
3) L'outil supprime la clé [HKEY_CLASSES_ROOT\CLSID\{KeyCLSID}]
4) L'outil supprime le fichier {FileName}.

Rapport ZHPFix (Exemple)

Ligne Saisie :
O16 - DPF: {DF780F87-FF2B-4DF8-92D0-73DB16A1543A} (PopCapLoader Object) - http://jeux-a-telecharger.fr.pogo.com/online2/pogo/zuma/popcaploader_v10.cab

Rapport de ZHPFix v1.12.3133 par Nicolas Coolman, Update du 05/08/2010

========== Clé(s) du Registre ==========
O16 - DPF: {DF780F87-FF2B-4DF8-92D0-73DB16A1543A} (PopCapLoader Object) - http://jeux-a-telecharger.fr.pogo.com/online2/pogo/zuma/popcaploader_v10.cab => Clé supprimée avec succès
[HKLM\SOFTWARE\Classes\CLSID\{DF780F87-FF2B-4DF8-92D0-73DB16A1543A}] => Clé supprimée avec succès
[HKCR\CLSID\{DF780F87-FF2B-4DF8-92D0-73DB16A1543A}] => Clé supprimée avec succès

========== Récapitulatif ==========
3 : Clé(s) du Registre

Liens

* ActiveX Objects (aka Downloaded Program Files)


ZHPdiag_017

ZHPDiag - Module O17 (MDAD)

Origine

- Le module O17 (MDAD) a été crée le 05 juin 2008.

Caractéristiques

- Ce module liste les modifications des serveurs DNS qui peuvent permettre une redirection vers un site malveillant.

- La recherche s'effectue sur la valeur "NameServer" au niveau des clés de Base de Registres suivantes :
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSetXX\Services\Tcpip\Parameters\Interfaces] (XX étant un nombre entier, 01,02,03,...)

- Ajout d'une recherche complémentaire sur les valeurs de clé "Domain", "NameServer", "SearchList" de la clé :
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters] v1.26.30

- La valeur de Base de Registre "DhcpNameServer" est la cible de serveurs Ukrainiens "Promnet" d'adresse IP 93.188.1XX.XXX. Ajout d'une recherche complémentaire sur les valeurs de clé "DhcpNameServer" et "DhcpServer de la clé : [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters] v1.26.39

Aperçu ZHPDiag

---\\ Lop.com/Domain Hijackers (O17)
O17 - HKLM\System\CCS\Services\Tcpip\..\{D196AB38-4D1F-45C1-9108-46D367F19F7E}: NameServer = 69.57.146.14,69.57.147.175
O17 - HKLM\System\CC1\Services\Tcpip\..\{D196AB38-4D1F-45C1-9108-46D367F19F7E}: NameServer = 69.57.146.14,69.57.147.175

---\\ Modification Domaine/Adresses DNS (O17) v1.26.30
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: SearchList = gla.ac.uk
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = W21944.find-quick.com
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 69.57.146.14,69.57.147.175

---\\ Modification Domaine/Adresses DNS (O17) v1.26.39
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: DhcpNameServer = 93.188.166.105

Equivalence HijackThis

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = W21944.find-quick.com
O17 - HKLM\System\CC1\Services\Tcpip\..\{D196AB38-4D1F-45C1-9108-46D367F19F7E}: Domain = W21944.find-quick.com
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: SearchList = gla.ac.uk
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 69.57.146.14,69.57.147.175

Equivalence OTL

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: DhcpNameServer = 65.32.5.111 65.32.5.112

Exemple d'infection

O17 - HKLM\System\CCS\Services\Tcpip\..\{04F87BC5-7D49-4D5C-A720-07BA8A9A8C0B}: NameServer = 93.188.162.230,93.188.166.210
O17 - HKLM\System\CCS\Services\Tcpip\..\{E9C44116-C989-402F-BA29-44D3E9BDD13C}: NameServer = 93.188.162.230,93.188.166.210
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 93.188.162.230,93.188.166.210
O17 - HKLM\System\CS1\Services\Tcpip\..\{04F87BC5-7D49-4D5C-A720-07BA8A9A8C0B}: NameServer = 93.188.162.230,93.188.166.210
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 93.188.162.230,93.188.166.210
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: DhcpNameServer = 93.188.162.230,93.188.166.210

Action ZHPFix (Cas N°1)

O17 - DNS:Diversion Of DNS - HKLM\System\ {KeyCurrent} \Services\Tcpip\..\ {KeyCLSID} \ {ValueKey} = {NameServer}

{Key} : Clé de la Base de registres [HKLM\SYSTEM\ {KeyCurrent} \Services\Tcpip\Parameters\Interfaces]
{KeyCurrent} : Nom du Control comme par exemple "CCS" (CurrentControlSet) ou "CS1" (ControlSet01),...
{KeyCLSID} : Sous-clé CLSID de la clé {Key}
{NameServer} : Donnée de la valeur {ValueKey} de la clé {KeyCLSID}
{ValueKey} : Valeur de la clé {KeyCLSID}

1) L'outil modifie la donnée de la valeur {ValueKey}.
- Pour les valeurs "DhcpServer" et "DhcpNameServer", la donnée est remplacée par l'adresse IP locale "192.168.0.1".
- Pour les autres valeurs", la donnée est effacée.

Action ZHPFix (Cas N°2)

-O17 - DNS:Diversion Of DNS - HKLM\System\ {KeyCurrent} \Services\Tcpip\Parameters: {ValueKey}= {NameServer}

{Key} : Clé de la Base de registres [HKLM\SYSTEM\ {KeyCurrent} \Services\Tcpip\Parameters]
{KeyCurrent} : Nom du Control comme par exemple "CCS" (CurrentControlSet) ou "CS1" (ControlSet01),...
{NameServer} : Donnée de la valeur {ValueKey} de la clé {Key}
{ValueKey} : Valeur de la clé {Key}

1) L'outil modifie la donnée de la valeur {ValueKey}.
- Pour les valeurs "DhcpServer" et "DhcpNameServer", la donnée est remplacée par l'adresse IP locale "192.168.0.1".
- Pour les autres valeurs", la donnée est effacée.

Rapport ZHPFix (Cas d'une redirection vers un serveur lettonien)

Lignes saisies :
O17 - HKLM\System\CS2\Services\Tcpip\..\{E01879DB-8975-443B-84BF-E0A72F6E0AB1}: NameServer = 91.188.60.223,8.8.8.8
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: DhcpNameServer = 213.109.64.7 213.109.72.139 1.1.1.1

Rapport de ZHPFix v1.12.3132 par Nicolas Coolman, Update du 02/08/2010

========== Elément(s) de donnée du Registre ==========
O17 - HKLM\System\CS2\Services\Tcpip\..\{E01879DB-8975-443B-84BF-E0A72F6E0AB1}: NameServer = 91.188.60.223,8.8.8.8 => Donnée supprimée avec succès
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: DhcpNameServer = 213.109.64.7 213.109.72.139 1.1.1.1 => Donnée supprimée avec succès

========== Récapitulatif ==========
2 : Elément(s) de donnée du Registre

Liens

* Lop.com domain hijackers (Assiste.com)
* Détournement DNS (Web Tranquille)
* Supprimer Trojan-DNS (Malekal)
* Connectivité limitée ou inexistante

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_018

ZHPDiag - Module O18 (PAPP)

Origine

- Le module O18 (PAPP) a été crée le 09 juillet 2008.

Caractéristiques

- Ce module recense les modifications des protocoles par défaut pour pister les connexions.

- La recherche s'effectue sur certaines clés de Base de Registres comme par exemple :
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PROTOCOLS\Filter\deflate]
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PROTOCOLS\Filter\gzip] (Vista, W7) v1.23
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PROTOCOLS\Filter\text/html]
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PROTOCOLS\Handler\msnim]

- Ajout du propriétaire et de la description du fichier. v1.25.02

Aperçu ZHPDiag

---\\ Protocole additionnel et piratage de protocole (O18)
O18 - Filter: text/html - {950238FB-C706-4791-8674-4D429F85897E} - (no file)
O18 - Protocol: msnim - {008030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll"

---\\ Protocole additionnel et piratage de protocole (O18) v1.23
O18 - Filter: deflate - {8f6b0360-b80d-11d0-a9b3-006097942311} - C:\Windows\system32\urlmon.dll
O18 - Filter : gzip - {8f6b0360-b80d-11d0-a9b3-006097942311} - C:\Windows\system32\urlmon.dll

---\\ Protocole additionnel et piratage de protocole (O18) v1.25.02
O18 - Handler: cdl - {3dd53d40-7b8b-11D0-b013-00aa0059ce02} . (.Microsoft Corporation - Extensions OLE32 pour Win32.) -- C:\Windows\system32\urlmon.dll

Equivalence HijackThis

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} -"C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

Equivalence OTL

O18 - Protocol\Handler\livecall {828030A1-22C1-4009-854F-8E305202313F} - C:\Program Files\Windows Live\Messenger\msgrapp.14.0.8117.0416.dll (Microsoft Corporation)
O18 - Protocol\Handler\ms-help {314111c7-a502-11d2-bbca-00c04f8ec294} - C:\Program Files\Common Files\microsoft shared\Help\hxds.dll (Microsoft Corporation)

Action ZHPFix

O18 - {SubBey}: {ValueKey} - {KeyCLSID} . (...) -- {FileName}

{Key} : Clé de la Base de registres [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PROTOCOLS]
{SubKey} : Sous-clé de la clé {Key} comme par exemple "Handler" ou "Filter"
{KeyCLSID} : Donnée de la valeur "CLSID" de la clé {SubKey}
{FileName} : Valeur par défaut de la clé [HKLM\SOFTWARE\Classes\CLSID\ {KeyCLSID} \InprocServer32]

1) L'outil supprime {KeyCLSID}
2) L'outil supprime la clé [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CLSIDKey}]
3) L'outil supprime la clé [HKEY_CLASSES_ROOT\CLSID\{CLSIDKey}]
4) L'outil supprime le fichier {FileName}

Exemple d'infection

O18 - Filter: text/html - {DA9BFF20-80CE-4D4B-95B4-35A0BDC38CB2} - C:\WINNT\System32\mde.dll => Infection Diverse
O18 - Filter: text/plain - {DA9BFF20-80CE-4D4B-95B4-35A0BDC38CB2} - C:\WINNT\System32\mde.dll => Infection Diverse

Liens

* Extra protocols and protocol hijackers

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_019

ZHPDiag - Module O19 (PFSU)

Origine

- Le module O19 (PFSU) a été crée le 09 juillet 2008.

Caractéristiques

- Ce module permet de rechercher un éventuel piratage de la feuille de style de l'utilisateur. Le détournement d'une feuille de style peut être utilisé pour l'affichage de popups.
- La recherche s'effectue sur la valeur "User Stylesheets" de la clé de Base de Registres [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Styles]

Aperçu ZHPDiag

---\\ User Style Sheet hijack (O19)
O19 - User stylesheet: C:\Windows\system32\DirMont.css

Equivalence HijackThis

O19 - User style sheet: c:\WINDOWS\Java\my.css

Action ZHPFix

O19 - User stylesheet: {FileName}

{Key} : Clé de la Base de registres [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Styles]
{FileName} : Donnée de la valeur "User Stylesheets".

1) L'outil supprime la donnée de la valeur "User Stylesheets".
2) L'outil supprime le fichier {FileName}

Exemple d'infection

O19 - User style sheet: c:\WINDOWS\Java\my.css

Liens

* User style sheet hijack

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_020

ZHPDiag - Module O20 (VRAD)

Origine

- Le module O20 (VRAD) a été crée le 10 juillet 2008.

Caractéristiques

- Ce module se charge d'énumérer les fichiers chargés via la valeur de Registre AppInit_DLLs.
- La recherche s'effectue au niveau la valeur "AppInit_DLLs" de la clé [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]

- Ajout du propriétaire et de la désignation du fichier. v1.25.02

Aperçu ZHPDiag

---\\ AppInit_DLLs Registry value Autorun (O20)
O20 - AppInit_DLLs: C:\WINDOWS\system32\deployJava132.dll

---\\ AppInit_DLLs Registry value Autorun (O20) v1.25.02
O20 - AppInit_DLLs: .(.Pas de propriétaire - Pas de description.) - C:\WINDOWS\system32\deployJava132.dll (Not file)

Equivalence HijackThis

O20 - AppInit_DLLs: C:\WINDOWS\system32\deployJava132.dll

Equivalence OTL

O20 - AppInit_DLLs: (C:\WINDOWS\System32\dmband32.dll) - C:\WINDOWS\System32\dmband32.dll File not found

Action ZHPFix

O20 - AppInit_DLLs: .(...) - {FileName}

{Key} : Clé de la Base de registres [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
{FileName} : Donnée de la valeur "AppInit_DLLs" de la clé {Key}

1) L'outil supprime le fichier {FileName}

Exemple d'infection

---\\ Valeur de Registre AppInit_DLLs et sous-clés Winlogon Notify (autorun) (O20)
O20 - AppInit_DLLs: . (.Pas de propriétaire - Pas de description.) - C:\WINDOWS\system32\deployJava132.dll => Infection BT

Liens

* AppInit_DLLs Registry value autorun

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_020Win

ZHPDiag - Module O20 (VWN)

Origine

- Le module O20 (VWN) a été crée le 10 juillet 2008.

Caractéristiques

- Ce module se charge d'énumérer les fichiers chargés via les sous-clés Winlogon Notify. Ces fichiers peuvent provenir d'infection Vundo.
- La recherche s'effectue sur la clé [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify]

- Ajout du propriétaire et de la désignation du fichier. v1.25.02

Aperçu ZHPDiag

---\\ Valeur de Registre AppInit_DLLs et sous-clés Winlogon Notify (autorun) (O20)
O20 - Winlogon Notify: Notify2 - C:\Windows\System32\Erdtet.dll

---\\ Valeur de Registre AppInit_DLLs et sous-clés Winlogon Notify (autorun) (O20) v1.25.02
O20 - Winlogon Notify: AtiExtEvent . (.ATI Technologies Inc. - ATI External Event Utility DLL Module.) -- C:\WINDOWS\System32\Ati2evxx.dll
O20 - Winlogon Notify: dimsntfy . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\System32\Ati2evxx.dll (no file)

Equivalence HijackThis

O20 - Winlogon Notify: Notify2 - C:\Windows\System32\Erdtet.dll

Equivalence OTL

O20 - HKLM Winlogon: UserInit - (C:\WINDOWS\system32\appconf32.exe) - C:\WINDOWS\system32\appconf32.exe ()

Exemple d'infection

O20 - Winlogon Notify: 3434daef969 . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\deployJava132.dll => Infection BT

Action ZHPFix

O20 - Winlogon Notify: {SubKey} . (...) -- {FileName}

{Key} : Clé de la Base de registres [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\NotifyS]
{SubKey} : Sous-clé de la clé {Key}.
{FileName} : Donnée de la valeur "DLLName" de la clé {SubKey}

1) L'outil supprime la clé {SubKey}
2) L'outil supprime le fichier {FileName}

Rapport ZHPFix (Exemple)

Lignes saisies :
O20 - Winlogon Notify: ssqRHXQH . (.Pas de propriétaire - Pas de description.) -- ssqRHXQH.dll
O20 - Winlogon Notify: msvcrun . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\Config\msvcrun.dll (.not file.)

Rapport de ZHPFix v1.12.3133 par Nicolas Coolman, Update du 02/08/2010

========== Clé(s) du Registre ==========
O20 - Winlogon Notify: ssqRHXQH . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\Config\ssqRHXQH.dll => Clé supprimée avec succès
O20 - Winlogon Notify: msvcrun . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\Config\msvcrun.dll (.not file.) => Clé supprimée avec succès

========== Fichier(s) ==========
c:\windows\config\msvcrun.dll => Fichier absent
c:\windows\system32\ssqrhxqh.dll => Supprimé et mis en quarantaine

========== Récapitulatif ==========
2 : Clé(s) du Registre
2 : Fichier(s)

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_021

ZHPDiag - Module O21 (SSODL)

Origine

- Le module O21 (SSODL) a été crée le 15 aoûtl 2008.

Caractéristiques

- Lié au module SSODL (Shell Service Object Delay Load).
- La recherche s'effectue dans les clés de Base de Registres suivantes :
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellServiceObjects] (Windows Vista) v1.23

- Ajout du propriétaire et de la désignation du fichier. v1.25.02

- Nouvelle qualification des lignes en fonction de la présence du CLSID et/ou du fichier. v1.25.1282

Aperçu ZHPDiag

---\\ Clé de Registre autorun ShellServiceObjectDelayLoad (SSODL) (O21)
O21 - SSODL: Start - {00F043EF-A974-49B3-8322-B853CF1E5EC5} - c:\windows\system32\reactif.dll

---\\ Clé de Registre autorun ShellServiceObjectDelayLoad (SSODL) (O21) v1.23
O21 - SSO: Start - {00F043EF-A974-49B3-8322-B853CF1E5EC5} - c:\windows\system32\reactif.dll

---\\ Clé de Registre autorun ShellServiceObjectDelayLoad (SSODL) (O21) v1.25.02
O21 - SSODL: CDBurn - {fbeb8a05-beee-4442-804e-409d6c4515e9} . (.Microsoft Corporation - DLL commune du shell Windows.) -- C:\WINDOWS\system32\SHELL32.dll

---\\ Clé de Registre autorun ShellServiceObjectDelayLoad (SSODL) (O21) v1.25.1282
O21 - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - CLSID or File not found. (Le CLSID et/ou le fichier est absent)
O21 - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED}. (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\SHELL321.dll (.not file.) (Le CLSID est présent, le fichier est absent)
O21 - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} . (.Microsoft Corporation - DLL commune du shell Windows.) -- C:\WINDOWS\system32\SHELL32.dll (Le CLSID et le fichier sont présents)
O21 - SSO: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} . (.Microsoft Corporation - DLL commune du shell Windows.) -- C:\WINDOWS\system32\SHELL32.dll

Equivalence HijackThis

O21 - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - C:\WINDOWS\system32\SHELL32.dl

Equivalence OTL

O21 - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - C:\Windows\System32\webcheck.dll (Microsoft Corporation)

Exemples d'infection

---\\ Clé de Registre autorun ShellServiceObjectDelayLoad (SSO/SSODL) (O21)
O21 - SSODL: WinRom - {43c87f56-2bf1-4076-bd72-a796f2bce9be} - C:\WINDOWS\Installer\{43c87f56-2bf1-4076-bd72-a796f2bce9be}\WinRom.dll => Infection FakeAlert (BHO-CT.Troj)
O21 - SSODL: zip - {63f730da-63de-4036-a8e9-68f6e5270449} - C:\WINDOWS\Installer\{63f730da-63de-4036-a8e9-68f6e5270449}\zip.dll => Infection FakeAlert (BHO-CT.Troj)
O21 - SSO: zip - {63f730da-63de-4036-a8e9-68f6e5270449} - C:\WINDOWS\Installer\{63f730da-63de-4036-a8e9-68f6e5270449}\zip.dll => Infection FakeAlert (BHO-CT.Troj)

Action ZHPFix Cas N°1 (SSODL)

O21 - {SubKey}: {ValueKey} - {CLSIDKey} . (...) -- {FileName}

{Key} : Clé de Base de Registres. [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion]
{SubKey} : Sous-clé "ShellServiceObjectDelayLoad" de {Key}
{ValueKey} : Valeur de la clé {SubKey}
{CLSIDKey} : Donnée de la valeur {ValueKey}
{FileName} : Donnée de la valeur par défaut de la clé [HKLM\SOFTWARE\Classes\CLSID\{CLSIDKey}\InProcServer32]

1) L'outil supprime la donnée {CLSIDKey}.
2) L'outil supprime la clé [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CLSIDKey}]
3) L'outil supprime la clé [HKEY_CLASSES_ROOT\CLSID\{CLSIDKey}]
4) L'outil supprime le fichier {FileName}

Action ZHPFix Cas N°2 (SSO)

O21 - {SubKey}: {ValueKey} - {CLSIDKey} . (...) -- {FileName}

{Key} : Clé de Base de Registres. [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer]
{SubKey} : Sous-clé "ShellServiceObjects" de {Key}
{ValueKey} : Valeur de la clé {SubKey}
{CLSIDKey} : Donnée de la valeur {ValueKey}
{FileName} : Donnée de la valeur par défaut de la clé [HKLM\SOFTWARE\Classes\CLSID\{CLSIDKey}\InProcServer32]

1) L'outil supprime la donnée {CLSIDKey}.
2) L'outil supprime la clé [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CLSIDKey}]
3) L'outil supprime la clé [HKEY_CLASSES_ROOT\CLSID\{CLSIDKey}]
4) L'outil supprime le fichier {FileName}

Rapport ZHPFix (Exemple)

Ligne Saisie :
O21 - SSO: zip - {63f730da-63de-4036-a8e9-68f6e5270449} - C:\WINDOWS\Installer\{63f730da-63de-4036-a8e9-68f6e5270449}\zip.dll

Rapport de ZHPFix v1.12.3133 par Nicolas Coolman, Update du 02/08/2010

========== Elément(s) de données du Registre ==========
O21 - SSO: zip - {63f730da-63de-4036-a8e9-68f6e5270449} - C:\WINDOWS\Installer\{63f730da-63de-4036-a8e9-68f6e5270449}\zip.dll => Donnée supprimée avec succès

========== Clé(s) du Registre ==========
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{63f730da-63de-4036-a8e9-68f6e5270449}] => Clé supprimée avec succès
[HKCR\CLSID\{63f730da-63de-4036-a8e9-68f6e5270449}] => Clé supprimée avec succès

========== Fichier(s) ==========
C:\WINDOWS\Installer\{63f730da-63de-4036-a8e9-68f6e5270449}\zip.dll => Supprimé et mis en quarantaine

========== Récapitulatif ==========
1 : Elément(s) de données du Registre
2 : Clé(s) du Registre
1 : Fichier(s)

Liens

* ShellServiceObjectDelayLoad Registry key autorun


ZHPdiag_051

ZHPDiag - Module O22 (STS)

Origine

- Le module O22 (STS) a été crée le 20 aoûtl 2008.

Caractéristiques

- Ce module recense les valeur CLSID de la clé de Registre SharedTaskScheduler. Ces éléments sont lancés au démarrage du système et sont souvent le résultat d'une infection FakeAlert.

- La recherche s"effectue sur les valeurs des clés de Base de Registres suivantes :
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]

- Les lignes suivantes légitimes de Windows ne sont pas affichées :
O22 - SharedTaskScheduler: Pré-chargeur Browseui - {...}
O22 - SharedTaskScheduler: Démon de cache des catégories de composant - {...}

- Ajout du propriétaire et de la désignation du fichier. v1.25.04

Aperçu ZHPDiag

---\\ SharedTaskScheduler (O22)
O22 - SharedTaskScheduler: Pré-chargeur Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\System32\browseui.dll
O22 - SharedTaskScheduler: Démon de cache des catégories de composant - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\System32\browseui.dll

---\\ SharedTaskScheduler (O22) v1.25.04
O22 - SharedTaskScheduler: (no name) - {8C7461EF-2B13-11d2-BE35-3078302C2030} . (.Microsoft Corporation - Bibliothèque de l'interface utilisateur du.) -- C:\WINDOWS\system32\browseui.dll

Equivalence HijackThis

O22 - SharedTaskScheduler: Pré-chargeur Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\System32\browseui.dll
O22 - SharedTaskScheduler: Démon de cache des catégories de composant - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\System32\browseui.dll

Equivalence OTL

O22 - SharedTaskScheduler: {8C7461EF-2B13-11d2-BE35-3078302C2030} - Component Categories cache daemon - C:\Windows\System32\browseui.dll (Microsoft Corporation)

Action ZHPFix

O22 - SharedTaskScheduler: {Startup} - {CLSIDValue} - {FileName}

{Key} : Clé de Base de Registres[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
{Startup} : Donnée de la valeur {CLSIDValue}
{CLSIDValue} : Valeur CLSID de la Clé {Key}
{FileName} : Donnée de la valeur par défaut de la clé [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CLSIDValue}\InProcServer32]

1) L'outil supprime la valeur de clé {CLSIDValue}
2) L'outil supprime la clé [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CLSIDValue}]
3) L'outil supprime la clé [HKEY_CLASSES_ROOT\CLSID\{CLSIDValue}]
4) L'outil supprime le fichier {FileName}

Exemple d'infection

O22 - SharedTaskScheduler: coexpire - {d4c4bc43-0974-4dec-a669-9f7bfcb3503d} - (.Microsoft Corp - Multiple Interface User) -- C:\WINDOWS\system32\vmlwp.dll => Infection FakeAlert
O22 - SharedTaskScheduler: andropogon - {655560a9-3ca8-4509-9632-6abbef21426b} - (.Microsoft Corp - Multiple Interface User) -- C:\WINDOWS\system32\lgaac.dll => Infection FakeAlert
O22 - SharedTaskScheduler: bund - {27882a9f-8937-4ae4-87ab-ed669c8b6d7a} - (.Microsoft Corp - Multiple Interface User) -- C:\WINDOWS\system32\iheuv.dll => Infection FakeAlert

Liens

* Tutorial et Guide HijackThis

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_O23

ZHPDiag - Module O23 (SMND)

Origine

- Le module O23 (SMND) a été crée le 20 août 2008.

Caractéristiques

- Ce permet énumère l'ensemble des services lancés au démarrage du système. Les services génériques Microsoft et les services désactivés sont volontairement exclus de cette énumération.
- La recherche s'effectue sur la valeur ''ImagePath" de toutes les sous-clés de la clé de Base de Registres [HKLM\SYSTEM\CurrentControlSet\Services].
- Ajout du propriétaire et de la désignation du fichier. v1.25.02
- Ajout de la désignation du fichier. v1.25.04

Aperçu ZHPDiag

---\\ Liste des services NT non Microsoft et non désactivés (O23)
O23 - Service: Google Updater Protocol (gusvc) - C:\Windows\system32\drivers\TDSSserv.sys

---\\ Liste des services NT non Microsoft et non désactivés (O23) v1.25.02
O23 - Service: Avira AntiVir Planificateur (AntiVirSchedulerService) . (.Avira GmbH.) - C:\Program Files\Avira\AntiVir Desktop\sched.exe

---\\ Liste des services NT non Microsoft et non désactivés (O23) v1.25.04
O23 - Service: Avira AntiVir Planificateur (AntiVirSchedulerService) . (.Avira GmbH - Antivirus Scheduler.) - C:\Program Files\Avira\AntiVir Desktop\sched.exe

Equivalence RSIT

======List of services (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)======
R2 AntiVirSchedulerService;Avira AntiVir Planificateur; C:\Program Files\Avira\AntiVir Desktop\sched.exe [2009-05-13 108289]
S3 gusvc;Google Updater Service; C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe [2009-02-02 137200]

Equivalence HJT

O23 - Service: Google Updater Protocol (gusvc) - C:\Windows\system32\drivers\TDSSserv.sys

Equivalence OTL

========== Win32 Services (All) ==========
SRV - File not found [On_Demand | Stopped] -- C:\Program Files\CA\CA Internet Security Suite\ccprovsp.exe -- (CaCCProvSP) => CA Internet Security Suite
SRV - [2010/06/21 20:41:30 | 000,028,762 | ---- | M] (MyWebSearch.com) [Auto | Stopped] -- C:\Program Files\MyWebSearch\bar\1.bin\MWSSVC.EXE -- (MyWebSearchService)

Exemple d'infection

O23 - Service: BarDiscover Service - (.Pas de propriétaire - Pas de description.) - C:\ProgramData\BarDiscover\bardiscover133.exe => Infection BT (Adware.BarDiscover)

Action ZHPFix

O23 - Service: {Startup} ( {KeyService}) . (...) - {FileName}

[Key} : Clé de la Base de Registres [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services}
{KeyService} : Sous-clé de la clé {Key}
{Startup} : Donnée de la valeur "DisplayName" de clé {KeyService}
{FileName} : Donnée de la valeur "ImagePath" del clé {KeyService}

1) L'outil supprime la clé {KeyService} et toutes ses sous-clés.
2) L'outil supprime le fichier {FileName}

Rapport ZHPFix (Exemple)

Ligne Saisie :
O23 - Service: Andrea RT Filters Service (AERTFilters) . (.Andrea Electronics Corporation - Andrea filters APO access service (32-bit).) - C:\Windows\system32\AERTSrv.exe

Rapport de ZHPFix v1.12.3133 par Nicolas Coolman, Update du 05/08/2010

========== Clé(s) du Registre ==========
O23 - Service: Andrea RT Filters Service (AERTFilters) . (.Andrea Electronics Corporation - Andrea filters APO access service (32-bit).) - C:\Windows\system32\AERTSrv.exe => Clé supprimée avec succès

========== Fichier(s) ==========
c:\windows\system32\aertsrv.exe => Supprimé et mis en quarantaine

========== Récapitulatif ==========
1 : Clé(s) du Registre
1 : Fichier(s)

Liens

* Liste de tous les services NT

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_O24

ZHPDiag - Module O24 (ECAD)

Origine

- Le module O24 (ECAD) a été crée le 23 août 2008.

Caractéristiques

- Ce module recense tous les composants Active Desktop. Ces ajouts de composants se rencontrent par exemple lors d'infections de type SmitFraud, mais pas seulement. La ligne légitime par défaut "Ma page d'accueil" n'est pas affichée.

- Ajout d'une recherche supplémentaire sur la clé "Default MHTML Editor" qui permet d'identifier l'éditeur MHTML par défaut d'Internet Explorer. L'éditeur est exécuté via une commande de type ShellEditCommand. v1.26.44

- Ajout de nouvelles valeurs de recherches Desktop, "BackupWallpaper" et "Wallpaper" de la clé "General"

- La recherche s'effectue dans les clés de Base de Registres suivantes :
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components]
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\General] v1.26.44
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Default MHTML Editor] v1.26.44
[HKEY_CURRENT_USER\Software\Wow6432Node\Microsoft\Internet Explorer\Default MHTML Editor] v1.27.3632

NOTE : La clé components n'existe pas sous Vista mais est présente sous Windows 7.

Aperçu ZHPDiag

---\\ Énumération des composants Active Desktop (O24)
O24 - Desktop Component 0: Ma page d'accueil - file:About:Home
O24 - Desktop Component 1: Privacy Protection - file:///C:\WINDOWS\privacy_danger\index.htm

---\\ Énumération Active Desktop & MHTML Editor (O24) v1.26.44
O24 - Default MHTML Editor: Last - .(.Microsoft Corporation - Microsoft Word.) - C:\Program Files\Microsoft Office\Office10\WINWORD.exe
O24 - Desktop General: BackupWallPaper - .(.Pas de propriétaire - Pas de description.) - C:\Users\Public\Pictures\Sample Pictures\Half Dome at Sunset.jpg
O24 - Desktop General: WallPaper - .(.Pas de propriétaire - Pas de description.) - C:\Users\Public\Pictures\Sample Pictures\Half Dome at Sunset.jpg

Equivalence HJT

O24 - Desktop Component 3: (no name) - http://www.popartuk.com/g/l/lgpp30509.jpg
O24 - Desktop Component 0: (no name) - C:\Documents and Settings\...Mes documents\...\1.jpg

Equivalence OTL

O24 - Desktop Components:0 (Ma page d'accueil) - about:Home
O24 - Desktop WallPaper: C:\Documents and Settings\hp\Local Settings\Application Data\Microsoft\Wallpaper1.bmp
O24 - Desktop WallPaper: C:\Users\Public\Pictures\Sample Pictures\Waterfall.jpg
O24 - Desktop BackupWallPaper: C:\Users\Public\Pictures\Sample Pictures\Waterfall.jpg

Exemple d'infection

O24 - Desktop Component 1: (no name) - C:\Windows\warnhp.html => Infection FakeAlert (Trojan.FakeAlert)

Action ZHPFix (Cas N°1 - Desktop Component)

O24 - Desktop Components {SubKey}: Privacy Protection - {FileName}

{Key} : Cle de Base de Registres [HKCU\Software\Microsoft\Internet Explorer\Desktop\Components]
{SubKey} : Sous-clé de {Key}
{ValueKey} : Valeur de clé de {SubKey}
{FileName} : Données de la valeur {ValueKey}

1) L'outil restaure les données par défaut de {ValueKey}.
- La donnée par défaut de la valeur "'FriendlyName" est "Ma page Accueil"
- La donnée par défaut de la valeur 'Source' est "About:Home"

2) L'outil supprime le fichier {FileName}

Action ZHPFix (Cas N°2 - Desktop General)

O24 - Desktop General: {ValueKey} - .(...) - {FileName}

{Key} : Cle de Base de Registres [HKCU\Software\Microsoft\Internet Explorer\Desktop\General]
{ValueKey} : Valeur de clé de {Key}
{FileName} : Données de la valeur {ValueKey}

1) L'outil supprime la donnée de la valeur {ValueKey}.
2) L'outil supprime le fichier {FileName}

Action ZHPFix (Cas N°3 - Default MHTML Editor)

O24 -Default MHTML Editor: {ValueKey} - .(...) - {FileName}

{Key} : Cle de Base de Registres [HKCU\Software\Microsoft\Internet Explorer\Default MHTML Editor]
{SubKey} : Sous-clé de Base de Registres [HKCU\Software\Microsoft\Internet Explorer\Default MHTML Editor\Shell\Edit\Command]
{ValueKey} : Valeur "Last" de {Key}
{FileName} : Données de la valeur{ValueKey}

1) L'outil remplace la données par défaut de {ValueKey} par l'éditeur Microsoft "notepad.exe''
2) L'outil supprime la valeur par défaut de {SubKey}.
3) L'outil supprime le fichier {FileName}

Rapport de ZHPFix (Exemple)

Lignes saisies :
O24 - Desktop General: BackupWallPaper - .(...) - C:\Users\Public\Pictures\Sample Pictures\Half Dome at Sunset.jpg
O24 - Desktop General: WallPaper - .(...) - C:\Users\Public\Pictures\Sample Pictures\Half Dome at Sunset.jpg

Rapport de ZHPFix v1.12.3133 par Nicolas Coolman, Update du 05/08/2010

========== Elément(s) de donnée du Registre ==========
O24 - Desktop General: BackupWallPaper - .(...) - C:\Users\Public\Pictures\Sample Pictures\Half Dome at Sunset.jpg => Donnée supprimée avec succès
O24 - Desktop General: WallPaper - .(...) - C:\Users\Public\Pictures\Sample Pictures\Half Dome at Sunset.jpg => Donnée supprimée avec succès

========== Fichier(s) ==========
c:\users\public\pictures\sample pictures\half dome at sunset.jpg => Supprimé et mis en quarantaine

========== Récapitulatif ==========
2 : Elément(s) de donnée du Registre
1 : Fichier(s)

Liens

* Restaurer Active Desktop

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_O24

ZHPDiag - Module O34 (BEX)

Origine

- Le module O34 (BEX) a été crée le 18 octobre 2011.

Caractéristiques

Lié au module BEX.
Pour son fonctionnement, Microsoft Windows NT utilise au démarrage une session manager (Session Manager).
- Certains logiciels sains utilisent cette fonctionnalité pour exécuter des opérations spécifiques comme par exemple une défragmentation des disques, c'est le cas par exemple d'O&O Software (O&O Defrag) ou de Raxco Software (PerfectDisk Boot Time Defragmentation).
- D'autres logiciels permettent d'effectuer un nettoyage, c'est le cas par exemple de Lavasoft AB (Ad-Aware Boot Cleaner) ou de SurfRight B.V. (Hitman BootDelete)

Toutefois, une utilisation abusive de cette vulnérabilité permet l'exécution d'un programme malware lors du démarrage du système.

La recherche porte sur la clé de Base de Registres [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager], avec insertion de données dans la valeur Bootexecute :

Aperçu ZHPDiag

---\\ BootExecute (O34)
O34 - HKLM BootExecute: (autocheck autochk *) - File not found
O34 - HKLM BootExecute: (OODBS) (.O&O Software GmbH - O&O BootTimeDefrag.) -- C:\Windows\system32\OODBS.exe

Equivalence OTL

O34 - HKLM BootExecute: (autocheck autochk *) - File not found
O34 - HKLM BootExecute: (OODBS) - C:\Windows\System32\OODBS.exe (O&O Software GmbH)

Action ZHPFix

O34 - HKLM BootExecute: ( {DataName} )- (...) -- {FileName}

{Key} : Clé de la Base de Registres [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager]
{DataName} : Donnée de la valeur de la clé 'BootExecute"

1) L'outil supprime le fichier {FileName}

Exemple d'infection

O34 - HKLM BootExecute: (1028560) (...) -- C:\Windows\system32\1028560.exe

Liens

* Local Security Authority Subsystem Service
* LSA Authentication (Microsoft)
* LSA Secrets

(C) Copyrights 2011 - Nicolas Coolman - All rights reserved


ZHPdiag_O24

ZHPDiag - Module O36 (SMK)

Origine

- Le module O36 (SMK) a été crée le 16 décembre 2011.

Caractéristiques

Lié au module SMK (Session Manager Key). Pour son fonctionnement, Microsoft Windows NT utilise au démarrage une session manager (Session Manager).
- Certains trojans (Trojan.Papras, Trojan.FakeAV, Trojan.FakeAlert) utilisent les fonctionnalités de certaines clés et valeurs de clés pour exécuter des ressources malwares. La sous-clé "AppCertDlls" est souvent créée à cet effet.

La recherche porte sur la clé de Base de Registres [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager], avec recherche des sous-clés "AppCertDlls" et "KnownDLLs"

Aperçu ZHPDiag

---\\ Session Manager AppCertDlls Key (AppCertDlls,KnownDLLs) (O36)
O36 - KnownDLLs: (clbcatq) . (.Microsoft Corporation - COM+ Configuration Catalog.) -- C:\Windows\system32\clbcatq.dll
O36 - KnownDLLs: (ole32) . (.Microsoft Corporation - Microsoft OLE pour Windows.) -- C:\Windows\system32\ole32.dll
O36 - KnownDLLs: (advapi32) . (.Microsoft Corporation - API avancées Windows 32.) -- C:\Windows\system32\advapi32.dll
O36 - AppCertDlls: (AppSecDll) - .(...) -- C:\Windows\System32\mshlps.dll
O36 - AppCertDlls: (chknrcp) - .(...) -- C:\WINDOWS\system32\cscrsass.dll
O36 - AppCertDlls: (powenwxp) - .(...) -- C:\WINDOWS\system32\blasgsvc.dll

Equivalence OTL

O36 - AppCertDlls: AppSecDll - (C:\Documents and Settings\All Users\Application Data\KDfipsQcxuWorYT.dll) - C:\Documents and Settings\All Users\Application Data\KDfipsQcxuWorYT.dll ()

Action ZHPFix

O36 - {SubKey}: ( {ValueKey} ) - (...) -- {FileName}

{Key} : Clé de la Base de Registres [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager]
{SubKey} : Sous clé de {Key} comme par exemple "AppCertDlls"
{ValueKey} : Valeur de la clé {SubKey}
{FileName} : Donnée de la valeur de la clé {ValueKey}

1) L'outil supprime le fichier {FileName}

Exemple d'infection

O36 - AppCertDlls: (AppSecDll) - .(...) -- C:\Windows\System32\mshlps.dll
O36 - AppCertDlls: (chknrcp) - .(...) -- C:\WINDOWS\system32\cscrsass.dll
O36 - AppCertDlls: (powenwxp) - .(...) -- C:\WINDOWS\system32\blasgsvc.dll

Liens

Ransom.Win32.Birele et Backdoor.Win32.Papras

(C) Copyrights 2011 - Nicolas Coolman - All rights reserved


ZHPdiag_LMO

ZHPDiag - Modules optionnels (LMO)

Origine

- La liste des modules optionnels a été crée le 10 mars 2008.

Caractéristiques

- A côté des modules de base, l'outil propose de nombreux modules complémentaires que l'utilisateur peut côcher dans la liste des modules optionnels.

- 24/08/2008 : Module O39 Automatic Planified Task (APT)
- 25/08/2008 : Module O40 ActiveSetup Installed Components (ASIC)
- 26/08/2008 : Module O41 Pilotes lancés au démarrage (PLD)
- 27/08/2008 : Module O42 Logiciels installés (LOIN)
- 27/08/2008 : Module O43 Common File Directory (CFD)
- 13/10/2008 : Module O44 Last File Created (LFC).
- 14/10/2008 : Module O45 Derniers fichiers créés dans Windows Prefetcher (LFP)
- 18/10/2008 : Module O46 Shell Execute Hooks (SEH)
- 18/10/2008 : Module O47 Authorized Application Key Export (AAKE)
- 23/10/2008 : Module O48 Déni du service Local Security Authority (LSA)
- 21/11/2008 : Module O49 Contrôle Boot Safe (CBS).
- 02/02/2009 : Module O50 Image File Execution Options (IEFO).
- 14/04/2009 : Module O51 MountPoints2 Search Key (MPSK)
- 14/04/2009 : Module O52 Trojan Driver Search Data (TDSD).
- 24/04/2009 : Module O53 ShareTools MSconfig StartupReg (SMSR).
- 24/04/2009 : Module O54 Microsoft Control Security Providers (MCSP)
- 24/04/2006 : Module O55 Microsoft Windows Policies System (MWPS)
- 15/05/2009 : Module O56 Microsoft Windows Policies Explorer (MWPE)
- 15/05/2009 : Module O57 Search Drivers Rootkit (SDR)
- 15/05/2009 : Module O58 System Drivers List (SDL)
- 15/05/2009 : Module O59 Heuristic Search MagicControl Infection (HSMI)
- 15/05/2009 : Module O60 Détournement de DNS (DDNS)
- 12/07/2009 : Module O61 Last File Created (LFC)
- 20/07/2009 : Module O62 Alternate Data Stream File (ADS)
- 27/07/2009 : Module O63 List All Tools Cleaner (LATC)
- 03/08/2009 : Module O64 Liste tous les services legacy (LALS)
- 28/11/2009 : Module O65 List Files Unsigned (LFU)
- 13/03/2010 : Module O66 Observateur Evènement Application (OEA)
- 21/03/2010 : Module O67 File Association Shell Spawning (FASS)
- 21/03/2010 : Module O68 Start Menu Internet (SMI)
- 10/04/2010 : Module O69 Recherche Infection Navigateur (SBI)
- 17/04/2010 : Module O80 Recherche Infection Master Boot Record (MBR)
- 17/04/2010 : Module O81 Internet Feature Controls (IFC)
- 05/07/2010 : Module O82 Crack & Keygen Files (CKF)
- 27/07/2010 : Module O83 Search Svchost Services (SSS)
- 09/11/2010 : Module O84 Recherche particuliere à la racine de certains dossiers (SPRF)
- 22/12/2010 : Module O85 Recherche d'infection par le ver Koobface (SKWI)
- 03/01/2011 : Module O86 Recherche d'infection Rogue (SRI)
- 27/01/2011 : Module O87 Firewall Active Exception List (FAEL)
- 20/03/2011 : Module O88 Scan additionnel (AS)
- 25/03/2011 : Module O89 Détournement de DNS Rooteur (SHDR)
- 05/12/2012 : Module O90 Product Upgrade Codes (PUC)
- 12/12/2012 : Module O91 Ramdom Export Key (REK)
- 30/12/2012 : Module O92 MyComputer Name Space (MNS)
- 24/08/2010 : Module SS/SR Etat Général des Services (EGS)
- 09/11/2010 : Module O84 Recherche particuliere à la racine de certains dossiers (SPRF)

(C) Copyrights 2010-2012 - Nicolas Coolman - All rights reserved


ZHPdiag_O39

ZHPDiag - Module O39 (APT)

Origine

- Le module O39 (APT) a été crée le 24 août 2008.

Caractéristiques

Lié au module APT (Automatic Planified Task). De nombreux logiciels ont pour fonction la surveillance ou la mise à jour du système. Pour chacun d'eux, une tâche planifiée peut être créée et se déclencher en fonction d'une périodicité établie. Ce procédé de tâche planifiée pouvant être détourné par certains malwares, l'outil permet l'affichage de l'ensemble de ces événements. Ensuite une analyse de ZHP pourra déterminer la légitimité ou la nocivité d'une telle tâche.

- Une recherche complèmentaire s'effectue dans la clé de registre "Schedule". Toutefois pour être opérationnelle, cette fonction nécessite d'avoir une autorisation spéciale sur cette clé car le "contrôle total" est insuffisant. v1.24.10

- Nouveau format d'affichage pour la prise en compte du processus qui lance la tâche planifiée. v1.27.102

Aperçu ZHPDiag

---\\ Tâches planifiées en automatique (O39) (Zone Dossier)
O39 - APT:Automatic Planified Task - C:\WINDOWS\Tasks\desktop.ini
O39 - APT:Automatic Planified Task - C:\WINDOWS\Tasks\Norton AntiVirus - Analyser mon ordinateur.job
O39 - APT:Automatic Planified Task - C:\WINDOWS\Tasks\SA.DAT

---\\ Tâches planifiées en automatique (O39) (Zone Registre) v1.24.10
O39 - APT:Automatic Planified Task - HP Health Check-{68E466FA-9D76-4933-A129-4D820A742903}
O39 - APT:Automatic Planified Task - JavaUpdateCoolman-{1528AC0D-E72B-4827-9B35-FEB41AB55464}

---\\ Tâches planifiées en automatique v1.27.102
[MD5.7B43567B4C32AD7ADED537CD3B1342B9] [APT] [Apple\AppleSoftwareUpdate] (.Apple Inc. - Apple Software Update.) -- C:\Program Files\Apple Software Update\SoftwareUpdate.exe

Equivalence MBAM

Fichier(s) infecté(s):
C:\Windows\Tasks\{66BA574B-1E11-49b8-909C-8CC9E0E8E015}.job (Trojan.Downloader)
C:\Windows\Tasks\{35DC3473-A719-4d14-B7C1-FD326CA84A0C}.job (Trojan.Downloader)

Exemple d'infection

---\\ Tâches planifiées en automatique (O39)
O39 - APT:Automatic Planified Task - C:\Windows\Tasks\{35DC3473-A719-4d14-B7C1-FD326CA84A0C}.job => Infection FakeAlert (Trojan.Downloader)
O39 - APT:Automatic Planified Task - C:\Windows\Tasks\{8C3FDD81-7AE0-4605-A46A-2488B179F2A3}.job => Infection FakeAlert (Trojan.FakeAlert)
O39 - APT:Automatic Planified Task - C:\WINDOWS\Tasks\Scheduled Update for Ask Toolbar.job => Infection BT (AskSBar.Adw)
O39 - APT:Automatic Planified Task - C:\WINDOWS\Tasks\RegCure Program Check.job => Infection Rogue (RegCure.Rog)
O39 - APT:Automatic Planified Task - C:\WINDOWS\Tasks\RegCure.job => Infection Rogue (RegCure.Rog)

---\\ Tâches planifiées en automatique (O39)
O39 - APT:Automatic Planified Task - C:\Windows\Tasks\PerfectOptimzier_OneClick.job => Infection Diverse (PUP.PerfectOptimizer)
[MD5.00000000000000000000000000000000] [APT] [PerfectOptimzier_OneClick] (.Pas de propriétaire.) -- C:\Program Files\Perfect Optimizer\PerfectOptimizer.exe (.not file.) => Infection Diverse (PUP.PerfectOptimizer)

Action ZHPFix (Cas O39)

- L'outil supprime le fichier ou la clé CLSID de base de Registres..

Action ZHPFix (Cas MD5)

[MD5.{MD5Value}] [APT] [{TaskName}] (.Publisher.) -- {FileName}

{MD5Value} : Valeur du MD5 du processus déclencheur,
{TaskName} : Nom de la tâche planifiée,
{FileName} : Nom du processus déclencheur,

1) L'outil supprime le processus déclencheur,
2) L'outil supprime la tâche planifiée

Rapport ZHPFix (Exemple du cas O39)

O39 - APT:Automatic Planified Task - Driver Fetch-{02689268-92D9-4EEA-B9C2-A0F7BA036884}

Rapport de ZHPFix v1.12.3133 par Nicolas Coolman, Update du 05/08/2010

========== Clé(s) du Registre ==========
O39 - APT:Automatic Planified Task - Driver Fetch-{02689268-92D9-4EEA-B9C2-A0F7BA036884} => Clé supprimée avec succès

========== Récapitulatif ==========
1 : Clé(s) du Registre

End of the scan

Rapport ZHPFix (Exemple du cas MD5)

[MD5.7B43567B4C32AD7ADED537CD3B1342B9] [APT] [AppleSoftwareUpdate] (.Apple Inc..) -- C:\Program Files\Apple Software Update\SoftwareUpdate.exe

Rapport de ZHPFix 1.12.3215 par Nicolas Coolman, Update du 08/11/2010

========== Processus mémoire ==========
C:\Program Files\Apple Software Update\SoftwareUpdate.exe => Supprimé et mis en quarantaine

========== Tache planifiée ==========
Task : AppleSoftwareUpdate => Tâche supprimée avec succès

========== Récapitulatif ==========
1 : Processus mémoire
1 : Tache planifiée

End of the scan

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_040

ZHPDiag - Module O40 (ASIC)

Origine

- Le module O40 (ASIC) a été crée le 24 août 2008.

Caractéristiques

- Lié au module ASIC (ActiveSetup Installed Components). Il permet de lister tous les composants Active Setup énumérés dans la Base De Registres.

- La recherche s'effectue dans la clé de Base de Registres [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components].

- Ajout du propriétaire et de la désignation du fichier. v1.25.03

Aperçu ZHPDiag

---\\ Composants installés (ActiveSetup Installed Components) (040)
O40 - ASIC: Lecteur Windows Media - {22d6f312-b0f6-11d0-94ab-0080c74c7e95} - C:\WINDOWS\inf\unregmp2.exe /ShowWMP
O40 - ASIC: Internet Explorer - {26923b43-4d38-484f-9b9e-de460746276c} - C:\WINDOWS\system32\shmgrate.exe OCInstallUserConfigIE
O40 - ASIC: Personnalisation du navigateur - {60B49E34-C7CC-11D0-8953-00A0C90347FF}MICROS - RunDLL32 IEDKCS32.DLL,BrandIE4 SIGNUP

---\\ Composants installés (ActiveSetup Installed Components) (O40) v1.25.03
O40 - ASIC: Browser Customizations - >{60B49E34-C7CC-11D0-8953-00A0C90347FF} . (.Microsoft Corporation - Personnalisation d’IEAK.) -- C:\Windows\System32\iedkcs32.dll
O40 - ASIC: Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608500} - (not file)

Equivalence RSIT

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{28ABC5C0-4FCB-11CF-AAX5-81CX1C635612}]
"StubPath"="c:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\isi32.exe"'

Equivalence List'em

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\>{22d6f312-b0f6-11d0-94ab-0080c74c7e95}]

Equivalence MBAM

Clé(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{5hm52028-f2or-6862-7xhe-1t5y373ho523} (Generic.Bot.H)

Exemple d'infection

O40 - ASIC: (no name) - {VYUB2383-G80U-N0Y5-U671-073O66S8110I} . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\windows\Updat.exe => Infection Bot (Malware.Bot)
O40 - ASIC: (no name) - {FFA0BBAD-2EAC-6CE2-C2BB-ECF43EBA6DCC} . (.Pas de propriÃ©taire - Pas de description.) -- C:\WINDOWS\system32\winserv.exe => Infection Diverse (Malware.Bot)

Worm:Win32/Hamweq.C
Presence of the following registry modification:
Under key: HKLM\Software\Microsoft\Active Setup\Installed Components\{28ABC5C0-4FCB-11CF-AAX5-81CX1C635612}\
Adds value: StubPath
With data: "c:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\isi32.exe"

Action ZHPFix

O40 - ASIC: {Startup} - {CLSIDKey} - {FileName}

{Key} : Clé de Base de Registres [HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components]
{CLSIDKey} : Sous-clé CLSID de la Clé {Key}
{Startup} : Valeur par défaut de {CLSIDKey}
{FileName} : Donnée de la valeur par défaut de la clé [HKLM\SOFTWARE\Classes\CLSID\{CLSIDKey}\InProcServer32]

1) L'outil supprime la clé [HKLM\SOFTWARE\Microsoft\Active Setup\Installed Component\CLSIDKey}]
2) L'outil supprime la clé [HKLM\SOFTWARE\Classes\CLSID\{CLSIDKey}]
3) L'outil supprime la clé [HKEY_CLASSES_ROOT\CLSID\{CLSIDKey}]
4) L'outil supprime le fichier {FileName}

Rapport ZHPFix (Exemple)

Ligne saisie :
O40 - ASIC: (no name) - {VYUB2383-G80U-N0Y5-U671-073O66S8110I} . (...) -- C:\WINDOWS\system32\windows\Updat.exe

Rapport de ZHPFix v1.12.3133 par Nicolas Coolman, Update du 02/08/2010

========== Clé(s) du Registre ==========
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{VYUB2383-G80U-N0Y5-U671-073O66S8110I}] => Clé supprimée avec succès
[HKEY_CLASSES_ROOT\CLSID\{VYUB2383-G80U-N0Y5-U671-073O66S8110I}] => Clé supprimée avec succès
O40 - ASIC: (no name) - {VYUB2383-G80U-N0Y5-U671-073O66S8110I} . (...) -- C:\WINDOWS\system32\windows\Updat.exe => Clé supprimée avec succès

========== Fichier(s) ==========
C:\WINDOWS\system32\windows\Updat.exe => Supprimé et mis en quarantaine

========== Récapitulatif ==========
3 : Clé(s) du Registre
1 : Fichier(s)

Liens

* Comment faire pour déterminer si Active Desktop est installé


ZHPdiag_041

ZHPDiag - Module O41 (PLD)

Origine

- Le module O41 (PLD) a été crée le 26 août 2008.

Caractéristiques

Ce module liste tous les pilotes (drivers) de périphériques qui sont lancés au démarrage du système.

La recherche s'effectue dans la clé de Base de Registres [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services]

Ajout du propriétaire et de la désignation du fichier. v1.25.03

Création d'une liste blanche dans ZHPFix pour empêcher la suppression de pilotes génériques.

Aperçu ZHPDiag

---\\ Pilotes lancés au démarrage (O41)
O41 - Driver: Suppresseur d'écho acoustique (Noyau Microsoft) (aec) - C:\WINDOWS\system32\drivers\aec.sys
O41 - Driver: Environnement de prise en charge de réseau AFD (AFD) - C:\WINDOWS\System32\drivers\afd.sys
O41 - Driver: Pilote de processeur AMD K7 (AmdK7) - C:\WINDOWS\System32\DRIVERS\amdk7.sys
O41 - Driver: Protocole client ARP 1394 (Arp1394) - C:\WINDOWS\System32\DRIVERS\arp1394.sys

---\\ Pilotes lancés au démarrage (O41) v1.25.03
O41 - Driver: avgio (avgio) . (.Avira GmbH - Avira AntiVir Support for Minifilter.) - C:\Program Files\Avira\AntiVir Desktop\avgio.sys
O41 - Driver: FDCENT (FDCENT) . (.Pas de propriétaire - Pas de description.) - C:\Windows\system32\drivers\FDCENT.SYS

Equivalence RSIT

======List of drivers (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)======
R1 AmdPPM;Pilote de processeur AMD HwPState; C:\WINDOWS\system32\DRIVERS\AmdPPM.sys [2008-05-03 33792]
R1 easdrv;easdrv; C:\WINDOWS\system32\DRIVERS\easdrv.sys [2008-02-29 29704]

Equivalence OTL

========== Driver Services (SafeList) ==========
DRV - [2009/03/30 10:32:47 | 000,096,104 | ---- | M] (Avira GmbH) [Kernel | System | Running] -- C:\Windows\System32\drivers\avipbb.sys -- (avipbb)
DRV - [2009/02/13 12:34:33 | 000,011,608 | ---- | M] (Avira GmbH) [Kernel | System | Running] -- C:\Program Files\Avira\AntiVir Desktop\avgio.sys -- (avgio)

Exemple d'infection

---\\ Pilotes lancés au démarrage (O41)
O41 - Driver: (eobrppheexofgrxt) . (.Pas de propriétaire - Pas de description.) - C:\WINDOWS\system32\drivers\eobrppheexofgrxt.sys
O41 - Driver: (hqoipuuwpcvirpte) . (.Pas de propriétaire - Pas de description.) - C:\WINDOWS\system32\drivers\hqoipuuwpcvirpte.sys
O41 - Driver: (kbdeqxoqheepfumi) . (.Pas de propriétaire - Pas de description.) - C:\WINDOWS\system32\drivers\kbdeqxoqheepfumi.sys
O41 - Driver: (TDSSserv) . (.Pas de propriÃ©taire - Pas de description.) - C:\WINDOWS\system32\drivers\TDSSserv.sys

Action ZHPFix

O41 - Driver: {SubKey} . (...) - {FileName}

{Key} : Clé de Base de Registres [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services]
{SubKey} : Sous clé de {Key}
{FileName} : Donnée de la valeur "ImagePath" de la clé {SubKey}

1) L'outil supprime la clé {SubKey}
2) L'outil ne supprime pas le fichier {FileName} car il peut y avoir un pilote légitime avec un service malware.

Rapport ZHPFix (Exemple)

Lignes saisies :
O41 - Driver: (eobrppheexofgrxt) . (...) - C:\WINDOWS\system32\drivers\eobrppheexofgrxt.sys
O41 - Driver: (eobrppheexofgrxt) . (...) - C:\WINDOWS\system32\drivers\eobrppheexofgryt.sys

Rapport de ZHPFix v1.12.3133 par Nicolas Coolman, Update du 02/08/2010

========== Clé(s) du Registre ==========
O41 - Driver: (eobrppheexofgrxt) . (...) - C:\WINDOWS\system32\drivers\eobrppheexofgrxt.sys => Clé supprimée avec succès
O41 - Driver: (eobrppheexofgrxt) . (...) - C:\WINDOWS\system32\drivers\eobrppheexofgryt.sys => Clé supprimée avec succès

========== Récapitulatif ==========
2 : Clé(s) du Registre

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_Sx

ZHPDiag - Logiciels installés

Origine

- Ces modules ont été créés en août 2008 et en juillet 2009.

Caractéristiques

- Ce module liste tous les logiciels installés en excluant les mises à jour et correctifs Microsoft Windows.

- Le module O63 recense les outils spécifiques génaralement utilisés par les helpers afin de diagnostiquer et/ou de désinfecter une station.

Evolutions

- 27/08/2008 : Module O42 Logiciels installés (LOIN)
- 27/07/2009 : Module 063 List All Tools Cleaner (LATC)


ZHPdiag_051

ZHPDiag - Module O42 (LOIN)

Origine

- Le module O42 (LOIN) a été crée le 27 aoûtl 2008.

Caractéristiques

Ce module liste tous les logiciels installés en excluant les mises à jour et correctifs Microsoft Windows.

Certains programmes malwares ne sont pas listés dans le module O42 qui se réfère aux clés de désinstallation logicielle enregistrées par le système. L' ajout d'un module permettant d'énumérer les clés softwares système et utilisateurs va permettre de dépister plus efficacement ces programmes malwares. Cette liste s'affiche seulement avec la sélection du module O42.

La recherche s'effectue sur les clés de Base de Registres suivantes :
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]

Ajout du nom du propriétaire du logiciel. v1.25.03

Insertion d'un nouveau module "HKCU & HKLM Software Keys" qui permet le lister les clés software. La recherche s"effectue dans les clés "HKCU\Software" et "HKLM\Software". v1.25.1346

Une recherche complémentaire est faite dans la clé "AppDataLow". La clé de registre "HKCU\Software\AppDataLow" est présente depuis le système d'exploitation Vista. Elle fait précisèment partie de l'UAC (User Account Control) et correspond au dossier utilisateur "\Users\{username}\AppData\LocalLow". La recherche se fera aussi dans ses sous-clés comme par exemple "Software". v1.26.19

Ajout de la clé software en fin de ligne. v1.26.43

Optimisation de la suppression en cas de désinstallation défaillante. Certains logiciels proposent un désinstalleur défaillant afin de de faire une désinstallation partielle. C''est le cas par exemple de "Searchqu Toolbar" qui est installé avec Bandoo. v.1.26.688

Aperçu ZHPDiag

---\\ Logiciels installés (O42)
O42 - Logiciel: Adobe Flash Player Plugin
O42 - Logiciel: Adobe Photoshop 7.0
O42 - Logiciel: Avira AntiVir Personal - Free Antivirus
O42 - Logiciel: CCleaner (remove only)

---\\ Logiciels installés (O42) v1.25.03
O42 - Logiciel: 32 Bit HP CIO Components Installer - (.Hewlett-Packard.)
O42 - Logiciel: 7-Zip 4.57 - (.Pas de propriétaire.) [HKLM]

---\\ HKCU & HKLM Software Keys v1.25.1346
[HKCU\Software\Adobe]
[HKLM\SOFTWARE\Bifrost]

---\\ HKCU & HKLM Software Keys v1.26.19
[HKCU\Software\AppDataLow\Software\Microsoft]
[HKCU\Software\AppDataLow\Software\pdfforge]
[HKCU\Software\AppDataLow\pdfforge]

---\\ Logiciels installés (O42) v1.26.43
O42 - Logiciel: Google Update Helper - (.Google Inc..) [HKLM] -- {A92DAB39-4E2C-4304-9AB6-BC44E68B55E2}
O42 - Logiciel: Grisbi 0.5.9 - (.grisbi.org.) [HKLM] -- GRISBI

Equivalence RSIT

======Uninstall list======
Mozilla Firefox (3.0.10)-->C:\Program Files\Mozilla Firefox\uninstall\helper.exe
MSXML 6.0 Parser (KB933579)-->MsiExec.exe /I{0A869A65-8C94-4F7C-A5C7-972D3C8CED9E}

Equivalence AD-Remover

============== ÉLÉMENT(S) NEUTRALISÉ(S) ==============
KCU\Software\Microsoft\Internet Explorer\MenuExt\Recherche avec cherche.us

============== ACTION(S) ==============
3,Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{8FBD5EC1-2FFF-4FDA-9865-B2FA730C60D0}
0,Clé supprimée: HKCU\Software\AppDataLow\Software\pdfforge
0,Clé supprimée: HKCU\Software\AppDataLow\Software\Conduit
0,Clé supprimée: HKCU\Software\AppDataLow\Conduit

Equivalence OTL

========== HKEY_LOCAL_MACHINE Uninstall List
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{071c9b48-7c32-4621-a0ac-3f809523288f}" = Microsoft Visual C++ 2005 Redistributable (x64)
"{0C826C5B-B131-423A-A229-C71B3CACCD6A}" = CDDRV_Installer

Exemples d'infection

---\\ Logiciels installés (O42)
O42 - Logiciel: Favorit (pbtdggj) - (.Pas de propriétaire.) [HKLM] => Infection Diverse (Favorit.Adw)
O42 - Logiciel: Antimalware Doctor - (.Pas de propriétaire.) [HKCU] => Infection Rogue (Rogue.AntimalwareDoctor)

---\\ Logiciels installés (Autres clés)
[HKCU\Software\AppDataLow\AskToolbarInfo] => Infection BT (AskTBar.Adw)
[HKCU\Software\Ask.com] => Infection BT (AskBarDis.Adw)
[HKCU\Software\AskToolbar] => Infection BT (AskBarDis.Adw)
[HKCU\Software\Winsudate] => Infection Diverse (Adware.Gibmedia)

Action ZHPFix (Cas N°1)

O42 - Logiciel: {DataKey} - (...) [ {Ruche} ]

{Key} : Clé de Base de Registres [ {Ruche} \SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
{Ruche} : HKCU ou HKLM
{DataKey} : Donnée de la valeur "DisplayName"
{SoftwareKey} : Clé contenant la valeur "DisplayName"
{Uninstall} : Donnée de la valeur 'UninstallString".

1) L'outil désinstalle le logiciel en exécutant la commande {Uninstall}
2) L'outil supprime la clé {SoftwareKey} si toujours présente.

NB : En cas d'absence de valeur "UninstallString", l'outil supprime seulement la clé {SoftwareKey}

Action ZHPFix (Cas N°2)

[ {Ruche} \Software\{SubKey}\ {SoftwareKey} ]

{Key} : Clé de Base de Registres [ {Ruche} \Software\{SubKey}\ {SoftwareKey} ]
{Ruche} : HKCU ou HKLM
{SubKey}: Souc-clé de {Key}
{SoftwareKey} : Clé software correspondant à une clé de {SubKey} ou de {Key} (si {SubKey} est vide)

1) L'outil supprime la clé {SoftwareKey}.

Rapport ZHPFix (Exemple N°1)

Lignes saisies (2) :
[HKCU\Software\PopCap]
[HKLM\Software\PopCap]

Rapport de ZHPFix v1.12.3118 par Nicolas Coolman, Update du 07/07/2010

========== Clé du Registre ==========
HKCU\Software\PopCap => Clé supprimée avec succès
HKLM\Software\PopCap => Clé supprimée avec succès

========== Récapitulatif ==========
2 : Clé du Registre

Rapport ZHPFix (Exemple N°2)

Lignes saisies (2) :
O42 - Logiciel: Search Settings v1.2.3 - (.Spigot, Inc..) [HKLM]
O42 - Logiciel: DAEMON Tools Toolbar - (.DT Soft Ltd.) [HKLM]

Rapport de ZHPFix v1.12.3129 par Nicolas Coolman, Update du 27/07/2010

========== Logiciel(s) ==========
O42 - Logiciel: Search Settings v1.2.3 - (.Spigot, Inc..) [HKLM] => Logiciel supprimé avec succès
O42 - Logiciel: DAEMON Tools Toolbar - (.DT Soft Ltd.) [HKLM] => Logiciel supprimé avec succès

========== Récapitulatif ==========
2 : Logiciel(s)

Rapport ZHPFix (Cas d'un désinstalleur défaillant)

O42 - Logiciel: Windows Searchqu Toolbar - (.Discordia Limited.) [HKLM] -- Searchqu MediaBar

Rapport de ZHPFix 1.12.3207 par Nicolas Coolman, Update du 06/10/2010

========== Clé(s) du Registre ==========
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Searchqu MediaBar] => Clé supprimée avec succès

========== Dossier(s) ==========
C:\Program Files\Windows Searchqu Toolbar\ => Supprimé et mis en quarantaine

========== Logiciel(s) ==========
O42 - Logiciel: Windows Searchqu Toolbar - (.Discordia Limited.) [HKLM] -- Searchqu MediaBar => Logiciel supprimé avec succès

========== Récapitulatif ==========
1 : Clé(s) du Registre
1 : Dossier(s)
1 : Logiciel(s)

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_063

ZHPDiag - Module O63 (LATC)

Origine

- Le module O63 (LATC) a été crée le 27 juillet 2009.

Caractéristiques

-Lié au module LATC (List All Tools Cleaner). Il permet de lister les logiciels usuels qui servent à la désinfecttion d'un système.

- Ajout du nom du propriétaire du logiciel. v1.25.03

- Allignement du format d'affichage sur celui du module O42/Logiciel v1.26.65

La liste des outils est éditée seulement si le module O42/Logiciels est coché.

Aperçu ZHPDiag

---\\ Liste des outils de nettoyage (LATC) (O63)
O63 - Logiciel: WareOut Removal Tool

---\\ Liste des outils de nettoyage (LATC) (O63) v1.25.03
O63 - Logiciel: HijackThis 2.0.2 - (.TrendMicro.)

---\\ Liste des outils de nettoyage (LATC) (O63)
O63 - Logiciel: ZHPDiag 1.26 - (.Nicolas Coolman.) [HKLM] -- ZHPDiag_is1
O63 - Logiciel: ZHPFix 1.12 - (.Nicolas Coolman.) [HKLM] -- ZHPFix_is1

Equivalence RSIT

======Uninstall list======
AVG Free 8.5-->C:\Program Files\AVG\AVG8\setup.exe /UNINSTALL
Bonjour-->MsiExec.exe /I{8A25392D-C5D2-4E79-A2BD-C15DDC5B0959}

Action ZHPFix

- L'outil désinstalle ou supprime le logiciel.

Rapport ZHPFix

O63 - Logiciel: HijackThis 2.0.2 - (.TrendMicro.) [HKLM] -- HijackThis

Rapport de ZHPFix v1.12.3155 par Nicolas Coolman, Update du 21/09/2010

========== Logiciel(s) ==========
O63 - Logiciel: HijackThis 2.0.2 - (.TrendMicro.) [HKLM] -- HijackThis => Logiciel supprimé avec succès

========== Récapitulatif ==========
1 : Logiciel(s)

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_043

ZHPDiag - Module O43 (CFD)

Origine

- Le module O43 (CFD) a été crée le 27 août 2008.

Caractéristiques

Lié au module CFD (Common File Directory). Il permet de lister tous les sous-dossiers Fichiers Communs et Common Files du dossier %ProgramFiles%,
- Extension à tous les dossiers %ProgramFiles% v1.24

Recherche complémentaire dans le dossier "ProgramData". v1.26.483
Ajout de la date et de l'heure. v1.27.132
Ajout d'une recherche complémentaire dans le dossier d'applications Utilisateur. Certains malwares comme le ver BAGLE utilisent ce dossier pour installer leurs pilotes. v1.27.149
Extension de la recherche au dossier "systemprofile\Start Menu\Programs". Certains rogues, comme Rogue.TotalSecurity, s'installent dans ce dossier. (1.27.1512)
Ajout de la taille du dossier et d'un nouveau dossier de recherche "Local Settings" pour OS XP. v1.27.1621
Extension de la recherche au dossier "%AppData%\Roaming\Microsoft\Windows\Start Menu\Programs\Start Menu\Programs". Certains rogues, comme Rogue.WindowsXPRecovery, s'installent dans ce dossier. (1.27.224)

Aperçu ZHPDiag

---\\ Contenu des dossiers Fichiers Communs (O43)
O43 - CFD:Common File Directory - C:\Program Files\Fichiers Communs\ACD Systems
O43 - CFD:Common File Directory - C:\Program Files\Fichiers Communs\Adobe
O43 - CFD:Common File Directory - C:\Program Files\Fichiers Communs\Borland Shared
O43 - CFD:Common File Directory - C:\Program Files\Common Files\Microsoft Shared
O43 - CFD:Common File Directory ----D- C:\Program Files\Movie Maker v1.24

---\\ Contenu des dossiers ProgramFiles/ProgramData (O43)
O43 - CFD:Common File Directory ----D- C:\ProgramData\Microsoft v1.26.483
O43 - CFD: 10/12/2009 - 19:11:28 ----D- C:\ProgramData\Microsoft v1.27.132

---\\ Contenu des dossiers ProgramFiles/ProgramData/AppData (O43) v1.27.149
O43 - CFD: 10/12/2009 - 19:30:28 ----D- C:\Users\Coolman\AppData\Roaming\ACD Systems
O43 - CFD: 27/12/2010 - 20:21:48 ----D- C:\Users\Coolman\AppData\Roaming\Adobe

---\\ Contenu des dossiers Programs/ProgramFiles/ProgramData/AppData (1.27.1512)
O43 - CFD: 25/01/2010 - 20:21:48 ----D- c:\WINDOWS\system32\config\systemprofile\start menu\Programs\total security
O43 - CFD: 25/01/2010 - 20:21:48 ----D- c:\WINDOWS\system32\config\systemprofile\start menu\Programs\Startup

---\\ Contenu des dossiers Programs/ProgramFiles/ProgramData/AppData v1.27.1621
O43 - CFD: 10/12/2009 - 19:30:36 - [5764] ----D- C:\Users\Coolman\AppData\Roaming\Malwarebytes

---\\ Contenu des dossiers Programs/ProgramFiles/ProgramData/AppData v1.27.224
O43 - CFD: 09/04/2011 - 08:28:42 - [48944] R---D- C:\Users\Coolman\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Windows XP Recovery

Exemples d'infection

---\\ Contenu des dossiers Fichiers Communs (O43)
O43 - CFD:Common File Directory ----D- C:\Program Files\PopCap Games => Infection BT (Adware.PopCap)

---\\ Contenu des dossiers ProgramFiles/ProgramData/AppData (O43) v1.27.149
O43 - CFD: 07/01/2011 - 22:36:30 ----D- C:\Users\Coolman\AppData\Roaming\OfferBox => Infection BT (PUP.OfferBox)
O43 - CFD: 08/01/2011 - 15:29:46 ----D- C:\Users\Coolman\AppData\Roaming\Drivers => Infection Bagle (BAGLE.Worm)

---\\ Contenu des dossiers Programs/ProgramFiles/ProgramData/AppData (1.27.1512)
O43 - CFD: 25/01/2010 - 20:21:48 ----D- c:\WINDOWS\system32\config\systemprofile\start menu\Programs\total security => Infection Rogue (Rogue.TotalSecurity)

Action ZHPFix

- L'outil supprime le dossier.

Rapport ZHPFix (Exemple)

Ligne saisie :
O43 - CFD:Common File Directory ----D- C:\Program Files\Trymedia

Rapport de ZHPFix v1.12.3118 par Nicolas Coolman, Update du 07/07/2010

========== Dossier ==========
C:\Program Files\Trymedia => Supprimé et mis en quarantaine

========== Récapitulatif ==========
1 : Dossier

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_044

ZHPDiag - Module O44 (CFD)

Origine

- Le module O44 (CFD) a été crée le 13 octobre 2008.

Caractéristiques

- Lié au module LFC (Last File Created). Il permet de lister tous les fichiers créés ou modifiés dans les dossiers System32 et System32\Drivers. La période de recherche est limitée aux 3 derniers mois.
- Une recherche complémentaire s'effectue au niveau du root de l'unité système. v1.24.30
- Ajout du propriétaire et de la désignation du fichier. v1.25.03
- Ajout de la taille du fichier en fin de ligne entre crochets. L'étoile indique la présence d'un caractère inaffichable dans le nom du processus et probablement inséré par l'action d'un malware. v1.25.1337

Aperçu ZHPDiag

---\\ Derniers fichiers modifiés ou créés sous System32 (O44)
O44 - LFC:Last File Created - C:\WINDOWS\System32\dnsapi.dll -->20/06/2008
O44 - LFC:Last File Created - C:\WINDOWS\System32\java.exe -->10/06/2008
O44 - LFC:Last File Created - C:\WINDOWS\System32\drivers\afd.sys -->20/06/2008
O44 - LFC:Last File Created - C:\WINDOWS\System32\drivers\avipbb.sys -->19/07/2008
O44 - LFC:Last File Created - C:\\avipbb.exe -->22/11/2009

---\\ Derniers fichiers modifiés ou créés sous System32 (O44) v1.24.41
O44 - LFC:[MD5.C1EE8AA735160B2CCB1DADAA2913564E]- 06/01/2010 - 10:40:36 R---- C:\WINDOWS .scr

---\\ Derniers fichiers modifiés ou crées sous Windows et System32 (O44) v1.25.03
O44 - LFC:[MD5.0C49B3DA1924FF4B74694C24A45DC7E5] - 23/01/2010 - 18:10:49 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\PDOXUSRS.NET
O44 - LFC:[MD5.6626F8DF052DF5252673E9380CEEFEC8] - 04/01/2010 - 16:17:48 ---A- . (.Microsoft Corporation - Outil de suppression de logiciels malveilla.) -- C:\Windows\System32\MRT.exe

---\\ Derniers fichiers modifiés ou crées sous Windows et System32 (O44) v1.25.1337
O44 - LFC:[MD5.DA1919D896DBD5895E138932AE9E398B] - 07/03/2010 - 18:09:08 ---A- . (.Microsoft Corporation - Choix de navigateur .) -- C:\Windows\System32\browserchoice.exe [293376]
O44 - LFC:[MD5.DA1919D896DBD5895E138932AE9E398B] - 07/03/2010 - 18:09:08 ---A- . (.Microsoft Corporation - Choix de navigateur .) -- C:\Windows\System32\browserchoice .exe [293376]*

Equivalence HJT

C:\Windows\System32\dsuiext32.dll
C:\WINDOWS\System32\ersvc32.dll
C:\WINDOWS\System32\evr32.dll

Equivalence RSIT

2010-07-27 09:58:08 ----D---- C:\Program Files\trend micro
2010-07-27 09:10:12 ----A---- C:\Windows\system32\drivers\mbamswissarmy.sys

Equivalence OTL

========== Files/Folders - Created Within 30 Days ==========
[2010/03/10 20:32:14 | 000,554,496 | ---- | C] (OldTimer Tools) -- C:\Users\Bilou\Desktop\OTL.exe
[2010/03/05 16:32:21 | 000,293,376 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\browserchoice.exe

Equivalence MBAM

Files Infected:
C:\Windows\System32\dsuiext32.dll (Trojan.Tracur)
C:\WINDOWS\System32\ersvc32.dll (Trojan.Tracur)
C:\WINDOWS\System32\evr32.dll (Trojan.Tracur)

Exemples d'infection

- Infection BT (Trojan.Tracur) :
O44 - LFC:[MD5.8F71924C80390F6F0474E646ACE30CF6] - 19/07/2010 - 06:41:36 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\System32\dsuiext32.dll [318976]
O44 - LFC:[MD5.8F71924C80390F6F0474E646ACE30CF6] - 18/07/2010 - 19:32:52 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\System32\ersvc32.dll [318976]
O44 - LFC:[MD5.8F71924C80390F6F0474E646ACE30CF6] - 18/07/2010 - 18:32:54 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\System32\evr32.dll [318976]

- Infection Koob (Trojan.Koobface) - Avec usurpation de nom de propriétaire :
O44 - LFC:[MD5.B2DDB4246D33D644A6A2CC6AEDAA20A0] - 2010-08-04 - 15:38:04 ---A- . (.Macromedia, Inc. - Macromedia Flash Player 7.0 r19.) -- C:\WINDOWS\System32\DllHostSrv.exe [44032
O44 - LFC:[MD5.B2DDB4246D33D644A6A2CC6AEDAA20A0] - 2010-08-08 - 10:43:47 ---A- . (.Macromedia, Inc. - Macromedia Flash Player 7.0 r19.) -- C:\WINDOWS\ExplorerSrv.exe
O44 - LFC:[MD5.B2DDB4246D33D644A6A2CC6AEDAA20A0] - 2010-08-08 - 11:09:51 ---A- . (.Macromedia, Inc. - Macromedia Flash Player 7.0 r19.) -- C:\WINDOWS\System32\cleanmgrSrv.exe

- Infection FakeAlert (Mal/FakeAV-BT) :
O44 - LFC:[MD5.BB757F85309643A94C93C842780FDA5A] - 20/07/2010 - 17:17:34 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\svc.exe [315392]
O44 - LFC:[MD5.C8A1BAC3ED10A53B34850862BCDB5DAA] - 20/07/2010 - 17:14:43 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\lsass.exe [370176]
O44 - LFC:[MD5.B892873347D2BE6C3F454E41FE8B0232] - 09/08/2010 - 22:06:50 ---A- . (.Pdbyt - Qyyumxp Aocer.) -- C:\WINDOWS\System32\af518cfc.exe [35328]

Action ZHPFix

O44 - LFC:[] - 07/03/2010 - 18:09:08 ---A- . (...) -- {FileName}

1) L'outil supprime le fichier {FileName}

Rapport ZHPFix (Exemple)

Ligne saisie :
O44 - LFC:[MD5.B892873347D2BE6C3F454E41FE8B0232] - 09/08/2010 - 22:06:50 ---A- . (.Pdbyt - Qyyumxp Aocer.) -- C:\WINDOWS\System32\af518cfc.exe [35328]

Rapport de ZHPFix v1.12.3133 par Nicolas Coolman, Update du 02/08/2010

========== Fichier(s) ==========
C:\WINDOWS\System32\af518cfc.exe => Supprimé et mis en quarantaine

========== Récapitulatif ==========
1 : Fichier(s)


ZHPdiag_045

ZHPDiag - Module O45 (LFP)

Origine

Le module O45 (LFP) a été crée le 14 octobre 2008.

Caractéristiques

Lié au module LFP (Last File Create Prefetch). Il permet de lister tous les fichiers créés ou modifiés dans le dossier Prefetcher. La période de recherche est limitée à un mois.

- Déplacement de la date et ajout de l'heure de création ou de modification du fichier. v1.24

- Modification du format d'affichage avec ajout du MD5. v1.26.66

Aperçu ZHPDiag

---\\ Derniers fichiers créés par Windows Prefetcher (O45)
045 - LFCP:Last File Created Prefetch - C:\WINDOWS\Prefetch\ACDSEE8.EXE-2C7AF977.pf -->24/07/2008
045 - LFCP:Last File Created Prefetch - C:\WINDOWS\Prefetch\ADDALIAS.EXE-184750BD.pf -->19/07/2008
045 - LFCP:Last File Created Prefetch - C:\WINDOWS\Prefetch\ADDALIAS.EXE-2B12A6B4.pf -->23/07/2008

---\\ Derniers fichiers créés par Windows Prefetcher (O45) v1.24
O45 - LFCP:Last File Created Prefetch 18/07/2010 - 20:09:16 ---A- C:\Windows\Prefetch\VDSLDR.EXE-85F9A1C6.pf

---\\ Derniers fichiers créés dans Windows Prefetcher (O45) v1.26.66
O45 - LFCP:[MD5.CE1BDEF31FF2FBB08361DD439BAC795E] - 24/09/2010 - 15:49:28 ---A- - C:\Windows\Prefetch\MPCMDRUN.EXE-BB72ED6F.pf
O45 - LFCP:[MD5.CB13131570F65D33F1430C43FD25DD87] - 24/09/2010 - 15:49:33 ---A- - C:\Windows\Prefetch\ZHPDIAG.EXE-A9BD8EF2.pf

Action ZHPFix

O45 - LFCP:Last File Created Prefetch 18/07/2010 - 20:09:16 ---A- {FileName}

1) L'outil supprime le fichier {FileName}

Exemples d'infection

O45 - LFCP:Last File Created Prefetch 18/07/2010 - 20:09:16 ---A- C:\Program Files\Automated Content Enhancer\4.1.0.5050\aceieaddon.pf => Infection BT (Adware.DoubleD)
O45 - LFCP:Last File Created Prefetch 18/07/2010 - 20:09:16 ---A- C:\Program Files\Automated Content Enhancer\4.1.0.5240\aceieaddon.pf => Infection BT (Adware.DoubleD)
O45 - LFCP:[MD5.CE1BDEF31FF2FBB08361DD439BAC795E] - 24/09/2010 - 10:12:10 ---A- C:\Windows\Prefetch\WINUPGRO.EXE-C12B80B5.pf => Infection Bagle

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_046

ZHPDiag - Module O46 (SEH)

Origine

- Le module O46 (SEH) a été crée le 14 octobre 2008.

Caractéristiques

- Lié au module SEH (Shell Execute Hooks). Il permet de recenser toutes les opérations et fonctions au démarrage de Windows Explorer.
- La recherche s'effectue dans la clé de Base de registres [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer]

Aperçu ZHPDiag

---\\ ShellExecuteHooks, Opérations et fonctions au démarrage de Windows Explorer (O46)
O46 - SEH:ShellExecuteHooks - URL Exec Hook - {AEB6717E-7E19-11d0-97EE-00C04FD91972} - shell32.dll
O46 - SEH:ShellExecuteHooks - Groove GFS Stub Execution Hook - {B5A7F190-DDA6-4420-B3BA-52453494E6CD} - C:\Program Files\Microsoft Office\Office12\GrooveShellExtensions.dll

Equivalence RSIT

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
"{B5A7F190-DDA6-4420-B3BA-52453494E6CD}"=C:\PROGRA~1\MICROS~2\Office12\GRA8E1~1.DLL [2006-10-27 2210608]

Equivalence OTL

O28 - HKLM ShellExecuteHooks: {56F9679E-7826-4C84-81F3-532071A8BCC5} - C:\Program Files\Windows Desktop Search\MsnlNamespaceMgr.dll (Microsoft Corporation)

Action ZHPFix

O46 - SEH:ShellExecuteHooks - {Startup} - {CLSIDValue} - {FileName}

{Key} : Clé de Base de registres [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer]
{CLSIDValue} : Valeur de la clé {Key}
{FileName} : Donnée par défaut de la clé [HKLM\SOFTWARE\Classes\CLSID\{CLSIDValue}\InProcServer32]
{Startup} : Valeur par défaut de la clé [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CLSIDValue}]

1) L'outil supprime la clé [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\CLSIDValue}]
2) L'outil supprime la clé [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CLSIDValue}]
3) L'outil supprime la clé [HKEY_CLASSES_ROOT\CLSID\{CLSIDValue}]
4) L'outil supprime le fichier {FileName}

Exemples d'infection

O46 - SEH:ShellExecuteHooks - Daily Searches - {102293E4-758B-4483-946B-714EBCEC91B8} - C:\Windows\System32\FirUpdate.dll => Infection BT (Adware.SePpBar)
O46 - SEH:ShellExecuteHooks - (no name) - {C3C0CBC3-CCB9-17CF-F0B4-6AC9B0EF4F5E} - C:\Windows\system32\aeoraunanora.dll => Infection Diverse

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_O47

ZHPDiag - Module O47 (AAKE)

Origine

Le module O47 (AAKE) a été crée le 18 octobre 2008.

Caractéristiques

Lié au module AAKE (Authorized Application Key Export). Il permet de lister toutes les valeurs et données pour les applications autorisées pour les deux clés suivantes :
[HKLM\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
[HKLM\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]

Ajout d'une information spécifique pour distinguer les lignes issues de clés "Standard Profile" (SP) ou "Domaine Profile" (DP). v1.23

Ajout du propriétaire et de la désignation du fichier. v1.25.06

Traitement des clés orphelines. v1.27.1514

Aperçu ZHPDiag

---\\ Export de clé d'application autorisée (O47)
047 - AAKE:Key Export - "C:\\WINDOWS\\explorer.exe"="C:\\WINDOWS\\explorer.exe:*:Enabled:Explorateur Windows"

---\\ Export de clé d'application autorisée (O47)
O47 - AAKE:Key Export SP - "%windir%\system32\zPharaoh.exe"="%windir%\system32\zPharaoh.exe:*:Enabled:dance"
O47 - AAKE:Key Export DP - "%windir%\system32\dance.exe"="%windir%\system32\dance.exe:*:enabled:dance"

---\\ Export de clé d'application autorisée (ECAA) (O47) v1.25.06
O47 - AAKE:Key Export SP - "%windir%\system32\zPharaoh.exe" [Enabled] .(.Pas de propriétaire - Pas de description.) -- C:\Windows\system32\zPharaoh.exe
O47 - AAKE:Key Export DP - "%windir%\system32\dance.exe" [Enabled] .(.Pas de propriétaire - Pas de description.) (.not file.) -- C:\Windows\system32\dance.exe

---\\ Export de clé d'application autorisée (ECAA) (O47) v1.27.1514
O47 - AAKE:Key Export DP - "%windir%\system32\dance.exe" [Enabled] Clé orpheline
O47 - AAKE:Key Export DP - "%windir%\system32\dance.exe" [Enabled] .(.Pas de propriétaire - Pas de description.) -- C:\Windows\system32\dance.exe (.not file.)
O47 - AAKE:Key Export DP - "%windir%\system32\dance.exe" [Enabled] .(.changelog.fr - OAD.) -- C:\Windows\system32\zPharaoh.exe

Equivalence RSIT

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"C:\\WINDOWS\\explorer.exe"="C:\\WINDOWS\\explorer.exe:*:Enabled:Explorateur Windows"

Exemple d'infection

C:\WINDOWS\asam.exe => Infection FakeAlert (Trojan.FakeAlert)
O4 - HKLM\..\Run: [asam] C:\WINDOWS\asam.exe => Infection FakeAlert (Mal/FakeAV-CF)
O47 - AAKE:Key Export SP - "C:\WINDOWS\asam.exe"="C:\WINDOWS\asam.exe:*:Enabled:enable" => Infection FakeAlert (Trojan.FakeAlert)

Action ZHPFix cas N°1

O47 - AAKE:Key Export {KeyProfile} - " {ValueKey} " [Enabled] Clé orpheline

{Key} : Clé de Base de Registres [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Domaine Profiles\AuthorizedApplications\List]
{Key} : Clé de Base de Registres [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Standard Profile\AuthorizedApplications\List]
{KeyProfile} : "DP" abréviation de la clé "Domaine Profiles" ou "SP" abréviation de la clé "Standard Profile"
{ValueKey} : Valeur de la clé {Key}

1) L'outil supprime la valeur de clé {ValueKey}

Action ZHPFix cas N°2

O47 - AAKE:Key Export {KeyProfile} - " {ValueKey} " [Enabled] .(...) -- {FileName} (.not file.)

{Key} : Clé de Base de Registres [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Domaine Profiles\AuthorizedApplications\List]
{Key} : Clé de Base de Registres [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Standard Profile\AuthorizedApplications\List]
{KeyProfile} : "DP" abréviation de la clé "Domaine Profiles" ou "SP" abréviation de la clé "Standard Profile"
{ValueKey} : Valeur de la clé {Key}
{FileName} : Donnée de la valeur {ValueKey}

1) L'outil supprime la valeur de clé {ValueKey}

Action ZHPFix cas N°3

O47 - AAKE:Key Export {KeyProfile} - " {ValueKey} " [Enabled] .(...) -- {FileName}

{Key} : Clé de Base de Registres [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Domaine Profiles\AuthorizedApplications\List]
{Key} : Clé de Base de Registres [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Standard Profile\AuthorizedApplications\List]
{KeyProfile} : "DP" abréviation de la clé "Domaine Profiles" ou "SP" abréviation de la clé "Standard Profile"
{ValueKey} : Valeur de la clé {Key}
{FileName} : Donnée de la valeur {ValueKey}

1) L'outil supprime la valeur de clé {ValueKey}
2) L'outil supprime le fichier {FileName}

Rapport ZHPFix (Exemple)

O47 - AAKE:Key Export SP - "C:\Program Files\IncrediMail\bin\ImpCnt.exe" [Disabled] .(...) -- C:\Program Files\IncrediMail\bin\ImpCnt.exe
O47 - AAKE:Key Export SP - "C:\Program Files\IncrediMail\bin\ImApp.exe" [Disabled] .(...) -- C:\Program Files\IncrediMail\bin\ImApp.exe

Rapport de ZHPFix v1.12.3133 par Nicolas Coolman, Update du 02/08/2010

========== Valeur(s) du Registre ==========
O47 - AAKE:Key Export SP - "C:\Program Files\IncrediMail\bin\ImpCnt.exe" [Disabled] .(...) -- C:\Program Files\IncrediMail\bin\ImpCnt.exe => Valeur supprimée avec succès
O47 - AAKE:Key Export SP - "C:\Program Files\IncrediMail\bin\ImApp.exe" [Disabled] .(...) -- C:\Program Files\IncrediMail\bin\ImApp.exe => Valeur supprimée avec succès

========== Fichier(s) ==========
C:\Program Files\IncrediMail\bin\ImpCnt.exe => Supprimé et mis en quarantaine
C:\Program Files\IncrediMail\bin\ImApp.exe => Supprimé et mis en quarantaine

========== Récapitulatif ==========
2 : Valeur(s) du Registre
2 : Fichier(s)

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_O24

ZHPDiag - Module O48 (LSA)

Origine

- Le module O48 (LSA) a été crée le 13 août 2008.

Caractéristiques

Lié au module LSA. Pour son fonctionnement, Microsoft Windows NT utilise un service d'autorité Locale de sécurité ou LSA (Local Security Authority). Une requête au service LSA peut être utilisée afin d'exploiter une vulnérabilité de sécurité du système. Une utilisation abusive de cette vulnérabilité permet l'exécution d'un programme en provoquant un déni de service. Ainsi, le service LSA cesse de répondre et demande le démarrage de l'ordinateur. Au redémarrage la ressource malware installée sera automatiquement chargée afin de poursuivre son action.

- Les attaques portent sur la clé de Base de Registres [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA], avec remplacement de la donnée des valeurs suivantes :

"Notification Packages"
"Authentication Packages"
"Security Packages" v1.26.25

- La donnée par défaut de la valeur "Authentication Packages" est "msv1_0" et fait référence à la ressource système "%System32%\msv1_0.dll" (Microsoft Authentication Package v1.0)
- La donnée par défaut de la valeur "Notification Packages" est "scecli" et fait référence à la ressource système "%System32%\scecli.dll" (Microsoft Moteur du client de l'Éditeur de configuration)

- L'infection Vundo utilise cette vulnérabilité de sécurité et installe sa propre ressource. MalwareByte's AntiMalware (MBAM) recense ce type d'attaque de service LSA.

- Ajout du propriétaire et de la désignation du fichier. v1.25.02

Aperçu ZHPDiag

---\\ Dénis de service Local Security Authority (LSA) (O48)
O48 - LSA:Local Security Authority Authentication Packages - C:\WINDOWS\System32\msv1_0.dll
O48 - LSA:Local Security Authority Notification Packages - C:\WINDOWS\System32\scecli.dll

---\\ Déni du service (Local Security Authority) (LSA) (O48) v1.25.02
O48 - LSA:Local Security Authority Authentication Packages - (.Microsoft Corporation - Microsoft Authentication Package v1.0.) -- C:\Windows\System32\msv1_0.dll

Equivalence RSIT

======Registry dump======
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]
"authentication packages"=msv1_0

Equivalence OTL

O30:64bit: - LSA: Security Packages - (tspkg) - C:\Windows\SysNative\tspkg.dll (Microsoft Corporation)
O30 - LSA: Security Packages - (kerberos) - C:\Windows\SysWow64\kerberos.dll (Microsoft Corporation)

Equivalence MBAM

Registry Data Items Infected:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Notification Packages (Trojan.Vundo.H) -> Data: dkblmn.dll
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Security Packages (Trojan.Vundo) -> Data: c:\windows\system32\fccbxqoe

Action ZHPFix

O48 - LSA:Local Security Authority {ValueName} - (.Microsoft Corporation - Microsoft Authentication Package v1.0.) -- {FileName}

{Key} : Clé de la Base de Registres [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA]
{ValueName} : Valeur de la clé {Key}

1) L'outil restaure les éléments de données par défaut de la valeurs {ValueName}.
- La donnée par défaut de la valeur "Authentication Packages" est "msv1_0"
- La donnée par défaut de la valeur "Notification Packages" est "scecli"

Exemple d'infection

---\\ Déni du service (Local Security Authority) (LSA) (O48)
O48 - LSA:Local Security Authority Notification Packages - syycum,C:\Windows\system32\syycum.dll => Infection FakeAlert (Trojan.FakeAlert)
O48 - LSA:Local Security Authority Notification Packages - taxxni,C:\Windows\system32\taxxni32.dll => Infection BT (Trojan.Tracur)
O48 - LSA:Local Security Authority Notification Packages - dkblmn,C:\Windows\system32\dkblmn.dll => Infection Vundo (Trojan.Vundo)

Liens

* Local Security Authority Subsystem Service
* LSA Authentication (Microsoft)
* LSA Secrets

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_O49

ZHPDiag - Module O49 (CSB)

Origine

- Le module O49 (CSB) a été crée le 21 novembre 2008.

Caractéristiques

- Lié au module CSB (Contrôle Safe Boot). Il permet de lister toutes les sous-clés de registre des clés SafeBoot\Minima et SafeBoot\Network pour CurrentControlSet et ControlSetxxx. Généralement rencontré dans les infections Haxdoor.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network
HKEY_LOCAL_MACHINE\SYSTEM\ControlSetxxx\Control\SafeBoot\Minimal
HKEY_LOCAL_MACHINE\SYSTEM\ControlSetxxx\Control\SafeBoot\Network

- Ajout du propriétaire et de la désignation du fichier. v1.25.03

Aperçu ZHPDiag

---\\ Contrôle du Safe Boot (CSB) (O49)
O49 - CSB:Control Safe Boot HKLM\...\CCS\Minimal\dmboot.sys
O49 - CSB:Control Safe Boot HKLM\...\CS1\Minimal\dmio.sys
O49 - CSB:Control Safe Boot HKLM\...\CS3\Network\dmload.sys

---\\ Contrôle du Safe Boot (CSB) (O49) v1.25.03
O49 - CSB:Control Safe Boot HKLM\...\CCS\Minimal\sermouse.sys . (.Microsoft Corporation - Pilote de filtre souris série.) -- C:\Windows\System32\Drivers\sermouse.sys
O49 - CSB:Control Safe Boot HKLM\...\CCS\Minimal\vga.sys . (.Microsoft Corporation - VGA/Super VGA Video Driver.) -- C:\Windows\System32\Drivers\vga.sys

Equivalence RSIT

======Registry dump======
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\EFS]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\network\EFS]

Equivalence OTL

O31 - SafeBoot: AlternateShell - cmd.exe

Aperçu MBAM

Clé(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SafeBoot\Minimal\MSNETDED (Backdoor.Bot) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SafeBoot\Network\MSNETDED (Backdoor.Bot) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\MSNETDED (Backdoor.Bot) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\sysdrv32 (Backdoor.Bot) -> Quarantined and deleted successfully.

Action ZHPFix Cas N°1

O49 - CSB:Control Safe Boot HKLM\...\ {CurrentKey} \Minimal\ {SubKey} . (...) -- {FileName}

{Key} : Clé de Base de Registres [HKEY_LOCAL_MACHINE\SYSTEM\ {KeyCurrent} \Control\SafeBoot\Minimal]
{KeyCurrent} : Nom du Control comme par exemple "CCS" (CurrentControlSet) ou "CS1" (ControlSet01),...
{SubKey} : Sous clé de {Key}
{FileName} : {SubKey}

1) L'outil supprime la clé {KeyCurrent}
2) L'outil supprime le fichier {FileName}

Action ZHPFix Cas N°2

O49 - CSB:Control Safe Boot HKLM\...\ {CurrentKey} \Network\ {SubKey} . (...) -- {FileName}

{Key} : Clé de Base de Registres [HKEY_LOCAL_MACHINE\SYSTEM\ {KeyCurrent} \Control\SafeBoot\Networkl]
{KeyCurrent} : Nom du Control comme par exemple "CCS" (CurrentControlSet) ou "CS1" (ControlSet01),...
{SubKey} : Sous clé de {Key}
{FileName} : {SubKey}

1) L'outil supprime la clé {KeyCurrent}
2) L'outil supprime le fichier {FileName}

Exemple d'infection

---\\ Contrôle du Safe Boot (CSB) (O49)
O49 - CSB:Control Safe Boot HKLM\...\CCS\Minimal\ati5adxx.sys . (.Pas de Propriétaire - Pas de description.) -- C:\Windows\System32\Drivers\ati5adxx.sys => Infection Rootkit (Rootkit.Agent)
O49 - CSB:Control Safe Boot HKLM\...\CCS\Network\ati5adxx.sys . (.Pas de Propriétaire - Pas de description.) -- C:\Windows\System32\Drivers\ati5adxx.sys => Infection Rootkit (Rootkit.Agent)

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_F2

ZHPDiag - Module O50 (IFEO)

Origine

- Le module O50 (IFEO) a été crée le 02 février 2009.

Caractéristiques

- Lié au module IFEO (Image File Execution Options). Il permet de lister toutes les sous-clés de registre des clés IFEO.

- La clé de Base de Registres "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options" est souvent utilisée par des processus malwares. La raison en est simple, il est possible de rédiriger l'exécution de n'importe lequel des processus vers un processus de son choix. Dans la pratique une nouvelle clé avec le nom d'un processus, généralement légitime et appartenant à un antivirus connu comme par exemple "GUARD.exe" ou bien un processus légitime de Windows comme par exemple "regedit.exe" ou "svchost.exe". Ensuite on lui donne comme valeur 'Debugger' et comme donnée le nom du processus malware avec son chemin complet comme par exemple "c:\windows\System32\regeedit.exe".

Soit :
[HKLM\...\IFEO\regedit.exe]
Debugger="c:\windows\System32\regeedit.exe"

- Ainsi lorsque sera sollicité sous debugger l'éditeur de Base De Registres "regedit" , c'est le processus malware "regeedit.exe" qui sera exécuté de façon totalement transparente pour l'utilisateur infecté.

- A côte de la valeur "Debugger", il existe d'autres valeurs susceptibles de provoquer un dysfonctionement. C'est le cas notamment de la valeur "BreakOnDllLoad" avec la donnée '1' qui provoque un "break" de la ressource dynamique en cours de chargement.

Soit :
HKLM\...\IFEO\Name.dll>]
"BreakOnDllLoad"=dword:00000001

- Bien sûr il n'y a pas que les fichiers d'extension .exe ou .dll qui sont la cible de tels procédés.

- Certains précaunisent l'utilisation de la clé IFEO à des fins de vérouillage comme "Strip My Rights". Je ne suis pas trop partisan d'une telle action, car à moins d'être un expert, à terme il n'est plus possible de savoir si l'on est à la source d'une telle modification ou bien si l'on est infecté.

- Comme par défaut sous XP/Vista il n'y a aucun processus sous la clé IFEO (sauf DllNXOptions, IEInstall.exe & MovieMaker.exe), il est plus prudent de supprimer tous le reste qui se trouve sous cette clé. Une exception toutefois si vous êtes sous Windows Server qui utilise la clé IEFO pour la gestion de ses processus légitimes comme STORE.EXE,MAD.EXE,INETINFO.EXE ou EMSMTA.EXE. Pour ce dernier cas il faudra bien étudier la valeur de l'entrée "PageHeapFlags".

Aperçu ZHPDiag

---\\ Image File Execution Options (IFEO) (O50) v1.16
O50 - IFEO:Image File Execution Options - guard.exe - C:\Windows\System32\delrodRR.exe

---\\ Image File Execution Options (IFEO) (O50)
O50 - IFEO:Image File Execution Options - Your Image File Name Here without a path - ntsd -d

Equivalence RSIT

################## | Registre |
[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\a.exe]

Equivalence OTL

O27 - HKLM IFEO\msnmsgr.exe: Debugger - StripMyRights.exe /D /L N (Systemintegrasjon AS)
O27 - HKLM IFEO\keygen.exe: Debugger - StripMyRights.exe /D /L N (Systemintegrasjon AS)

Equivalence MBAM

Clé(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SETUP.EXE (Rogue.Installer)

Exemple d'infections

---\\ Image File Execution Options (IFEO) (O50)
O50 - IFEO:Image File Execution Options - a.exe - svchost.exe => Infection Diverse (Security.Hijack)
O50 - IFEO:Image File Execution Options - aAvgApi.exe - svchost.exe => Infection Diverse (Security.Hijack)
O50 - IFEO:Image File Execution Options - AAWTray.exe - svchost.exe => Infection Diverse (Security.Hijack)
O50 - IFEO:Image File Execution Options - About.exe - svchost.exe => Infection Diverse (Security.Hijack)

Action ZHPFix

O50 - IFEO:Image File Execution Options - {KeyName} - {ProcessName}

{Key} : Clé de Base de registre [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options]
{KeyName} : Sous clé de la clé {Key}
{ProcessName} : Nom du processus.

1) L'outil suppime la clé {KeyName}

La commande IFEOFix permet de supprimer toutes les redirections d'applications. Sur le principe, l'outil recherche toutes les valeurs "Debugger" et supprime les clés de registre IFEO correspondantes. Une liste de clés supprimées est donnée en fin de rapport.
En cas d'absence de clé IFEO malware, le message suivant s'affiche "Branche de Base de Registres IFEO non infectée !"

Rapport ZHPFix (IFEO infecté)

Lignes saisies :
O50 - IFEO:Image File Execution Options - a.exe - svchost.exe
O50 - IFEO:Image File Execution Options - aAvgApi.exe - svchost.exe
O50 - IFEO:Image File Execution Options - AAWTray.exe - svchost.exe

Rapport de ZHPFix v1.12.3134 par Nicolas Coolman, Update du 12/08/2010

========== Clé(s) du Registre ==========
O50 - IFEO:Image File Execution Options - a.exe - svchost.exe => Clé supprimée avec succès
O50 - IFEO:Image File Execution Options - aAvgApi.exe - svchost.exe => Clé supprimée avec succès
O50 - IFEO:Image File Execution Options - AAWTray.exe - svchost.exe => Clé supprimée avec succès

========== Récapitulatif ==========
3 : Clé(s) du Registre

Rapport ZHPFix (IFEO non infecté)

Ligne saisie :
IFEOFix

Rapport de ZHPFix v1.12.3145 par Nicolas Coolman, Update du 06/09/2010

========== Clé(s) du Registre ==========
Branche de Base de Registres IFEO non infectée !

========== Récapitulatif ==========
1 : Clé(s) du Registre

Liens

* Abusing Image File Execution Options,
* How to Remove Image File Execution Options from Your Computer,
* McAffee Image File Execution Options
* Supprimer explor.exe / Winxp.exe : VBS/Autorun.worm / VBS/Drop.Bifrose


ZHPdiag_051

ZHPDiag - Module O51 (MPSK)

Origine

- Le module O51 (MPSK) a été crée le 12 avril 2009.

Caractéristiques

Lié au module MPSK (MountPoints2 Search Key). Il permet de traquer les infections en provenance des ports USB. La recherche se fait sur la clé utilisateur :

[HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{CLSID}\shell]

Puis scanne la présence de données dans les diverses sous-clés de registre suivantes:

- "AutoRun\command",
- "explore\command",
- "open\command"
- "Browser\command", v1.20.2
- "Auto\command", v1.20.2

Aperçu ZHPDiag

---\\ MountPoints2 Shell Key (MPSK) (O51)
O51 - MPSK:{7fd09aec-e17a-11dd-9618-001bb9f21385}\Shell\AutoRun\command - L:\Launch.exe /run
O51 - MPSK:{264723e8-89aa-11dd-b05d-4d6564696130}\Shell\explore\command - H:\helper.exe
O51 - MPSK:{492c038b-8707-11dd-b055-4d6564696130}\Shell\open\command - RavMon.exe

---\\ MountPoints2 Shell Key (MPSK) (O51) v1.25.02
O51 - MPSK:{88888888-51ce-11de-96a5-001060d14950}\Shell\AutoRun\command. (.Pas de propriétaire - Pas de descrïption.) -- c:\zPharaoh.exe

Affichage de l'absence du fichier (.not file).
---\\ MountPoints2 Shell Key (MPSK) (O51) v1.25.05
O51 - MPSK:{88888888-51ce-11de-96a5-001060d14950}\Shell\AutoRun\command. (.Pas de propriétaire - Pas de descrïption.) -- c:\zPharaoh.exe
O51 - MPSK:{88888888-51ce-11de-96a5-001060d14950}\Shell\explore\command. (.Pas de propriétaire - Pas de descrïption.) -- c:\zPharaoh.exe (.not file.)

Equivalence USBFix

################## | Registre # Mountpoints2 |
HKCU\..\..\Explorer\MountPoints2\{15327bc2-9cc6-11de-87ae-00138f9e1612}
Shell\AutoRun\command =F:\10nb.exe
Shell\open\Command =F:\10nb.exe

Equivalence RSIT

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{40edd1fe-dde8-11db-9839-0016d4b0341b}]
shell\Auto\command - RavMonE.exe e
shell\AutoRun\command - C:\Windows\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RavMonE.exe e

Equivalence OTL

O33 - MountPoints2\{fa822622-d60e-11db-a583-00038a000015}\Shell\AutoRun\command - "" = E:\LinksysConnectPC.exe -- File not found

Exemple d'infection

O4 - HKLM\..\Run: [windows] . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\windows\Updat.exe
O4 - HKCU\..\Run: [updat] . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\windows\Updat.exe
O4 - HKLM\..\policies\Explorer\Run: [Polices] . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\windows\Updat.exe
O4 - HKCU\..\policies\Explorer\Run: [Polices] . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\windows\Updat.exe
O40 - ASIC: (no name) - {VYUB2383-G80U-N0Y5-U671-073O66S8110I} . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\windows\Updat.exe
O51 - MPSK:{702b8093-821b-11df-8c79-0016e697a35e}\Shell\AutoRun\command. (.) -- C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RECYCLER\S-1-5-21-1482476501-3352491937-682996330-1013\Updat.exe
O51 - MPSK:{b5c559b4-645d-11df-8c3e-0016e697a35e}\Shell\AutoRun\command. (.) -- C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RECYCLER\S-1-5-21-1482476501-3352491937-682996330-1013\Updat.exe
O51 - MPSK:{b5c559b5-645d-11df-8c3e-0016e697a35e}\Shell\AutoRun\command. (.) -- C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RECYCLER\S-1-5-21-1482476501-3352491937-682996330-1013\Updat.exe
O51 - MPSK:{d7d9c9af-5aaa-11df-8c29-0016e697a35e}\Shell\AutoRun\command. (.) -- C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RECYCLER\S-1-5-21-1482476501-3352491937-682996330-1013\Updat.exe
O53 - SMSR:HKLM\...\startupreg\updat [Key] . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\windows\Updat.exe
O53 - SMSR:HKLM\...\startupreg\windows [Key] . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\windows\Updat.exe

Action ZHPFix

O51 - MPSK:{CLSIDKey}\Shell\explore\command. (..) -- {FileName}

{Key} : Clé de Base de Registres [HKEYCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2]
{CLSIDKey} : Sous-clé de la clé {Key}
{FileName} : Valeur par défaut de la clé [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{CLSIDKey}\Shell\AutoRun\command]

1) L'outil supprime la clé CLSID {CLSIDKey}.
2) L'outil supprime le fichier {FileName}.

Rapport ZHPFix

O51 - MPSK:{08781a01-244b-11dd-997c-001d6080d73c}\Shell\AutoRun\command. (...) -- c:\windows\system32\xls.exe

Rapport de ZHPFix 1.12.32 par Nicolas Coolman, Update du 25/09/2010

========== Clé(s) du Registre ==========
O51 - MPSK:{08781a01-244b-11dd-997c-001d6080d73c}\Shell\AutoRun\command. (...) -- C:\WINDOWS\system32\xls.exe => Clé supprimée avec succès

========== Fichier(s) ==========
c:\windows\system32\xls.exe => Supprimé et mis en quarantaine

========== Récapitulatif ==========
1 : Clé(s) du Registre
1 : Fichier(s)

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_052

ZHPDiag - Module O52 (TDSD)

Origine

- Le module O52 (TDSDK) a été crée le 14 avril 2009.

Caractéristiques

Lié au module TDSD (Trojan Driver Search Data). Il permet de traquer les infections en provenance de trojans drivers. C'est le cas notamment du trojan Daonol qui s'incruste en tant que pseudo driver ou pseudo ressource dynamique sous couvert d'extensions multiples (ide,svy,dql,xoo,...).

Ce module scrute la clé de Base de Registre afin de rechercher des valeurs de clés permettant l'exécution de données malwares. Ces données sont généralement exécutées via des processus installés sous %USERPROFILE% ou %SYSTEM32%. Dans la pratique, Daonol est un trojan qui provoque des redirections lors de recherches avec le moteur Google (Détournement de DNS) afin de promouvoir des rogues. ComboFix et MBAM permettent l'éradication de ce malware.

Clès concernées :
* HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers
* HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32
* HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\drivers.desc (Environnement Vista/W7) v1.22

- Ajout du propriétaire et de la désignation du fichier : v1.25.03
- Suppression de la ruche : v1.25.04

Aperçu ZHPDiag

---\\ Trojan Driver Search Data (TDSD) (O52)
O52 - TDSD:HKLM\...\Drivers\"timer"="timer.drv"
O52 - TDSD:HKLM\...\Drivers32\"msacm.l3acm"="C:\Windows\System32\l3codeca.acm"
O52 - TDSD:HKLM\...\drivers.desc\"wdmaud.drv"="Realtek High Definition Audio" v1.22

---\\ Trojan Driver Search Data (TDSD) (O52) v1.25.03
O52 - TDSD:HKLM\...\Drivers\"timer"="timer.drv" . (.Microsoft Corporation - Timer driver for PC compatibles.) -- C:\Windows\System32\timer.drv
O52 - TDSD:HKLM\...\Drivers32\"vidc.mrle"="msrle32.dll" . (.Microsoft Corporation - Microsoft RLE Compressor.) -- C:\Windows\System32\msrle32.dll

---\\ Trojan Driver Search Data (TDSD) (HKLM) (O52) v1.25.04
O52 - TDSD: \Drivers\"timer"="timer.drv" . (.Microsoft Corporation - Timer driver for PC compatibles.) -- C:\Windows\System32\timer.drv
O52 - TDSD: \Drivers32\"vidc.mrle"="msrle32.dll" . (.Microsoft Corporation - Microsoft RLE Compressor.) -- C:\Windows\System32\msrle32.dll

Equivalence DaonolFix

=====Find Daonol=====
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32]
"aux"="wdmaud.drv"

Equivalence ComboFix

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"msacm.l3acm"= l3codecp.acm

Equivalence MBAM

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32\wave1 (Hijack.Sound) -> Bad: (C:\DOCUME~1\don\APPLIC~1\MACROM~1\Common\ae54a05c1.dll) Good: (wdmaud.drv)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32\midi1 (Hijack.Sound) -> Bad: (C:\DOCUME~1\don\APPLIC~1\MACROM~1\Common\ae54a05c1.dll) Good: (wdmaud.drv)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32\mixer1 (Hijack.Sound) -> Bad: (C:\DOCUME~1\don\APPLIC~1\MACROM~1\Common\ae54a05c1.dll) Good: (wdmaud.drv)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32\aux1 (Hijack.Sound) -> Bad: (C:\DOCUME~1\don\APPLIC~1\MACROM~1\Common\ae54a05c1.dll) Good: (wdmaud.drv)

Exemple d'infection

---\\ Trojan Driver Search Data (TDSD) (HKLM) (O52)
O52 - TDSD: \Drivers32\"wave1"="Common\ae54a05c1.dll" . (...) -- C:\DOCUME~1\don\APPLIC~1\MACROM~1\Common\ae54a05c1.dll
O52 - TDSD: \Drivers32\"midi1"="Common\ae54a05c1.dll" . (...) -- C:\DOCUME~1\don\APPLIC~1\MACROM~1\Common\ae54a05c1.dll
O52 - TDSD: \Drivers32\"mixer1"="Common\ae54a05c1.dll" . (...) -- C:\DOCUME~1\don\APPLIC~1\MACROM~1\Common\ae54a05c1.dll

Action ZHPFix

O52 - TDSD: \ {SubKey} \"{ValueKey}"="{DataValue}" . (...) -- {FileName}

{Key} ; Clé de Base de Registres [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion]
{Subkey} : Sous-clé de la clé {Key}
{ValueKey} : Valeur de la clé {Subkey}
{DataValue} : Donnée de la valeur {ValueKey}
{FileName} : {DataValue}

1) L'outil supprime la valeur {ValueKey}
2) L'outil supprime le fichier.

Rapport ZHPFix (Exemple d'un cas de lignes orphelines)

Lignes saisies (2) :
O52 - TDSD: \Drivers32\"msacm.l3codecp"="" . (.Pas de propriétaire - Pas de description.) -- (.not file.)
O52 - TDSD: \drivers.desc\"l3codecp.acm"="" . (.Pas de propriétaire - Pas de description.) -- (.not file.)

Rapport de ZHPFix v1.12.3133 par Nicolas Coolman, Update du 02/08/2010

========== Valeur(s) du Registre ==========
O52 - TDSD: \Drivers32\"msacm.l3codecp"="" . (.Pas de propriétaire - Pas de description.) -- (.not file.) => Valeur supprimée avec succès
O52 - TDSD: \drivers.desc\"l3codecp.acm"="" . (.Pas de propriétaire - Pas de description.) -- (.not file.) => Valeur supprimée avec succès

========== Récapitulatif ==========
2 : Valeur(s) du Registre

Liens

Malekal Morte : Trojan.Daonol/Trojan.Kates et redirections Google


ZHPdiag_053

ZHPDiag - Module O53 (SMSR)

Origine

- Le module O53 (SMSR) a été crée le 24 avril 2009.

Caractéristiques

- Lié au module SMSR (ShareTools MSconfig StartupReg). Il permet de lister les valeurs et données de la clé startupreg :
[HKLM\software\microsoft\shared tools\msconfig\startupreg]

- Ajout du propriétaire et de la désignation du fichier. v1.25.030

- Analyse complémentaire des sous-clés de la clé "StartupReg". Il est inséré la chaîne de caractère "[Key]" nécessaire au traitement par ZHPFix. v1.25.123

Aperçu ZHPDiag

---\\ ShareTools MSconfig StartupReg (SMSR) (O53) v2.33.09
O53 - SMSR:HKLM\...\startupreg\iTunesHelper - C:\Program Files\iTunes\iTunesHelper.exe
O53 - SMSR:HKLM\...\startupreg\msnmsgr - C:\Program Files\MSN Messenger\MsnMsgr.Exe /background

---\\ ShareTools MSconfig StartupReg (SMSR) (O53) v1.25.030
O53 - SMSR:HKLM\...\startupreg\CloneDVD2 . (.Elaborate Bytes AG - CloneDVD Application.) - C:\Program Files\Elaborate Bytes\CloneDVD\CloneDVD2.exe

---\\ ShareTools MSconfig StartupReg (SMSR) (O53) v1.25.123
O53 - SMSR:HKLM\...\startupreg\HPADVISOR [Key] . (.Hewlett-Packard - HP Advisor.) -- C:\Program Files\Hewlett-Packard\HP Advisor\HPAdvisor.exe

Equivalence RSIT

======Registry dump======
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\BitComet]
C:\Program Files\BitComet\BitComet.exe [2008-03-25 2196280]

Equivalence ComboFix

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ACTIVBOARD]

Exemple d'infection

---\\ ShareTools MSconfig StartupReg (SMSR) (O53)
O53 - SMSR:HKLM\...\startupreg\AntiMalware [Key] . (.Pas de propriétaire - Pas de description.) -- C:\Program Files\AntiMalware\antimalware.exe => Infection Rogue (Rogue.ActiveSecurity)
O53 - SMSR:HKLM\...\startupreg\MSFox [Key] . (.Pas de propriétaire - Pas de description.) -- C:\DOCUME~1\PROPRI~1\LOCALS~1\Temp\a.exe => Infection Diverse (Malware.Bot)

Action ZHPFix cas N°1

O53 - SMSR:HKLM\...\startupreg\ {ValueName} . (..) -- {FileName}

{key} : Clé de Base de Registres [HKLM\software\microsoft\shared tools\msconfig\startupreg]
{ValueName} : Valeur de la clé {key}
{FileName} : Donnée de la valeur {ValueName}

1) L'outil supprime la valeur {ValueName}.
2) L'outil supprime le fichier {FileName}.

Action ZHPFix cas N°2

O53 - SMSR:HKLM\...\startupreg\ {SubKey} [Key] . (..) -- {FileName}

{keyName} : Clé de Base de Registres [HKLM\software\microsoft\shared tools\msconfig\startupreg]
{SubKey} : Sous-clé de la clé {keyName}
{ValueName} : Valeur 'Command" de la clé {SubKey}
{FileName} : Donnée de la valeur {ValueName}

1) L'outil supprime la clé {SubKey}
2) L'outil supprime le fichier {FileName}.

Rapport ZHPFix (Exemple)

Lignes saisies :
O53 - SMSR:HKLM\...\startupreg\DC6V_Check [Key] . (...) -- C:\Program Files\Fichiers communs\SystemDoctor\usdrdc.exe
O53 - SMSR:HKLM\...\startupreg\kamsoft [Key] . (...) -- C:\WINDOWS\system32\ckvo.exe

Rapport de ZHPFix v1.12.3132 par Nicolas Coolman, Update du 02/08/2010

========== Clé(s) du Registre ==========
O53 - SMSR:HKLM\...\startupreg\DC6V_Check [Key] . (...) -- C:\Program Files\Fichiers communs\SystemDoctor\usdrdc.exe => Clé supprimée avec succès
O53 - SMSR:HKLM\...\startupreg\kamsoft [Key] . (...) -- C:\WINDOWS\system32\ckvo.exe => Clé supprimée avec succès

========== Fichier(s) ==========
c:\program files\fichiers communs\systemdoctor\usdrdc.exe => Supprimé et mis en quarantaine
C:\WINDOWS\system32\ckvo.exe => Supprimé et mis en quarantaine

========== Récapitulatif ==========
2 : Clé(s) du Registre
2 : Fichier(s)

Rapport ZHPFix (Optimisation avec la commande OPT:)

Il faut préciser aussi que cette commande s'applique aux lignes présentant des clés, valeurs ou données de Base de Registres.

Exemple avec ces lignes, seule la valeur de Base de Registres "Adobe Reader Speed Launcher" et "CTF Loader" sont supprimées, les processus sont conservés

Lignes saisies :
OPT:O53 - SMSR:HKLM\...\startupreg\Adobe Reader Speed Launcher [Key] . (.Pas de propriétaire - Pas de description.) -- C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe
OPT:O53 - SMSR:HKLM\...\startupreg\ctfmon.exe [Key] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\ctfmon.exe

Rapport de ZHPFix v1.12.3141 par Nicolas Coolman, Update du 27/08/2010

========== Clé(s) du Registre ==========
O53 - SMSR:HKLM\...\startupreg\Adobe Reader Speed Launcher [Key] . (.Pas de propriétaire - Pas de description.) -- C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe => Clé supprimée avec succès
O53 - SMSR:HKLM\...\startupreg\ctfmon.exe [Key] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\ctfmon.exe => Clé supprimée avec succès

========== Récapitulatif ==========
2 : Clé(s) du Registre

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_054

ZHPDiag - Module O54 (MCSP)

Origine

- Le module O54 (MCSP) a été crée le 24 avril 2009.

Caractéristiques

- Lié au module MCSP (Microsoft Control Security Providers). Il permet de lister les valeurs et données des clés SecurityProviders :
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SecurityProviders]

- Ces clés peuvent être le siège de ressources dynamiques malwares Trojan.Agent comme par exemple digiwet.dll ou mcenspc.dll.
- Modification du format d'affichage avec identification de chacun des processus afin de permettre un nettoyage plus facile. v1.26.31

Aperçu ZHPDiag

---\\ Microsoft Control Security Providers (MCSP) (O54) v1.20
O54 - MCSP:[HKLM\...\CurrentControlSet\Control] - "SecurityProviders"=credssp.dll
O54 - MCSP:[HKLM\...\ControlSet001\Control] - "SecurityProviders"=credssp.dll (Légitime)
O54 - MCSP:[HKLM\...\ControlSet001\Control] - "SecurityProviders"=msapsspc.dll, digiwet.dll (malware)

Par exemple la ligne suivante :
O54 - MCSP:[HKLM\...\CurrentControlSet\Control] - "SecurityProviders"=credssp.dll, credui.dll, cryptxml.dll, Incorrect.dll, dmband.dll

devient : v1.26.31
O54 - MCSP:[HKLM\...\CurrentControlSet\Control] - (SecurityProviders) - (.Microsoft Corporation - Credential Delegation Security Package.) -- C:\Windows\system32\credssp.dll
O54 - MCSP:[HKLM\...\CurrentControlSet\Control] - (SecurityProviders) - (.Microsoft Corporation - Interface utilisateur du gestionnaire d’informations d’identifi.) -- C:\Windows\system32\credui.dll
O54 - MCSP:[HKLM\...\CurrentControlSet\Control] - (SecurityProviders) - (.Microsoft Corporation - API DigSig XML.) -- C:\Windows\system32\cryptxml.dll
O54 - MCSP:[HKLM\...\CurrentControlSet\Control] - (SecurityProviders) - (.not file.) -- Incorrect.dll
O54 - MCSP:[HKLM\...\CurrentControlSet\Control] - (SecurityProviders) - (.Microsoft Corporation - Microsoft DirectMusic Band.) -- C:\Windows\system32\dmband.dll

Equivalence RSIT

======Registry dump======
[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\securityproviders]
"SecurityProviders"=msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll,

Equivalence MBAM

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SecurityProviders (Broken.SecurityProviders)
Bad: (msapsspc.dll schannel.dll digest.dll msnsspc.dll) Good: (msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll)

Action ZHPFix

O54 - MCSP:[HKLM\...\ {KeyCurrent} Control] - (SecurityProviders) - (...) -- {FileName}

{Key} : Clé de base de Registre [HKEY_LOCAL_MACHINE\SYSTEM\ {KeyCurrent} \Control\SecurityProviders]
{KeyCurrent} : Clé "CurrentControlSet", "ControlSet001".
{FileName} : Donnée de la valeur "SecurityProvider' de la clé {Key}

1) L'outil efface la donnée de la valeur "SecurityProviders"
2) L'outil efface le fichier {FileName}

Exemple d'infection

---\\ Microsoft Control Security Providers (MCSP) (O54)
O54 - MCSP:[HKLM\...\CurrentControlSet\Control] - "SecurityProviders"=msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll, digiwet.dll
O54 - MCSP:[HKLM\...\ControlSet001\Control] - "SecurityProviders"=msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll, digiwet.dll

Liens

Malekal Morte : Trojan.Agent.AWDE / TrojanDownloader:Win32/Bredolab


ZHPdiag_055

ZHPDiag - Module O55 (MWPS)

Origine

- Le module O55 (MWPS) a été crée le 24 avril 2009.

Caractéristiques

- Lié au module MWPS (Microsoft Windows Policies System). Il permet de lister de nombreux paramètres énumérés sous les clés :
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System] v1.20
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System] v1.23

Aperçu ZHPDiag

---\\ Microsoft Windows Policies System (MWPS) (O55)
O55 - MWPS:[HKLM\...\Policies\System] - "dontdisplaylastusername"=0
O55 - MWPS:[HKLM\...\Policies\System] - "legalnoticecaption"=
O55 - MWPS:[HKCU\...\Policies\System] - "legalnoticecaption"=

Equivalence RSIT

======Registry dump======
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"dontdisplaylastusername"=0
"legalnoticecaption"=0

Equivalence MBAM

Clé(s) du Registre infectée(s):
HKLM\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools (Hijack.Regedit) -> Bad: (1) Good: (0)

Exemple d'infection

O55 - MWPS:[HKCU\...\Policies\System] - "yzkkzcypsguaigzholxnTaskMgr"=0
O55 - MWPS:[HKCU\...\Policies\System] - "nwyrohwxwuuawkzxosewTaskMgr"=0
O55 - MWPS:[HKCU\...\Policies\System] - "pddezqtuwegkaaebpamkTaskMgr"=0

Action ZHPFix

O55 - MWPS:[ {Ruche} \...\Policies\System] - " {ValueKey} "=0

{Ruche} : HKLM ou HKCU.
{Key} : Clé de Base de Registres [ {Ruche} \Software\Microsoft\Windows\CurrentVersion\Policies\System]
{ValueKey} : Valeur de clé de {Key}

- L'outil supprime la valeur {ValueKey}

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_056

ZHPDiag - Module O56 (MWPE)

Origine

- Le module O56 (MWPE) a été crée le 15 mai 2009.

Caractéristiques

Lié au module MWPE (Microsoft Windows Policies Explorer). Il permet de lister de nombreux paramètres énumérés sous les clés :
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\explorer] v1.20
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\explorer] v1.20

Aperçus ZHPDiag

---\\ Microsoft Windows Policies Explorer (MWPE) (O56)
O56 - MWPE:[HKLM\...\Policies\Explorer] - "NoDriveTypeAutoRun"=145
O56 - MWPE:[HKCU\...\Policies\Explorer] - "HonorAutoRunSetting"=

Equivalence RSIT

======Registry dump======
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\explorer]
"HonorAutoRunSetting"=1
"NoDriveAutoRun"=67108863

Equivalence MBAM

Registry Data Items Infected:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSetActiveDesktop (Hijack.DisplayProperties) -> Bad: (1) Good: (0)

Exemple d'infection

O56 - MWPE:[HKCU\...\Policies\Explorer] - "NoSMHelp"=1 => Infection Diverse (Hijack.Help)

Action ZHPFix

O56 - MWPE:[ {Ruche} \...\Policies\Explorer] - " {ValueKey } "=1

{Key} : Clé de Base de Registres [ {Ruche} \Software\Microsoft\Windows\CurrentVersion\Policies\explorer]
{Ruche} : HKLM ou HKCU.
{ValueKey} : Valeur de la clé {Key}

1) L'outil supprime la valeur {ValueKey}

Rapport ZHPFix (Exemple)

O56 - MWPE:[HKCU\...\policies\Explorer] - "NoSMHelp"=1

Rapport de ZHPFix v1.12.3148 par Nicolas Coolman, Update du 09/09/2010

========== Valeur(s) du Registre ==========
O56 - MWPE:[HKCU\...\policies\Explorer] - "NoSMHelp"=1 => Valeur supprimée avec succès

========== Récapitulatif ==========
1 : Valeur(s) du Registre

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_056

ZHPDiag - Module O57 (SDR)

Origine

- Le module O57 (SDR) a été crée le 15 mai 2009.

Caractéristiques

Lié au module Search Drivers Rootkit (SDR).Il s'appuie d'une part sur un fichier de rootkits identifiés et d'autre part sur plusieurs masques basés sur des rootkits connus comme par exemple Seneka{}, UAC{}, Gaopdx{}, ou Tdss{}.

Aperçus ZHPDiag

---\\ Recherche de Drivers Rootkit (SDR) (O57) v1.21
O57 - SDR:Search Drivers Rootkit - C:\Windows\system32\drivers\TDSSserv.sys

---\\ Recherche de Drivers Rootkit (SDR) (O57) v1.25.03
O57 - SDR:Search Drivers Rootkit . (.Pas de propriétaire - Pas de description.) -- C:\Windows\system32\drivers\TDSSserv.sys

Equivalence HijackThis

Running processes:
C:\WINDOWS\system32\drivers\senekauxckklyk.sys

Equivalence MBAM

Files Infected:
C:\WINDOWS\system32\drivers\senekauxckklyk.sys (Rootkit.Agent)

Action ZHPFix

- L'outil supprime le fichier.

Exemple d'infection

O57 - SDR:Search Drivers Rootkit . (.Pas de propriétaire - Pas de description.) - C:\Windows\system32\drivers\TDSSserv.sys

Liens

Supprimer TDSSServ/TDSServ rootkit

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_056

ZHPDiag - Module O58 (SDL)

Origine

Le module O58 (SDL) a été crée le 15 mai 2009.

Caractéristiques

Lié au module System Drivers List (SDL). Il scrute en totalité le dossier "system32" de windows pour éditer la liste des pilotes (drivers sys). v1.21

- Ajout de la date, de l'heure et du MD5. v1.24.42

- Ajout du propriétaire et de la désignation du fichier. v1.25.03

- Ajout de la taille du pilote en fin de ligne. v1.26.138

Aperçu ZHPDiag

---\\ Liste des Drivers Système (SDL) (O58) v1.21
O58 - SDL:System Drivers List - C:\Windows\system32\drivers\1394bus.sys

---\\ Liste des Drivers Système (SDL) (O58) v1.24.42
O58 - SDL:[MD5.FBCE2F43185104AE8BF4D32571B19203] - 14/07/2009 - 00:51:21 ---A- C:\Windows\system32\drivers\1394bus.sys

---\\ Liste des Drivers Système (SDL) (O58) v1.25.03
O58 - SDL:[MD5.F0E07D144C8685B8774BC32FC8DA4DF0] - 14/07/2009 - 02:26:15 ---A- . (.Microsoft Corporation - Pilote ACPI pour NT.) -- C:\Windows\system32\drivers\acpi.sys

---\\ Liste des Drivers Système (SDL) (O58) v1.26.138
O58 - SDL:[MD5.21E785EBD7DC90A06391141AAC7892FB] - 14/07/2009 - 02:26:15 ---A- . (.Adaptec, Inc. - Adaptec Windows SAS/SATA Storport Driver.) -- C:\Windows\system32\drivers\adp94xx.sys [422976]

Equivalence RSIT

======List of drivers (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)======
R1 discache;@%systemroot%\system32\drivers\discache.sys,-102; C:\Windows\System32\drivers\discache.sys [2009-07-14 32256]

Equivalence MBAM

Files Infected:
C:\WINDOWS\system32\kernelw.sys (Trojan.Tibs)

Equivalence OTL

========== Driver Services (SafeList) ==========
DRV - [2008/04/13 20:16:20 | 000,053,376 | ---- | M] (Microsoft Corporation) [Kernel | Disabled | Stopped] -- C:\WINDOWS\system32\drivers\1394bus.sys -- (Avascprkadra)

Exemple d'infection

Rapport ZHPDiag :
O58 - SDL:[MD5.29F4CB32C93D8F13FC8808A10B1DA2F2] - 15/04/2008 - 13:00:00 ---A- . (.Sonic Solutions - CDRAL Place Holder Driver (see PxHelp).) -- C:\WINDOWS\system32\drivers\hckmgahf.sys
O64 - Services: CurCS - C:\Windows\system32\drivers\hckmgahf.sys - hckmgahf (hckmgahf) .(.Sonic Solutions - CDRAL Place Holder Driver (see PxHelp).) - LEGACY_HCKMGAHF

Rapport ZHP :
O58 - SDL:[MD5.29F4CB32C93D8F13FC8808A10B1DA2F2] - 15/04/2008 - 13:00:00 ---A- . (.Sonic Solutions - CDRAL Place Holder Driver (see PxHelp).) -- C:\WINDOWS\system32\drivers\hckmgahf.sys => Infection Rootkit (Rootkit.Agent)
O64 - Services: CurCS - C:\Windows\system32\drivers\hckmgahf.sys - hckmgahf (hckmgahf) .(.Sonic Solutions - CDRAL Place Holder Driver (see PxHelp).) - LEGACY_HCKMGAHF => Infection Rootkit (Rootkit.Agent)

Raport TDSSKiller :
22:09:27:921 4908 Suspicious file (Forged): C:\WINDOWS\system32\drivers\hckmgahf.sys. Real md5: 440ac6f47dd6138e25015437ce2506e0, Fake md5: a7a7becf8354a859b95f5b46b58afa37

Rapport ComboFix :
(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
C:\WINDOWS\system32\drivers\hckmgahf.sys

((((((((((((((((((((((((((((((((((((((( Pilotes/Services )))))))))))))))))))))))))))))))))))))))))))))))))
-------\Legacy_HCKMGAHF

Action ZHPFix

O58 - SDL:[MD5.{MD5Name}] - 14/07/2009 - 02:26:15 ---A- . (...) -- {FileName}

{FileName} : Nom du fichier.

1) L'outil supprime le fichier {FileName}.

Rapport ZHPFix (Exemple)

Ligne saisie :
O58 - SDL:[MD5.E6D35F3AA51A65EB35C1F2340154A25E] - 29/07/2010 - 16:47:25 ---A- . (...) -- C:\WINDOWS\system32\drivers\ccpiayx.sys

Rapport de ZHPFix v1.12.3129 par Nicolas Coolman, Update du 27/07/2010

========== Fichier(s) ==========
c:\windows\system32\drivers\ccpiayx.sys => Supprimé et mis en quarantaine

========== Récapitulatif ==========
1 : Fichier(s)

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_058

ZHPDiag - Module O59 (HSMI)

Origine

- Le module O59 (HSMI) a été crée le 15 mai 2009.

Caractéristiques

Lié au module Heuristic Search MagicControl Infection (HSMI). Il recherche les infections Magic.control (NaviPromo) et EGDAcces. Cette recherche s'effectue dans les dossiers "système" (%SYSTEM32%) et "utilisateurs" (%USERPROFILE%). Magic.control (Navipromo) est un adware succeptible de provoquer l'affichage de fenêtres publicitaires intempestives. v1.20

Ajout du propriétaire et de la désignation du fichier. v1.26.50

Une modification a été apportée pour compléter cette recherche, avec le traitement de la racine du fichier.

Voici un exemple de détection de ZHPDiag et de Navilog1

ZHPDiag :
---\\ Recherche heuristique Magic.control (O59)
O59 - HSMI:Heuristic Search MagicControl Infection - (...) -- C:\Users\Coolman\AppData\Local\yswpamak_nav.dat
O59 - HSMI:Heuristic Search MagicControl Infection - (...) -- C:\Users\Coolman\AppData\Local\yswpamak_navps.dat

Navilog1 (Rapport de suppression) :
C:\Users\Coolman\AppData\Local\yswpamak.dat supprimé !
C:\Users\Coolman\AppData\Local\yswpamak_nav.dat supprimé !
C:\Users\Coolman\AppData\Local\yswpamak_navps.dat supprimé !

On peut constater que le fichier 'yswpamak.dat' n'a pas été recensé par ZHPDiag

Voici ce que va donner la nouvelle version 1.28.1341 de ZHPDiag, la détection est complète

---\\ Recherche heuristique Magic.control (O59)
O59 - HSMI:Heuristic Search MagicControl Infection - (...) -- C:\Users\Coolman\AppData\Local\yswpamak_nav.dat
O59 - HSMI:Heuristic Search MagicControl Infection - (...) -- C:\Users\Coolman\AppData\Local\yswpamak_navps.dat
O59 - HSMI:Heuristic Search MagicControl Infection - (...) -- C:\Users\Coolman\AppData\Local\yswpamak.dat

Aperçus ZHPDiag

---\\ Recherche d'infection Magic.control (O59) v1.20
O59 - HSMI:Heuristic Search MagicControl Infection - C:\Windows\system32\a8clients_nav.dat

---\\ Recherche heuristique Magic.control (HSMI) (O59) v1.26.50
O59 - HSMI:Heuristic Search MagicControl Infection - (.Pas de propriétaire - Pas de description.) -- C:\Documents and Settings\ORENGO\Local Settings\Application Data\daancbqh_nav.dat
O59 - HSMI:Heuristic Search MagicControl Infection - (.Pas de propriétaire - Pas de description.) -- C:\Documents and Settings\ORENGO\Local Settings\Application Data\daancbqh_navps.dat
O59 - HSMI:Heuristic Search MagicControl Infection - (.Pas de propriétaire - Pas de description.) -- C:\Users\Coolman\AppData\Local\vksjq_navps.dat
O59 - HSMI:Heuristic Search MagicControl Infection - (.Pas de propriétaire - Pas de description.) -- C:\Users\Coolman\AppData\Local\daancbqh_navps.dat

Equivalence RSIT

C:\Users\Forenc\AppData\Local\kqoyqmi_nav.dat

Exemple d'infection

---\\ Recherche heuristique Magic.control (HSMI) (O59)
O59 - HSMI:Heuristic Search MagicControl Infection - (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\ytjqeg_nav.dat
O59 - HSMI:Heuristic Search MagicControl Infection - (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\ytjqeg_navps.dat
O59 - HSMI:Heuristic Search MagicControl Infection - (.Pas de propriétaire - Pas de description.) -- C:\windows\pack.epk
O59 - HSMI:Heuristic Search MagicControl Infection - (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\nvs2.inf

O59 - HSMI:Heuristic Search MagicControl Infection - (.Pas de propriÃ©taire - Pas de description.) -- C:\Documents and Settings\bocquet\Local Settings\Application Data\bkhpmaqh_nav.dat
O59 - HSMI:Heuristic Search MagicControl Infection - (.Pas de propriÃ©taire - Pas de description.) -- C:\Documents and Settings\bocquet\Local Settings\Application Data\jethc_navps.dat

Action ZHPFix

- L'outil supprime le fichier.

Rapport ZHPFix (Exemple)

Ligne saisie :
O59 - HSMI:Heuristic Search MagicControl Infection - (.Pas de propriétaire - Pas de description.) -- C:\Documents and Settings\Coolman\Local Settings\Application Data\vksjq_navps.dat

Rapport de ZHPFix v1.12.3136 par Nicolas Coolman, Update du 20/08/2010

========== Fichier(s) ==========
c:\documents and settings\coolman\local settings\application data\vksjq_navps.dat (Adware.Navipromo) => Supprimé et mis en quarantaine

========== Récapitulatif ==========
1 : Fichier(s)


ZHPdiag_060

ZHPDiag - Module O60 (DDNS)

Origine

- Le module O60 (DDNS) a été crée le 15 mai 2009.

Caractéristiques

- Lié au module Diversion Of DNS (DDNS). Il traque les détournements de DNS (Domain Name System). La recherche s'effectue sur les valeurs "NameServer","DhcpNameServer","DhcpServer" des clés de Base de Registres :
[HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters] v1.26.42
[HKLM\SYSTEM\ControlSetXXX\Services\Tcpip\Parameters] v1.26.42
[HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{CLSIDKey}]
[HKLM\SYSTEM\ControlSetXXX\Services\Tcpip\Parameters\Interface\{CLSIDKey}]

Aperçus ZHPDiag

---\\ Détournement de DNS (DDNS) (O60)
O60 - DNS:Diversion Of DNS - HKLM\System\CS1\Services\Tcpip\..\{Oa539854-6a70-11db-887c-806e6f6e6963}\NameServer=85.255.210.12,85.255.210.12

---\\ Détournement de DNS (DDNS) (O60) v1.26.42
O60 - DNS:Diversion Of DNS - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer= 85.255.210.12,85.255.210.12

Equivalence HJT

O17 - HKLM\System\CCS\Services\Tcpip\..\{14AFD67D-EAA0-4F1C-9E2F-BD4D70C98EF5}: NameServer = 85.255.113.206,85.255.112.76

Equivalence MBAM

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{1203d91a-4e30-4674-8bed-3ce31e143930}\DhcpNameServer (Trojan.DNSChanger) -> Data: 85.255.112.210 85.255.112.67

Action ZHPFix (Cas N°1)

O60 - DNS:Diversion Of DNS - HKLM\System\ {KeyCurrent} \Services\Tcpip\..\ {KeyCLSID} \ {ValueKey} = {NameServer}

{Key} : Clé de la Base de registres [HKLM\SYSTEM\ {KeyCurrent} \Services\Tcpip\Parameters\Interfaces]
{KeyCurrent} : Nom du Control comme par exemple "CCS" (CurrentControlSet) ou "CS1" (ControlSet01),...
{KeyCLSID} : Sous-clé CLSID de la clé {Key}
{NameServer} : Donnée de la valeur {ValueKey} de la clé {KeyCLSID}
{ValueKey} : Valeur de la clé {KeyCLSID}

1) L'outil modifie la donnée de la valeur {ValueKey}.
- Pour les valeurs "DhcpServer" et "DhcpNameServer", la donnée est remplacée par l'adresse IP locale "192.168.0.1".
- Pour les autres valeurs", la donnée est effacée.

Action ZHPFix (Cas N°2)

-O60 - DNS:Diversion Of DNS - HKLM\System\ {KeyCurrent} \Services\Tcpip\Parameters: {ValueKey}= {NameServer}

{Key} : Clé de la Base de registres [HKLM\SYSTEM\ {KeyCurrent} \Services\Tcpip\Parameters]
{KeyCurrent} : Nom du Control comme par exemple "CCS" (CurrentControlSet) ou "CS1" (ControlSet01),...
{NameServer} : Donnée de la valeur {ValueKey} de la clé {Key}
{ValueKey} : Valeur de la clé {Key}

1) L'outil modifie la donnée de la valeur {ValueKey}.
- Pour les valeurs "DhcpServer" et "DhcpNameServer", la donnée est remplacée par l'adresse IP locale "192.168.0.1".
- Pour les autres valeurs", la donnée est effacée.

Exemple d'infection

---\\ Détournement de DNS (DDNS) (O60)
O60 - DNS:Diversion Of DNS - HKLM\System\CCS\Services\Tcpip\..\{Oa539854-6a70-11db-887c-806e6f6e6963}\NameServer=85.255.210.12,85.255.210.12
O60 - DNS:Diversion Of DNS - HKLM\System\CS1\Services\Tcpip\..\{Oa539854-6a70-11db-887c-806e6f6e6963}\NameServer=85.255.210.12,85.255.210.12
O60 - DNS:Diversion Of DNS - HKLM\System\CS2\Services\Tcpip\..\{Oa539854-6a70-11db-887c-806e6f6e6963}\NameServer=85.255.210.12,85.255.210.12

Liens

Trojan.DNSChanger

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_P1

ZHPDiag - Module O61 (LFC)

Origine

- Le module O61 (LFC) a été crée le 12 juillet 2009.

Caractéristiques

- Lié au module LFC (Last File Created). Il permet de lister tous les fichiers créés ou modifiés dans les dossiers %Userprofile% ("Documents And Settings" ou "Users". La période de recherche est limitée par défaut à 10 jours, mais elle peut être paramétrée.

- Ajout de la taille du fichier en fin de ligne. v1.25.1343

- Modification du format d'affichage, réduction de la longeur de chaîne. v1.3.5-129

Aperçu ZHPDiag

---\\ Derniers fichiers modifiés ou créés (Utilisateur) (O61)
O61 - LFC:Last File Created 10/07/2009 - 15:58:43 --HA- C:\Users\Coolman\AppData\Local\IconCache.db
O61 - LFC:Last File Created 10/07/2009 - 19:04:34 ---A- C:\Users\Coolman\AppData\Local\Temp\alm.log

---\\ Derniers fichiers modifiés ou créés (Utilisateur) (O61) v1.25.1343
O61 - LFC:Last File Created 10/07/2009 - 15:58:43 ---A- C:\Users\Coolman\AppData\Local\Temp\alm.log [293376]

---\\ Derniers fichiers modifiés ou créés (Utilisateur) (O61)v1.3.5-129
O61 - LFC: 10/07/2009 - 15:58:43 ---A- C:\Users\Coolman\AppData\Local\Temp\alm.log [293376]

Equivalence OTL

========== Files/Folders - Created within 30 Days ==========
[2010/07/10 19:04:34 | 000,293,376 | ---A | C] -- C:\Users\Coolman\AppData\Local\Temp\alm.log
========== Files - Modified within 30 Days ==========
[2010/07/10 15:48:43 | 000,000,178 | --HA | M] () -- C:\Users\Coolman\AppData\Local\IconCache.db

Exemple d'infection

---\\ Derniers fichiers modifiés ou créés (Utilisateur) (O61)
O61 - LFC:Last File Created 25/07/2010 - 21:41:28 ---A- C:\Documents And Settings\sKe69\Application Data\netprotocol.exe [51200] => Infection Diverse (Trojan.Agent)

Action ZHPFix

- L'outil supprime le fichier.

Rapport ZHPFix Exemple

Ligne Saisie :
O61 - LFC:Last File Created 31/05/2010 - 10:18:36 ---A- C:\Users\Coolman\AppData\Local\vksjq_navps.dat [5120]

Rapport de ZHPFix v1.12.3136 par Nicolas Coolman, Update du 20/08/2010

========== Fichier(s) ==========
c:\users\coolman\appdata\local\vksjq_navps.dat (Adware.Navipromo) => Supprimé et mis en quarantaine

========== Récapitulatif ==========
1 : Fichier(s)


ZHPdiag_051

ZHPDiag - Module O62 (ADS)

Origine

- Le module O62 (ADS) a été crée le 20 juilletl 2009.

Caractéristiques

- Lié au module ADS (Alternate Data Stream). Ce module est basé sur l'utilisation de LADS développé par Franck Heyne. La recherche pour les drivers mode-kernel et les exécutables s'effectue dans certains dossiers système comme %System32%.

Aperçu ZHPDiag

---\\ Alternate Data Stream File (ADS) (O62)
O62 - ADS:Alternate Data Stream File - F:\Windows\System32\hsc1.txt:keylogger.exe
O62 - ADS:Alternate Data Stream File - H:\WINDOWS\System32\Thumbs.db:encryptable

Equivalence OTL

========== Alternate Data Streams ==========
@Alternate Data Stream - 166 bytes -> C:\Documents and Settings\All Users\Application Data\TEMP:DFC5A2B2
@Alternate Data Stream - 162 bytes -> C:\Documents and Settings\All Users\Application Data\TEMP:556BBACC

Action ZHPFix

- L'outil supprime le fichier.

Exemple d'infection

========== Alternate Data Streams ==========
O62 - ADS:Alternate Data Stream File - C:\Windows\System32\Update\update.exe:Zone.Identifier => Infection Diverse (Trojan.Dropper.Gen)
O62 - ADS:Alternate Data Stream File - :\windows\system32\vexg3am1et3.exe:Zone.Identifier => Infection Diverse (Zhelatin-BK.Worm)

Liens

* LADS, outil de Franck Heyne.
* Article ADS chez HSC
* Hidden Threat: Alternate Data Streams
* Explications sur le fonctionnement de l'ADS
* Comment faire une ADS
* Téléchargement fichiers, Sécurité et ADS


ZHPdiag_064

ZHPDiag - Module O64 (LALS)

Origine

- Le module O64 (LALS) a été crée le 03 août 2009.

Caractéristiques

- Lié au module LALS (List All Legacy Service). Il permet de lister tous les services legacy de la branche "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root."
Les clés Legacy énumèrent une partie des services que l'on peut activer ou désactiver dans le Gestionnaire de services. Il est donc très intéressant d'avoir la liste exhaustive de toutes ces clés. D'une part parce qu'il arrive que certains services soient toujours présents dans la Base De Registres après la désinstallation du logiciel dont ils sont issus. D'autre part parce que certaines infections, comme celles de type FakeAlert, utilisent ces clés légacy pour activer leur propre service malware.
- La recherche s'effectue sur les sous-clés Legacy de la clé de Base de Registres [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root]
Ajout du propriétaire et de la désignation du fichier.
Ajout de la date de dernière modification du processus. v1.27.1911

Aperçu ZHPDiag

---\\ Liste tous les services legacy (LALS) (O64) v1.24.12
O64 - Services: CurCS - Avira AntiVir MailGuard (AntiVirMailService) LEGACY_ANTIVIRMAILSERVICE
O64 - Services: CS010 - Avira AntiVir MailGuard (AntiVirMailService) LEGACY_ANTIVIRMAILSERVICE

---\\ Liste des services Legacy (LALS) (O64) v1.25.04
O64 - Services: CurCS - C:\Windows\system32\drivers\afd.sys (AFD) .(.Microsoft Corporation - Ancillary Function Driver for WinSock.) - LEGACY_AFD
O64 - Services: CurCS - C:\Windows\system32\Drivers\AVGNTFLT.sys - avgntflt (avgntflt) .(.Avira GmbH - Avira Minifilter Driver.) - LEGACY_AVGNTFLT

---\\ Liste des services Legacy (O64) v1.27.1911
O64 - Services: CurCS - 13/02/2009 - C:\Program Files\Avira\AntiVir Desktop\avgio.sys - avgio(avgio) .(.Avira GmbH - Avira AntiVir Support for Minifilter.) - LEGACY_AVGIO
O64 - Services: CurCS - C:\Windows\system32\Drivers\BEEP.sys - (.not file.) - Beep (Beep) .(...) - LEGACY_BEEP

Equivalence ComboFix

((((((((((((((((((((((((((((((((((((((( Drivers/Services )))))))))))))))))))))))))))))))))))))))))))))))))
-------\Legacy_uacFlt
-------\Service_uacFlt

Exemple d'infection

O64 - Services: CurCS - C:\DOCUME~1\Claude\LOCALS~1\Temp\fFollower.exe - Follower (Follower) .(.Pas de propriétaire - Pas de description.) - LEGACY_FOLLOWER => Infection FakeAlert (Trojan.FakeAlert)

Action ZHPFix

O64 - Services: CurCS - {FileName} - {ValueDevice} ( {ValueService} ) .(.Avira GmbH - Avira Minifilter Driver.) - {KeyLegacy}

{Key} : Clé de la Base de registres [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root]
{KeyLegacy} : Sous-clé de la clé {Key}
{ValueDevice} : Donnée de la valeur de clé "DeviceDesc" de la clé {KeyLegacy}
{ValueService} : Donnée de la valeur de clé "Service" de la clé {KeyLegacy}
{FileName} : Donnée de la valeur "NameServer" de la clé {KeyCLSID}

1) L'outil supprime la clé {KeyLegacy}.
2) L'outil supprime le fichier {FileName}.

Rapport ZHPFix

Ligne saisie :
O64 - Services: CurCS - (.not file.) - uwtiapow (uwtiapow) .(.Pas de propriétaire - Pas de description.) - LEGACY_UWTIAPOW

Rapport de ZHPFix v1.12.3129 par Nicolas Coolman, Update du 27/07/2010

========== Clé(s) du Registre ==========
O64 - Services: CurCS - (.not file.) - uwtiapow (uwtiapow) .(.Pas de propriétaire - Pas de description.) - LEGACY_UWTIAPOW => Clé supprimée avec succès

========== Récapitulatif ==========
1 : Clé(s) du Registre

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_065

ZHPDiag - Module O65 (LUF)

Origine

- Le module O65 (LUF) a été crée le 28 Novembre 2009.

Caractéristiques

Lié au module LUF (List Unsigned Files). Il permet de lister tous les fichiers non signés et sans éditeur dans le dossier ':\Windows\system32' et ':\Windows\system32\Driver'.

Aperçu ZHPDiag

---\\ Liste des fichiers non signés (LUF) (O65) v1.24.34
O65 - LUF:26/08/2007 CodeGear Borland Package Library v11.0.2804.9245 - c:\windows\system32\adortl100.bpl
O65 - LUF:22/01/2001 Microsoft Corporation MSSearch v10.145.3722.0 - c:\windows\system32\ATHPRXY.DLL

Action ZHPFix

O65 - LUF:{Date} {Owner} - {FileName}

{FileName} : Nom du fichier.

1) L'outil supprime le fichier {FileName}.

Exemple d'infection

---\\ Liste des fichiers non signés (LUF) (O65)
O65 - LUF:22/03/2010 (.Pas de propriétaire - .) (0.1.25.8) - C:\Program Files\Adware Away\Adaway.dll => Infection Rogue (Rogue.AdwareAway)

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_066

ZHPDiag - Module O66 (OEA)

Origine

- Le module O66 (OEA) a été crée le 13 mars 2010.

Caractéristiques

Lié au module OEA (Observateur d'évèvement d'application). Il permet d'énumérer les erreurs d'applications recencées par l'observateur d'évènements Windows. Une erreur d'application qui porte sur la même application et le même ID n'est citée qu'une seule et unique fois.

Ajout du propriétaire et de la désignation du fichier. v1.25.13

Ce fonctionne fonctionne seulement à partir de Windows Vista.

Aperçu ZHPDiag

---\\ Observateur d'évènement d'application (OEA) (O66)
O66 - EventLog: ID=63 (SideBySide) - (.DelphiZip - Freeware Zip/Unzip.) -- c:\program files\spybot - search & destroy\DelZip179.dll
O66 - EventLog: ID=1000 (Application Error) - (.RealNetworks, Inc. - RealPlayer.) -- c:\program files\real\realplayer\realplay.exe
O66 - EventLog: ID=1002 (Application Hang) - (.Opera Software - Opera Internet Browser.) -- C:\Program Files\Opera\opera.exe

Aperçu RSIT

=====Application event log=====
Computer Name: DOMICIL
Event Code: 1
Message:
Record Number: 10839
Source Name: nview_info
Time Written: 20091230121512.000000+060
Event Type: erreur
User:

Aperçu OTL

========== Last 10 Event Log Errors ==========
Error - 09/11/2009 14:57:08 | Computer Name = PC-de-px | Source = avast! | ID = 33554522
Description = AAVM - scanning error: x_AavmCheckFileDirectEx: avfilesScanReal of C:\Users\px\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\5BF27I2S\whatsnewservice[1].asmx

Action ZHPFix

O66 - EventLog: ID= {IDNumber} ( {EventName} ) - (...) -- {FileName}

{FileName} : Nom du fichier obtenu par la lecture du journal des evènements Windows.

1) L'outil supprime le fichier {FileName}.

Rapport ZHPFix (Exemple)

Ligne saisie :
O66 - EventLog: ID=1000 (Application Error) - (.Soft2PC - Soft2PC.) -- C:\Program Files\Soft2PC\soft2pc.exe => Infection FakeAlert (EoRezo.Spy)

Rapport de ZHPFix v1.12.3132 par Nicolas Coolman, Update du 02/08/2010

========== Fichier(s) ==========
C:\Program Files\Soft2PC\soft2pc.exe => Supprimé et mis en quarantaine

========== Récapitulatif ==========
1 : Fichier(s)

Exemple d'infection

--\\ Observateur d'évènement d'application (OEA) (O66)
O66 - EventLog: ID=1000 (Application Error) - (.Pas de Propriétaire - Pas de description.) -- C:\Program Files\Absolutist_Games\tbabso.dll
O66 - EventLog: ID=1002 (Application Hang) - (.Pas de Propriétaire - Pas de description.) -- C:\Program Files\A-fast\A-fast.exe
O66 - EventLog: ID=1000 (Application Error) - (.Soft2PC - Soft2PC.) -- C:\Program Files\Soft2PC\soft2pc.exe => Infection FakeAlert (EoRezo.Spy)

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_067

ZHPDiag - Module O67 (FASS)

Origine

- Le module O67 (FASS) a été crée le 22 mars 2010.

Caractéristiques

- Lié au module FASS File Association Shell Spawing).Il permet d'énumerer les extensions de fichiers succeptibles d'être détournés par des malwares. Ce module s'interesse particulièrement aux extensions de fichier capables de démarrer un processus comme par exemple les extensions ".com" ou ".exe". Certains malwares détournent les extensions de fichier vers leur propre processus malware. C'est le cas notamment de certains rogues qui remplacent la valeur par défaut 'exefile' de la clé de BDR au profit de leur propre valeur "{Random}file". Ensuite une clé du même nom est crée afin de pointer vers l'exécution d'un processus malware par le biais d'un "ShellOpenCommand". Ainsi l'utilisateur est systèmatiquement rédirigé à chaque lancement d'une application.

- La recherche est effectuée sur certaines clés d'extension des clés suivantes :
[HKLM\SOFTWARE\Classes]
[HKEY_USERS\.DEFAULT\Software\Classes]
[HKEY_USERS\S-1-5-XX\Software\Classes]

- Ajout du propriétaire et de la désignation du fichier. v1.25.13

Aperçu ZHPDiag

---\\ File Association Shell Spawning (FASS) (O67)
O67 - Shell Spawning: <.exe> <exefile>[HKLM\..\open\Command] "%1" %* (.not file.)

---\\ File Association Shell Spawning (FASS) (O67) v1.25.13
O67 - Shell Spawning: <.html> <htmlfile>[HKLM\..\open\Command] (.Microsoft Corporation - Internet Explorer.) -- C:\Program Files\Internet Explorer\IEXPLORE.exe

Equivalence OTL

O37 - HKLM\...com [@ = comfile] -- "%1" %*
O37 - HKLM\...exe [@ = exefile] -- "%1" %*

Equivalence RSIT

.js - edit - C:\Windows\System32\Notepad.exe %1
.js - open - C:\Windows\System32\WScript.exe "%1" %*

Action ZHPFix

O67 - Shell Spawning: < {KeyExt} > < [KeyExtFile} >[HKLM\..\open\Command] (...) -- {FileName}

{Key} : Clé "Classes" de la Base de Registre comme par exemple [HKLM\SOFTWARE\Classes]
{KeyExt} : Clé d'extension de la clé {Key} comme par exemple [HKLM\SOFTWARE\Classes\.exe]
{KeyExtFile} : Clé d'extension dile de la clé {Key} comme par exemple [HKLM\SOFTWARE\Classes\exefile]
{FileName} : Donnée de la valeur par défaut de la clé 'Command', par exemple [HKLM\SOFTWARE\Classes\exefile\Shell\Open\Command]

1) L'outil restaure la donnée par défaut de la clé {KeyExtFile}.
2) L'outil supprime le fichier {FileName}.

Exemple d'infection

O67 - Shell Spawning: <.exe> <secfile>[HKCU\..\open\Command] (.Pas de propriétaire - Pas de description.) -- C:\DOCUME~1\LAUREN~1\LOCALS~1\Temp\av.exe => Infection Rogue (Trojan.Sinkin)
O67 - Shell Spawning: <.exe> <secfile>[HKU\..\open\Command] (.Pas de propriétaire - Pas de description.) -- C:\Windows\TEMP\AUTMGR32.exe => Infection Diverse (Trojan.Dropper)

Rapport ZHPFix

O67 - Shell Spawning: <.exe> <exefile>[HKLM\..\open\Command] "%1" %* (.not file.)

Rapport de ZHPFix 1.12.3211 par Nicolas Coolman, Update du 14/10/2010

========== Elément(s) de donnée du Registre ==========
O67 - Shell Spawning: <.exe> <exefile>[HKLM\..\open\Command] "%1" %* (.not file.) => Donnée supprimée avec succès

========== Récapitulatif ==========
1 : Elément(s) de donnée du Registre

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_068

ZHPDiag - Module O68 (SMI)

Origine

- Le module O68 (SMI) a été crée le 21 mars 2010.

Caractéristiques

Lié au module SMI (Start Menu Internet). Il permet d'énumérer les navigateurs installés. Certains malwares détournent le lancement d'un navigateur internet afin de lancer leur propre processus malware. C'est le cas notamment de certains rogues qui remplacent la valeur par défaut de la clé de Base de Registres au profit de leur propre valeur afin de pouvoir lancer une commande de type "ShellOpenCommand". Ainsi l'utilisateur est systèmatiquement rédirigé à chaque lancement de son navigateur. C'est généralement Microsoft Internet Explorer qui en est la cible.

La recherche s'effectue sur la clé de Base de registres [HKLM\SOFTWARE\Clients\StartMenuInternet].
Ajout de 3 nouvelles recherches sur les valeurs ShowIconsCommand, ReinstallCommand, HideIconsCommand (v1.28.231)

Une récente infection montre que la Base de registre peut-être modifiée avec une redirection vers une adresse malware. (v1.3.5.100)

Aperçu ZHPDiag

---\\ Start Menu Internet (SMI) (O68)
O68 - StartMenuInternet: <IEXPLORE.EXE> <Internet Explorer>[[HKLM\..\Shell\open\Command] (.Microsoft Corporation - Internet Explorer.) -- C:\Program Files\Internet Explorer\iexplore.exe
O68 - StartMenuInternet: <FIREFOX.EXE> <Mozilla Firefox>[[HKLM\..\Shell\open\Command] (.Mozilla Corporation - Firefox.) -- C:\Program Files\Mozilla Firefox\firefox.exe
O68 - StartMenuInternet: <Google Chrome> <Google Chrome>[[HKLM\..\Shell\open\Command] (.Google Inc. - Google Chrome.) -- C:\Program Files\Google\Chrome\Application\chrome.exe
O68 - StartMenuInternet: <chrome.exe> <Google Chrome>[[HKLM\..\Shell\open\Command] (.Google Inc. - Google Chrome.) -- C:\Program Files\Google\Chrome\Application\chrome.exe
O68 - StartMenuInternet: <Opera.exe> <Opera>[[HKLM\..\Shell\open\Command] (.Opera Software - Opera Internet Browser.) -- C:\Program Files\Opera\Opera.exe

---\\ Start Menu Internet (SMI) (O68) (v1.28.231)
O68 - StartMenuInternet: <aol.exe> <>[HKLM\..\InstallInfo\ShowIconsCommand] (...) -- C:\PROGRA~1\AOL9~1.0\accdef.exe
O68 - StartMenuInternet: <aol.exe> <>[HKLM\..\InstallInfo\ReinstallCommand] (...) -- C:\PROGRA~1\AOL9~1.0\accdef.exe
O68 - StartMenuInternet: <aol.exe> <>[HKLM\..\InstallInfo\HideIconsCommand] (...) -- C:\PROGRA~1\AOL9~1.0\accdef.exe

---\\ Start Menu Internet (SMI) (O68) (v1.3.5.100)
O68 - StartMenuInternet: <FIREFOX.EXE> <Mozilla Firefox>[HKLM\..\Shell\open\Command] (.Mozilla Corporation - Firefox.) -- C:\Program Files (x86)\Mozilla Firefox\firefox.exe http://www.22find.com
O68 - StartMenuInternet: <IEXPLORE.EXE> <Internet Explorer>[HKLM\..\Shell\open\Command] (.Microsoft Corporation - Internet Explorer.) -- C:\Program Files (x86)\Internet Explorer\iexplore.exe http://www.22find.com

Equivalence MBAM

HKLM\SOFTWARE\Clients\StartMenuInternet\IEXPLORE.EXE\shell\open\command\(default) (Hijack.StartMenuInternet)
-> Bad: ("C:\Documents and Settings\asus\Local Settings\Application Data\ave.exe" /START "C:\Program Files\Internet Explorer\iexplore.exe")
-> Good: (iexplore.exe)

Action ZHPFix N°1

O68 - StartMenuInternet: < {KeyBrowser} > < {NameBrowser} >[[HKLM\..\Shell\open\Command] (...) -- {FileName}

{Key} : Clé de la Base de Registre [HKLM\SOFTWARE\Clients\StartMenuInternet].
{KeyBrowser} : Sous-clé navigateur de la clé {Key} comme par exemple [HKLM\SOFTWARE\Clients\StartMenuInternet\IEXPLORE.EXE].
{NameBrowser} : Valeur par défaut de la clé {KeyBrowser}.
{FileName} : Valeur par défaut de la clé 'Command', comme par exemple [HKLM\SOFTWARE\Clients\StartMenuInternet\IEXPLORE.EXE\Shell\open\Command]

1) L'outil restaure la valeur par défaut de la clé {KeyBrowser}, à savoir {NameBrowser}
2) L'outil supprime le fichier {FileName}.

Action ZHPFix N°2

O68 - StartMenuInternet: < {KeyBrowser} > < {NameBrowser} >[[HKLM\..\InstallInfo\{CommandName}] (...) -- {FileName}

{Key} : Clé de la Base de Registre [HKLM\SOFTWARE\Clients\StartMenuInternet].
{CommandName} : Valeur de la clé {KeyBrowser} comme par exemple ShowIconsCommand, ReinstallCommand ou HideIconsCommand.
{KeyBrowser} : Sous-clé navigateur de la clé {Key} comme par exemple [HKLM\SOFTWARE\Clients\StartMenuInternet\IEXPLORE.EXE].
{NameBrowser} : Valeur par défaut de la clé {KeyBrowser}.
{FileName} : Valeur de la clé {CommandName}, comme par exemple [HKLM\SOFTWARE\Clients\StartMenuInternet\IEXPLORE.EXE\ShowIconsCommand]

1) L'outil supprime la donnée de la valeur {CommandName}
2) L'outil supprime le fichier {FileName}.

Exemple d'infection N°1

O68 - StartMenuInternet: <IEXPLORE.EXE> <Internet Explorer>[HKLM\..\Shell\open\Command] (.Pas de propriétaire - Pas de description.) -- C:\Documents and Settings\MAIRIE\Local Settings\Application Data\av.exe (.not file.) => Infection Rogue (Trojan.Sinkin)

1) L'outil supprime la donnée de la valeur {CommandName}
2) L'outil supprime le fichier {FileName}.

Exemple d'infection N°2

OPT:O68 - StartMenuInternet: <FIREFOX.EXE> <Mozilla Firefox>[HKLM\..\Shell\open\Command] (.Mozilla Corporation - Firefox.) -- C:\Program Files (x86)\Mozilla Firefox\firefox.exe http://www.22find.com
OPT:O68 - StartMenuInternet: <IEXPLORE.EXE> <Internet Explorer>[HKLM\..\Shell\open\Command] (.Microsoft Corporation - Internet Explorer.) -- C:\Program Files (x86)\Internet Explorer\iexplore.exe http://www.22find.com

1) L'outil supprime la donnée de la valeur {CommandName}

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_069

ZHPDiag - Module O69 (SBI)

Origine

- Le module O69 (SBI) a été crée le 20 septembre 2009.

Caractéristiques

- Lié au module SBI (Search Browser Infection). L'adware Yoog se propage via l'exécution de fichiers téléchargés sur les réseaux de partage PeerToPeer généralement après l'installation de l'adware AdRotator. Il remplace le moteur de recherche des navigateurs Mozilla Firefox et Microsoft Internet Explorer par son propre moteur Yoog Search.

- Au début de la création du module, la recherche se limitait au navigateur Mozilla/Firefox. elle avait pour but de vérifier la présence du moteur de recherche de Yoog dans le dossier 'plugIn' de l'utilisateur ainsi que dans son fichier de préférences 'prefs.js'.

- Par suite, le module change de nom pour effectuer une recherche plus large en l'étendant à d'autres moteurs de recherche malwares. v1.26.16

- Une recherche complémentaire est faite dans la clé "Internet Explorer\SearchScopes". SearchScopes permet de spécifier les fournisseurs de recherche Internet. La donnée de la valeur "DefautScope" comporte le CLSID qui va pointer sur le fournisseur de recherche par défaut. v1.26.18

- La recherhe s'effectue dans les clés de Base de Registres :
[HKEY_CURRENT_USER\\SOFTWARE\Microsoft\Internet Explorer\SearchScopes]
[HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Internet Explorer\SearchScopes] v1.26.40
[HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Internet Explorer\SearchScopes] v1.26.40
[HKEY_USERS\S-1-5-19\SOFTWARE\Microsoft\Internet Explorer\SearchScopes] v1.26.40
[HKEY_USERS\S-1-5-20\SOFTWARE\Microsoft\Internet Explorer\SearchScopes] v1.26.40
[HKEY_CLASSES_ROOT\SOFTWARE\Microsoft\Internet Explorer\SearchScopes] v1.26.40

- Le fournisseur de recherche par défaut sera identifié dans la liste par la présence de la chaîne [DefaultScope] comme par exemple pour Google :
O69 - SBI: SearchScopes {6A1806CD-94D4-4689-BA73-E35EA1EA9990} [DefaultScope] - (Google) - http://www.google.com

- Il est aisé pour un pirate d'utiliser un programme ADM afin de créer un CLSID avec une valeur d'URL pointant vers son propre moteur de recherche et ensuite de modifier la donnée par défaut de la valeur "DefautScope". Ce type de redirection est notamment utiliser par les moteurs connus comme cherche.us, Yoog ou Ask.com.

- Nouveau format pour la prise en compte de la ruche. v1.26.40

Aperçu ZHPDiag

---\\ Recherche Infection Yoog (SYI) (O69)
O69 - SYI: C:\Documents and Settings\{userName}\Application Data\Mozilla\Firefox\Profiles\{random}.default\searchplugins\Yoog Search.xml
O69 - SYI: C:\Users\{userName}\AppData\Roaming\Mozilla\Firefox\Profiles\{random}.default\searchplugins\Yoog Search.xml
O69 - SYI: prefs.js [{userName} - {random}.default] user_pref("browser.search.selectedEngine", "Yoog Search");

--\\ Recherche Infection Navigateur (SBI) (O69) v1.25.1347
O69 - SBI: C:\Documents and Settings\{userName}\Application Data\Mozilla\Firefox\Profiles\{random}.default\searchplugins\askcom.xml
O69 - SBI: prefs.js [{userName} - {random}.default] user_pref("browser.search.selectedEngine", "Ask Search");

---\\ Search Browser Infection (SBI) (O69) v1.26.18
O69 - SBI: SearchScopes {CF739809-1C6C-47C0-85B9-569DBB141420} - (Ask Search) - http://toolbar.ask.com
O69 - SBI: SearchScopes {67A2568C-7A0A-4EED-AECC-B5405DE63B64} [DefaultScope] - (Google) - http://www.google.com
O69 - SBI: SearchScopes {0633EE93-D776-472f-A0FF-E1416B8B2E3A} [DefaultScope] - (@ieframe.dll,-12512) - http://search.live.com

---\\ Search Browser Infection (SBI) (O69) v1.26.40
O69 - SBI: SearchScopes [HKCU] {933D5094-3A71-45F7-AB4A-4CE80E99654C} - (Bing) - http://www.bing.com
O69 - SBI: SearchScopes [HKCR] {933D5094-3A71-45F7-AB4A-4CE80E99654C} - (Bing) - http://www.bing.com

Equivalence AD-Remover

============== ACTION(S) ==============
3,Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}

-- Fichier ouvert: C:\Users\Manon\AppData\Roaming\Mozilla\FireFox\Profiles\7o2o8bju.default\Prefs.js --
Ligne supprimée: user_pref("CT2567681.SearchEngine", "Recherche||hxxp://search.conduit.com/Results.aspx?q=UCM_SEARCH_...
Ligne supprimée: user_pref("CT2567681.SearchFromAddressBarUrl", "hxxp://search.conduit.com/ResultsExt.aspx?ctid=CT256...
-- Fichier Fermé --

Equivalence MBAM

Elément(s) de données du Registre infecté(s):
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\URL (Hijack.SearchPage) -> Bad: (http://findgala.com/?&uid=1002&q={searchTerms}) Good: (http://www.Google.com/)

Equivalence OTL

========== FireFox ==========
FF - prefs.js..browser.startup.homepage: "http://www.google.fr/"
FF - prefs.js..keyword.URL: "http://toolbar.ask.com/toolbarv/askRedirect?o=10611&gct=&gc=1&q="

Exemples de détournement

La donnée de la valeur "DefautScope" comporte le CLSID qui va pointer sur le fournisseur de recherche par défaut 'findgala.com' qui est un site réputé dangereux.
O69 - SBI: SearchScopes {0633EE93-D776-472f-A0FF-E1416B8B2E3A} [DefaultScope] - (Bing) - http://findgala.com => ZHPHosts Black List

Trojan: Troj/Zbot-JS
HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{19F2B849-4ADE-4d4b-85F9-C31C643DBDE9}\
"URL"="http://fastbrowsersearch.com/results/results.aspx?q={searchTerms}&c=web&s=DSP&v=9"

BrowserModifier:Win32/MindQuizSearch
Added value: "DisplayName"
With data: “Bing”
Added value: "FaviconURLFallback"
With data: http://www.bing.com/favicon.ico
Added value: "SuggestionsURLFallback"
With data: "http://api.bing.com/qsml.aspx?query={searchTerms}&market={Language}&form=IE8SSC&maxwidth={ie:maxWidth}&rowheight={ie:rowHeight}&sectionHeight={ie:sectionHeight}"
"URL"="http://tmq.bingstart.com/s/?q={searchTerms}&iesrc=IE-SearchBox&site=Bing&cfg=2-168-0-1nUEv"
To subkey: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{E5F5D888-2587-E012-A817-7038F5690F26}

Action ZHPFix (Cas N°1)

O69 - SBI: SearchScopes [{RucheName}] {CLSIDKey} [DefaultScope] - () - {DataKey}

{RucheName} : Nom de la ruche (HKCU,HKCR,HKUS).
{Key} : Clé de Base de Registres [HKEY_USERS\...\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{CLSIDKey}]
{CLSIDKey} : Sous clé de {Key}
{DataKey} : Donnée de la valeur "URL" de la clé {CLSIDKey}.

1) Remplace la donnée {DataKey} par "http://www.Google.com/"
2) Supprime la clé {CLSIDKey} si malware.

Action ZHPFix (Cas N°2)

O69 - SBI: prefs.js [{userName} - {random}.default] user_pref( {Line} );

{Line} : Ligne du fichier de préférence.

1) La ligne {Line} est placée en commentaire et devient inactive lors du rechargement du fichier de préférences du navigateur.

Action ZHPFix (Cas N°3)

O69 - SBI: {FileName}

1) Supprime le fichier {FileName}

Rapport ZHPFix (Exemple)

Lignes saisies :
O69 - SBI: SearchScopes [HKCU] {9BB47C17-9C68-4BB3-B188-DD9AF0FD2A59} - (Web Search) - http://search.imesh.com
O69 - SBI: SearchScopes [HKCU] {afdbddaa-5d3f-42ee-b79c-185a7020515b} - (Messenger Plus Live France Customized Web Search) - http://search.conduit.com

Rapport de ZHPFix v1.12.3143 par Nicolas Coolman, Update du 01/09/2010

========== Elément(s) de donnée du Registre ==========
O69 - SBI: SearchScopes [HKCU] {9BB47C17-9C68-4BB3-B188-DD9AF0FD2A59} - (Web Search) - http://search.imesh.com => Donnée remplacée avec succès
O69 - SBI: SearchScopes [HKCU] {afdbddaa-5d3f-42ee-b79c-185a7020515b} - (Messenger Plus Live France Customized Web Search) - http://search.conduit.com => Donnée remplacée avec succès

========== Récapitulatif ==========
2 : Elément(s) de donnée du Registre

Liens

Malekal Morte : Trojan.Daonol/Trojan.Kates et redirections Google
Microsoft : Comment créer des personnalisé fichiers .adm
Le mode protégé (HotLine PC)
Understanding and Working in Protected Mode Internet Explorer (Microsoft)
Adding Entries to the Standard Context Menu


ZHPdiag_080

ZHPDiag - Module O80 (MBR)

Origine

- Le module O80 (MBR) a été crée le 17 avril 2010.

Caractéristiques

Lié au module MBR (Master Boot Record). Le master boot record (MBR) est le premier secteur physique d'un disque. il est parfois appelé "Zone amorce" et contient un petit programme de 512 octets d'informations capitales sur la structure du support. Certains malwares rootkits s'attaquent au MBR du disque système afin d'alterer ce programme et de le rendre le disque illisible. Ce module s'appuie sur l'édition intégrale du rapport de l'utilitaire "MBR de Gmer".

- A ce jour l' utilitaire MBR n'est toujours pas compatible avec les OS 64bits (Windows Vista & Windows 7)

- Sous Windows XP, la commande à utiliser pour restaurer le MBR est "fixmbr". Elle est accessible depuis la console de récupération.
- Sous Windows Vista et Windows 7, la commande à utiliser pour restaurer le MBR est "bootrec /FixMbr". Elle est accessible depuis la console de récupération.

Ajout d'une recherche complémentaire avec le scan de l'utilitaire "MBRChek d'ad13". Cette recherche devrait permettre un dépistage d'infection par "Whistler" ou "Sinowal". Seule la fin du rapport est affichée, une copie du rapport complet de MBRCheck est placée dans le dossier d'installation de ZHPDiag. v1.26.62

Ce bouton permet d'éditer le rapport complet de MBRCheck afin qu'il puisses être coller dans un forum de désinfection. Bien sûr Il n'est visible que si le module O80 est coché (cas par défaut).

Une sauvegarde du MBR est effectuée pour le disque physique 0. Le fichier de dump est au format " %SystemRoot%\PhysicalDisk0_MBR.bin". Pour être opérationnelle, cette sauvegarde devra être conservée dans une unité externe (différente du disque physique) comme par exemple une clé USB. v1.27.1625

En fin de rapport MBRCheck, si le message suivant s'affiche "Found non-standard or infected MBR [image] ", cela signifie que l'outil n'a pas encore qualifier le code du MBR pour le système d'exploitation correspondant. Ce message est généralement précédé d'une information "Unknown MBR code" pour la qualification du disque physique. C'est souvent rencontré sur des stations ayant un disque physique externe (non standard).

---\\ Recherche Master Boot Record Infection (MBRCheck)(O80)
MBRCheck, version 1.2.3 by ad13, http://ad13.geekstog
Run by Coolman at 18/09/2010 17:16:03
55 GB \\.\PhysicalDrive0 Unknown MBR code
SHA1: 6A37CCD118436B688B51F6BD4C2B47A895EBDF7F
Found non-standard or infected MBR.

Ajout de l'analyse du fichier de Dump. v1.27.1864

Aperçu ZHPDiag

---\\ Recherche d'infection Master Boot Record (O80)
Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net
Run by Coolman at 01/05/2010 23:44:31 v1.25.1412
device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK

---\\ Recherche Master Boot Record Infection (MBRCheck)(O80) v1.26.62
MBRCheck, version 1.2.3 by ad13, http://ad13.geekstog
Run by Coolman at 11/09/2010 18:04:47
465 GB \\.\PhysicalDrive0 Windows 7 MBR code detected
SHA1: 4379A3D43019B46FA357F7DD6A53B45A3CA8FB79
465 GB \\.\PhysicalDrive1 RE: Unknown MBR code
SHA1: 639AC5CDF8A5CF3245975932C6A4215450A7B98F

---\\ Recherche Master Boot Record Infection (MBRCheck)(O80) v1.26.65
MBRCheck, version 1.2.3 by ad13, http://ad13.geekstog
Run by Coolman at 18/09/2010 14:06:53
465 GB \\.\PhysicalDrive0 Windows 7 MBR code detected
SHA1: 4379A3D43019B46FA357F7DD6A53B45A3CA8FB79
465 GB \\.\PhysicalDrive1 RE: Unknown MBR code
SHA1: 639AC5CDF8A5CF3245975932C6A4215450A7B98F
Found non-standard or infected MBR.
Dump file Name : C:\Program Files\ZHPDiag\MBRDump_09-18-10_14-06-53_PhysicalDrive0.bin

---\\ Recherche Master Boot Record Infection (MBRCheck)(O80) v1.27.1625
Dump file Name : C:\PhysicalDisk0_MBR.bin

---\\ Recherche Master Boot Record Infection (MBRCheck)(O80) v1.27.1864
Written by ad13, http://ad13.geekstog
Run by Coolman at 09/04/2011 08:46:00

********* Dump file Name *********
C:\PhysicalDisk0_MBR.bin

********* Dump File Header *********
Windows Version: Windows 7 Home Premium Edition
Windows Information: (build 7600), 32-bit
Base Board Manufacturer: ECS
BIOS Manufacturer: Phoenix Technologies, LTD
System Manufacturer: HP-Pavilion
System Product Name: GZ680AA-ABF a6290.fr
Logical Drives Mask: 0x00001bfc

********* Dump File Analysis *********
Windows 7 MBR code detected

Action ZHPFix

- La commande "MBRFix" permet de fixer le MBR (Master Boot Record).

Exemples d'infection MBR (Outil MBR)

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
detected MBR rootkit hooks:
\Driver\ACPI -> 0x8a510b00
NDIS: Carte Fast Ethernet compatible VIA -> SendCompleteHandler -> 0x8a54d200
Warning: possible MBR rootkit infection !
copy of MBR has been found in sector 0x03A388B02
malicious code @ sector 0x03A388B05 !
PE file found in sector at 0x03A388B1B !
MBR rootkit infection detected ! Use: "mbr.exe -f" to fix.

Exemples d'infection MBR (Outil MBRCheck)

---\\ Search Master Boot Record Infection (MBR)(O80) v1.26.62
MBRCheck, version 1.2.3 by ad13, http://ad13.geekstog
Run by Coolman at 11/09/2010 18:04:47
28 GB \\.\PhysicalDrive0 Known-bad MBR code detected (Whistler / Black Internet)!
SHA1: 4379A3D43019B46FA357F7DD6A53B45A3CA8FB79
465 GB \\.\PhysicalDrive1 RE: Unknown MBR code
SHA1: 639AC5CDF8A5CF3245975932C6A4215450A7B98F

Liens

* Master boot record
* Master Boot Record (PCA)
* Master Boot Record (Wikipedia)


ZHPdiag_081

ZHPDiag - Module O81 (IFC)

Origine

Le module O81 (IFC) a été crée le 17 avril 2010.

Caractéristiques

Lié au module IFC (Internet Feature Controls). Il permet de rechercher les infections de Microsoft Internet Explorer avec la gestion du mode de compatibilité des documents. Ce type d'attaque a été découvert sur une infection de type rootkit TDSS.

- La recherche se fait sur les clés de registre suivantes :
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\FeatureControl
HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\Main\featurecontrol
HKEY_USERS\S-1-5-18\Software\Microsoft\Internet Explorer\Main\featurecontrol
HKEY_USERS\S-1-5-19\Software\Microsoft\Internet Explorer\Main\featurecontrol
HKEY_USERS\S-1-5-20\Software\Microsoft\Internet Explorer\Main\featurecontrol

Mécanisme d'infection IFC :

1) Tout d'abord, le trojan ou le rootkit injecte un thread dans le service Host Process de Microsoft (svchost.exe).

2) Ensuite, il crée une valeur de clé de registre "svchost.exe" sous une clé Internet Explorer spécifique comme par exemple "FEATURE_ENABLE_IE_COMPRESSION".
Il faut préciser que le service host n'est jamais utilisé comme valeur de clé dans les clés IFC (Internet Future Controls). Le processus le plus fréquement utilisé est "prevhost.exe" ou "sllauncher.exe"

3) Enfin, il attend que le navigateur Internet Explorer soit lancé et que des pages internet soient ouvertes pour faire exécuter son propre code malware à la place de la gestion du mode de compatibilité des documents.

Les lignes O81 de ZHPDiag sont donc forcément malwares. Elles peuvent signifier que l'infection est toujours active ou qu'elle a été mal nettoyée. C'est pour cette raison qu'il faut réaliser une analyse plus complète à l'aide d'un outil de recherche spécifique. C'est le cas notamment de TDSSKiller pour les rootkits.

La notion de clé orphenine correspond au fait que le trojan ou le rootkit à été supprimé par un outil de désinfection ou un antivirus. Le service Host Process a été débarrassé de son thread et donc qu'il n'y a plus de risque d'exécution de code malware. Mais la clé IFC est toujours présente, ce cas est rencontré par exemple après un nettoyage de MBAM. Il est plus prudent de faire supprimer cette clé qui serait immédiatement active en cas de réinfection du service Host Process.

Aperçu ZHPDiag

---\\ Internet Feature Controls (IFC) (O81)
O81 - IFC: Internet Feature Controls [HKLM] [FEATURE_BROWSER_EMULATION] -- svchost.exe
O81 - IFC: Internet Feature Controls [HKCU] [FEATURE_BROWSER_EMULATION] -- prevhost.exe

---\\ Internet Feature Controls (IFC) (O81) v1.25.1436
O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [feature_enable_ie_compression] -- svchost.exe
O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [feature_enable_ie_compression] -- svchost.exe

Action ZHPFix

O81 - IFC: Internet Feature Controls [HKCU] [ {SubKey} ] -- {ValueKey}

{Key} : Clé de base de Registres [...\Software\Microsoft\Internet Explorer\Main\FeatureControl]
{SubKey} : sous-clé de {Key} comme par exemple "FEATURE_BROWSER_EMULATION"
{ValueKey} : Valeur de {SubKey}

- L'outil supprime la valeur de clé {ValueKey}

Exemples d'infection

---\\ Internet Feature Controls (O81)
O81 - IFC: Internet Feature Controls [HKLM] [FEATURE_BROWSER_EMULATION] -- svchost.exe => Infection Rootkit (tdssserv.Root)
O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe => Infection Rootkit (tdssserv.Root)
O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [FEATURE_BROWSER_EMULATION] -- svchost.exe => Infection Rootkit (tdssserv.Root)

O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [feature_enable_ie_compression] -- svchost.exe => Infection Rootkit (tdssserv.Root)
O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [feature_enable_ie_compression] -- svchost.exe => Infection Rootkit (tdssserv.Root)
O81 - IFC: Internet Feature Controls [HKCU] [feature_enable_ie_compression] -- svchost.exe

La présence du rootkit n'est pas forcément avérée car il peut s'agir de clés orphelines, quoiqu'il est soit il est préférable d'effectuer le passage d'un outil anti-rootkit comme TDSSKiller ou Gmer voire même ComboFix.

Rapport ZHPFix (Exemple)

O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe
O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [FEATURE_BROWSER_EMULATION] -- svchost.exe

Rapport de ZHPFix v1.12.3149 par Nicolas Coolman, Update du 11/09/2010

========== Valeur(s) du Registre ==========
O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe => Valeur supprimée avec succès
O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [FEATURE_BROWSER_EMULATION] -- svchost.exe => Valeur absente

========== Récapitulatif ==========
2 : Valeur(s) du Registre

Liens

Internet Feature Controls (Microsoft)
BackDoor-ALC

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_081

ZHPDiag - Module O82 (CKF)

Origine

- Le module O82 (CKF) a été crée le 05 juillet 2010.

Caractéristiques

Lié au module CKF (Crack Keygen File). Il permet de rechercher les fichiers potentiellements dangereux issues de cracks ou keygens. Ces fichiers sont généralement transmis par les réseaux P2P.
Le scan se fait sur tous les dossiers et toutes les unités de disques connectées. Compte tenu du fait que le scan peut durer plusieurs minutes, ce module est optionnel.

Aperçu ZHPDiag

---\\ Crack & Keygen Files (O82)
C:\user\...\WinRar.v3.60.(Beta.4).FR.Incl-Crack.zip
C:\user\...\WinRar.v3.60.(Beta.4).FR.Incl-Keygen.exe

Action ZHPFix

- L'outil supprime le fichier.

Exemples d'infection

---\\ Crack & Keygen Files (O82)
C:\Users\...\Desktop\Documents Max\Jeux\Call of Duty 4 - Modern Warfare\crack\rzr-cod4 générateur de clé.exe => Infection Diverse (Trojan.Agent.CK)
C:\Program Files\Sibelius Software\Sibelius 3\Keygen.exe => Infection Diverse (Malware.Packer.Gen)

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_083

ZHPDiag - Module O83 (SSS)

Origine

- Le module O83 (SSS) a été crée le 27 juillet 2010.

Caractéristiques

- Lié au module Search Svchost Services (SSS). Il permet de lister le groupe de services particuliers lancés par Svchost.exe. Ces services sont installés dans la donnée de la valeur de clé "NetSvcs" de la clé de Base de Registres :
[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost].

- Chaque service de ce type est lancé par le biais de la commande "svchost.exe -k netsvcs". Il exécute la donnée de la valeur "ServiceDll" de la clé :
[HKLM\SYSTEM\CurrentControlSet\Services\{NameService}\Parameters]

Certains malwares utilisent cette fonctionnalité pour se cacher de certains outils de diagnostics comme HijackThis. C'est le cas notamment du ver Conficker qui possède des fonctionnalités de porte dérobée de Cheval de Troie. Tout d'abord il s'attaque aux protections du système en désactivant les logiciels de sécurité et leurs mises à jours. Il désactive aussi les mises à jours de Windows. Ensuite il établit une connexion à son serveur afin de prendre le contrôle à distance de la station. Enfin il télécharge et installe des programmes malwares.

- Plus précisément le service malware s'insère en tant que donnée dans la liste multiple de la valeur "NetSvcs" comme dans l'exemple du service "nscpjapu" ci dessous :

AeLookupSvc
CertPropSvc
SCPolicySvc
lanmanserver
nscpjapu
gpsvc
IKEEXT
AudioSrv
...

- Parallèlement le service malware est crée dans la clé de Base de Registres des services, et une ressource malware est affectée à sa valeur "ServiceDll" comme par exemple :
[HKLM\SYSTEM\CurrentControlSet\Services\nscpjapu\Parameters]
"ServiceDll"="c:\windows\system32\chfywi.dll"

- Modification du format de ligne par l'ajout de la taille du fichier. v1.26.37

Aperçu ZHPDiag

---\\ Recherche des services démarrés par Svchost (SSS) (O83)
O83 - Search Svchost Services: AeLookupSvc (AeLookupSvc) . (.Microsoft Corporation - Service Expérience d’application.) -- C:\Windows\System32\aelupsvc.dll
O83 - Search Svchost Services: lanmanserver (lanmanserver) . (.Microsoft Corporation - DLL du service Serveur.) -- C:\Windows\system32\srvsvc.dll
O83 - Search Svchost Services: gpsvc (gpsvc) . (.Microsoft Corporation - Client de stratégie de groupe.) -- C:\Windows\System32\gpsvc.dll

---\\ Recherche des services démarrés par Svchost (SSS) (O83) v1.26.37
O83 - Search Svchost Services: AeLookupSvc (AeLookupSvc) . (.Microsoft Corporation - Service Expérience d’application.) -- C:\Windows\System32\aelupsvc.dll [62464]
O83 - Search Svchost Services: lanmanserver (lanmanserver) . (.Microsoft Corporation - DLL du service Serveur.) -- C:\Windows\system32\srvsvc.dll [168448]
O83 - Search Svchost Services: gpsvc (gpsvc) . (.Microsoft Corporation - Client de stratégie de groupe.) -- C:\Windows\System32\gpsvc.dll [591360]

Equivalence ComboFix

S2 TrkServer;Synaptics TouchPad Controller;c:\windows\System32\svchost.exe -k netsvcs [10/08/2004]

Equivalence OTL

NetSvcs: Nwsapagent - File not found
NetSvcs: SRService - File not found
NetSvcs: Wmi - C:\Windows\System32\wmi.dll (Microsoft Corporation)

Exemple d'infection

---\\ Recherche des services démarrés par Svchost (SSS) (O83) (Cas non signés)
O83 - Search Svchost Services: TrkServer (TrkServer) . (.Pas de propriétaire - Pas de description.) -- C:\Windows\system32\chfywi.dll [14336] => Infection BT (Trojan.Conficker)
O83 - Search Svchost Services: SSHNAS (SSHNAS) . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\sshnas21.dll [0] => Infection FakeAlert (Trojan.Downloader)
O83 - Search Svchost Services: fxuuamsy (fxuuamsy) . (.Pas de propriétaire - Pas de description.) -- c:\windows\system32\uhxhdjn.dll [0] => Infection BT
O83 - Search Svchost Services: kdjqggia (kdjqggia) . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\bwuppbn.dll [0] => Infection Vundo (Trojan.Vundo)
O83 - Search Svchost Services: ygwhngul (ygwhngul) . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\dteekyl.dll [0] => Infection BT (Trojan.BHO.H)

---\\ Recherche des services démarrés par Svchost (SSS) (O83) (Cas signés)
O83 - Search Svchost Services: SSHNAS (SSHNAS) . (.ApexDC++ Development Tea - Ape.) -- C:\WINDOWS\system32\sshnas21.dll [247808] => Infection FakeAlert (Trojan.Downloader)

---\\ Recherche des services démarrés par Svchost (SSS) (O83) (Cas signés avec usurpation d'un nom de propriétaire légitime)
O83 - Search Svchost Services: SSHNAS (SSHNAS) . (.Electronic Arts - Command And Conquer Generals World Builder.) -- C:\WINDOWS\system32\sshnas21.dll [242176] => Infection FakeAlert (Trojan.Downloader)
O83 - Search Svchost Services: nmkjifcz (nmkjifcz) . (.Microsoft Corporation - WPD Tracing.) -- c:\windows\system32\wdaqqaa.dll [88576] => Infection BT (Trojan.Conficker)

Action ZHPFix

O83 - Search Svchost Services: {NameService} ( {KeyService} ) . (...) -- {FileName}

{Key} : Clé de la Base de Registre [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost]
{NameService} : Donnée de la valeur de "NetSvcs" de la Clé {Key}.
{KeyService} : Sous clé de la clé [HKLM\System\CurrentControlSet\Services].
{FileName} : Donnée de la valeur "ServiceDll" de la clé [HKLM\System\ControlControlSet\Services\{KeyService}\Parameters].

1) L'outil supprime le service malware {KeyService}.
2) L'outil supprime le fichier {FileName}.

Rapport ZHPFix (Exemple)

Ligne saisie :
O83 - Search Svchost Services: SSHNAS (SSHNAS) . (.Electronic Arts - Command And Conquer Generals World Builder.) -- C:\WINDOWS\system32\sshnas21.dll [242176]

Rapport de ZHPFix v1.12.3133 par Nicolas Coolman, Update du 02/08/2010

========== Clé(s) du Registre ==========
O83 - Search Svchost Services: SSHNAS (SSHNAS) . (.Electronic Arts - Command And Conquer Generals World Builder.) -- C:\WINDOWS\system32\sshnas21.dll [242176] => Clé supprimée avec succès

========== Fichier(s) ==========
C:\WINDOWS\system32\sshnas21.dll => Supprimé et mis en quarantaine

========== Récapitulatif ==========
1 : Clé(s) du Registre
1 : Fichier(s)

Liens

* Comment supprimer le virus Conficker
* Downadup/ Conficker
* Comment les malwares se cachent en s'installant en service (Malekal)


ZHPdiag_084

ZHPDiag - Module O84 (SPRF)

Origine

Le module O84 (SPRF) a été crée le 09 novembre 2010.

Caractéristiques

De nombreux malwares installent des processus à la racine de certains dossiers systèmes. C'est le cas par exemple du spyware OnlineGames qui installe des ressources à la racine du dossier "Program Files". Ce module a donc pour but de rencenser ces divers processus, drivers, ressources qui n'ont pas a se trouver à la racine de ces dossiers.

Ajout de la date de dernière modification du fichier.

[MD5.A383622C180BADC4E2D5C31A5C4F4913] [SPRF][10/01/2008] (...) -- C:\Program Files\k2.exe [174]

Aperçu ZHPDiag

---\\ Recherche particuliere à la racine de certains dossiers (SPRF) (O84)
[MD5.6383522C180BADC4E1D5C30A5C4F4913] [SPRF] (.Pas de propriétaire - Pas de description.) -- C:\Program Files\desktop.ini [174]
[MD5.85C89E6F7158146360D84B443B3BF329] [SPRF] (.Pas de propriétaire - Pas de description.) -- C:\Program Files\mbr.exe [88064]

Exemple d'infection

---\\ Recherche particuliere à la racine de certains dossiers (SPRF) (O84)
[MD5.A383622C180BADC4E2D5C31A5C4F4913] [SPRF] (.Pas de propriétaire - Pas de description.) -- C:\Program Files\k2.exe [174]
[MD5.1825688D192CF152A1D458BA1D3A2924] [SPRF] (.Pas de propriétaire - Pas de description.) -- C:\Program Files\k2.dll [15982]
[MD5.F58DEEFEF0D0D6CDDDC9470695B02472] [SPRF] (.Pas de propriétaire - Pas de description.) -- C:\Users\Quickyx\AppData\Local\Temp\UuU.uUu [8] => Infection Diverse (Malware.Trace)
[MD5.2BD52A1DC75DA08348C32BBD89161C52] [SPRF] (.Pas de propriétaire - Pas de description.) -- C:\Users\Quickyx\AppData\Local\Temp\XxX.xXx [8] => Infection Diverse (Malware.Trace)
[MD5.141296EF22B587E3506FBCDB82B90868] [SPRF] (.Pas de propriétaire - Pas de description.) -- C:\Users\Quickyx\AppData\Roaming\cglogs.dat [488643] => Infection Diverse (Malware.Trace)

Action ZHPFix

- L'outil supprime le fichier.

Rapport ZHPFix (Exemple)

[MD5.85C89E6F7158146360D84B443B3BF329] [SPRF] (.Pas de propriétaire - Pas de description.) -- C:\Program Files\mbr.exe [88064]

Rapport de ZHPFix 1.12.3216 par Nicolas Coolman, Update du 09/11/2010

========== Processus mémoire ==========
C:\Program Files\mbr.exe [88064] => Supprimé et mis en quarantaine

========== Récapitulatif ==========
1 : Processus mémoire

End of the scan

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_084

ZHPDiag - Module O85 (SKWI)

Origine

Le module O85 (SKWI) a été crée le 22 décembre 2010.

Caractéristiques

De nombreux malwares installent des processus à la racine de certains dossiers systèmes. C'est le cas par exemple du ver Koobface. Ce module ne vise que la recherche de fichier, il vient en complément de la recherche faite sur les clés de registre (Run, Service, Legacy,...)

Aperçu ZHPDiag

---\\ Recherche d'infection par le ver Koobface (SKWI) (O85)
[MD5.6383522C180BADC4E1D4B30A5C4F4913] [SPRF] (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\freddy51.exe [1235]
[MD5.85C89E6F7258146360D84C443B3BF329] [SPRF] (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\ld22.exe [35841]

Exemple d'infection

---\\ Recherche d'infection par le ver Koobface (SKWI) (O85)
[MD5.6383522C180BADC4E1D4B30A5C4F4913] [SPRF] (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\freddy51.exe [1235]
[MD5.85C89E6F7258146360D84C443B3BF329] [SPRF] (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\ld22.exe [35841]

Action ZHPFix

- L'outil supprime le fichier.

Rapport ZHPFix (Exemple)

[MD5.6383522C180BADC4E1D4B30A5C4F4913] [SPRF] (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\freddy51.exe [1235]

Rapport de ZHPFix 1.12.3229 par Nicolas Coolman, Update du 21/12/2010

========== Processus mémoire ==========
C:\WINDOWS\freddy51.exe [1235] => Supprimé et mis en quarantaine

========== Récapitulatif ==========
1 : Processus mémoire

End of the scan

Liens

Adware.Koobface [MBAM]


ZHPdiag_084

ZHPDiag - Module O86 (SRI)

Origine

Le module O86 (SRI) a été crée le 03 janvier 2011.

Caractéristiques

Ce module permet de compléter la recherche des infections de type Rogue. Par exemple, une détection dans un dossier ProgramData (Module O43) sera complétée par la liste des fichiers contenue dans le dossier malware.

Aperçu ZHPDiag

---\\ Recherche d'infection Rogue (SRI) (O86)
C:\Users\Coolman\AppData\67fac4
[MD5.63E8A132FA2214498CE1F596EBED77AA] [SRI] (.Pas de propriétaire - Pas de description.) -- C:\Users\Coolman\AppData\67fac4\IS21f_2802.exe [111258]

Exemple d'infection

---\\ Recherche d'infection Rogue (SRI) (O86)
C:\Users\Coolman\AppData\67fac4
[MD5.63E8A132FA2214498CE1F596EBED77AA] [SRI] (.Pas de propriétaire - Pas de description.) -- C:\Users\Coolman\AppData\67fac4\IS21f_2802.exe [111258]

Action ZHPFix

- L'outil supprime le fichier.

Rapport ZHPFix (Exemple)

[MD5.43E8A032EA2214499CE1F596EBED77AA] [SRI] (.Pas de propriétaire - Pas de description.) -- C:\ProgramData\67fac4\IS21f_2802.exe [111258]

Rapport de ZHPFix 1.12.3235 par Nicolas Coolman, Update du 03/01/2011

========== Processus mémoire ==========
C:\ProgramData\67fac4\IS21f_2802.exe => Supprimé et mis en quarantaine

========== Récapitulatif ==========
1 : Processus mémoire

End of the scan

Liens

(C) Copyrights 2011 - Nicolas Coolman - All rights reserved


ZHPdiag_084

ZHPDiag - Module O87 (FAEL)

Origine

Le module O87 (FAEL) a été crée le 27 janvier 2011.

Caractéristiques

Lié au module FAEL (Firewall Active Exception List). Il permet de lister certaines applications autorisée et actives du parefeu Windows.
L'autorisation de connexions des programmes et des ports se fait via la méthode "inbound rules" (Autorisée) ou "outbound rules" (Refusée).
La recherche s'effectue au niveau de la clé de registre "FirewallRules", à savoir :
[HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules]

- Mode de direction : In (Connexion entrante), Out (Connexion sortante),
- Type de Profile : Domain (Domaine), Private (Privée), Public (Publique), None (Aucun),
- Mode d'activation : FALSE (Désactivé), TRUE (Activé)
- Protocol de connexion : P6, P17,... (v1.27.1522)

Aperçu ZHPDiag

---\\ Firewall Active Exception List (FirewallRules) (O87)
O87 - FAEL: "{1DB0F4A2-8EEC-4FEE-BD6B-6A29787F3EBA}" | In - Public - TRUE | .(.Opera Software - Opera Internet Browser.) -- C:\Program Files\Opera\opera.exe
O87 - FAEL: "TCP Query User{0CFC6AB7-D366-45BD-97AD-AFBC12461D3C}C:\program files\opera\opera.exe" | In - Domain - FALSE| .(.Opera Software - Opera Internet Browser.) -- C:\program files\opera\opera.exe
O87 - FAEL: "UDP Query User{A2DE116B-A679-4BF4-826A-39C44996A72A}C:\program files\opera\opera.exe" | Out - Private - TRUE | .(.Opera Software - Opera Internet Browser.) -- C:\program files\opera\opera.exe
O87 - FAEL: "{3180AB9F-4FB9-467B-84FA-D0D2957D8983}" | In - Public - FALSE | .(.adsl TV / FM - Pas de description.) -- C:\Program Files\adslTV\adsltv.exe

---\\ Firewall Active Exception List (FirewallRules) (O87) (v1.27.1522)
O87 - FAEL: "{1DB0F4A2-8EEC-4FEE-BD6B-6A29787F3EBA}" | In - Public - P6 - TRUE | .(.Opera Software - Opera Internet Browser.) -- C:\Program Files\Opera\opera.exe

Aperçu OTL (Extra)

========== Vista Active Application Exception List ==========
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules]
"{1E3D670D-3538-4282-9135-703F9B1E9B12}" = protocol=17 | dir=in | app=c:\program files\ma-config.com\maconfservice.exe |
"{211E41F1-BED9-4776-BB5E-5A462893385D}" = protocol=6 | dir=in | app=c:\program files\ma-config.com\maconfservice.exe |

Exemple d'infection

---\\ Firewall Active Exception List (FirewallRules) (O87)
O87 - FAEL: "TCP Query User{C609E4FF-807A-4516-83C9-85D43A8DD9E1}C:\Program Files\Live-Player\Live-Player.exe" | In - Public - P6 - TRUE | .(...) -- C:\Program Files\Live-Player\Live-Player.exe => Infection MagicControl (Magic.Control.Adw)
O87 - FAEL: "UDP Query User{8E178FD2-8255-4354-A850-1FE3F85E508A}C:\Program Files\Live-Player\Live-Player.exe" | In - Public - P6 - TRUE | .(...) -- C:\Program Files\Live-Player\Live-Player.exe => Infection MagicControl (Magic.Control.Adw)

Action ZHPFix

O87 - FAEL: "{ValueCLSID}' | ... | (...) -- {FileName}

{Key} : [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules]
{ValueCLSID} : Valeur CLSID
{FileName} : Nom du fichier

- L'outil supprime la valeur CLSID {ValueCLSID}
- L'outil supprime le fichier {FileName}

Rapport ZHPFix (Exemple)

O87 - FAEL: "TCP Query User{C609E4FF-807A-4516-83C9-85D43A8DD9E1}C:\Program Files\Live-Player\Live-Player.exe" | In - Public - P6 - TRUE | .(...) -- C:\Program Files\Live-Player\Live-Player.exe

Rapport de ZHPFix v1.12.3244 par Nicolas Coolman, Update du 27/01/2011

========== Valeur(s) du Registre ==========
TCP Query User{C609E4FF-807A-4516-83C9-85D43A8DD9E1}C:\Program Files\Live-Player\Live-Player.exe => Valeur supprimée avec succès

========== Fichier(s) ==========
c:\program files\live-player\live-player.exe => Supprimé et mis en quarantaine

========== Récapitulatif ==========
1 : Valeur(s) du Registre
1 : Fichier(s)

Liens

(C) Copyrights 2011 - Nicolas Coolman - All rights reserved


ZHPdiag_084

ZHPDiag - Module O88 (AS)

Origine

Le module O88 (AS) a été crée le 20 mars 2011.

Caractéristiques

Lié au module AS (Additional Scan). Il permet de lister certaines clés de registre ou certains dossiers. Il s'agit proncipalement de cibler les :

- Programmes superflus comme les toolbars,
- Programmes indésirables commes les PUP ou les spywares qui sont plus génants,
- Programmes malwares contenant des vers ou des trojans.

Aperçu ZHPDiag

---\\ Scan Additionnel (O88)
[HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\conduitEngine] =>Toolbar.Conduit
[HKLM\Software\Iminent] =>Adware.IMBooster
[HKLM\Software\Classes\AxMetaStream.MetaStreamCtl] =>Adware.MetaStream
[HKLM\Software\Classes\AxMetaStream.MetaStreamCtl.1] =>Adware.MetaStream
[HKLM\Software\Classes\AxMetaStream.MetaStreamCtlSecondary] =>Adware.MetaStream
[HKLM\Software\Classes\AxMetaStream.MetaStreamCtlSecondary.1] =>Adware.MetaStream
[HKLM\Software\Microsoft\Active Setup\Installed Components\{1B00725B-C455-4DE6-BFB6-AD540AD427CD}] =>Adware.MetaStream
[HKCU\SOFTWARE\MyWebSearch] =>Adware.MyWebSearch

Exemple d'infection

---\\ Scan Additionnel (O88)
%AppData%\OpenCandy
[HKLM\Software\Classes\AxMetaStream.MetaStreamCtlSecondary.1] =>Adware.MetaStream
[HKLM\Software\Microsoft\Active Setup\Installed Components\{1B00725B-C455-4DE6-BFB6-AD540AD427CD}] =>Adware.MetaStream
[HKCU\SOFTWARE\MyWebSearch] =>Adware.MyWebSearch

Action ZHPFix

[HKCU\SOFTWARE\MyWebSearch] =>Adware.MyWebSearch
%AppData%\OpenCandy

- L'outil supprime la clé ou la valeur de registre,
- L'outil supprime le dossier.

Rapport ZHPFix (Exemple)

[HKCU\SOFTWARE\MyWebSearch] =>Adware.MyWebSearch

Rapport de ZHPFix v1.12.3263 par Nicolas Coolman, Update du 22/03/2011

========== Clé(s) du Registre ==========
HKCU\SOFTWARE\MyWebSearch => Clé supprimée avec succès

========== Récapitulatif ==========
1 : Clé(s) du Registre
1 : Fichier(s)

Liens

(C) Copyrights 2011 - Nicolas Coolman - All rights reserved


ZHPdiag_084

ZHPDiag - Module O89 (SHDR)

Origine

Le module O89 (SHDR) a été crée le 25 mars 2011.

Caractéristiques

Lié au module O89/SHDR (Search Hijack DNS Rooter). Il permet de rechercher la configuration DNS du routeur. Il est basé sur l'utilisation de l'ouil Microsoft nsLookUp.

Aperçu ZHPDiag

---\\ Recherche détournement de DNS routeur (O89)
Serveur : UnKnown
Address: 192.168.0.1
Nom : www.l.google.com
Addresses: 74.125.230.83
74.125.230.84
74.125.230.82
74.125.230.81
74.125.230.80
Aliases: www.google.fr
www.google.com

Exemple d'infection

---\\ Recherche détournement de DNS routeur (O89)
Serveur : livebox.home
Address: 192.168.1.1

Nom : WWW.GOOGLE.FR
Address: 67.210.12.152 --> Détournement de Google vers un serveur Albanais.

NB : En cas d'infection sur une Livebox, il faut procéder à un reset (consulter la méthode dans le lien de bas de page).

Liens

Hijack Routeur DNS
Comment réinitialiser une Livebox

(C) Copyrights 2011 - Nicolas Coolman - All rights reserved


ZHPdiag_O47

ZHPDiag - Module O90 (PUC)

Origine

Le module O90 (PUC) a été crée le 05 décembre 2012.

Caractéristiques

Lié au module PUC (Product Upgrade Codes). Il permet de lister les codes produits installés.
La recherche s'effectue dans la clé de registres "HKLM\Software\Classes\Installer\Products"

L'analyse se fait sur les données des valeurs de clé ProductName et ProductIcon. Dans ProductIcon, on retrouve généralement la clé CLSID de désinstallation du produit (Visible en fin de module O42). Normalement le dossier CLSID se situe sous WINDIR\Installer, mais rien n'empêche un malware d'entrer un chemin différent dans un dossier utilisateur par exemple. Ainsi Le module O90 est complémentaire au module O42, car la recherche ne s'effectue pas dans les mêmes clés de registre. Dans le cas des O42, ce sont les clés "Sofware" qui sont listées, alors que dans le O90 on s'interesse aux clés Installer Product, Installer Features et Installer UpgradeCodes.

Aperçu ZHPDiag

---\\ Product Upgrade Codes (O90)
O90 - PUC: "00004159070000000000000000F01FEC" . (.Microsoft Office 2010.) -- C:\Windows\Installer\{95140000-0070-0000-0000-0000000FF1CE}\oobeicon.exe

Exemple d'infection

O90 - PUC: "01B38F1CBEB0f574BB2A2E530BB28962" . (.Spigot Application Updater.) -- C:\Program Files\Application Updater\{BCB52F35-4C56-49F2-A3D6-FDED54B01847}\ApplicationUpdater.exe

Action ZHPFix

O90 - PUC: "{ProductKey}" . (.{ValueKey1}.) -- {ValueKey2}

{ProductKey} : Clé du produit,
{ValueKey1} : Donnée de la valeur ProductName de la clé {ProductKey},
{ValueKey2} : Donnée de la valeur ProducIcon de la clé {ProductKey},

1) L'outil supprime la clé {ProductKey} des branches :
...\Installer\UpgradeCodes\
...\Installer\Products\
...\Installer\Features\

Rapport ZHPFix (Exemple)

O90 - PUC: "01B38F1CBEB0f574BB2A2E530BB28962" . (.Spigot Application Updater.) -- C:\Program Files\Application Updater\{BCB52F35-4C56-49F2-A3D6-FDED54B01847}\ApplicationUpdater.exe

Rapport de ZHPFix..

Rapport de ZHPFix 1.3.08 par Nicolas Coolman, Update du 06/12/2012
Run by Coolman at 06/12/2012 13:41:05
Windows 7 Business Edition, 64-bit Service Pack 1 (Build 7601)

Corbeille vidée

========== Clé(s) du Registre ==========
SUPPRIME Key: \Software\Classes\Installer\Products\\01B38F1CBEB0f574BB2A2E530BB28962
SUPPRIME Key: \Software\Classes\Installer\Features\01B38F1CBEB0f574BB2A2E530BB28962
SUPPRIME Key: \Software\Microsoft\Windows\CurrentVersion\Installer\UpgradeCodes\01B38F1CBEB0f574BB2A2E530BB28962

========== Récapitulatif ==========
3 : Clé(s) du Registre

End of clean in 00mn 00s

.

Liens

(C) Copyrights 2012 - Nicolas Coolman - All rights reserved


ZHPdiag_O47

ZHPDiag - Module O91 (REK)

Origine

Le module O91 (REK) a été crée le 12 décembre 2012.

Caractéristiques

Lié au module REK (Random Export Key). Il permet de lister certaines clés hexadécimales aléatoires.
La recherche s'effectue dans la clé de registres

"HKCU\Software\"
"HKLM\Software\"
"HKLM\Software\Wow6432Node\"

L'analyse se fait sur les données des valeurs des clés et des sous-clés software. De nombreux spywares, adwares et PUP utilisent des clés aléatoires hexadécimales afin de cacher leur présence. Dans le cas où la clé ne possède aucune valeur ni aucune sous clé, un commentaire sera porté en fin de ligne "Clé orpheline". Ce qui permettra de la faire supprimer sans avoir a demander d'export de clé au helpé.

La présence d'une clé CLSID (table de près de 40000 clès) ou d'un nom de service devrait amélioer la détection de l'analyseur ZHP.

Aperçu ZHPDiag (Cas particulier de la clé orpheline)

---\\ HKCU & HKLM Software Keys
[HKCU\Software\5f0daddbc68b942] ==> Clé orpheline

Aperçu ZHPDiag (Cas général)

---\\ HKCU & HKLM Software Keys
[HKCU\Software\5f0daddbc68b942]

---\\ Export de clés aléatoires (O91)
[HKCU\Software\5f0daddbc68b942\history\{c16c1ccb-7046-4e5c-a2f3-533ad2fec8e8}2.5.911.18]:guid="{c16c1ccb-7046-4e5c-a2f3-533ad2fec8e8}"
[HKCU\Software\5f0daddbc68b942\history\{c16c1ccb-7046-4e5c-a2f3-533ad2fec8e8}2.5.911.18]:serviceName="Browser Manager"
[HKCU\Software\5f0daddbc68b942\history\{c16c1ccb-7046-4e5c-a2f3-533ad2fec8e8}2.5.976.107]:guid="{c16c1ccb-7046-4e5c-a2f3-533ad2fec8e8}"
[HKCU\Software\5f0daddbc68b942\history\{c16c1ccb-7046-4e5c-a2f3-533ad2fec8e8}2.5.976.107]:serviceName="Browser Manager"
[HKCU\Software\5f0daddbc68b942]:GUID="{c16c1ccb-7046-4e5c-a2f3-533ad2fec8e8}"
[HKCU\Software\5f0daddbc68b942]:INSTALL_FOLDER_NAME="Browser Manager"
[HKCU\Software\5f0daddbc68b942]:PROTECTOR_DLL_NAME="mngr.dll"
[HKCU\Software\5f0daddbc68b942]:PROTECT_EXE_NAME="mngr.exe"
[HKCU\Software\5f0daddbc68b942]:SERVICE_NAME="Browser Manager"
[HKCU\Software\5f0daddbc68b942]:version="2.5.911.18"
~ Scan Export Key Software in 00mn 00s

Aperçu Analyseur ZHP

---\\ HKCU & HKLM Software Keys
[HKCU\Software\5f0daddbc68b942]

---\\ Export de clés aléatoires (O91)
[HKCU\Software\5f0daddbc68b942\history\{c16c1ccb-7046-4e5c-a2f3-533ad2fec8e8}2.5.911.18]:guid="{c16c1ccb-7046-4e5c-a2f3-533ad2fec8e8}"
[HKCU\Software\5f0daddbc68b942\history\{c16c1ccb-7046-4e5c-a2f3-533ad2fec8e8}2.5.911.18]:serviceName="Browser Manager"
[HKCU\Software\5f0daddbc68b942\history\{c16c1ccb-7046-4e5c-a2f3-533ad2fec8e8}2.5.976.107]:guid="{c16c1ccb-7046-4e5c-a2f3-533ad2fec8e8}"
[HKCU\Software\5f0daddbc68b942\history\{c16c1ccb-7046-4e5c-a2f3-533ad2fec8e8}2.5.976.107]:serviceName="Browser Manager"
[HKCU\Software\5f0daddbc68b942]:GUID="{c16c1ccb-7046-4e5c-a2f3-533ad2fec8e8}"
[HKCU\Software\5f0daddbc68b942]:INSTALL_FOLDER_NAME="Browser Manager"
[HKCU\Software\5f0daddbc68b942]:PROTECTOR_DLL_NAME="mngr.dll"
[HKCU\Software\5f0daddbc68b942]:PROTECT_EXE_NAME="mngr.exe"
[HKCU\Software\5f0daddbc68b942]:SERVICE_NAME="Browser Manager"
[HKCU\Software\5f0daddbc68b942]:version="2.5.911.18"

Exemple d'infection

---\\ Export de clés aléatoires (O91)
[HKCU\Software\5a53d6d9b369b913\history\{16cdff19-861d-48e3-a751-d99a27784753}2.2.643.41]:dllName="browsemngr.dll" => Infection BT (Toolbar.Babylon)
[HKCU\Software\5a53d6d9b369b913\history\{16cdff19-861d-48e3-a751-d99a27784753}2.2.643.41]:exeName="browsemngr.exe" => Infection BT (Toolbar.Babylon)
[HKCU\Software\5a53d6d9b369b913\history\{16cdff19-861d-48e3-a751-d99a27784753}2.2.643.41]:folderName="Browser Manager" => Infection BT (Toolbar.Babylon)
[HKCU\Software\5a53d6d9b369b913\history\{16cdff19-861d-48e3-a751-d99a27784753}2.2.643.41]:guid="{16cdff19-861d-48e3-a751-d99a27784753}" => Infection BT (Toolbar.Babylon)
[HKCU\Software\5a53d6d9b369b913\history\{16cdff19-861d-48e3-a751-d99a27784753}2.2.643.41]:serviceName="Browser Manager" => Infection BT (Toolbar.Babylon)
[HKCU\Software\5a53d6d9b369b913\history\{16cdff19-861d-48e3-a751-d99a27784753}2.2.643.41]:version="2.2.643.41" => Infection BT (Toolbar.Babylon)
[HKCU\Software\5a53d6d9b369b913]:GUID="{16cdff19-861d-48e3-a751-d99a27784753}" => Infection BT (Toolbar.Babylon)
[HKCU\Software\5a53d6d9b369b913]:INSTALL_FOLDER_NAME="Browser Manager" => Infection BT (Toolbar.Babylon)
[HKCU\Software\5a53d6d9b369b913]:PROTECTOR_DLL_NAME="browsemngr.dll" => Infection BT (Toolbar.Babylon)
[HKCU\Software\5a53d6d9b369b913]:PROTECT_EXE_NAME="browsemngr.exe" => Infection BT (Toolbar.Babylon)
[HKCU\Software\5a53d6d9b369b913]:SEREGEXP="" => Infection BT (Toolbar.Babylon)
[HKCU\Software\5a53d6d9b369b913]:SERVICE_NAME="Browser Manager" => Infection BT (Toolbar.Babylon)
[HKCU\Software\5a53d6d9b369b913]:version="2.3.787.43" => Infection BT (Toolbar.Babylon)
[HKLM\Software\Wow6432Node\5a53d6d9b369b913]:GUID="{16cdff19-861d-48e3-a751-d99a27784753}" => Infection BT (Toolbar.Babylon)
[HKLM\Software\Wow6432Node\5a53d6d9b369b913]:INSTALL_FOLDER_NAME="Browser Manager" => Infection BT (Toolbar.Babylon)
[HKLM\Software\Wow6432Node\5a53d6d9b369b913]:PROTECTOR_DLL_NAME="browsemngr.dll" => Infection BT (Toolbar.Babylon)
[HKLM\Software\Wow6432Node\5a53d6d9b369b913]:PROTECT_EXE_NAME="browsemngr.exe" => Infection BT (Toolbar.Babylon)
[HKLM\Software\Wow6432Node\5a53d6d9b369b913]:SEREGEXP="" => Infection BT (Toolbar.Babylon)
[HKLM\Software\Wow6432Node\5a53d6d9b369b913]:SERVICE_NAME="Browser Manager" => Infection BT (Toolbar.Babylon)
[HKLM\Software\Wow6432Node\5a53d6d9b369b913]:version="2.3.787.43" => Infection BT (Toolbar.Babylon)
~ Scan Export Key Software in 00mn 00s

Action ZHPFix

Suppression de la ligne soumise, donnée ou clé de registre. Le mieux étant de supprimer la clé aléatoire placée sous la clé Sofware..

Liens

(C) Copyrights 2012 - Nicolas Coolman - All rights reserved


ZHPdiag_O47

ZHPDiag - Module O92 (MNS)

Origine

Le module O92 (MNS) a été crée le 29 décembre 2012.

Caractéristiques

Lié au module MNS (MyComputer Name Space). Il permet de lister certaines icônes via l'explorateur Windows.

La recherche s'effectue dans la clé de registres : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MyComputer\NameSpace\

La clé NameSpace permet d'ajouter des icones dans la fenêtre 'Ordinateur (Computer)' dans une rubrique 'Autres (Others)'. L'analyse se fait sur la présence des clés CLSID de la clé "NameSpace".

Exemple : {645FF040-5081-101B-9F08-00AA002F954E} - Ajoute la Corbeille (Recycle Bin)

En effet on trouve la désignation 'Recycle Bin' dans la valeur par défaut de la clé CLSID {645FF040-5081-101B-9F08-00AA002F954E} située dans la branche HKLM\Software\Classes\CLSID. L'exécution se fait via une commande shell.

Un malware peut utiliser cette fonctionnalité pour exécuter un processus malicieux, c'est le cas notamment du ver 'Worm.Vispat' qui s'installe sous la clé "NameSpace" avec la clé CLSID "{16C7013F-912E-42ac-AA8E-A10A180DFF51}" et qui utilise la donnée de "Shell\Open My Menu\Command" pour se lancer.

Aperçu Station

Aperçu ZHPDiag

---\\ MyComputer Name Space (O92)
O92 - MNS: All Control Panel Items - {21EC2020-3AEA-1069-A2DD-08002B30309D} => Microsoft Windows All Control Panel
O92 - MNS: Printers - {2227A280-3AEA-1069-A2DE-08002B30309D} => Microsoft Windows Printers
O92 - MNS: Search - {2559A1F0-21D7-11D4-BDAF-00C04F60B9F0} => Microsoft Windows Search
O92 - MNS: Run... - {2559A1F3-21D7-11D4-BDAF-00C04F60B9F0} => Microsoft Windows Run
O92 - MNS: Window Switcher - {3080F90E-D7AD-11D9-BD98-0000947B0257} => Microsoft Window Switcher
O92 - MNS: Recycle Bin - {645FF040-5081-101B-9F08-00AA002F954E} => Microsoft Windows Recycle Bin
O92 - MNS: Network Connections - {7007ACC7-3202-11D1-AAD2-00805FC1270E} => Microsoft Connexions réseau
O92 - MNS: Internet Explorer - {871C5380-42A0-1069-A2EA-08002B30309D} => Microsoft Internet Explorer
O92 - MNS: Administrative Tools - {D20EA4E1-3957-11D2-A40B-0C5020524153} => Microsoft Windows Outils d'administrations

~ Scan MNS in 00mn 00s

Exemple d'infection

---\\ MyComputer Name Space (O92)
O92 - MNS: fotoamodomenica -"{16C7013F-912E-42ac-AA8E-A10A180DFF51} . (...) -- C:\Windows\System32\\scansvc\trust\fotoamodomenica.exe => Infection Web (Worm.Vispat)

Action ZHPFix

092 - MNS: {Startup} - {KeyCLSID} -- {FileName}

{KeyCLSID} : Sous-clé CLSID de la clé "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MyComputer\NameSpace"
{Startup} : Valeur par défaut de la clé "KLM\Software\Classes\{KeyCLSID}"
{FileName} : Nom du processus lancé en commande shell.

1) Supprime la clé "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MyComputer\NameSpace\{KeyCLSID}"
2) Supprime la clé "KLM\Software\Classes\{KeyCLSID}"
3) Supprime le fichier {FileName}

Rapport ZHPFix

O92 - MNS: fotoamodomenica - {16C7013F-912E-42ac-AA8E-A10A180DFF51} . (...) -- C:\Windows\System32\\scansvc\trust\fotoamodomenica.exe

Rapport de ZHPFix 1.3.11 par Nicolas Coolman, Update du 30/12/2012
Fichier d'export Registre : C:\ZHP\ZHPExportRegistry-30-12-2012-13-11-28.txt
Run by Coolman at 30/12/2012 13:11:27
Windows 7 Business Edition, 64-bit Service Pack 1 (Build 7601)

Corbeille vidée

========== Clé(s) du Registre ==========
SUPPRIME Key*: CLSID NameSpace: {16C7013F-912E-42ac-AA8E-A10A180DFF51}
SUPPRIME Key: CLSID: [HKLM\SOFTWARE\Classes\CLSID\{16C7013F-912E-42ac-AA8E-A10A180DFF51}]

========== Fichier(s) ==========
SUPPRIME File: c:\windows\system32\\scansvc\trust\fotoamodomenica.exe

========== Récapitulatif ==========
2 : Clé(s) du Registre
1 : Fichier(s)
End of clean in 00mn 00s

Liens

How to add recycle bin

(C) Copyrights 2013 - Nicolas Coolman - All rights reserved


ZHPdiag_O47

ZHPDiag - Module O93 (WIS)

Origine

Le module O93 (WIS) a été crée le 07 aout 2013.

Caractéristiques

Lié au module WIS (Windows Installer Scan). Il permet de lister les fichiers de package d'extension MSI.

La recherche s'effectue dans le dossier système caché "Installer" de Windows pour les disques NTFS.

Aperçu ZHPDiag

---\\ Windows Installer Scan (NTFS)(O93)
[MD5.F24AFF48878E56CD165CFD5634686388] [WIS][01/01/2010] (.Skype Limited - Facebook Video Calling 1.2.0.287.) -- C:\Windows\Installer\10226cd.msi [4460544]
[MD5.28C33271532183EC0A85A32AE69B2797] [WIS][29/06/2012] (.ACD Systems International Inc. - ACDSee Photo Manager 12.) -- C:\Windows\Installer\106b472.msi [65456640]
[MD5.F31C29477547AABFD9929127ADC24B92] [WIS][17/04/2002] (.Adobe Systems Incorporated - Adobe After Effects 5.5.) -- C:\Windows\Installer\1111c13.msi [1348608]
~ Scan MNS in 00mn 04s

Exemple d'infection

---\\ Windows Installer Scan (NTFS)(O93)
[MD5.B67811645C5A3B8E4E4B1A1DB1EE271C] [WIS][20/09/2012] (.Boxore OU. - Software Update Helper.) -- C:\Windows\Installer\3e9788.msi [45056]
[MD5.1D01F42B0B6FA032731FE6F1A363D528] [WIS][02/05/2013] (.IMinent - IMinent Toolbar.) -- C:\Windows\Installer\1b77275.msi [1110016]

Action ZHPFix

1) Supprime le fichier.

Rapport ZHPFix

Liens

(C) Copyrights 2013 - Nicolas Coolman - All rights reserved


ZHPdiag_SS

ZHPDiag - Module Services SR/SS (EGS)

Origine

Le module SR/SS (EGS) a été crée le 24 août 2010.

Caractéristiques

- Ce module permet d'établir l'Etat Général des Services (EGS) non Microsoft. Il est complémentaire au module O23 qui ne faisait que lister les services démarrés automatiquement par le système. En fait ce module donnera l'information si le service est démarré ou arrêté. il donnera aussi son mode de démarrage.
- SR = Service Running (Le service est démarré)
- SS = Service Stopped (Le service est arrêté)

- L'analyse du mode de démarrage s'effectue sur la valeur 'Start' de la clé de Base de Registres [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services}. L'information est donnée en clair dans la ligne d'édition sur la base suivante :
- Start = 0 (Boot) - Pilote de périphérique chargé par le chargeur de démarrage.
- Start = 1 (System) - Pilote de périphérique démarré au cours de l'initialisation du noyau.
- Start = 2 (Auto) - Service lancé à chaque redémarrage de l'ordinateur, qui s'exécute même si aucun utilisateur ne se connecte à l'ordinateur.
- Start = 3 (Demand) - Service devant être démarré manuellement. Il s'agit de la valeur par défaut si start= n'est pas spécifié.
- Start = 4 (Disabled) - Service ne pouvant pas être démarré. Pour démarrer un service désactivé, changez le type de démarrage en spécifiant une des autres valeurs.

- La recherche des services s'effectue sur la valeur ''ImagePath" de la clé de Base de Registres [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services].

- Masque d'édition : {Etat}- | {Mode} {Date} {Taille} | {Désignation} ( {Nom} ) . (. {Proprietaire} .) - {Processus}
- {Etat} : Etat du service (SS=Service arrêté, SR=Service Démarré).
- {Mode} : Mode de démarrage du service (Boot, System, Auto, Demand, Disabled).
- {Date} : Date de dernière modification du service.
- {Taille} : Taille du processus qui lance le service.
- {Désignation} : Désignation du service (Donnée de la valeur "DisplayName").
- {Nom} : Nom du service (Sous clé de base de Registres).
- Proprietaire} : Propriétaire du service.
- {Processus} : Processus qui lance le service ((Donnée de la valeur "ImagePath").

Exemple 1 : Le service "AntiVirSchedulerService" d'Avira est démarré en mode "Auto"
SR - | Auto 13/05/2009 108289 | Avira AntiVir Planificateur (AntiVirSchedulerService) . (.Avira GmbH.) - C:\Program Files\Avira\AntiVir Desktop\sched.exe

Exemple 2 : Le service "gusvc" de Google est arrêté en mode "Demand".
SS - | Demand 02/02/2009 137200 | Google Updater Service (gusvc) . (.Google.) - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

- Les services arrêtés (SS) sont affichés en couleur olive.

Aperçu ZHPDiag

---\\ Etat général des services non Microsoft (EGS) (SR=Running, SS=Stopped)
SR - | Auto 13/05/2009 108289 | Avira AntiVir Planificateur (AntiVirSchedulerService) . (.Avira GmbH.) - C:\Program Files\Avira\AntiVir Desktop\sched.exe
SR - | Auto 21/07/2009 185089 | Avira AntiVir Guard (AntiVirService) . (.Avira GmbH.) - C:\Program Files\Avira\AntiVir Desktop\avguard.exe
SS - | Demand 02/02/2009 137200 | Google Updater Service (gusvc) . (.Google.) - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
SS - | Demand 22/10/2004 73728 | InstallDriver Table Manager (IDriverT) . (.Macrovision Corporation.) - c:\Program Files\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe

Equivalence RSIT

======List of services (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)======
R2 AntiVirSchedulerService;Avira AntiVir Planificateur; C:\Program Files\Avira\AntiVir Desktop\sched.exe [2009-05-13 108289]
R2 AntiVirService;Avira AntiVir Guard; C:\Program Files\Avira\AntiVir Desktop\avguard.exe [2009-07-21 185089]
S3 gusvc;Google Updater Service; C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe [2009-02-02 137200]
S3 IDriverT;InstallDriver Table Manager; c:\Program Files\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe [2004-10-22 73728]

Equivalence OTL

========== Win32 Services (All) ==========
SRV - File not found [On_Demand | Stopped] -- C:\Program Files\CA\CA Internet Security Suite\ccprovsp.exe -- (CaCCProvSP) => CA Internet Security Suite
SRV - [2010/06/21 20:41:30 | 000,028,762 | ---- | M] (MyWebSearch.com) [Auto | Stopped] -- C:\Program Files\MyWebSearch\bar\1.bin\MWSSVC.EXE -- (MyWebSearchService)

Equivalence AD-Remover

============== RECHERCHE ==============
Service: "PremierOpinion" Présent
Service: "Zwunzi Service" Présent

Exemple d'infection

---\\ Etat général des services non Microsoft (EGS) (SR=Running, SS=Stopped)
SR - | Auto 13/08/2009 101289 | BarDiscover Service - (.Pas de propriétaire.) - C:\ProgramData\BarDiscover\bardiscover133.exe => Infection BT (Adware.BarDiscover)
SS - | Disabled 08/01/2010 380928 | Application Updater (Application Updater) . (.Spigot, Inc..) - C:\Program Files\Application Updater\ApplicationUpdater.exe => Infection FakeAlert (Rogue.Eorezo)
SS - | Auto 08/01/2010 380928 | Application Updater (Application Updater) . (.Spigot, Inc..) - C:\Program Files\Application Updater\ApplicationUpdater.exe => Infection FakeAlert (Rogue.Eorezo)

SS - | Auto 01/04/2010 0 | Dhcp server (dhcpsrv) . (.Pas de propriÃ©taire.) - C:\WINDOWS\dhcp\svchost.exe => Infection Bot (Backdoor.Bot)
SS - | Auto 01/04/2010 0 | Findbasic Service (Findbasic Service) . (.Pas de propriÃ©taire.) - C:\Documents and Settings\All Users\Application Data\Findbasic\findbasic139.exe => Infection Bot (Win32/Adware.OneStep.A)
SS - | Auto 10/08/2009 0 | sopidkc Service (sopidkc) . (.Pas de propriÃ©taire.) - C:\WINDOWS\system32\sopidkc.exe => Infection Bot (Backdoor.Bot)
SS - | Auto 01/04/2010 0 | (avast!antivirus) . (.Pas de propriÃ©taire.) - C:\WINDOWS\System32\avast!Antivirus.exe => Infection Diverse (TR/Crypt.XPACK.Gen)
SS - | Auto 01/04/2010 0 | (darkness) . (.Pas de propriÃ©taire.) - C:\WINDOWS\system\svchost.exe => Infection FakeAlert (Trojan.FakeAlert)

Action ZHPFix (Suppression d'un service)

{Etat}- | {Mode} {Date} {} | {DataValue} ( {KeyService} ) . (...) - {FileName}

{Key} : Clé de Base de Registres [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services]
{Mode} : Donné de la valeur "Start" de la clé {Key}
{KeyService} : Sous clé de la clé {Key}
{FileName} : Donnée de la valeur "ImagePath" la clé [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\{KeyService}]

1) L'outil supprime la clé [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\{KeyService}]
2) L'outil supprime le processus {FileName}

Action ZHPFix (Démarrage/Arrêt d'un service)

{Commande}{Etat}- | {Mode} {Date} {} | {DataValue} ( {KeyService} ) . (...) - {FileName}

{Commande} : "START:" ou "STOP:".

1) La commande "STOP:" arrête le service
2) La commande "START:" démarre le service

Voir l'utilisation des commandes START et STOP.

Rapport ZHPFix (Suppression d'un service)

Ligne saisie
SS - | Demand 15/01/2010 227232 | McAfee Security Scan Component Host Service (McComponentHostService) . (.McAfee, Inc..) - C:\Program Files\McAfee Security Scan\2.0.181\McCHSvc.exe
SR - | Auto 13/08/2009 101289 | BarDiscover Service - (.Pas de propriétaire.) - C:\ProgramData\BarDiscover\bardiscover133.exe

Rapport de ZHPFix v1.12.3138 par Nicolas Coolman, Update du 25/08/2010

========== Clé(s) du Registre ==========
SS - | Demand 15/01/2010 227232 | McAfee Security Scan Component Host Service (McComponentHostService) . (.McAfee, Inc..) - C:\Program Files\McAfee Security Scan\2.0.181\McCHSvc.exe => Clé supprimée avec succès
SR - | Auto 13/08/2009 101289 | BarDiscover Service - (.Pas de propriétaire.) - C:\ProgramData\BarDiscover\bardiscover133.exe => Clé supprimée avec succès

========== Fichier(s) ==========
c:\program files\mcafee security scan\2.0.181\mcchsvc.exe => Supprimé et mis en quarantaine
C:\ProgramData\BarDiscover\bardiscover133.exe => Supprimé et mis en quarantaine

========== Récapitulatif ==========
2 : Fichier(s)
2 : Clé(s) du Registre

Rapport ZHPFix (Arrêt/Démarrage d'un service)

Lignes saisies :
START:SS - | Demand 02/02/2009 137200 | Google Updater Service (gusvc) . (.Google.) - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
STOP:SR - | Auto 21/07/2009 185089 | Avira AntiVir Guard (AntiVirService) . (.Avira GmbH.) - C:\Program Files\Avira\AntiVir Desktop\avguard.exe

Rapport de ZHPFix v1.12.3138 par Nicolas Coolman, Update du 24/08/2010

========== Etat des services ==========
Google Updater Service (gusvc) de Google => Service démarré avec succès
Avira AntiVir Guard (AntiVirService) de Avira GmbH => Service arrêté avec succès

========== Récapitulatif ==========
2 : Etat des services

Liens

* Liste de tous les services NT
- Configurer le démarrage d'un service

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_R1

ZHPDiag - Personnalisation (DEVELOPPEMENT)

Permet le démarrage du scan en mode autonome.

Stoppe la recherche en mode autonome. (Ce bouton s'affiche après le lancement du bouton "Start").

Affiche ou cache la zone de personnalisation.

Nettoie la zone de personnalisation

Note : Pour avoir un rapport ZHPDiag en incluant la recherche du module "Personnalisation", il suffit de coller les lignes dans la zone de personnalisation, puis de lancer la recherche avec le bouton "Loupe" du panel supérieur.

LIMINAIRES :

Le module de personnalisation a été crée le 12 octobre 2011.

Ce module permet d'éffectuer une recherche personnalisée de fichiers à l'aide de filtres et de jokers.

Le joker est le caractère étoile (*), il remplace tous les caractères.

SYNTAXE GENERALE :

Exemple 1 : Recherche tous les fichiers commençant par la chaine "ntuser"

,

%System32%\Config\systemprofile\ntuser*.*

---\\ Personnalisation (3)
[MD5.273DA06C1D4AE3FA3C17434352064468] (...) 13/04/2010 10:32:35 | ---A- | -- C:\Windows\system32\Config\systemprofile\ntuser.dat [262144]
[MD5.89DAC3F5D0D6826C4DE58721897D0310] (...) 14/07/2009 08:18:41 | --HA- | -- C:\Windows\system32\Config\systemprofile\ntuser.dat.LOG [1024]
[MD5.070E957BA6DD810A729317B92D1BFFD8] (...) 10/12/2009 18:50:03 | -SHA- | -- C:\Windows\system32\Config\systemprofile\ntuser.dat.LOG1 [9216]

Exemple 2 : Recherche les fichiers "dat" dans un dossier particulier,

%System32%\Config\systemprofile\*.dat

---\\ Personnalisation (7)
[MD5.273DA06C1D4AE3FA3C17434352064468] (...) 13/04/2010 10:32:35 | ---A- | -- C:\Windows\system32\Config\systemprofile\ntuser.dat [262144]
[MD5.A164452F7F7581D03CF949EDA04313E9] (...) 10/12/2009 18:50:03 | -SHA- | -- C:\Windows\system32\Config\systemprofile\ntuser.dat{6548d71f-e5b4-11de-b8eb-806e6f6e6963}.TM.blf [65536]
[MD5.59071590099D21DD439896592338BF95] (...) 10/12/2009 18:50:03 | -SHA- | -- C:\Windows\system32\Config\systemprofile\ntuser.dat{6548d71f-e5b4-11de-b8eb-806e6f6e6963}.TMContainer00000000000000000002.regtrans-ms [524288]

Exemple 3 : Recherche les ressources du système commençant par 'Win',

%System32%\win*.dll

---\\ Personnalisation (33)
[MD5.536E06B5A05C6E39C8748E3941FB083D] - (.Microsoft Corporation.) 20/11/2010 13:21:35 | ---A- | -- C:\Windows\system32\win32spl.dll [492032]
[MD5.C980C971AD4FF3CA5CEFDEF40932D3A1] (...) 10/06/2009 22:42:20 | ---A- | -- C:\Windows\system32\win87em.dll [13312]
[MD5.3FAD263CE1E2A6FFF40D00043B2275E3] - (.Microsoft Corporation.) 14/07/2009 02:16:18 | ---A- | -- C:\Windows\system32\winbio.dll [57856]

Exemple 4 : Recherche les pilotes du système,

%System32%\Drivers\*.sys

---\\ Personnalisation (304)
[MD5.FBCE2F43185104AE8BF4D32571B19203] - (.Microsoft Corporation.) 14/07/2009 00:51:21 | ---A- | -- C:\Windows\system32\Drivers\1394bus.sys [54784]
[MD5.1B133875B8AA8AC48969BD3458AFE9F5] - (.Microsoft Corporation.) 20/11/2010 11:01:12 | ---A- | -- C:\Windows\system32\Drivers\1394ohci.sys [164864]
[MD5.CEA80C80BED809AA0DA6FEBC04733349] - (.Microsoft Corporation.) 20/11/2010 13:29:15 | ---A- | -- C:\Windows\system32\Drivers\acpi.sys [274304]

Exemple 5 : Recherche les pilotes du root système,

%SYSTEMDRIVE%\*.sys

---\\ Personnalisation (6)
[MD5.ED4FC5980BD8B1AD869FF725C7776338] (...) 10/06/2009 22:42:20 | ---A- | -- C:\config.sys [10]
[MD5.D41D8CD98F00B204E9800998ECF8427E] (...) 12/10/2011 | RSHAD | -- C:\hiberfil.sys [-1880248320]
[MD5.D41D8CD98F00B204E9800998ECF8427E] (...) 19/01/2009 23:28:06 | RSHA- | -- C:\IO.SYS [0]

Exemple 6 : Recherche tous les fichiers du dossier ZHP,

%systemdrive%\zhp\*.*

---\\ Personnalisation (20)
~ Result for %systemdrive%\zhp\*.*
[MD5.FFA9013EF0DBDAFC0BDACA1F56172B9D] (...) 17/10/2011 08:04:32 | ---A- | -- C:\zhp\Licence.txt [1051]
[MD5.B95C5240EA23FA1D4D6830A7465F9E45] (...) 04/08/2011 17:37:01 | ---A- | -- C:\zhp\ZHPADSReport.txt [545]
[MD5.BD2F2C17BA3C6C9A04B934ADCBF32077] (...) 17/10/2011 08:04:45 | ---A- | -- C:\zhp\ZHPDiag.txt [49370]

SYNTAXE EQUIVALENTE :
%systemdrive%\zhp\*.
C:\ZHP\*.*
C:\ZHP\*.

RECHERCHE MULTILIGNE :

Exemple 1 : Recherche multiple

%system32%\config\systemprofile\ntuser*.*
%system32%\drivers\w*.sys

---\\ Personnalisation (23)
~ Result for %system32%\config\systemprofile\ntuser*.*
[MD5.273DA06C1D4AE3FA3C17434352064468] (...) 13/04/2010 10:32:35 | ---A- | -- C:\Windows\system32\Config\systemprofile\ntuser.dat [262144]
[MD5.89DAC3F5D0D6826C4DE58721897D0310] (...) 14/07/2009 08:18:41 | --HA- | -- C:\Windows\system32\Config\systemprofile\ntuser.dat.LOG [1024]
[MD5.070E957BA6DD810A729317B92D1BFFD8] (...) 10/12/2009 18:50:03 | -SHA- | -- C:\Windows\system32\Config\systemprofile\ntuser.dat.LOG1 [9216]
~ Result for %system32%\drivers\w*.sys
[MD5.DE3721E89C653AA281428C8A69745D90] - (.Microsoft Corporation.) 14/07/2009 00:46:53 | ---A- | -- C:\Windows\system32\Drivers\wacompen.sys [21632]
[MD5.3C3C78515F5AB448B022BDF5B8FFDD2E] - (.Microsoft Corporation.) 20/11/2010 11:07:45 | ---A- | -- C:\Windows\system32\Drivers\wanarp.sys [63488]
[MD5.CB45A417C8EF7BA6BAC67EDCDDED8700] - (.Microsoft Corporation.) 14/07/2009 00:24:11 | ---A- | -- C:\Windows\system32\Drivers\watchdog.sys [35328]

Exemple 2 : Recherche multiple

%System32%\Config\systemprofile\ntuser*.*
%System32%\Drivers\b*.sys
%SYSTEMDRIVE%\*.sys

---\\ Personnalisation (30)
~ Result for %system32%\config\systemprofile\ntuser*.*
[MD5.273DA06C1D4AE3FA3C17434352064468] (...) 13/04/2010 10:32:35 | ---A- | -- C:\Windows\system32\Config\systemprofile\ntuser.dat [262144]
[MD5.89DAC3F5D0D6826C4DE58721897D0310] (...) 14/07/2009 08:18:41 | --HA- | -- C:\Windows\system32\Config\systemprofile\ntuser.dat.LOG [1024]
[MD5.070E957BA6DD810A729317B92D1BFFD8] (...) 10/12/2009 18:50:03 | -SHA- | -- C:\Windows\system32\Config\systemprofile\ntuser.dat.LOG1 [9216]
~ Result for %system32%\drivers\b*.sys
[MD5.BD8869EB9CDE6BBE4508D869929869EE] - (.Broadcom Corporation.) 14/07/2009 23:02:49 | ---A- | -- C:\Windows\system32\Drivers\b57nd60x.sys [229888]
[MD5.2B8EE031FD700AB942EBE60665440E83] - (.Microsoft Corporation.) 14/07/2009 02:26:15 | ---A- | -- C:\Windows\system32\Drivers\battc.sys [25168]
[MD5.505506526A9D467307B3C393DEDAF858] - (.Microsoft Corporation.) 14/07/2009 00:45:01 | ---A- | -- C:\Windows\system32\Drivers\beep.sys [6144]
~ Result for %systemdrive%\*.sys
[MD5.ED4FC5980BD8B1AD869FF725C7776338] (...) 10/06/2009 22:42:20 | ---A- | -- C:\config.sys [10]
[MD5.D41D8CD98F00B204E9800998ECF8427E] (...) 12/10/2011 | RSHAD | -- C:\hiberfil.sys [-1880248320]
[MD5.D41D8CD98F00B204E9800998ECF8427E] (...) 19/01/2009 23:28:06 | RSHA- | -- C:\IO.SYS [0]

LES PARAMETRES :

/s

Ce commutateur permet la recherche récursive de fichier à partir d'un dossier donné. C'est à dire qu'il va étendre sa recherche a ses sous-dossiers.

Recherche tous les fichiers "dat" dans le dossier "SystemProfile" et ses sous-sossiers :
%system32%\config\systemprofile\*.dat /s

---\\ Personnalisation (55)
~ Result for %system32%\config\systemprofile\*.dat
[MD5.7F1A8177A58F7B3D25B0C62653525F9A] (...) 10/06/2011 19:04:51 | ---A- | -- C:\Windows\system32\Config\systemprofile\AppData\Local\Microsoft\Internet Explorer\MSIMGSIZ.DAT [49120]
[MD5.029ECC1497FAF9127F12C0A532509260] (...) 22/11/2010 16:55:02 | ---A- | -- C:\Windows\system32\Config\systemprofile\AppData\Local\Microsoft\Portable Devices\wpdlog00.sqm [284]
[MD5.364565A996FE3DEF7ECC28ECC4A06F3B] (...) 17/07/2011 07:43:38 | ---A- | -- C:\Windows\system32\Config\systemprofile\AppData\Local\Windows Internet Name Service\server.met [5]
[MD5.273DA06C1D4AE3FA3C17434352064468] (...) 13/04/2010 10:32:35 | ---A- | -- C:\Windows\system32\Config\systemprofile\ntuser.dat [262144]

%\Drivers%\*.sys /s
%ALLUSERSPROFILE%\a*.dll /s

---\\ Personnalisation (415)
~ Result for %drivers%\*.sys
[MD5.FBCE2F43185104AE8BF4D32571B19203] - (.Microsoft Corporation.) 14/07/2009 00:51:21 | ---A- | -- C:\Windows\system32\Drivers\1394bus.sys [54784]
[MD5.1B133875B8AA8AC48969BD3458AFE9F5] - (.Microsoft Corporation.) 20/11/2010 11:01:12 | ---A- | -- C:\Windows\system32\Drivers\1394ohci.sys [164864]
[MD5.CEA80C80BED809AA0DA6FEBC04733349] - (.Microsoft Corporation.) 20/11/2010 13:29:15 | ---A- | -- C:\Windows\system32\Drivers\acpi.sys [274304]
~ Result for %allusersprofile%\a*.dll
[MD5.012EBAEDB79A2CC74A87A0B099559B57] - (.Hewlett-Packard Development Company, L.P..) 07/10/2008 09:25:12 | ---A- | -- C:\Users\All Users\HP\Digital Imaging\Data\Destination\aiopfl.dll [12288]

/SP

Ce commutateur permet la recherche de fichiers contenant une sous chaîne particulière quelque soit sa position. La recherche est récursive, c'est à dire qu'elle s'étend aux sous-dossiers.

Recherche la sous-chaîne "Win' dans le dossier "Windows" :
%windows%\win*.*
%windows%\win*.* /SP

---\\ Personnalisation (14)
~ Result for %windows%\win*.*
[MD5.B8175281555ABE23D7696649ABF5D858] (...) 16/10/2011 12:09:44 | ---A- | -- C:\Windows\win.ini [287]
[MD5.5A5CFF37F1BD0F86B9BDAAD7A9445882] (...) 14/07/2009 05:41:57 | R-HA- | -- C:\Windows\WindowsShell.Manifest [749]
[MD5.AA7C6C75626193CF14147BDE950EEA41] (...) 10/12/2009 18:23:47 | ---A- | -- C:\Windows\WindowsUpdate (1).log [1786053]
[MD5.8EF30F5DFA0E8B52BDDA591D2EFA68CB] (...) 16/10/2011 12:10:37 | ---A- | -- C:\Windows\WindowsUpdate.log [1634513]
~ Result for %windows%\win*.* /sp
[MD5.2D65F8DB74C36819896CF809E4375F0A] - (.Realtek Semiconductor Corp..) 19/10/2007 23:35:43 | ---A- | -- C:\Windows\HideWin.exe [315392]
[MD5.B8175281555ABE23D7696649ABF5D858] (...) 16/10/2011 12:09:44 | ---A- | -- C:\Windows\win.ini [287]
[MD5.5A5CFF37F1BD0F86B9BDAAD7A9445882] (...) 14/07/2009 05:41:57 | R-HA- | -- C:\Windows\WindowsShell.Manifest [749]

/LockedFiles

Ce commutateur permet la recherche de fichiers pour lequels il n'est pas possible de calculer le MD5. Seuls ces fichiers sans MD5 seront édités.

%Drivers%\v*.sys /Lockedfiles

---\\ Personnalisation (3)
~ Result for %Drivers%\v*.sys /Lockedfiles
[MD5.00000000000000000000000000000000] (...) 10/12/2005 | RSHAD | -- C:\Windows\system32\Drivers\vaxscsi.sys [25824]
[MD5.00000000000000000000000000000000] (...) 11/02/2008 | RSHAD | -- C:\Windows\system32\Drivers\viamraid.sys [28522]
[MD5.00000000000000000000000000000000] (...) 02/05/2008 | RSHAD | -- C:\Windows\system32\Drivers\viasraid.sys (.12541)

/NS

Ce commutateur permet la recherche de fichiers non signé. Par non signé, il faut comprendre un fichier ne comportant pas la signature du propriétaire.

%Drivers%\s*.sys /NS

---\\ Personnalisation (27)
~ Result for %drivers%\s*.sys
[MD5.D41D8CD98F00B204E9800998ECF8427E] (...) 27/03/2010 00:00:00 | ---A- | -- C:\Windows\system32\Drivers\sptd.sys [691696]
[MD5.F92254B0BCFCD10CAAC7BCCC7CB7F467] (...) 12/11/2009 13:48:56 | ---A- | -- C:\Windows\system32\Drivers\StarOpen.sys [7168]

VARIABLES EQUIVALENTES

%AppData% : C:\Users\<UserName>\AppData, C:\Documents And Settings\<UserName>\Application Data

%SystemRoot%, %Windows%, %Windir : C:\Windows

%SystemRoot%\System32, %System32% : C:\Windows\System32

%SystemDrive% : C:\

%UserProfile% : C:\Users\<UserName>, C:\Documents And Settings\<UserName>

%AllUserSProfiles% : C:\Users\All Users\

%Drivers% : C:\Windows\System32\Drivers\

LE REGISTRE

La recherche d'une clé

Exemples :
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa
[HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control]
[HKLM\System\CurrentControlSet]

---\\ Personnalisation (3)
~ Result for HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa
~ Result for [HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control]
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control
~ Result for [HKLM\System\CurrentControlSet]
HKLM\System\CurrentControlSet

/s

Permet la recherche d'une clé de façon récursive, c'est à dire avec ses sous-clés et valeurs, mais sans l'affichage des données de valeur de clé.

Exemples :
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa /s

---\\ Personnalisation (12)
~ Result for HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa /s
[HKLM\system\currentcontrolset\control\lsa\AccessProviders]
[HKLM\system\currentcontrolset\control\lsa\Audit]
[HKLM\system\currentcontrolset\control\lsa\Credssp]

/RegExport

Permet d'exporter une clé de registre. L'affichage se fait exclusivement dans le bloc-notes Windows

Exemples :
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa /RegExport

Bloc-notes Windows
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa]
"auditbasedirectories"=dword:00000000
"auditbaseobjects"=dword:00000000

Glisser/Déposer (Drag&Drop)

Sur le principe, Le contenu d'un fichier texte placé sur le Bureau sera copié dans la zone personnalisation.

Méthode :

1) Ouvrir le NotePad de Windows, Saisir des lignes de recherche comme par exemple :
%Drivers%\tcpip.sys
%Drivers%\tdtcp.sys
%Drivers%\tdpipe.sys
%Drivers%\usbscan.sys

2) Enregistrer le fichier (extension TXT par défaut) sur le Bureau Windows avec le nom "Liste1".
3) Lancer ZHPDiag
4) Faire glisser le fichier "Liste1.txt" dans la zone personnalisation

Les 4 lignes du fichier "Liste1.txt" sont maintenant dans la zone de personnalisation, vous pouvez lancer la recherche (Bouton Start) ou le scan ZHPDiag (Bouton Loupe)

(C) Copyrights 2011 - Nicolas Coolman - All rights reserved


ZHPdiag_R1

ZHPDiag - Personnalisation

LES COMMANDES

Liste des commandes

ActiveX : Lister les éléments placés sous la clé de registre Installed Components.
Drivers32 : Lister tous les pilotes (drivers) du système.
LUF : Lancer l'utilitaire sigcheck. Les paramètres utilisés permettent de rechercher la liste des fichiers non signés.
MBR : Lancer l'utilitaire Master Boot Record MBR.
MSConfig : Lister les éléments placés sous la clé de registre MSConfig.
NetSvcs : Lister les éléments de registre démarrés par Svchost.
NsLookup : Lister les DNS Serveur.
SafeBoot : Lister les éléments placés sous la clé de registre SafeBoot.
StartMenuInternet : Enumérer les navigateurs installés.
SysRestore : Créer un point de restauration du système.

ActiveX

Cette commande permet de lister les éléments placés sous la clé de registre "HKLM\Software\Microsoft\Active Setup\Installed Components".

ActiveX

----\\ Composants installés (ActiveSetup Installed Components) (O40)
O40 - ASIC: Internet Explorer - >{26923b43-4d38-484f-9b9e-de460746276c} . (.Microsoft Corporation - Utilitaire d'initialisation d'Internet Explorer par utilisateur.) -- C:\Windows\System32\ie4uinit.exe
O40 - ASIC: Browser Customizations - >{60B49E34-C7CC-11D0-8953-00A0C90347FF} . (.Microsoft Corporation - Personnalisation d’IEAK.) -- C:\Windows\System32\iedkcs32.dll
O40 - ASIC: Adobe Flash Player - {D27CDB6E-AE6D-11CF-96B8-444553540000} . (.Adobe Systems, Inc. - Adobe Flash Player 10.0 r45.) -- C:\Windows\system32\Macromed\Flash\Flash10e.ocx
~ Scan Active Setup in 00mn 00s

Voir aussi les informations données sur le module O40.

Drivers32

Cette commande permet de rechercher tous les pilotes (drivers) du système.

drivers32

---\\ Personnalisation (294)
~ Result for drivers32
[MD5.FBCE2F43185104AE8BF4D32571B19203] - (.Microsoft Corporation.) 14/07/2009 00:51:21 | ---A- | -- C:\Windows\system32\Drivers\1394bus.sys [54784]
[MD5.1B133875B8AA8AC48969BD3458AFE9F5] - (.Microsoft Corporation.) 20/11/2010 11:01:12 | ---A- | -- C:\Windows\system32\Drivers\1394ohci.sys [164864]
[MD5.CEA80C80BED809AA0DA6FEBC04733349] - (.Microsoft Corporation.) 20/11/2010 13:29:15 | ---A- | -- C:\Windows\system32\Drivers\acpi.sys [274304]

Commande équivalente :
%Drivers%\*.sys
%System32%\Drivers\*.sys

LUF

Cette commande permet de lancer l'utilitaire sigcheck. Les paramètres utilisés permettent de rechercher la liste des fichiers non signés. (LUF - List Unsigned Files).
LUF

---\\ Liste des fichiers non signés (O65)
O65 - LUF:13/12/2006 (.Pas de propriétaire - CddbFileTagger Module.) (2, 0, 0, 3) - c:\windows\system32\CddbFileTaggerRoxio.dll
O65 - LUF:13/12/2006 (.Pas de propriétaire - CddbPlaylist2 Module.) (2, 4, 1, 9) - c:\windows\system32\CddbPlaylist2Roxio.dll
O65 - LUF:29/08/2008 (.Pas de propriétaire - .) (1.0.0.0) - c:\windows\system32\Intraweb_100_120.bpl
O65 - LUF:11/06/1998 (.Pas de propriétaire - Reference Implementation.) (V1.0FC13) - c:\windows\system32\Lffpx7.dll
O65 - LUF:23/09/2006 (.Pas de propriétaire - PyWin32.) (2.5.210.0) - c:\windows\system32\pythoncom25.dll
O65 - LUF:23/09/2006 (.Pas de propriétaire - PyWin32.) (2.5.210.0) - c:\windows\system32\pywintypes25.dll
~ Scan Sigcheck in 00mn 04s

L'affichage se fait uniquement dans la zone résultat. Voir aussi les informations données sur le module O65.

MBR

Cette commande permet de lancer l'utilitaire MBR de Gmer.
MBR

---\\ Recherche Master Boot Record Infection (MBR)(O80)
Stealth MBR rootkit/Mebroot/Sinowal/TDL4 detector 0.4.2 by Gmer, http://www.gmer.net
Run by Coolman at 10/11/2011 23:36:53

device: opened successfully
user: MBR read successfully

Disk trace:
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys ACPI.sys halmacpi.dll >>UNKNOWN [0x8623D1F8]<<
1 ntkrnlpa!IofCallDriver[0x82E4852A] -> \Device\Harddisk0\DR0[0x86622518]
3 CLASSPNP[0x8B49C59E] -> ntkrnlpa!IofCallDriver[0x82E4852A] -> [0x855BB128]
5 ACPI[0x8B3543D4] -> ntkrnlpa!IofCallDriver[0x82E4852A] -> \Device\0000006b[0x855BBC68]
\Driver\nvstor32[0x85545638] -> IRP_MJ_CREATE -> 0x8623D1F8
kernel: MBR read successfully
user & kernel MBR OK
~ Scan MBR in 36mn 53s

L'affichage se fait uniquement dans la zone résultat. Voir aussi les informations données sur le module O80.

MSConfig

Cette commande permet de lister les éléments placés sous la clé de registre "HKLM\Software\Microsoft\Shared Tools\msconfig". Ces informations sont significatives jusqu'à windows NT 5 (XP).

MSConfig

---\\ Personnalisation (5)
~ Result for MSConfig
O53 - SMSR:HKLM\...\startupreg\HPADVISOR [Key] . (.Hewlett-Packard - HP Advisor.) -- C:\Program Files\Hewlett-Packard\HP Advisor\HPAdvisor.exe

Voir aussi les informations données sur le module O53.

NetSvcs

Cette commande permet de lister les éléments placés dans la valeur "NetSvcs" de la clé de registre "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Svchost".

NetSvcs

---\\ Recherche des services démarrés par Svchost (O83)
O83 - Search Svchost Services: AeLookupSvc (AeLookupSvc) . (.Microsoft Corporation - Service Expérience d’application.) -- C:\Windows\System32\aelupsvc.dll [62464]
O83 - Search Svchost Services: SENS (SENS) . (.Microsoft Corporation - Service de notification d’événements système (SENS).) -- C:\Windows\System32\sens.dll [49664]
O83 - Search Svchost Services: BDESVC (BDESVC) . (.Microsoft Corporation - Service BDE.) -- C:\Windows\System32\bdesvc.dll [76800]
~ Scan Services in 00mn 00s

Voir aussi les informations données sur le module O83.

NsLookup

Cette commande permet de lister les DNS Serveur.

NsLookup

---\\ Recherche détournement de DNS routeur (O89)
Serveur : UnKnown
Address: 192.168.0.1
Nom : www.l.google.com
Addresses: 74.125.39.147
74.125.39.105
74.125.39.104
74.125.39.106
74.125.39.99
74.125.39.103
Aliases: www.google.fr
www.google.com
~ Scan DNS in 00mn 02s

Voir aussi les informations données sur le module O89.
Equivalence en mode commande "nslookup www.google.fr /c"

SafeBoot

Cette commande permet de lister les éléments placés sous les clés de registre

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Safeboot\Minimal
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Safeboot\Network

MSConfig

---\\ Contrôle du Safe Boot (CSB) (O49)
O49 - CSB:Control Safe Boot HKLM\...\CCS\Minimal\sermouse.sys . (.Microsoft Corporation - Pilote de filtre souris série.) -- C:\Windows\system32\Drivers\sermouse.sys
O49 - CSB:Control Safe Boot HKLM\...\CCS\Minimal\vga.sys . (.Microsoft Corporation - VGA/Super VGA Video Driver.) -- C:\Windows\system32\Drivers\vga.sys
O49 - CSB:Control Safe Boot HKLM\...\CCS\Network\ipnat.sys . (.Microsoft Corporation - IP Network Address Translator.) -- C:\Windows\system32\Drivers\ipnat.sys
O49 - CSB:Control Safe Boot HKLM\...\CCS\Network\nsiproxy.sys . (.Microsoft Corporation - NSI Proxy.) -- C:\Windows\system32\Drivers\nsiproxy.sys
~ Scan CSB in 00mn 00s

Voir aussi les informations données sur le module O49.
Commande équivalentes à l'action des deux commandes SafeBootMinimal et SafeBootNetwork de l'outil OTL.

StartMenuInternet

Cette commande permet d'énumérer tous les navigateurs internet installés. La recherche s'effectue au niveau des valeurs Command de la clé de registre :

HKLM\SOFTWARE\Clients\StartMenuInternet

StartMenuInternet

---\\ Start Menu Internet (O68)
O68 - StartMenuInternet: <chrome.exe> <Google Chrome>[HKLM\..\Shell\open\Command] (.Google Inc. - Google Chrome.) -- C:\Program Files\Google\Chrome\Application\chrome.exe
O68 - StartMenuInternet: <FIREFOX.EXE> <Mozilla Firefox>[HKLM\..\Shell\open\Command] (.Mozilla Corporation - Firefox.) -- C:\Program Files\Mozilla Firefox\firefox.exe
O68 - StartMenuInternet: <Google Chrome> <Google Chrome>[HKLM\..\Shell\open\Command] (.Google Inc. - Google Chrome.) -- C:\Program Files\Google\Chrome\Application\chrome.exe
O68 - StartMenuInternet: <IEXPLORE.EXE> <Internet Explorer>[HKLM\..\Shell\open\Command] (.Microsoft Corporation - Internet Explorer.) -- C:\Program Files\Internet Explorer\iexplore.exe
O68 - StartMenuInternet: <Opera> <Opera>[HKLM\..\Shell\open\Command] (.Opera Software - Opera Internet Browser.) -- C:\Program Files\Opera\Opera.exe
~ Scan Keys in 00mn 00s

Voir aussi les informations données sur le module O68.
Commande correspondant à l'action "hklm\software\clients\startmenuinternet|command /rs" de l'outil OTL.

SysRestore

Cette commande permet de créer un point de restauration du système.

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Safeboot\Minimal
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Safeboot\Network

SysRestore

--\\ Point de restauration du système
Point de restauration du système créé avec succès
~ Scan System Restore Point in 00mn 28s

Commande équivalentes à la commande CREATERESTOREPOINT de l'outil OTL.

(C) Copyrights 2011 - Nicolas Coolman - All rights reserved


ZHPdiag_Entete

ZHPDiag - Fin du rapport (FDR)

Origine

- Les module de fin de rapport (FDR) ont été crées le 16 novembre 2010.

Caractéristiques

- Il permet de lister les émultateurs de CD/DVD qui "hookent" légitimementle MBR (Master Boot Record). L'information provient d'un filtre sur le module logiciel O42 et sur lemodule drivers O58.

Aperçu ZHPDiag

---\\ Liste des émulateurs de CD/DVD (Hook du MBR).
O58 - SDL:[MD5.1600000000000000000000002CEF1200] - 27/03/2010 - 02:49:04 ---A- . (...) -- C:\Windows\system32\drivers\sptd.sys


ZHPdiag_MLC

ZHPDiag - Ligne de commande (MLC)

Origine

- Le module MLC de ligne de commande a été crée le 10 juin 2009.

Caractéristiques

L'outil peut-être exécuter en ligne de commande, c'est à dire sans affichage de l'interface utilisateur.

ZHPDiag [/Option]

Option :
B (Background) - Travaille en arrière plan sans affichage du Log. v1.24.12
BL (Background/Log) - Travaille en arrière plan avec affichage du Log (Quelques modules seulement). v1.24.30
BLF (Background/Log/Full) - Travaille en arrière plan, affichage du Log, Full module (sauf O45,O61,O65,O82) v1.25.1412
BLM (Background/Log/Full) - Travaille en arrière plan, affichage du Log, Full module (sauf O45,O61,O65,O80,O82) v2013.5.17.130

Exemple d'utilisation

ZHPDiag.exe /BLF

- Exclus les modules O45,O61,O65,O82
- Scanne en mode silencieux (Pas d'affichage de l'interface utilisateur),
- Affiche une icone dans le systray le temps du traitement,
- Affiche le rapport en fin de traitement dans le Notepad Windows,
- Place sur le bureau une copie du fichier rapport 'ZHPDiag.txt'.

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


GIF - Graphic Interchange Format

ZHPFix - ChangeLog

Evolutions

Mai 2013
- 11/05/13 : Paramètres de ligne de commande pour l'exécution d'un fichier de script (2013.5.11.1)
- 24/05/13 : Prise en charges des nouvelles valeurs Security Center & Tools Informations. (2013.5.24.2)

Mars 2013

- 02/03/13 : Module O4G, Désinfection des raccourcis ((2013.3.22.0)
- 09/03/13 : Module O4G, Liste blanche pour les processus Chrome,Firefox,Internet Explorer,Opera & Safari (2013.3.9.1)

Fevrier 2013

- 05/02/13 : Prise en charge de la suppression de la quarantaine SUPERAntiSpyware (1.3.14)
- 12/02/13 : Correctif, Suppression d'un Overflow sur les dossiers (<2000) (1.3.15)
- 15/02/13 : UAC, Suppression du redémarrage de ZHPFixDiag en cas d'activation par l'utilisateur (1.3.16)
- 18/02/13 : Module O68, Prise en charge en optimisation de la surcharge de sites malware (1.3.17)
- 20/02/13 : Module R1, Prise en charge de la nouvelle valeur "CustomizeSearch" (1.3.18)
- 21/02/13 : Correctif d'un overflow 2000 sur la suppression de fichiers (1.3.19)
- 22/02/13 : Module O4G, Traitement du nouveau format de ligne (Desktop,Programs,QuickLaunch,TaskBar) (1.3.20)
- 25/02/13 : Module O4G, Traitement du format de ligne "Accessories" (1.3.21)

Janvier 2013

- 18/01/13 : Module O90, Correctif d'affichage de suppression dans le rapport. (1.3.12)
- 26/01/13 : Suppression de messages de contrôles (1.3.13)

Décembre 2012

- 06/12/12 : Prise en charge du module O90 (PUC), Product Upgrade Codes (1.3.08)
- 07/12/12 : Correction mineure. (1.3.09)
- 10/12/12 : Révision de la fonction HostFix (1.3.10)
- 30/12/12 : Prise en charge du module O92 (MNS), MyComputer Name Space (1.3.11)

Novembre 2012

- 02/11/12 : Prise en compte des formats long des ruches (1.3.05)

- 09/11/12 : Détection des versions Microsoft Windows 8 (1.3.06)

- 13/11/12 : Module O2, Correctif pour Windows XP (1.3.07)

Septembre 2012
- 01/09/2012 : Corbeille vidée au démarrage du nettoyage. (1.2.09)

- 07/09/12 : Correctif dans le module R1,O2,O22,O40 sur les OS 64bits. (1.2.10)

- 19/09/12 : Prise en charge de la chaîne OPT: suivie d'un espace. Pour palier le smiley d'un éditeur de forum (1.2.11)

- 20/09/12 : Suppression des boutons intermédiaires (OK,FIX,Nettoyer,Tous,Aucun) et du principe de cases cochées (1.3.00)

- 22/09/12 : Suppression du bouton 'H' Helper, utiliser à la place le bouton "Coller le Presse-Papier" (1.3.01)

- 26/09/12 : Prise en compte d'une suppression d'une donnée de page de démarrage Internet Explorer (Babylon). (1.3.02)

- 29/09/12 : Création d'un bouton UAC pour désactiver l'UAC à partir des stations NT6 (1.3.03)

- 30/09/12 : Suppression du bouton UAC pour désactiver l'UAC à partir des stations NT6 (1.3.04)

Août 2012
- 27/08/2012 : Modification dans le module HiddenFix pour le fichier Desktop.ini (1.2.08)

Juillet 2012
- 20/07/2012 : Modification de la commande EmptyTemp (1.2.07)

Avril 2012
- 10/04/2012 : Migration Embarcadero RAD Studio XE2 (1.2.00)
- 15/04/2012 : Nouvelle fonction EmptyCLSID (1.2.01)
- 16/04/2012 : Correctif dans le module des services O23 (1.2.02)
- 18/04/2012 : Remplacement des fonctions d'accès registre pour OS 64Bits (1.2.03)
- 23/04/2012 - Correctif dans le module O60/DhcpNameServer (1.2.04)
- 30/04/2012 : Correctif dans le module d'entête pour les valeurs "Modified" (1.2.05)

Février 2012
- 08/02/2012 : Correctif dans le module Google G0 pour OX Windows XP (1.12.3381)
- 05/02/2012 : Prise en compte de clés 64Bits du module R1 de ZHPDiag(1.12.3379)

Janvier 2012
- 10/01/2012 : Modification du module de récupération de fichier Registre (1.12.3378)

Decembre 2011
- 25/12/2011 : Correctif "opération de pointeur incorrect" (1.12.3377)
- 20/12/2011 : Correctif pour la prise en compte d'un overflow de lignes UserPrefs (1.12.3376)
- 16/12/2011 : Prise en charge du nouveau module O36/SMK. (1.12.3375)
- 05/12/2011 : Message d'alerte de confirmation de suppression de données. (1.12.3374)

Novembre 2011
- 24/11/2011 : Correctif dans le module de suppression de clé O16/DPF. (1.12.3373)
- 22/11/2011 : Correctif dans le module de suppression de processus. (1.12.3372)
- 18/11/2011 : Prise en compte des 3 nouvelles valeurs du module O68. (1.12.3369)
- 12/11/2011 : Mise à niveau des versions SigCheck et SetACL 32 et 64Bits. (1.12.3368)

Octobre 2011
- 29/10/2011 : Prise en compte d'une nouvelle valeur "Start_ShowMyComputer" (1.12.3367)
- 26/10/2011 : Correctif d'un message d'overflow dur le module Folders (v1.12.3366)
- 18/10/2011 : Prise en compte du nouveau module BootExecute O34 (v1.12.3364)
- 05/10/2011 : Correctif dans la suppression de clé CLSID\NameServer du module O60. (v1.12.3363)

Septembre 2011
- 23/09/2011 : Prise en charge des valeurs de clé "ExpandString" lors de la désinstallation logicielle. (v1.12.3362)
- 06/09/2011 : Ajout d'un mode de suppression de fichier supplémentaire. (1.12.3361)

Aout 2011
- 23/08/2011 : Correctif dans la suppression de clé O69/SearchScope (1.12.3357)
- 17/08/2011 : Correctif dans l'attribution des indices des fichiers rapport (1.12.3356)
- 14/08/2011 : Correctif du message d'erreur Kernel sur la suppression de dossier. (1.12.1352)
- 13/08/2011 : Prise en charge du module M0 sur le fichier utilisateur de Mozilla/Firefox. (1.12.3351)
- 11/08/2011 : Le fichier de rapport passe au format ZHPFix[Rx].txt ('x' correspondant au nombre de rapports). (1.12.3349)
- 03/08/2011 : Centralisation des rapports dans le dossier %Root%\ZHP. (1.12.3345)

Juillet 2011
- 12/07/2011 : Correctif sur la commande CTFDisabled. (v1.12.3338)

Juin 2011
- 28/06/2011 : Correctif sur le module des fichiers cachés HiddenFix. (v1.12.3332)
- 26/06/2011 : Correctif de suppression d'une clé O87 comportant un '\'. (v1.12.3316/3328)
- 22/06/2011 : Divers ajustements de code. (v1.12.3316/3322)
- 16/06/2011 : Traitement d'une erreur de violation d'accès. (v1.12.3312/3315)
- 13/06/2011 : Traitement du mode de reflexion pour les clés 64Bits. (v1.12.3309)
- 13/06/2011 : Modification d'accès au clés de registre Wow6432Node/64Bits. (v1.12.3308)
- 12/06/2011 : Ajout du chemin du fichier rapport en fin de rapport (v1.12.3307)
- 10/06/2011 : Correctif du chemin du fichier de préférences Google Chrome pour les stations XP (1.12.3306)
- 09-06/2011 : Correctif dans le module de préférences Mozilla Firefox. (1.12.3305)
- 08/06/2011 : Fermeture de tous les navigateurs au démarrage de l'application. (1.12.3304)
- 08/06/2011 : Fermeture du processus "Explorer" pendant le nettoyage. (1.12.3303)
- 07/06/2011 : Prise en charge des 3 nouvelles valeurs du module SecurityCenter. (1.12.3302)
- 05/06/2011 : Commande HiddenFix, suppression du fichier "Start Menu\Desktop.ini". (1.12.33)
- 04/06/2011 : Correctif dans le module BHO. (1.12.3296)
- 04/06/2011 : Mise à jour de la documentation "Commentaire de ligne". (1.12.3295)
- 03/06/2011 : Suite de la refonte de l'affichage du statut de ligne. (1.12.3292/3294)

Mai 2011
- 31/05/2011 : Correctif pour la reconnaissance du fichier de préférences Mozilla Firefox ('v1.12.3290)
- 30/05/2011 : Module G0\G1, Correctif d'affichage du fichier de préférences Google Chrome. (1.12.3290)
- 30/05/2011 : Refonte complète de l'affichage du statut de ligne (SUPPRIME,ABSENT,ERREUR,...) (1.12.3289)
- 27/05/2011 : Modification d'affichage de suppression de fichier/dossier. (1.12.3286)
- 22/05/2011 : Correctif de message Violation d'accès. (1.12.3285)
- 19/05/2011 : Modification dans le module Legacy. (1.12.3284)
- 14/05/2011 : Correctif dans le module de suppression de logiciel. (1.12.3283)
- 06/05/2011 : Concaténation des commandes dans le rapport de suppression. (1.12.3282)
- 05/05/2011 : Ajout d'un nouveau bouton "EmptyFlash". (1.12.3281)
- 04/05/2011 : Modification dans le module de suppression de clé 64Bits. (1.12.3280)

Avril 2011
- 27/04/2011 : Modification dans le module de suppression de clé (Module O88) (1.12.3279)
- 22/04/2011 : Ajout d'un nouveau bouton "HiddenFix". (1.12.3276)
- 20/04/2011 : Création d'une liste blanche de dossiers.(1.12.3275)
- 06/04/2011 : Supprime le bornage \" rajouté par Pjjoint de Malekal dans les rapports ZHPDiag. (1.12.3273)
- 03/04/2011 : Commande HiddenFix, Changement d'attribut caché en normal de certains dossiers. (1.12.3272)
- 02/04/2011 : Module O88, prise en compte des valeurs de clés de registre . (1.12.3271)

Mars 2011
- 30/03/2011 : Module O4, prise en compte de la clé Run Terminal Server. (1.12.3269)
- 28/03/2011 : Ajout d'un nouveau bouton "GO" d'action rapide. (1.12.3266)
- 25/03/2011 : Correctif d'affichage dans le module de suppression de clé. (1.12.3264)
- 22/03/2011 : Module O41, Création d'une liste blanche pour empêcher la suppression de pilotes génériques. (1.12.3263)
- 21/03/2011 : Module O39, Correctif pour palier le cas d'un not file. (1.12.3262)
- 21/03/2011 : Module O88, Prise en compte des lignes avec commentaire. (1.12.3261)
- 11/03/2011 : Correctif dans le module de restauration de quarantaine. (1.12.3260)
- 10/03/2011 : Module de Quarantaine, désactivation du saut de ligne. (1.12.3259)
- 06/03/2011 : Correctif dans la fonction de suppression de fichiers conduisant à un BSOD. (1.12.3258)
- 05/03/2011 : Suppression des commentaires ZHPHelper de fin de ligne. (1.12.3257)

Février 2011
- 23/02/2011 : Modification d'affichage du rapport en cas de prèsence de commande de script. (1.12.3256)
- 20/02/2011 : Module R5, Traitement du nouveau module Internet Explorer Proxy Management. (1.12.3255)
- 18/02/2011 : Module O53, Elévation d'autorisation pour suppression d'une clé 64Bits. (1.12.3254)
- 17/02/2011 : Module O23, Correctif pour la prise en charge de clés avec la chaîne (R). (1.12.3253)
- 15/02/2011 : Module R4, Traitement du nouveau module. (1.12.3252)
- 07/02/2011 : Correctif dans le module R1 sur la valeur SearchAssistant. (v.1.12.3251)
- 05/02/2011 : Module M3, Traitement du nouveau module. (v.1.12.3250)
- 04/02/2011 : Commande FirewallRAZ, prise en charge du module O87. (v.1.12.3249)
- 03/02/2011 : Module O69, Correctif sur la suppression d'une valeur DefaultScope conduisant à une clé absente. (1.12.3249)
- 03/02/2011 : Module O81, Correctif dans le module d'ouverture de clé conduisant à une valeur absente. (1.12.3248)
- 02/02/2011 : Commande EmptyTemp, complément de suppression au cache de Sun Java. (v.1.12.3247)
- 02/02/2011 : Création de la commande de script EmptyFlash, Traitement des flash cookies (v.1.12.3247)
- 02/02/2011 : Création de la commande de script QuarantineRestoreAll, restauration totale de la quarantaine (v.1.12.3246)
- 01/02/2011 : Création de la commande de script QuarantineRestore, restauration partielle de la quarantaine (v.1.12.3245)

Janvier 2011
- 27/01/2011 : Module O87, Prise en charge du nouveau module (v.1.12.3244)
- 26/01/2011 : Création de la commande FirewallRAZ, accessible seulement par script (v.1.12.3243)
- 25/01/2011 : Module O47, Prise en compte de la nouvelle syntaxe ZHPDiag. (v.1.12.3242)
- 24/01/2011 : Mise en place d'un contrôle de selection de ligne avant le nettoyage. (v.1.12.3241)
- 21/01/2011 : Création de la commande SysRestore, accessible par script (v.1.12.3240)
- 20/01/2011 : Module MBRFix, Changement d'API pour le lancement de MBR de Gmer. (1.12.3239)
- 15/01/2011 : Module O42, Prise en compte de la clé Wow6432Node (64Bits). (1.12.3238)
- 12/01/2011 : Module O1, Ajout du fichier Hosts sain dans le setup d'installation. (1.12.3237)
- 05/01/2011 : Module O69, Modification sur la recherche du dossier AppData. (1.12.3236)
- 03/01/2011 : Module O86, Recherche d'infection Rogue (1.12.3235)
- 03/01/2011 : Module O69, Ajout de la suppression de la clé registre si malware(1.12.3234)

Decembre 2010
- 30/12/2010 : Module O53, Prise en charge de la suppression des clés 64Bits (1.12.3233)
- 29/12/2010 : Module O69, Correctif dans la suppression de lignes "user_pref". (1.12.3232)
- 23/12/2010 : Module O1, Modification de la commande HOSTFix. (1.12.3230)
- 20/12/2010 : Module G2, Ajout de la suppression du module d'extension dans le fichier de préférences.(1.12.3229)
- 20/12/2010 : Création d'un bouton 'SysRestore' pour la création d'un point de restauration du système.(1.12.3229)
- 19/12/2010 : Création d'un bouton pour accéder à l'outil Microsoft Windows Clean Manager. (1.12.3228)
- 16/12/2010 : Correctif dans le module de script registre. (1.12.3227)
- 15/12/2010 : Ajout d'un bouton de catégorie "Optimise". (1.12.3227)
- 06/12/2010 : Reconnaissance automatique de la langue par défaut au démarrage du système. (1.12.3226)

Novembre 2010
- 27/11/2010 : Création de la commande EmptyTemp, accessible par script et via l'interface utilisateur (v.1.12.3222)
- 20/11/2010 : Correctif dans le module O39 pour la suppression des taches planifiées. (v1.12.3220)
- 17/11/2010 : Modification de la gestion de la quarantaine fichier/dossier.(v1.12.3218)
- 12/11/2010 : Traitement du module B1 (OSP) - Page de recherche du navigateur Opera. (v1.12.3217)
- 12/11/2010 : Traitement du module G1 (GCS) - Page de recherchedu navigateur Google Chrome. (v1.12.3217)
- 11/11/2010 : Traitement du module G2 (GCE) - Programmes d'extension du navigateur Google Chrome. (v1.12.3216)
- 11/11/2010 : Traitement du module G0 (GCSP) - Page de démarrage du navigateur Google Chrome. (v1.12.3216)
- 08/11/2010 - Prise en charge des nouvelles lignes des tâches planifiées de ZHPDiag (O39). (v1.12.3215)

Octobre 2010
- 30/10/2010 - Correctif dans le module ProxyFix. (v1.12.3214)
- 27/10/2010 - Correctif dans le module HostFix. (v1.12.3213)
- 14/10/2010 - Mise en place du procédé de drag & drop de fichier. (v.1.12.3211)
- 13/10/2010 - Ajout d'un message de confirmation pour vider la quarantaine. (v.1.12.3210)
- 12/10/2010 - Création de la commande FCOPY pour le traitement des processus infectés. (v.1.12.3209)
- 04/10/2010 - Correctif dans le module de commande du ServiceDisabled. (v.1.12.3206)

Septembre 2010
- 29/09/2010 - Correctif dans le module de commande CTFFix sur les OS XP. (v1.12.3205)
- 29/09/2010 - Module R0 (PDIE) - La page de démarrage d'Internet Explorer devient celle de Google France. (v.1.12.3204)
- 28/09/2010 - Correctif dans le module de mise en quarantaine de fichiers. (v.1.12.3203)
- 26/09/2010 - Module O69 (SBI) - Prise en charge d'une clé CLSID malware particulière. (v.1.12.3202)
- 25/09/2010 - Création de la commande CTFFix, accessible via l'interface utilisateur (v.1.12.3201)
- 22/09/2010 : Nouvelle interface utilisateur pour le traitement de certaines commandes. (v.1.12.32)
- 21/09/2010 : Création de la commande ProxyFix pour le traitement du proxy. (v.1.12.3155)
- 20/09/2010 : Module O63 (LATC)- Traitement du nouveau format. (v.1.12.3154)
- 16/09/2010 : Module O4 (ALDS) - Correctif dans le traitement du fichier de lien. (v.1.12.3153)
- 14/09/2010 : Module O64 (LALS) - Intégration de la récursivité des autorisations spéciales. (v.1.12.3151)
- 09/09/2010 : Création des commandes CTFEnable & CTFDisabled. (v.1.12.3148)
- 07/09/2010 : Module B0 (SPO) - Page de démarrage du navigateur Opera. (v.1.12.3147)
- 05/09/2010 : Correctif dans le module de commande HOSTFix. (v.1.12.3144)
- 02/09/2010 : Traite le nouveau module M2 (MFEP) pour les programmes d'extension de Mozilla Firefox. (v.1.12.3143)

Aôut 2010
- 31/08/2010 : Traite le nouveau module M0 (MFSP) pour la page de démarrage Mozilla Firefox. (V.1.12.3142)
- 28/08/2010 : Modification des actions commandes de configuration des services. (V.1.12.3141)
- 27/08/2010 : Création des commandes de configuration des services. (V.1.12.3139)
- 24/08/2010 : Création des commandes START et STOP pour le démarrage des services. (V.1.12.3138)
- 23/08/2010 : Création de la commande OPT pour le traitement de l'optimisation. (V.1.12.3137)
- 22/08/2010 : Nouvelle fonction de suppression de fichiers. (V.1.12.3136)
- 05/08/2010 : Nouveau traitement des lignes software. (V.1.12.3135)
- 01/08/2010 : Création de la commande IFEOFix. (V.1.26.3134)

Juillet 2010
- 26/07/2010 : Création de la commande HOSTFix. (V.1.26.3133)
- 14/07/2010 : Traitement des lignes du module P2, plugins du navigateur Mozilla Firefox. (V.1.26.3132)
- 12/07/2010 : Ajout de la restauration de la donnée par défaut pour les extensions de fichier "SCR" et "REG" du module O67. (V.1.26.3131)
- 10/07/2010 : Création de la commande MBRFix. (V.1.26.3130)
- 03/07/2010 : Modificatif portant sur la suppression automatique de clés classes\CLSID. (V.1.26.3129)
- 01/07/2010 : Modification d'affichage des titres de modules dans le rapport. (V.1.26.3128)
- 17/06/2010 : Placement du fichier de rapport de suppression sur le bureau. (V.1.26.3127)
- 15/06/2010 : Traitement des clés "Run" de la branche "Wow6432Node" pour les OS 64bits Vista/7. (V.1.26.3126)
- 11/06/2010 : Traite le nouveau module ZHPDiag O81/Internet Feature Controls (IFC) par suppression de la valeur de clé. (V.1.26.3125)
- 31/05/2010 : Elevation de privilèges sur les stations Vista/Seven (UAC). (V.1.26.3124)

(C) Copyrights 2010-2011 - Nicolas Coolman - All rights reserved


ZHPFix_Commentaires

ZHPFix - Commentaires de nettoyage

Origine

Refonte des commentaires de nettoyage effectuée le 03 juin 2011.

Modules concernés

B0,B1,F2,F3,M2,P2,R3,O2,O3,O4,O4GS,O5,O8,O9,O11,O12,O13,O15,O16,O18,O19,O20,O21,O22,O23,O24,O39,O40,O41,O47,O51,O53,O64,O67,O68,O69,O81,O83,SR\SS,

Syntaxe

<Commande Principale> <Commentaire:> <Libellé>

Exemple : SUPPRIME Service Legacy: LEGACY_26259261

Commandes principales :

ABSENT: Indique une absence d'action.
CREE: Confirme une action de création.
ERREUR: Caractèrise une erreur de commande en suppression, création ou modification.
LISTE BLANCHE: Concerne tous les fichiers génériques, les dossiers systèmes, les branches particulières du registre,
PRESENT: Indique une présence.
REMPLACE: Confirme une action de remplacement.
SUPPRIME : Confirme une action de suppression.

Liste des commentaires :

- Driver : Pilotes lancés au démarrage du système (O41),
- Uninstall Process : Processus désintalleur de logiciel (O42),
- Valeur Domain Profile : Valeur de clé de registre Domain Profile (O47),
- Valeur Standard Profile : Valeur de clé de registre Standard Profile (O47),
- Software Key : Clé de registre Logiciel (O42),
- AppInit : Valeur de clé de registre (O20),
- CLSID ASIC : Clé de registre ASIC (O40),
- CLSID STS : Valeur de clé de registre STS (O22),
- CLSID BHO : Clé de registre Browser Helper Object (O2),
- CLSID DPF : Clé de registre DPF (O16),
- CLSID MPSK : Clé de registre MountPoint2 (O51),
- CLSID PAPP : Valeur de clé de registre Protocol (O18),
- CLSID SSODL : Donnée de valeur de clé de registre SSODL (O21)
- CLSID URLSH : Clé de registre URLSearchHook (R3),
- CLSID Toolbar : Valeur de clé de registre Toolbar (O3),
- Desktop Component : Valeur de clé de registre Desktop Component (O24),
- Driver Key : Clé de registre pilotes (O41),
- Explorer Association Data: Module d'entête "Security Center & Tools Informations",
- Extra Buttons : Clé de registre CLSID Extra Buttons & Tools (O9),
- Favorit : Clé de registre Favorit (O42),
- Flash Cookies : Fichiers, dossiers Flash Cookies,
- Folder/File : Dossier ou fichier,
- IFC : Valeur de clé Internet Feature Controls (O81),
- Inetcpl.cpl : Donnée de valeur de clé Control Panel (O5),
- Logiciel Key : Clé de registre Uninstall (O42),
- Menu Contextuel : Clé de registre Menu Contextuel (O8),
- Mozilla Extension : Extensions Mozilla Firefox (M2),
- Mozilla Homepage : Page de démarrage de Mozilla Firefox (M0),
- Mozilla Plugin : Plugin Mozilla Firefox (P2),
- Mozilla Pref : Préférence de l'utilisateur dans Mozilla Firefox (M1),
- Opera Search Page : Opera page de recherche (B1),
- Opera Start Page : Opera page de démarrage (B0),
- Options group : Clé de registre Options group (O11),
- Partiel : Applications installées,
- Plugin IE : Clé de registre Internet Explorer (O12),
- Pointeurs : Extensions de fichier (O67),
- Prefixes : Valeur de clé de registre (O13),
- Reboot : Fichiers, dossiers supprimés au reboot,
- RunValue : Valeur de registre Run(O53),
- SearchScopes : Clés de registre CLSID SearchScopes (O69),
- Service : Services (O23, SR/SS),
- Service Legacy : Services Legacy (O64),
- Services Svchost : Services Host Svchost (O83),
- Shell : Valeur système Shell (F2),
- StartMenuInternet : Fichiers de démarrage de navigateur Internet (O68),
- StartupReg : Clé et valeur de registre StartupReg (O53),
- StyleSheet : Valeur de clé de registre StyleSheet (O19),
- Task : Tâches planifiées en automatiques (O39),
- Temporaires Windows : Fichiers, dossiers temporaires,
- Trusted Zone : Valeur de clé de registre Trusted Zone (O15),
- UserInit : Valeur système UserInit (F2),
- Win.ini : Valeur de clé de registre (F3),
- Notify : Clé de registre Winlogon Notify (O20),
- VMApplet : Valeur système VMApplet (F2),

Rapport de nettoyage ZHPFix

Rapport de ZHPFix 1.12.3294 par Nicolas Coolman, Update du 03/06/2011
Fichier d'export Registre : C:\ZHPExportRegistry-3-06-2011-17-46-40.txt
Run by Laurine at 3/06/2011 17:46:40
Windows Vista Home Premium Edition, 32-bit Service Pack 1 (Build 6001)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

========== Clé(s) du Registre ==========
SUPPRIME CLSID MPSK: {b96f7baf-8a15-11dd-b859-00221594efa3}
SUPPRIME CLSID MPSK: {f42caf69-f2b2-11dd-8464-00221594efa3}
SUPPRIME Service Legacy: LEGACY_26259261
SUPPRIME Driver Key: avipbb
SUPPRIME Driver Key: ssmdrv
SUPPRIME HKCR\Interface\{03BE31FE-6526-4D9C-B197-4A3E5DCFF696}
SUPPRIME HKLM\Software\Classes\Interface\{03BE31FE-6526-4D9C-B197-4A3E5DCFF696}
SUPPRIME HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{C10DC1F4-CCDF-4224-A24D-B23AFC3573C8}
SUPPRIME HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{C10DC1F4-CCDF-4224-A24D-B23AFC3573C8}
SUPPRIME HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{c7b76b90-3455-4ae6-a752-eac4d19689e5}
SUPPRIME HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{E2A7BD67-0EAF-497f-B05B-748D7BF3C421}
SUPPRIME HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{E2A7BD67-0EAF-497f-B05B-748D7BF3C421}

========== Valeur(s) du Registre ==========
SUPPRIME {777431A1-8B28-47DE-BBBE-4D263E0A40F8}
SUPPRIME {66030AC7-B7C8-4E9D-881B-CE2AABFCAF0D}
SUPPRIME RunValue: pronto
ABSENT RunValue: pronto
SUPPRIME RunValue: MsnMsgr

========== Elément(s) de donnée du Registre ==========
SUPPRIME Task: StartMenuInternet: C:\Users\Laurine\AppData\Local\nsx.exe (.not file.)

========== Dossier(s) ==========
SUPPRIME Temporaires Windows: : 146

========== Fichier(s) ==========
ABSENT: c:\program files\wimba\pronto\pronto.exe
ABSENT: c:\program files\sweetim\messenger\sweetim.exe
SUPPRIME Temporaires Windows: : 2859

========== Tache planifiée ==========
SUPPRIME: {6D5341C5-77B7-4E26-AEB1-6B3610CBF4C8}

========== Récapitulatif ==========
12 : Clé(s) du Registre
5 : Valeur(s) du Registre
1 : Elément(s) de donnée du Registre
1 : Dossier(s)
3 : Fichier(s)
1 : Tache planifiée

End of the scan

(C) Copyrights 2011 - Nicolas Coolman - All rights reserved


ZHPFix_LMB

ZHPFix - Modules de base (LMB)

Origine

- La création de la liste des modules de base a démarrée 5 mars 2008.

Caractéristiques

- Cette liste s'appuie en grande partie sur le principe du logiciel HijackThis.

- 05/03/2008 : Module d'entête (EDR)
- 05/03/2008 : Module PLD Processus lancés au démarrage (PLD)
- 07/09/2010 : Module B0 Page de démarrage du navivateur Opéra (SPO)
- 12/11/2010 : Module B1 Page de recherche du navigateur Opera (OSP)
- 05/03/2008 : Module F2 Modification d'une valeur System.ini (MVS)
- 05/03/2008 : Module F3 Modification d'une valeur Win.Ini (MVW)
- 11/11/2010 : Module G0 Page de démarrage du navigateur Google Chrome (GCSP)
- 12/11/2010 : Module G1 Page de recherche du navigateur Google Chrome (GCS)
- 11/11/2010 : Module G2 Extensions du navigateur Google Chrome (GCE)
- 31/08/2010 : Module M0 Page de démarrage de Mozilla Firefox (MFSP)
- 11/03/2008 : Module M1 Search Page Redirection (SPR)
- 01/09/2010 : Module M2 Programmes d'extension de Mozilla Firefox (MFEP)
- 05/02/2011 : Module M3 Plugins de navigateur Mozilla Firefox (MFPP)
- 12/03/2008 : Module P1 Opera Plugin Navigator) (OPN)
- 14/07/2010 : Module P2 Firefox Plugin Navigator) (FPN)
- 15/03/2008 : Module R0 Pages de démarrage d'Internet Explorer (PDIE)
- 15/03/2008 : Module R1 Pages de recherche d'Internet Explorer (PRIE)
- 20/03/2008 : Module R3 Internet Explorer URLSearchHook (USH)
- 15/02/2011 : Module R4 Internet Explorer Other Keys (IEOK)
- 20/02/2011 : Module R5 Internet Explorer Proxy Management (IEPM)
- 20/03/2008 : Module O1 Redirection du fichier Hosts (RFH)
- 24/03/2008 : Module O2 Browser Helper Objects de navigateur (BHO)
- 24/03/2008 : Module O3 Internet Explorer Toolbars (IETB)
- 08/04/2008 : Module O4 Applications démarrées automatiquement par le registre (ADAR)
- 08/04/2008 : Module O4 Applications lancées au démarrage du système (ALDS)
- 08/04/2008 : Module O5 Invisibilité de l'icône d'options IE dans le panneau de Configuration (IIPC)
- 10/04/2008 : Module O6 Restriction de l'accès aux options IE par l'Administrateur (RAIE)
- 10/04/2008 : Module O7 Restriction de l'accès à Regedit par l'Administrateur (RARE)
- 15/04/2008 : Module O8 Lignes supplémentaires dans le menu contextuel d'Internet Explorer (LSMI)
- 15/04/2008 : Module O9 Boutons situés sur la barre d'outils principale d'Internet Explorer (BSMI)
- 20/05/2008 : Module O10 Piratages de Winsock (LSP)
- 20/05/2008 : Module O11 Onglet supplémentaire dans les options avancées d'Internet Explorer (OSOI)
- 27/05/2008 : Module O12 Internet Explorer Plugins (IEP)
- 27/05/2008 : Module O13 Piratage des préfixes d'URL d'Internet Explorer (PFUI)
- 28/05/2008 : Module O14 Paramètres par défaut des options Internet Explorer (PDOI)
- 04/06/2008 : Module O15 Site dans la Zone de confiance d'Internet Explorer (SZCI)
- 04/06/2008 : Module O16 Objets ActiveX (OAX)
- 05/06/2008 : Module O17 Modification Domaine/Adresses DNS (MDAD)
- 09/07/2008 : Module O18 Protocole additionnel et piratage de protocole (PAPP)
- 09/07/2008 : Module O19 Piratage de feuille de style Utilisateur (PFSU)
- 10/07/2008 : Module O20 Valeur de sous-clés Winlogon Notify (VWN)
- 10/07/2008 : Module O20 Valeur de Registre AppInit_DLLs (VRAD)
- 15/08/2008 : Module O21 Shell Service Object Delay Load (SSODL)
- 20/08/2008 : Module O22 Clé de Registre autorun SharedTaskScheduler (STS)
- 20/08/2008 : Module O23 Services NT non Microsoft et non désactivés (SMND)
- 23/08/2008 : Module O24 Énumération des composants Active Desktop (ECAD)
- 21/03/2010 : Module d'entête "Security Center & Tools Informations" (ECTI)


ZHPdiag_Bx

ZHPFix - B0,B1

Origine

- Ces modules ont été créés à partir de septembre 2010.

Caractéristiques

- Ces modules permettent d'analyser les pages de démarrage et de recherche du navigateur Opera.

Evolutions

- 07/09/2010 : Module B0 Page de démarrage du navivateur Opera (SPO)
- 12/11/2010 : Module B1 Page de recherche du navigateur Opera (OSP)


ZHPdiag_B0

ZHPFix - Module B0 (SPO)

Origine

Le module B0 (SPO) a été crée le 07 septembre 2010.

Caractéristiques

Consulter le module B0 (SPO) - Page de démarrage du navigateur Oper

Exemples d'infection

---\\ Page de démarrage du navigateur Opera (B0)
B0 - SPO: operaprefs.ini [Coolman] Home URL= http://www.cherche.us/

Action ZHPFix

B0 - SPO: operaprefs.ini [ {UserName}] {HttpName}

{UserName} : Nom de l'utilisateur,
{HttpName} : Nom du site contenu dans le fichier de préférences de l'utilisateur,

- L'outil supprime la page de démarrage et la remplace par celle de google "http://www.google.fr/"

Rapport ZHPFix (Exemple)

B0 - SPO: operaprefs.ini [Coolman] Home URL= http://www.cherche.us/

Rapport de ZHPFix v1.12.3147 par Nicolas Coolman, Update du 07/09/2010

========== Préférences navigateur ==========
B0 - SPO: operaprefs.ini [Coolman] Home URL=http://www.aol.fr/ => Valeur supprimée avec succès

========== Récapitulatif ==========
1 : Préférences navigateur

Relancer le navigateur Opera pour prendre en compte les modifications.

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPFix_B1

ZHPFis - Module B1 (OSP)

Origine

Le module B1 (OSP) a été crée le 12 novembre 2010.

Caractéristiques

Consulter le module OSP (Opera Search Page).

Exemples d'infection

---\\ Opera, Pages de démarrage et de recherche (B0,B1)
B1 - OSP: search.ini [Coolman] URL=http://www.cherche.us

Action ZHPFix

B1 - OSP: search.ini [[UserName}] URL= {HttpName}

{UserName} : Nom de l'utilisateur,
{HttpName} : Nom du site contenu dans le fichier de préférences de l'utilisateur,

- L'outil supprime la page de recherche et la remplace par celle de google "http://www.google.fr/"

Rapport ZHPFix (Exemple)

B1 - OSP: search.ini [Coolman] URL=http://www.cherche.us

Rapport de ZHPFix 1.12.3217 par Nicolas Coolman, Update du 12/11/2010

========== Préférences navigateur ==========
B1 - OSP: search.ini [Coolman] URL=http://www.cherche.us => Valeur supprimée avec succès

========== Récapitulatif ==========
1 : Préférences navigateur

End of the scan

Relancer le navigateur pour prendre en compte les modifications.

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPFix_Gx

ZHPFix - G0,G1,G2

Origine

- Ces modules ont été créés le 11 Novemdre 2010.

Caractéristiques

- Ces modules permettent d'analyser les pages de démarrage et de recherche du navigateur Google Chrome. Il recense aussi les extensions de programme du navigateur.

Evolutions

- 12/11/2010 : Nouveau module G1 (GCS) - Page de recherche du navigateur Google Chrome.
- 11/11/2010 : Nouveau module G2 (GCE) - Programmes d'extension du navigateur Google Chrome.
- 11/11/2010 : Nouveau module G0 (GCSP) - Page de démarrage du navigateur Google Chrome.


ZHPFix_G0

ZHPFix - Module G0 (GCSP)

Origine

Le module G0 (GCSP) a été crée le 11 novembre 2010.

Caractéristiques

Consulter le module GCSP (Google Chrome Start Page).

Exemples d'infection

---\\ Page de démarrage de Google Chrome (G0)
G0 - GCSP: Preference [User Data\Default] http://www.cherche.us/

Action ZHPFix

G0 -GCSP: Preference [User Data\Default] - {HttpName}

{HttpName} : Nom du site contenu dans le fichier de préférences de l'utilisateur,

- L'outil supprime la page de démarrage et la remplace par celle de google "http://www.google.fr/"

Rapport ZHPFix (Exemple)

G0 - GCSP: Preference [User Data\Default] http://www.cherche.us/

Rapport de ZHPFix 1.12.3216 par Nicolas Coolman, Update du 11/11/2010

========== Préférences navigateur ==========
G0 - GCSP: Preference [User Data\Default] http://www.cherche.us => Valeur supprimée avec succès

========== Récapitulatif ==========
1 : Préférences navigateur

End of the scan

Relancer le navigateur pour prendre en compte les modifications.

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPFix_G1

ZHPFix - Module G1 (GCS)

Origine

Le module G1 (GCS) a été crée le 12 novembre 2010.

Caractéristiques

Consulter le module GCS (Google Chrome Search Page).

Exemples d'infection

---\\ Page de recherche de Google Chrome (G1)
G1 - GCS: Preference [User Data\Default] http://www.cherche.us/

Action ZHPFix

G1 -GCS: Preference [User Data\Default] - {HttpName}

{HttpName} : Nom du site contenu dans le fichier de préférences de l'utilisateur,

- L'outil supprime la page de recherche et la remplace par celle de google "http://www.google.fr/"

Rapport ZHPFix (Exemple)

G1 - GCS: Preference [User Data\Default] http://www.cherche.us/

Rapport de ZHPFix 1.12.3217 par Nicolas Coolman, Update du 12/11/2010

========== Préférences navigateur ==========
G1 - GCS: Preference [User Data\Default] http://www.cherche.us => Valeur supprimée avec succès

========== Récapitulatif ==========
1 : Préférences navigateur

End of the scan

Relancer le navigateur pour prendre en compte les modifications.

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPfix_G2

ZHPFix - Module G2 (GCE)

Origine

Le module G2 (GCE) a été crée le 11 nobembre 2010.

Caractéristiques

Consulter le au module GCE (Google Chrome Extensions).

Exemple d'infection

Action ZHPFix

G2 - GCE: Preference [User Data\Default] [{KeyProduct}] {NameProduct} {VersionProduct} ({ModeActivate})

{KeyProduct} : Clé du produit (Dossier).
{NameProduct} : Nom du produit.
{VersionProduct} : Version du produit
{ModeActivate} : Mode d'activation (Plugin Activé ou Désactivé)

- L'outil supprime le dossier {KeyProduct}.
- L'outil supprime la clé du produit {KeyProduct} dans le fichier de préférence.

ZHPFix (Exemple)

G2 - GCE: Preference [User Data\Default] [gighmmpiobklfepjocnamgkkbiglidom] PanicButton v.0.12 (Activé)

Rapport de ZHPFix 1.12.3216 par Nicolas Coolman, Update du 09/11/2010

========== Préférences navigateur ==========
C:\Users\Coolman\AppData\Local\Google\Chrome\User Data\Default\Extensions\gighmmpiobklfepjocnamgkkbiglidom => Supprimé et mis en quarantaine

========== Récapitulatif ==========
1 : Préférences navigateur

End of the scan

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_Gx

ZHPFix - M0, M1, M2 (Mozilla Firefox)

Origine

La création du premier module a démarrée en mars 2008.

Caractéristiques

- Ces modules permettent d'analyser les pages de démarrage et de recherche du navigateur Mozilla Firefox.

Evolutions

- 02/09/2010 : Module M2 Programmes d'extension de Mozilla Firefox (MFEP)
- 31/08/2010 : Module M0 Page de démarrage de Mozilla Firefox (MFSP)
- 11/03/2008 : Module M1 Search Page Redirection (SPR)


ZHPFix_M0

ZHPFix - Module M0 (MFSP)

Origine

Le module M0 (MFSP) a été crée le 31 août 2010.

Caractéristiques

Consulter le Module M0 Page de démarrage de Mozilla Firefox (MFSP)

Action ZHPFix

M0 - MFSP: prefs.js [ {UserName}- {UserDir] {HttpName}

{UserName} : Nom de l'utilisateur,
{HttpName} : Nom du site contenu dans le fichier de préférences de l'utilisateur,
{UserDir} : Dossier de l'utilisateur.

- L'outil supprime la page de démarrage et la remplace par celle de google "http://www.google.fr/"

Rapport ZHPFix (Exemple)

Ligne saisie :
M0 - MFSP: prefs.js [Coolman - n3vs15la.default] http://www.opera.com/download/

Rapport de ZHPFix v1.12.3142 par Nicolas Coolman, Update du 31/08/2010

========== Préférences navigateur ==========
M0 - MFSP: prefs.js [Coolman - n5vs13la.default] http://www.opera.com/download/ => Valeur supprimée avec succès

========== Récapitulatif ==========
1 : Préférences navigateur

Relancer le navigateur pour prendre en compte les modifications.

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPFix_M2

ZHPDiag - Module M2 (MFEP)

Origine

Le module M2 (MFEP) a été crée le 02 septembre 2010.

Caractéristiques

Consulter le Module M2 Programmes d'extension de Mozilla Firefox (MFEP)

Action ZHPFix

M2 - MFEP: prefs.js [{userName} - {random}.default\ExtensionDir] [ {PrefName} ] {LogName} (. {PublisherName} .)

{UserName} : Nom de l'utilisateur.
{ExtensionDir} : Dossier d'extension du logiciel.
{Logname} : Nom du logiciel d'extension, suivi du numéro de version (Données du fichier install.rdf)
{PrefName} : Nom du logiciel d'extension inséré dans le fichier de préférence de l'utilisateur.
{PublisherName} : Propriétairedu logiciel d'extension (Donnée du fichier install.rdf)

1) Le dossier {ExtensionDir} est supprimé,
2) Supprime les lignes du fichier de préférences de l'utilisateur (Seulement en cas de présence de {PrefName}).

ZHPFix (Pas de référence pour le fichier de préférences)

M2 - MFEP: prefs.js [Coolman - n9vt152a.default\{d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d}] [] Adblock Plus 1.2.2 (.Wladimir Palant.)

Rapport de ZHPFix v1.12.3143 par Nicolas Coolman, Update du 02/09/2010

========== Dossier(s) ==========
C:\Users\Coolman\AppData\Roaming\Mozilla\Firefox\Profiles\n9vt152a.default\extensions\{d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d} => Supprimé et mis en quarantaine

========== Récapitulatif ==========
1 : Dossier(s)

ZHPFix (Référence pour le fichier de préférences)

M2 - MFEP: prefs.js [Coolman - n9vt152a.default\{635abd67-4fe9-1b23-4f01-e679fa7484c1}] [yahoo.ytff] Yahoo! Toolbar 2.1.4.20100423010936 (.Yahoo!.)

Rapport de ZHPFix v1.12.3143 par Nicolas Coolman, Update du 01/09/2010

========== Préférences navigateur ==========
/*user_pref("yahoo.ytff.cacheloader.grp_app", "Thu, 02 Sep 2010 15:43:59 GMT");*/ => Valeur supprimée avec succès
/*user_pref("yahoo.ytff.cacheloader.ytff", "Thu, 02 Sep 2010 15:43:59 GMT");*/ => Valeur supprimée avec succès
/*user_pref("yahoo.ytff.etp.lasttiptimestamp", "Fri, 27 Aug 2010 20:24:57 GMT");*/ => Valeur supprimée avec succès
/*user_pref("yahoo.ytff.general.addtomy", true);*/ => Valeur supprimée avec succès
...

========== Dossier(s) ==========
C:\Users\Coolman\AppData\Roaming\Mozilla\Firefox\Profiles\n9vt152a.default\extensions\{635abd67-4fe9-1b23-4f01-e679fa7484c1} => Supprimé et mis en quarantaine

========== Récapitulatif ==========
1 : Dossier(s)
26 : Préférences navigateur

Rapport ZHPFix (Fichier de préférences absent)

M2 - MFEP: prefs.js [Coolman - n9vt152a.default\{d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d}] [adblockplus] Adblock Plus 1.2.2 (.Wladimir Palant.)

Rapport de ZHPFix v1.12.3143 par Nicolas Coolman, Update du 01/09/2010

========== Préférences navigateur ==========
C:\Users\Coolman\AppData\Roaming\Mozilla\Firefox\Profiles\n9vt153a.default\prefs.js => Fichier absent

========== Récapitulatif ==========
1 : Préférences navigateur

Plus d'Informations

Programmes d'extension pour Mozilla Firefox
Mozilla Firefox (Hotline-PC.org)
Firefox : Profils / Extensions etc

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_M3

ZHPFix - Module M3 (MFPP)

Origine

Le module M3 (MFPP) a été crée le 05 février 2011.

Caractéristiques

Consulter le module M3 de ZHPDiag.

Exemples d'infection

---\\ Mozilla Firefox, Plugins,Demarrage,Recherche,Extensions (P2,M0,M1,M2,M3)
M3 - MFPP: Plugins - [Coolman] -- C:\Users\Coolman\AppData\Roaming\Mozilla\Firefox\Profiles\\n5vs13la.default\searchplugins\SearchquWebSearch.xml => Infection BT (Adware.Bandoo)
M3 - MFPP: Plugins - [Coolman] -- C:\Program Files\Mozilla FireFox\searchplugins\SearchquWebSearch.xml => Infection BT (Adware.Bandoo)

Action ZHPFix

M3 - MFPP: Plugins - [UserName] -- {FileName}
{UserName} : Nom de l'utilisateur,
{FileName} : Nom du fichier, comporte le nom du dossier de profil de l'utilisateur {UserProfile},
{UserProfile} : Dossier Profile de l'utilisateur.

- L'outil supprime le fichier {FileName}.

Rapport ZHPFix (Exemple)

M3 - MFPP: Plugins - [Coolman] -- C:\Users\Coolman\AppData\Roaming\Mozilla\Firefox\Profiles\\n5vs13la.default\searchplugins\SearchquWebSearch.xml

Rapport de ZHPFix v1.12.3250 par Nicolas Coolman, Update du 05/02/2011

========== Fichier(s) ==========
C:\Users\Coolman\AppData\Roaming\Mozilla\Firefox\Profiles\\n5vs13la.default\searchplugins\SearchquWebSearch.xml => Supprimé et mis en quarantaine

========== Récapitulatif ==========
1 : Fichier(s)

Liens

(C) Copyrights 2011 - Nicolas Coolman - All rights reserved


ZHPdiag_Rx

ZHPFix - R0,R1,R3,R4

Origine

- Ces modules ont été créés en avril 2008.

Caractéristiques

- Ces modules permettent d'analyser les pages de démarrage et de recherche du navigateur Microsoft Internet Explorer.

Evolutions

- 15/03/2008 : Module R0 Pages de démarrage d'Internet Explorer (PDIE)
- 15/03/2008 : Module R1 Pages de recherche d'Internet Explorer (PRIE)
- 20/03/2008 : Module R3 Internet Explorer URLSearchHook (USH)
- 15/02/2011 : Module R4 Internet Explorer Other Keys (IEOK)
- 20/02/2011 : Module R5 Internet Explorer Proxy Management (IEPM)

(C) Copyrights 2010-2011 - Nicolas Coolman - All rights reserved


ZHPfix_R4

ZHPFix - Module R4 (IEOK)

Origine

Le module R4 (IEOK) a été crée le 15 Février 2011.

Caractéristiques

Consulter le module R4 (Internet Explorer Other Keys).

Exemple d'infection

---\\ Internet Explorer, Démarrage,Recherche,URLSearchHook,Phishing (R0,R1,R3,R4)
R4 - HKCU\Software\Microsoft\Internet Explorer\PhishingFilter,Enabled = 0

Action ZHPFix

R4 - {Keyname},{ValueKey} = {DataKey}

{KeyName} : Clé de Base de Registres [{Ruche}\Software\Microsoft\Internet Explorer\PhishingFilter]
{ValueKey} : Valeur de clé {KeyName}
{DataKey} : Donnée de la valeur de clé {ValueKey}

L'outil restaure la donnée par défaut {DataKey} de la valeur de clé {ValueKey}.

Rapport ZHPFix (Exemple)

Ligne saisie :
R4 - HKCU\Software\Microsoft\Internet Explorer\PhishingFilter,Enabled = 0

Rapport de ZHPFix 1.12.3252 par Nicolas Coolman, Update du 15/02/2011
Windows 7 Home Premium Edition, 32-bit (Build 7600)

========== Elément(s) de donnée du Registre ==========
R4 - HKCU\Software\Microsoft\Internet Explorer\PhishingFilter,Enabled = 0 => Donnée supprimée avec succès

========== Récapitulatif ==========
1 : Elément(s) de donnée du Registre

End of the scan

Liens

Phishing-Filter

(C) Copyrights 2011 - Nicolas Coolman - All rights reserved


ZHPdiag_R1

ZHPFix - Module R5 (IEPM)

Origine

Le module R5 (IEPM) a été crée le 20 février 2011.

Caractéristiques

Consulter le module R5 IEPM (Internet Explorer proxy Mnagement).

Exemple d'infection :

- ProxyEnable est activé,
- ProxyServer est rerouté vers un port spécifique,
- AutoConfigProxy va exécuter les fonctionnalités d'une API patchée de wininet.

---\\ Internet Explorer, Proxy Management (R5)
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:4343
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyEnable = 1
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,MigrateProxy = 1
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyHttp1.1 = 1
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,EnableHttp1_1 = 1
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigProxy = C:\Users\Coolman\AppData\Roaming\wininet.dll

Action ZHPFix

R5 - {Key}, {ValueKey} = {DataKey}

{Key} : Clé de Base De Regitres (voir la liste ci-dessus.
{ValueKey} : Valeur de clé de {Key}, par exemple : ProxyOverride,ProxyServer.
{DataKey} : Donnée de la valeur {ValueKey}

- L'outil initialise la donnée {DataKey} de la valeur de clé.

a) Pour la valeur ProxyServer, la donnée est initialisée avec la donnée par défaut "http://127.0.0.1:8080"
b) Pour la valeur ProxyOverride, la donnée est initialisée avec la donnée par défaut "*.local"
c) Pour la valeur AutoConfigProxy, la donnée est initialisée avec la donnée par défaut "wininet.dll"
e) Dans tous les autres cas, la donnée de la valeur sera vidée.

Rapport ZHPFix

Ligne saisie :
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:5555
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local;<local>

Rapport de ZHPFix v1.12.3255 par Nicolas Coolman, Update du 20/02/2011

========== Elément de données du Registre ==========
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local;<local> => Donnée supprimée avec succès
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:5555 => Donnée supprimée avec succès

========== Récapitulatif ==========
2 : Elément de données du Registre

Liens

http://support.microsoft.com/kb/819961
http://support.microsoft.com/kb/947513/fr

(C) Copyrights 2011 - Nicolas Coolman - All rights reserved


ZHPFix_O1

ZHPFix - Module O1 (USH)

Origine

Le module O1 (USH) a été crée le 20 mars 2008.

Caractéristiques

Consulter le module O1 Redirection du fichier Hosts (RFH)

Exemple d'infection

O1 - Hosts: 89.149.193.61 www.google.com
O1 - Hosts: 89.149.193.61 us.search.yahoo.com
O1 - Hosts: 89.149.193.61 uk.search.yahoo.com

Action ZHPFix

O1 - Hosts: {Domain}

{Domain} : Adresse IP et nom du domaine.

1) Lorsqu'une ligne O1 est donnée en nettoyage, l'outil lance automatiquement la commande 'HOSTFix' qui permet de remplacer le fichier par une copie saine.

2) Il est possible aussi d'utiliser directement la commande "HOSTFix" au lieu de saisir une ou plusieurs lignes O1.

Liens

* Hosts file redirection (Assiste.com)
* Modifier son fichier hosts (CCM)


ZHPFix_02

ZHPFix - Module O2 (BHO)

Origine

Le module O2 (BHO) a été crée le 24 mars 2008.

Caractéristiques

Consulter le module O2 Browser Helper Objects de navigateur (BHO).

Exemple d'infection

O2 - BHO: MyWebSearch Search Assistant BHO - {00A6FAF1-072E-44cf-8957-5838F569A31D} . (.Pas de propriétaire - Pas de description.) -- C:\Program Files\MyWebSearch\bar\1.bin\MWSSRCAS.DLL => Infection BT (MyWebSearch.Spy)

- Iinfection avec usurpation de nom de propriétaire :
O2 - BHO: (no name) - {27598B57-2F92-42F0-A5FE-CF22BAFFC149} . (.Microsoft Corporation - User Idle Monitor.) -- c:\windows\system32\ghfuhwu.dll => Infection BT

Action ZHPFix (Cas général)

O2 - BHO: {Startup} - {CLSIDKey} - {FileName}

{Key} : Clé de Base de Registres [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects]
{Startup} : Valeur par défaut de la clé [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CLSIDKey}]
{CLSIDKey} : Sous-clé CLSID de la Clé {Key}
{FileName} : Donnée de la valeur par défaut de la clé [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CLSIDKey}\InProcServer32]

1) L'outil supprime la clé [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\CLSIDKey}]
2) L'outil supprime la clé [HKLM\SOFTWARE\Classes\CLSID\{CLSIDKey}]
3) L'outil supprime la clé [HKEY_CLASSES_ROOT\CLSID\{CLSIDKey}]
4) L'outil supprime le fichier {FileName}

Action ZHPFix (Cas d'une clé orpheline)

O2 - BHO: (no name) - {CLSIDKey} Clé orpheline

{Key} : Clé de Base de Registres [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects]
{Startup} : Valeur par défaut de la clé [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CLSIDKey}]
{CLSIDKey} : Sous-clé CLSID de la Clé {Key}
{FileName} : Donnée de la valeur par défaut de la clé [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CLSIDKey}\InProcServer32]

1) L'outil supprime la clé [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\CLSIDKey}]
2) L'outil supprime la clé [HKLM\SOFTWARE\Classes\CLSID\{CLSIDKey}]
3) L'outil supprime la clé [HKEY_CLASSES_ROOT\CLSID\{CLSIDKey}]

Rapport ZHPFix (Cas général)

O2 - BHO: MyWebSearch Search Assistant BHO - {00A6FAF1-072E-44cf-8957-5838F569A31D} . (...) -- C:\Program Files\MyWebSearch\bar\1.bin\MWSSRCAS.DLL

Rapport de ZHPFix v1.12.3133 par Nicolas Coolman, Update du 02/08/2010

========== Clé(s) du Registre ==========
O2 - BHO: MyWebSearch Search Assistant BHO - {00A6FAF1-072E-44cf-8957-5838F569A31D} . (...) -- C:\Program Files\MyWebSearch\bar\1.bin\MWSSRCAS.DLL => Clé supprimée avec succès
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{00A6FAF1-072E-44cf-8957-5838F569A31D}] => Clé supprimée avec succès
[HKCR\CLSID\{00A6FAF1-072E-44cf-8957-5838F569A31D}] => Clé supprimée avec succès

========== Fichier(s) ==========
C:\Program Files\MyWebSearch\bar\1.bin\MWSSRCAS.DLL => Supprimé et mis en quarantaine

========== Récapitulatif ==========
3 : Clé(s) du Registre
1 : Fichier(s)

Rapport ZHPFix (Cas d'une clé orpheline)

O3 - Toolbar: (no name) - {00000000-17A6-11D0-99CB-00C04FD64497} Clé orpheline

Rapport de ZHPFix v1.12.3155 par Nicolas Coolman, Update du 20/09/2010

========== Clé(s) du Registre ==========
O2 - BHO: (no name) - {00000000-17A6-11D0-99CB-00C04FD64497} Clé orpheline => Clé supprimée avec succès
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{00000000-17A6-11D0-99CB-00C04FD64497}] => Clé supprimée avec succès
[HKCR\CLSID\{00000000-17A6-11D0-99CB-00C04FD64497}] => Clé supprimée avec succès

========== Récapitulatif ==========
3 : Clé(s) du Registre

Liens

* Browser Helper Objects

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPFix_03

ZHPFix - Module O3 (IETB)

Origine

Le module O3 (IETB) a été crée le 24 mars 2008.

Caractéristiques

Consulter le module O3 Internet Explorer Toolbars (IETB)

Exemple d'infection

---\\ Internet Explorer Toolbars (O3)
O3 - Toolbar: Fast Browser Search Toolbar - {1BB22D38-A411-4B13-A746-C2A4F4EC7344} . (.Pas de propriétaire - IE Toolbar Engine.) -- C:\Program Files\Fast Browser Search\IE\FBStoolbar.dll => Infection BT (Fast Browser Search Toolbar)

Action ZHPFix (Cas général)

O3 - Toolbar: {Startup} - {CLSIDValue} . (...) -- {FileName}

{Key} : Clé de Base de Registres [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
{Startup} : Valeur par défaut de la clé [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CLSIDValue}]
{CLSIDValue} : Valeur CLSID de la clé {Key}
{FileName} : Donnée de la valeur par défaut de la clé [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CLSIDValue}\InProcServer32]

1) L'outil supprime la valeur de clé {CLSIDValue} de la clé {Key}
2) L'outil supprime la clé [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CLSIDValue}]
3) L'outil supprime la clé [HKEY_CLASSES_ROOT\CLSID\{CLSIDValue}]
4) L'outil supprime le fichier {FileName}

Action ZHPFix (Cas d'une clé orpheline)

O3 - Toolbar: (no name) - {CLSIDValue} Clé orpheline

{Key} : Clé de Base de Registres [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
{Startup} : Valeur par défaut de la clé [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CLSIDValue}]
{CLSIDValue} : Valeur CLSID de la clé {Key}
{FileName} : Donnée de la valeur par défaut de la clé [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CLSIDValue}\InProcServer32]

1) L'outil supprime la valeur de clé {CLSIDValue} de la clé {Key}
2) L'outil supprime la clé [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CLSIDValue}]
3) L'outil supprime la clé [HKEY_CLASSES_ROOT\CLSID\{CLSIDValue}]

Rapport ZHPFix (Cas général)

O3 - Toolbar: ALOT Toolbar - {5AA2BA46-9913-4dc7-9620-69AB0FA17AE7} . (.Pas de propriétaire - Pas de description.) -- C:\Program Files\alot\bin\alot.dll

Rapport de ZHPFix v1.12.3133 par Nicolas Coolman, Update du 02/08/2010

========== Valeur(s) du Registre ==========
O3 - Toolbar: ALOT Toolbar - {5AA2BA46-9913-4dc7-9620-69AB0FA17AE7} . (.Pas de propriétaire - Pas de description.) -- C:\Program Files\alot\bin\alot.dll => Valeur supprimée avec succès

========== Clé(s) du Registre ==========
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{5AA2BA46-9913-4dc7-9620-69AB0FA17AE7}] => Clé supprimée avec succès
[HKCR\CLSID\{5AA2BA46-9913-4dc7-9620-69AB0FA17AE7}] => Clé supprimée avec succès

========== Fichier(s) ==========
C:\Program Files\alot\bin\alot.dll => Supprimé et mis en quarantaine

========== Récapitulatif ==========
2 : Clé(s) du Registre
1 : Valeur(s) du Registre
1 : Fichier(s)

Rapport ZHPFix (Cas d'une clé orpheline)

O3 - Toolbar: (no name) - {00000000-17A6-11D0-99CB-00C04FD64497} Clé orpheline

Rapport de ZHPFix v1.12.3155 par Nicolas Coolman, Update du 20/09/2010

========== Clé(s) du Registre ==========
O3 - Toolbar: (no name) - {00000000-17A6-11D0-99CB-00C04FD64497} Clé orpheline => Clé supprimée avec succès
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{00000000-17A6-11D0-99CB-00C04FD64497}] => Clé supprimée avec succès
[HKCR\CLSID\{00000000-17A6-11D0-99CB-00C04FD64497}] => Clé supprimée avec succès

========== Récapitulatif ==========
3 : Clé(s) du Registre

Liens

* Internet Explorer toolbars

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_04

ZHPFix - Module O4 (ADAR)

Origine

Le module O4 (ADAR) a été crée le 08 avril 2008.

Caractéristiques

Consulter ZHPDiag Module O4 Applications démarrées automatiquement par le registre (ADAR)

Action ZHPFix

O4 - {Key}: [ {KeyValue} ] . (...) -- {FileName}

{Key} : Clé de Base de Registres [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
{KeyValue} : Valeur de la clé {Key}
{FileName} : Donnée de la valeur {KeyValue}

1) L'outil supprime la valeur {KeyValue} de la clé {Key}
2) L'outil supprime le fichier {FileName}

NB : Dans le cas d'une recherche d'optimisation, consulter la commande OPT

Rapport ZHPFix N°1 (Cas général)

Lignes Saisies :
O4 - HKLM\..\RunServices: [LTroblAgQuickCam] . (...) -- C:\Program Files\Fichiers Communs\Logitech\qcdrv\in\ptb\logitechlcamwzrd.exe
O4 - HKLM\..\Run: [eorezo] . (.EoRezo - EoRezo.) -- C:\Program Files\EoRezo\eorezo.exe
O4 - HKLM\..\RunOnce: [SoftwareHelper] . (.EoRezo - SoftwareHelper.) -- C:\Users\stéphane et agnès\AppData\Roaming\eoRezo\SoftwareUpdate\SoftwareUpdateHP.exe
O4 - Global Startup: Mozilla Firefox 3.6 Beta 4.lnk . (.Mozilla Corporation - Firefox.) -- C:\Program Files\Mozilla Firefox 3.6 Beta 4\firefox.exe

Rapport de ZHPFix v1.12.3133 par Nicolas Coolman, Update du 05/08/2010

========== Processus mémoire ==========
C:\Users\stéphane et agnès\AppData\Roaming\eoRezo\SoftwareUpdate\SoftwareUpdateHP.exe [368224] => Supprimé et mis en quarantaine
C:\Program Files\EoRezo\eorezo.exe [667648] => Supprimé et mis en quarantaine

========== Valeur(s) du Registre ==========
O4 - HKLM\..\Run: [LTroblAgQuickCam] . (...) -- C:\Program Files\Fichiers Communs\Logitech\qcdrv\in\ptb\logitechlcamwzrd.exe => Valeur supprimée avec succès
O4 - HKLM\..\Run: [eorezo] . (.EoRezo - EoRezo.) -- C:\Program Files\EoRezo\eorezo.exe => Valeur supprimée avec succès
O4 - HKLM\..\RunOnce: [SoftwareHelper] . (.EoRezo - SoftwareHelper.) -- C:\Users\stéphane et agnès\AppData\Roaming\eoRezo\SoftwareUpdate\SoftwareUpdateHP.exe => Valeur supprimée avec succès

========== Fichier(s) ==========
C:\Program Files\Fichiers Communs\Logitech\qcdrv\in\ptb\logitechlcamwzrd.exe => Supprimé et mis en quarantaines
O4 - Global Startup: Mozilla Firefox 3.6 Beta 4.lnk . (.Mozilla Corporation - Firefox.) -- C:\Program Files\Mozilla Firefox 3.6 Beta 4\firefox.exe => Supprimé et mis en quarantaine

========== Récapitulatif ==========
3 : Valeur(s) du Registre
2 : Fichier(s)

Rapport ZHPFix N°2 (Cas d'une clé orpheline)

O4 - HKLM\..\Run: [QuickTime Task] Clé orpheline

Rapport de ZHPFix v1.12.3133 par Nicolas Coolman, Update du 05/08/2010

========== Valeur(s) du Registre ==========
O4 - HKLM\..\Run: [QuickTime Task] Clé orpheline => Valeur supprimée avec succès

========== Récapitulatif ==========
1 : Valeur(s) du Registre

Rapport ZHPFix N°3 (Cas d'une optimisation)

OPT:O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] . (.Adobe Systems Incorporated - Adobe Acrobat SpeedLauncher.) -- C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe

Rapport de ZHPFix v1.12.3137 par Nicolas Coolman, Update du 23/08/2010

========== Valeur(s) du Registre ==========
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] . (.Adobe Systems Incorporated - Adobe Acrobat SpeedLauncher.) -- C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe => Valeur supprimée avec succès

========== Récapitulatif ==========
1 : Valeur(s) du Registre

Liens

* Autoloading programs from Registry

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPFix_04G

ZHPFix - Module O4 (ALDS)

Origine

Le module O4 (ALDS) a été crée le 08 avril 2008.

Caractéristiques

Consulter le module O4 Applications lancées au démarrage du système (ALDS)

Exemples d'infection

---\\ Applications démarrées par registre & par dossier(O4)
O4 - Global Startup: C:\Documents and Settings\All Users\Start Menu\Programs\Startup\winlgn.exe => Infection Diverse (Trojan.Agent)
O4 - Global Startup: C:\Documents and Settings\All Users\Start Menu\Programs\Startup\SRVSPOOL.EXESRVSPOOL.exe => Infection Diverse (Trojan.Agent)
O4 - Global Startup: Start Shopper Link System Tray App.lnk = %Allusersprofile%\Application Data\ipd\tray.exe => Infection Diverse (Malware.Bot)
O4 - Global Startup: wmsncs.exe => Infection Diverse (Malware.Bot)
O4 - Global Startup: .security => Infection Rogue (Multiple.Rog)

Action ZHPFix (Avec Optimisation)

OPT:O4 - Global Startup: {LinkName}.lnk = {FileName}

{FileName} : Nom du fichier.
{LinkName} : Nom du raccourci vers lequel pointe le fichier {FileName}.

L'outil supprime le fichier de raccourci {LinkName]

Action ZHPFix (Sans Optimisation)

O4 - Global Startup: {LinkName}.lnk = {FileName}

{FileName} : Nom du fichier.
{LinkName} : Nom du raccourci vers lequel pointe le fichier {FileName}.

1) L'outil supprime le fichier de raccourci {LinkName]
2) L'outil supprime le fichier {FileName]

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPFix_08

ZHPFix - Module O8 (LSMI)

Origine

Le module O8 (LSMI) a été crée le 15 avril 2008.

Caractéristiques

Consulter le module O8 Lignes supplémentaires dans le menu contextuel d'Internet Explorer (LSMI)

Exemple d'infection

O8 - Extra Context Menu Item: Ò×È¤¹ºÎï - :\Program Files\ad4all\link1\ebaylink.htm => Infection Diverse
O8 - Extra Context Menu Item: &every toolbar search - res://:\Program Files\everyt~1.1\everycom.dll/gorsdn.dll.htm => Infection BT (EveryToolbar.Adw)
O8 - Extra Context Menu Item: &download by netants - :\Program Files\netants\naget.htm => Infection Diverse (Cydoor.D.Adw)

Action ZHPFix

O8 - Extra context menu item: {KeyName} - {FileName}

{Key} : Clé de Base de Registres [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt].
{KeyName} : Sous clé de {Key}.
{FileName} : Valeur par défaut de la clé {KeyName}.

1) L'outil supprime la clé {KeyName}
2) L'outil supprime le fichier {FileName}

Rapport ZHPFix (Exemple)

Ligne saisie :
O8 - Extra context menu item: Add to Windows &Live Favorites - (.not file.) - http:\\favorites.live.com\quickadd.aspx => ZHPHosts White List (Live Toolbar)

Rapport de ZHPFix v1.12.3133 par Nicolas Coolman, Update du 02/08/2010

========== Clé(s) du Registre ==========
O8 - Extra context menu item: Add to Windows &Live Favorites - (.not file.) - http:\\favorites.live.com\quickadd.aspx => Clé supprimée avec succès

========== Récapitulatif ==========
1 : Clé(s) du Registre

Liens

* Extra items in IE right-click menu

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPFix_015

ZHPFix - Module O15 (SZCI)

Origine

Le module O15 (SZCI) a été crée le 04 juin 2008.

Caractéristiques

Consulter ZHPDiag Module O15 Site dans la Zone de confiance d'Internet Explorer (SZCI).

Exemple d'infection

O15 - Trusted Zone: *.frame.crazywinnings.com => Infection LOP (C2 Media.troj)
O15 - Trusted Zone: *.static.topconverting.com => Infection LOP (C2 Media.troj)
O15 - Trusted Zone: *.05p.com (HKLM) => Infection LOP (C2 Media.troj)

Action ZHPFix

O15 - Trusted Zone: [ {Ruche} \...\ {KeyDomain} ] {SiteName}

{Key} : Clé de la Base de registres [ {Ruche} \Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap]
{Ruche} : Nom de la ruche, "HKCU" ou "HKLM".
{KeyDomain} : Sous-clé "EscDomains" ou 'Domains' de la clé {Key}
{SiteName} : Donnée de la valeur DWORD "http" de la clé {KeyDomain}

1) L'outil modifie la donnée de {SiteName} avec la valeur entiere 4. Le site passe du mode autorisé (2) au mode bloqué (4).

Rapport ZHPFix (Exemple)

Ligne saisie :
O15 - Trusted Zone: [HKCU\...\Domains] *.chat-land.org

Rapport de ZHPFix v1.12.3141 par Nicolas Coolman, Update du 27/08/2010

========== Elément(s) de donnée du Registre ==========
O15 - Trusted Zone: [HKCU\...\Domains] *.chat-land.org => Donnée supprimée avec succès

========== Récapitulatif ==========
2 : Elément(s) de donnée du Registre

Liens

* Unwanted site in Trusted Zone

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPFix_LMO

ZHPFix- Modules optionnels (LMO)

Origine

La liste des modules optionnels a été crée le 10 mars 2008.

Caractéristiques

- A côté des modules de base, l'outil propose de nombreux modules complémentaires que l'utilisateur peut côcher dans la liste des modules optionnels.

- 24/08/2008 : Module O39 Automatic Planified Task (APT)
- 25/08/2008 : Module O40 ActiveSetup Installed Components (ASIC)
- 26/08/2008 : Module O41 Pilotes lancés au démarrage (PLD)
- 27/08/2008 : Module O42 Logiciels installés (LOIN)
- 27/08/2008 : Module O43 Common File Directory (CFD)
- 13/10/2008 : Module O44 Last File Created (LFC).
- 14/10/2008 : Module O45 Derniers fichiers créés dans Windows Prefetcher (LFP)
- 18/10/2008 : Module O46 Shell Execute Hooks (SEH)
- 18/10/2008 : Module O47 Authorized Application Key Export (AAKE)
- 23/10/2008 : Module O48 Déni du service Local Security Authority (LSA)
- 21/11/2008 : Module O49 Contrôle Boot Safe (CBS).
- 02/02/2009 : Module O50 Image File Execution Options (IEFO).
- 14/04/2009 : Module O51 MountPoints2 Search Key (MPSK)
- 14/04/2009 : Module O52 Trojan Driver Search Data (TDSD).
- 24/04/2009 : Module O53 ShareTools MSconfig StartupReg (SMSR).
- 24/04/2009 : Module O54 Microsoft Control Security Providers (MCSP)
- 24/04/2006 : Module O55 Microsoft Windows Policies System (MWPS)
- 15/05/2009 : Module O56 Microsoft Windows Policies Explorer (MWPE)
- 15/05/2009 : Module O57 Search Drivers Rootkit (SDR)
- 15/05/2009 : Module O58 System Drivers List (SDL)
- 15/05/2009 : Module O59 Heuristic Search MagicControl Infection (HSMI)
- 15/05/2009 : Module O60 Détournement de DNS (DDNS)
- 12/07/2009 : Module O61 Last File Created (LFC)
- 20/07/2009 : Module O62 Alternate Data Stream File (ADS)
- 27/07/2009 : Module O63 List All Tools Cleaner (LATC)
- 03/08/2009 : Module O64 Liste tous les services legacy (LALS)
- 28/11/2009 : Module O65 List Files Unsigned (LFU)
- 13/03/2010 : Module O66 Observateur Evènement Application (OEA)
- 21/03/2010 : Module O67 File Association Shell Spawning (FASS)
- 21/03/2010 : Module O68 Start Menu Internet (SMI)
- 10/04/2010 : Module O69 Recherche Infection Navigateur (SBI)
- 17/04/2010 : Module O80 Recherche Infection Master Boot Record (MBR)
- 17/04/2010 : Module O81 Internet Feature Controls (IFC)
- 05/07/2010 : Module O82 Crack & Keygen Files (CKF)
- 27/07/2010 : Module O83 Search Svchost Services (SSS)
- 09/11/2010 : Module O84 Recherche particuliere à la racine de certains dossiers (SPRF)
- 22/12/2010 : Module O85 Recherche d'infection par le ver Koobface (SKWI)
- 24/08/2010 : Module SS/SR Etat Général des Services (EGS)
- 09/11/2010 : Module O84 Recherche particuliere à la racine de certains dossiers (SPRF)
- 22/12/2010 : Module O85 Recherche d'infection par le ver Koobface (SKWI)
- 03/01/2011 : Module O86 Recherche d'infection Rogue (SRI)
- 27/01/2011 : Module O87 Firewall Active Exception List (FAEL)
- 20/03/2011 : Module O88 Scan additionnel (AS)

(C) Copyrights 2010-2011 - Nicolas Coolman - All rights reserved


ZHPFix_O39

ZHPFix - Module O39 (APT)

Origine

- Le module O39 (APT) a été crée le 24 août 2008.

Caractéristiques

Consulter le module O39 Automatic Planified Task (APT)

Exemple d'infection

---\\ Tâches planifiées en automatique (O39)
O39 - APT:Automatic Planified Task - C:\Windows\Tasks\{35DC3473-A719-4d14-B7C1-FD326CA84A0C}.job => Infection FakeAlert (Trojan.Downloader)
O39 - APT:Automatic Planified Task - C:\Windows\Tasks\{8C3FDD81-7AE0-4605-A46A-2488B179F2A3}.job => Infection FakeAlert (Trojan.FakeAlert)
O39 - APT:Automatic Planified Task - C:\WINDOWS\Tasks\Scheduled Update for Ask Toolbar.job => Infection BT (AskSBar.Adw)
O39 - APT:Automatic Planified Task - C:\WINDOWS\Tasks\RegCure Program Check.job => Infection Rogue (RegCure.Rog)
O39 - APT:Automatic Planified Task - C:\WINDOWS\Tasks\RegCure.job => Infection Rogue (RegCure.Rog)

Action ZHPFix (Cas O39)

- L'outil supprime le fichier ou la clé CLSID de base de Registres..

Action ZHPFix (Cas MD5)

[MD5.{MD5Value}] [APT] [{TaskName}] (.Publisher.) -- {FileName}

{MD5Value} : Valeur du MD5 du processus déclencheur,
{TaskName} : Nom de la tâche planifiée,
{FileName} : Nom du processus déclencheur,

1) L'outil supprime le processus déclencheur,
2) L'outil supprime la tâche planifiée

Rapport ZHPFix (Exemple du cas O39)

O39 - APT:Automatic Planified Task - Driver Fetch-{02689268-92D9-4EEA-B9C2-A0F7BA036884}

Rapport de ZHPFix v1.12.3133 par Nicolas Coolman, Update du 05/08/2010

========== Clé(s) du Registre ==========
O39 - APT:Automatic Planified Task - Driver Fetch-{02689268-92D9-4EEA-B9C2-A0F7BA036884} => Clé supprimée avec succès

========== Récapitulatif ==========
1 : Clé(s) du Registre

End of the scan

Rapport ZHPFix (Exemple du cas MD5)

[MD5.7B43567B4C32AD7ADED537CD3B1342B9] [APT] [AppleSoftwareUpdate] (.Apple Inc..) -- C:\Program Files\Apple Software Update\SoftwareUpdate.exe

Rapport de ZHPFix 1.12.3215 par Nicolas Coolman, Update du 08/11/2010

========== Processus mémoire ==========
C:\Program Files\Apple Software Update\SoftwareUpdate.exe => Supprimé et mis en quarantaine

========== Tache planifiée ==========
Task : AppleSoftwareUpdate => Tâche supprimée avec succès

========== Récapitulatif ==========
1 : Processus mémoire
1 : Tache planifiée

End of the scan

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPFix_Sx

ZHPFix - Logiciels installés

Origine

- Ces modules ont été créés en août 2008 et en juillet 2009.

Caractéristiques

- Ce module liste tous les logiciels installés en excluant les mises à jour et correctifs Microsoft Windows.

- Le module O63 recense les outils spécifiques génaralement utilisés par les helpers afin de diagnostiquer et/ou de désinfecter une station.

Evolutions

- 27/08/2008 : Module O42 Logiciels installés (LOIN)
- 27/07/2009 : Module 063 List All Tools Cleaner (LATC)


ZHPFix_042

ZHPDiag - Module O42 (LOIN)

Origine

Le module O42 (LOIN) a été crée le 27 aoûtl 2008.

Caractéristiques

Consulter le module O42 Logiciels installés (LOIN).

Exemples d'infection

---\\ Logiciels installés (O42)
O42 - Logiciel: Favorit (pbtdggj) - (.Pas de propriétaire.) [HKLM] => Infection Diverse (Favorit.Adw)
O42 - Logiciel: Antimalware Doctor - (.Pas de propriétaire.) [HKCU] => Infection Rogue (Rogue.AntimalwareDoctor)

---\\ Logiciels installés (Autres clés)
[HKCU\Software\AppDataLow\AskToolbarInfo] => Infection BT (AskTBar.Adw)
[HKCU\Software\Ask.com] => Infection BT (AskBarDis.Adw)
[HKCU\Software\AskToolbar] => Infection BT (AskBarDis.Adw)
[HKCU\Software\Winsudate] => Infection Diverse (Adware.Gibmedia)

Action ZHPFix (Cas N°1)

O42 - Logiciel: {DataKey} - (...) [ {Ruche} ]

{Key} : Clé de Base de Registres [ {Ruche} \SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
{Ruche} : HKCU ou HKLM
{DataKey} : Donnée de la valeur "DisplayName"
{SoftwareKey} : Clé contenant la valeur "DisplayName"
{Uninstall} : Donnée de la valeur 'UninstallString".

1) L'outil désinstalle le logiciel en exécutant la commande {Uninstall}
2) L'outil supprime la clé {SoftwareKey} si toujours présente.

NB : En cas d'absence de valeur "UninstallString", l'outil supprime seulement la clé {SoftwareKey}

Action ZHPFix (Cas N°2)

[ {Ruche} \Software\{SubKey}\ {SoftwareKey} ]

{Key} : Clé de Base de Registres [ {Ruche} \Software\{SubKey}\ {SoftwareKey} ]
{Ruche} : HKCU ou HKLM
{SubKey}: Souc-clé de {Key}
{SoftwareKey} : Clé software correspondant à une clé de {SubKey} ou de {Key} (si {SubKey} est vide)

1) L'outil supprime la clé {SoftwareKey}.

Rapport ZHPFix (Exemple N°1)

Lignes saisies (2) :
[HKCU\Software\PopCap]
[HKLM\Software\PopCap]

Rapport de ZHPFix v1.12.3118 par Nicolas Coolman, Update du 07/07/2010

========== Clé du Registre ==========
HKCU\Software\PopCap => Clé supprimée avec succès
HKLM\Software\PopCap => Clé supprimée avec succès

========== Récapitulatif ==========
2 : Clé du Registre

Rapport ZHPFix (Exemple N°2)

Lignes saisies (2) :
O42 - Logiciel: Search Settings v1.2.3 - (.Spigot, Inc..) [HKLM]
O42 - Logiciel: DAEMON Tools Toolbar - (.DT Soft Ltd.) [HKLM]

Rapport de ZHPFix v1.12.3129 par Nicolas Coolman, Update du 27/07/2010

========== Logiciel(s) ==========
O42 - Logiciel: Search Settings v1.2.3 - (.Spigot, Inc..) [HKLM] => Logiciel supprimé avec succès
O42 - Logiciel: DAEMON Tools Toolbar - (.DT Soft Ltd.) [HKLM] => Logiciel supprimé avec succès

========== Récapitulatif ==========
2 : Logiciel(s)

Rapport ZHPFix (Cas d'un désinstalleur défaillant)

O42 - Logiciel: Windows Searchqu Toolbar - (.Discordia Limited.) [HKLM] -- Searchqu MediaBar

Rapport de ZHPFix 1.12.3207 par Nicolas Coolman, Update du 06/10/2010

========== Clé(s) du Registre ==========
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Searchqu MediaBar] => Clé supprimée avec succès

========== Dossier(s) ==========
C:\Program Files\Windows Searchqu Toolbar\ => Supprimé et mis en quarantaine

========== Logiciel(s) ==========
O42 - Logiciel: Windows Searchqu Toolbar - (.Discordia Limited.) [HKLM] -- Searchqu MediaBar => Logiciel supprimé avec succès

========== Récapitulatif ==========
1 : Clé(s) du Registre
1 : Dossier(s)
1 : Logiciel(s)

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_063

ZHPFix - Module O63 (LATC)

Origine

- Le module O63 (LATC) a été crée le 27 juillet 2009.

Caractéristiques

Consulter le module O63 List All Tools Cleaner (LATC).

Liste des outils nettoyés

* Ad-Fix (Gchris)
* Ad-remover (C_xx)
* catchme (Gmer)
* Clean (Malekal Morte)
* ComboFix (sUBs)
* Diaghelp (Malekal Morte)
* Dial-a-fix (Djlizard)
* FindyKill (El Desaparecido)
* Fix IE Utility (Raghu Boddu)
* GenProc (Jean-chretien 1 & Narco4)
* GMER (Gmer)
* HijackThis (Trend Micro)
* JavaRa (Paul McLain)
* List'em (gen-hackman)
* List_Kill'em (gen-hackman)
* Lop SD (AngelDark & Eric71)
* Navilog1 (IL-MAFIOSO)
* OAD (!aur3n7)
* OTL (OldTimer)
* OTM (OldTimer)
* RHosts (S!ri)
* Rooter (IDN)
* RootRepeal
* RSIT (random/random)
* RustbFix (ejvindh)
* SDFix (Andy Manchesta)
* SF (C_XX)
* SmitFraudFix (S!ri)
* SysProt (swatkat)
* Toolbar SD (IDN Team)
* ToolsCleaner (A.Rothstein & dj QUIOU)
* UsbFix(El Desaparecido)
* WareOut Removal Tool (WORT) (dj QUIOU)
* Win32kDiag
* YoogFix (Batch_Man)
* ZHPFix (Nicolas Coolman)
* ZHPDiag (Nicolas Coolman)

Action ZHPFix

O63 - Logiciel: HiJackThis - (.Trend Micro.)

- L'outil désinstalle ou supprime le logiciel.

Rapport ZHPFix

O63 - Logiciel: HijackThis 2.0.2 - (.TrendMicro.) [HKLM] -- HijackThis

Rapport de ZHPFix v1.12.3155 par Nicolas Coolman, Update du 21/09/2010

========== Logiciel(s) ==========
O63 - Logiciel: HijackThis 2.0.2 - (.TrendMicro.) [HKLM] -- HijackThis => Logiciel supprimé avec succès

========== Récapitulatif ==========
1 : Logiciel(s)

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_051

ZHPFix - Module O51 (MPSK)

Origine

Le module O51 (MPSK) a été crée le 12 avril 2009.

Caractéristiques

Consulter le module O51 MountPoints2 Search Key (MPSK)

Exemple d'infection

O4 - HKLM\..\Run: [windows] . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\windows\Updat.exe
O4 - HKCU\..\Run: [updat] . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\windows\Updat.exe
O4 - HKLM\..\policies\Explorer\Run: [Polices] . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\windows\Updat.exe
O4 - HKCU\..\policies\Explorer\Run: [Polices] . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\windows\Updat.exe
O40 - ASIC: (no name) - {VYUB2383-G80U-N0Y5-U671-073O66S8110I} . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\windows\Updat.exe
O51 - MPSK:{702b8093-821b-11df-8c79-0016e697a35e}\Shell\AutoRun\command. (.) -- C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RECYCLER\S-1-5-21-1482476501-3352491937-682996330-1013\Updat.exe
O51 - MPSK:{b5c559b4-645d-11df-8c3e-0016e697a35e}\Shell\AutoRun\command. (.) -- C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RECYCLER\S-1-5-21-1482476501-3352491937-682996330-1013\Updat.exe
O51 - MPSK:{b5c559b5-645d-11df-8c3e-0016e697a35e}\Shell\AutoRun\command. (.) -- C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RECYCLER\S-1-5-21-1482476501-3352491937-682996330-1013\Updat.exe
O51 - MPSK:{d7d9c9af-5aaa-11df-8c29-0016e697a35e}\Shell\AutoRun\command. (.) -- C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RECYCLER\S-1-5-21-1482476501-3352491937-682996330-1013\Updat.exe
O53 - SMSR:HKLM\...\startupreg\updat [Key] . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\windows\Updat.exe
O53 - SMSR:HKLM\...\startupreg\windows [Key] . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\windows\Updat.exe

Action ZHPFix

O51 - MPSK:{CLSIDKey}\Shell\explore\command. (..) -- {FileName}

{Key} : Clé de Base de Registres [HKEYCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2]
{CLSIDKey} : Sous-clé de la clé {Key}
{FileName} : Valeur par défaut de la clé [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{CLSIDKey}\Shell\AutoRun\command]

1) L'outil supprime la clé CLSID {CLSIDKey}.
2) L'outil supprime le fichier {FileName}.

Rapport ZHPFix

O51 - MPSK:{08781a01-244b-11dd-997c-001d6080d73c}\Shell\AutoRun\command. (...) -- c:\windows\system32\xls.exe

Rapport de ZHPFix 1.12.32 par Nicolas Coolman, Update du 25/09/2010

========== Clé(s) du Registre ==========
O51 - MPSK:{08781a01-244b-11dd-997c-001d6080d73c}\Shell\AutoRun\command. (...) -- C:\WINDOWS\system32\xls.exe => Clé supprimée avec succès

========== Fichier(s) ==========
c:\windows\system32\xls.exe => Supprimé et mis en quarantaine

========== Récapitulatif ==========
1 : Clé(s) du Registre
1 : Fichier(s)

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPFix_052

ZHPFix - Module O52 (TDSD)

Origine

Le module O52 (TDSDK) a été crée le 14 avril 2009.

Caractéristiques

Consulter le module O52 Trojan Driver Search Data (TDSD)

Exemple d'infection

---\\ Trojan Driver Search Data (TDSD) (HKLM) (O52)
O52 - TDSD: \Drivers32\"wave1"="Common\ae54a05c1.dll" . (...) -- C:\DOCUME~1\don\APPLIC~1\MACROM~1\Common\ae54a05c1.dll
O52 - TDSD: \Drivers32\"midi1"="Common\ae54a05c1.dll" . (...) -- C:\DOCUME~1\don\APPLIC~1\MACROM~1\Common\ae54a05c1.dll
O52 - TDSD: \Drivers32\"mixer1"="Common\ae54a05c1.dll" . (...) -- C:\DOCUME~1\don\APPLIC~1\MACROM~1\Common\ae54a05c1.dll

Action ZHPFix

O52 - TDSD: \ {SubKey} \"{ValueKey}"="{DataValue}" . (...) -- {FileName}

{Key} ; Clé de Base de Registres [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion]
{Subkey} : Sous-clé de la clé {Key}
{ValueKey} : Valeur de la clé {Subkey}
{DataValue} : Donnée de la valeur {ValueKey}
{FileName} : {DataValue}

1) L'outil supprime la valeur {ValueKey}
2) L'outil supprime le fichier.

Rapport ZHPFix (Exemple d'un cas de lignes orphelines)

Lignes saisies (2) :
O52 - TDSD: \Drivers32\"msacm.l3codecp"="" . (.Pas de propriétaire - Pas de description.) -- (.not file.)
O52 - TDSD: \drivers.desc\"l3codecp.acm"="" . (.Pas de propriétaire - Pas de description.) -- (.not file.)

Rapport de ZHPFix v1.12.3133 par Nicolas Coolman, Update du 02/08/2010

========== Valeur(s) du Registre ==========
O52 - TDSD: \Drivers32\"msacm.l3codecp"="" . (.Pas de propriétaire - Pas de description.) -- (.not file.) => Valeur supprimée avec succès
O52 - TDSD: \drivers.desc\"l3codecp.acm"="" . (.Pas de propriétaire - Pas de description.) -- (.not file.) => Valeur supprimée avec succès

========== Récapitulatif ==========
2 : Valeur(s) du Registre

Liens

Malekal Morte : Trojan.Daonol/Trojan.Kates et redirections Google


ZHPDix_053

ZHPFix - Module O53 (SMSR)

Origine

Le module O53 (SMSR) a été crée le 24 avril 2009.

Caractéristiques

Consulter ZHPDiag Module O53 ShareTools MSconfig StartupReg (SMSR).

Action ZHPFix cas N°1

O53 - SMSR:HKLM\...\startupreg\ {ValueName} . (..) -- {FileName}

{key} : Clé de Base de Registres [HKLM\software\microsoft\shared tools\msconfig\startupreg]
{ValueName} : Valeur de la clé {key}
{FileName} : Donnée de la valeur {ValueName}

1) L'outil supprime la valeur {ValueName}.
2) L'outil supprime le fichier {FileName}.

Action ZHPFix cas N°2

O53 - SMSR:HKLM\...\startupreg\ {SubKey} [Key] . (..) -- {FileName}

{keyName} : Clé de Base de Registres [HKLM\software\microsoft\shared tools\msconfig\startupreg]
{SubKey} : Sous-clé de la clé {keyName}
{ValueName} : Valeur 'Command" de la clé {SubKey}
{FileName} : Donnée de la valeur {ValueName}

1) L'outil supprime la clé {SubKey}
2) L'outil supprime le fichier {FileName}.

Rapport ZHPFix (Cas général)

Lignes saisies :
O53 - SMSR:HKLM\...\startupreg\DC6V_Check [Key] . (...) -- C:\Program Files\Fichiers communs\SystemDoctor\usdrdc.exe
O53 - SMSR:HKLM\...\startupreg\kamsoft [Key] . (...) -- C:\WINDOWS\system32\ckvo.exe

Rapport de ZHPFix v1.12.3132 par Nicolas Coolman, Update du 02/08/2010

========== Clé(s) du Registre ==========
O53 - SMSR:HKLM\...\startupreg\DC6V_Check [Key] . (...) -- C:\Program Files\Fichiers communs\SystemDoctor\usdrdc.exe => Clé supprimée avec succès
O53 - SMSR:HKLM\...\startupreg\kamsoft [Key] . (...) -- C:\WINDOWS\system32\ckvo.exe => Clé supprimée avec succès

========== Fichier(s) ==========
c:\program files\fichiers communs\systemdoctor\usdrdc.exe => Supprimé et mis en quarantaine
C:\WINDOWS\system32\ckvo.exe => Supprimé et mis en quarantaine

========== Récapitulatif ==========
2 : Clé(s) du Registre
2 : Fichier(s)

Rapport ZHPFix (Optimisation avec la commande OPT:)

Il faut préciser aussi que cette commande s'applique aux lignes présentant des clés, valeurs ou données de Base de Registres.

Dans cet exemple, seule les clés de Base de Registres "Adobe Reader Speed Launcher" et "ctfmon.exe" sont supprimées, les processus sont conservés

Lignes saisies :
OPT:O53 - SMSR:HKLM\...\startupreg\Adobe Reader Speed Launcher [Key] . (.Pas de propriétaire - Pas de description.) -- C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe
OPT:O53 - SMSR:HKLM\...\startupreg\ctfmon.exe [Key] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\ctfmon.exe

Rapport de ZHPFix v1.12.3141 par Nicolas Coolman, Update du 27/08/2010

========== Clé(s) du Registre ==========
O53 - SMSR:HKLM\...\startupreg\Adobe Reader Speed Launcher [Key] . (.Pas de propriétaire - Pas de description.) -- C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe => Clé supprimée avec succès
O53 - SMSR:HKLM\...\startupreg\ctfmon.exe [Key] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\ctfmon.exe => Clé supprimée avec succès

========== Récapitulatif ==========
2 : Clé(s) du Registre

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPFix_054

ZHPFix - Module O54 (MCSP)

Origine

Le module O54 (MCSP) a été crée le 24 avril 2009.

Caractéristiques

Consulter le module O54 Microsoft Control Security Providers (MCSP)

Exemple d'infection

---\\ Microsoft Control Security Providers (MCSP) (O54)
O54 - MCSP:[HKLM\...\CurrentControlSet\Control] - "SecurityProviders"=msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll, digiwet.dll
O54 - MCSP:[HKLM\...\ControlSet001\Control] - "SecurityProviders"=msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll, digiwet.dll

Action ZHPFix

O54 - MCSP:[HKLM\...\ {KeyCurrent} Control] - (SecurityProviders) - (...) -- {FileName}

{Key} : Clé de base de Registre [HKEY_LOCAL_MACHINE\SYSTEM\ {KeyCurrent} \Control\SecurityProviders]
{KeyCurrent} : Clé "CurrentControlSet", "ControlSet001".
{FileName} : Donnée de la valeur "SecurityProvider' de la clé {Key}

1) L'outil efface la donnée de la valeur "SecurityProviders"
2) L'outil efface le fichier {FileName}

Rapport ZHPFix (Exemple)

Liens

Malekal Morte : Trojan.Agent.AWDE / TrojanDownloader:Win32/Bredolab


ZHPFix_055

ZHPDiag - Module O55 (MWPS)

Origine

Le module O55 (MWPS) a été crée le 24 avril 2009.

Caractéristiques

Consulter le module O55 Microsoft Windows Policies System (MWPS)

Exemple d'infection

O55 - MWPS:[HKCU\...\Policies\System] - "yzkkzcypsguaigzholxnTaskMgr"=0
O55 - MWPS:[HKCU\...\Policies\System] - "nwyrohwxwuuawkzxosewTaskMgr"=0
O55 - MWPS:[HKCU\...\Policies\System] - "pddezqtuwegkaaebpamkTaskMgr"=0

Action ZHPFix

O55 - MWPS:[ {Ruche} \...\Policies\System] - " {ValueKey} "=0

{Ruche} : HKLM ou HKCU.
{Key} : Clé de Base de Registres [ {Ruche} \Software\Microsoft\Windows\CurrentVersion\Policies\System]
{ValueKey} : Valeur de clé de {Key}

- L'outil supprime la valeur {ValueKey}

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPfix_056

ZHPFix - Module O56 (MWPE)

Origine

- Le module O56 (MWPE) a été crée le 15 mai 2009.

Caractéristiques

Consulter le module O56 Microsoft Windows Policies Explorer (MWPE).

Exemple d'infection

O56 - MWPE:[HKCU\...\Policies\Explorer] - "NoSMHelp"=1 => Infection Diverse (Hijack.Help)

Action ZHPFix

O56 - MWPE:[ {Ruche} \...\Policies\Explorer] - " {ValueKey } "=1

{Key} : Clé de Base de Registres [ {Ruche} \Software\Microsoft\Windows\CurrentVersion\Policies\explorer]
{Ruche} : HKLM ou HKCU.
{ValueKey} : Valeur de la clé {Key}

1) L'outil supprime la valeur {ValueKey}

Rapport ZHPFix (Exemple)

O56 - MWPE:[HKCU\...\policies\Explorer] - "NoSMHelp"=1

Rapport de ZHPFix v1.12.3148 par Nicolas Coolman, Update du 09/09/2010

========== Valeur(s) du Registre ==========
O56 - MWPE:[HKCU\...\policies\Explorer] - "NoSMHelp"=1 => Valeur supprimée avec succès

========== Récapitulatif ==========
1 : Valeur(s) du Registre

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPfix_067

ZHPFix - Module O67 (FASS)

Origine

Le module O67 (FASS) a été crée le 22 mars 2010.

Caractéristiques

Consulter le module O67 File Association Shell Spawning (FASS)

- Ajout du propriétaire et de la désignation du fichier. v1.25.13

Exemple d'infection

O67 - Shell Spawning: <.exe> <secfile>[HKCU\..\open\Command] (.Pas de propriétaire - Pas de description.) -- C:\DOCUME~1\LAUREN~1\LOCALS~1\Temp\av.exe => Infection Rogue (Trojan.Sinkin)
O67 - Shell Spawning: <.exe> <secfile>[HKU\..\open\Command] (.Pas de propriétaire - Pas de description.) -- C:\Windows\TEMP\AUTMGR32.exe => Infection Diverse (Trojan.Dropper)

Action ZHPFix

O67 - Shell Spawning: < {KeyExt} > < [KeyExtFile} >[HKLM\..\open\Command] (...) -- {FileName}

{Key} : Clé "Classes" de la Base de Registre comme par exemple [HKLM\SOFTWARE\Classes]
{KeyExt} : Clé d'extension de la clé {Key} comme par exemple [HKLM\SOFTWARE\Classes\.exe]
{KeyExtFile} : Clé d'extension dile de la clé {Key} comme par exemple [HKLM\SOFTWARE\Classes\exefile]
{FileName} : Donnée de la valeur par défaut de la clé 'Command', par exemple [HKLM\SOFTWARE\Classes\exefile\Shell\Open\Command]

1) L'outil restaure la donnée par défaut de la clé {KeyExtFile}.
2) L'outil supprime le fichier {FileName}.

Rapport ZHPFix

O67 - Shell Spawning: <.exe> <exefile>[HKLM\..\open\Command] "%1" %* (.not file.)

Rapport de ZHPFix 1.12.3211 par Nicolas Coolman, Update du 14/10/2010

========== Elément(s) de donnée du Registre ==========
O67 - Shell Spawning: <.exe> <exefile>[HKLM\..\open\Command] "%1" %* (.not file.) => Donnée supprimée avec succès

========== Récapitulatif ==========
1 : Elément(s) de donnée du Registre

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPFix_069

ZHPFix - Module O69 (SBI)

Origine

- Le module O69 (SBI) a été crée le 20 septembre 2009.

Caractéristiques

- Consulter ZHPDiag Module O69 (SBI)

Action ZHPFix (Cas N°1)

O69 - SBI: SearchScopes [{RucheName}] {CLSIDKey} [DefaultScope] - () - {DataKey}

{RucheName} : Nom de la ruche (HKCU,HKCR,HKUS).
{Key} : Clé de Base de Registres [HKEY_USERS\...\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{CLSIDKey}]
{CLSIDKey} : Sous clé de {Key}
{DataKey} : Donnée de la valeur "URL" de la clé {CLSIDKey}.

1) Remplace la donnée {DataKey} par "http://www.Google.com/"
2) Supprime la clé {CLSIDKey} si malware.

Action ZHPFix (Cas N°2)

O69 - SBI: prefs.js [{userName} - {random}.default] user_pref( {Line} );

{Line} : Ligne du fichier de préférence.

1) La ligne {Line} est placée en commentaire et devient inactive lors du rechargement du fichier de préférences du navigateur.

Action ZHPFix (Cas N°3)

O69 - SBI: {FileName}

1) Ssupprime le fichier {FileName}

Rapport ZHPFix (Exemple)

Lignes saisies :
O69 - SBI: SearchScopes [HKCU] {9BB47C17-9C68-4BB3-B188-DD9AF0FD2A59} - (Web Search) - http://search.imesh.com
O69 - SBI: SearchScopes [HKCU] {afdbddaa-5d3f-42ee-b79c-185a7020515b} - (Messenger Plus Live France Customized Web Search) - http://search.conduit.com

Rapport de ZHPFix v1.12.3143 par Nicolas Coolman, Update du 01/09/2010

========== Elément(s) de donnée du Registre ==========
O69 - SBI: SearchScopes [HKCU] {9BB47C17-9C68-4BB3-B188-DD9AF0FD2A59} - (Web Search) - http://search.imesh.com => Donnée remplacée avec succès
O69 - SBI: SearchScopes [HKCU] {afdbddaa-5d3f-42ee-b79c-185a7020515b} - (Messenger Plus Live France Customized Web Search) - http://search.conduit.com => Donnée remplacée avec succès

========== Récapitulatif ==========
2 : Elément(s) de donnée du Registre

Liens

Malekal Morte : Trojan.Daonol/Trojan.Kates et redirections Google
Microsoft : Comment créer des personnalisé fichiers .adm
Le mode protégé (HotLine PC)
Understanding and Working in Protected Mode Internet Explorer (Microsoft)
Adding Entries to the Standard Context Menu


ZHPFix_081

ZHPFix - Module O81 (IFC)

Origine

Le module O81 (IFC) a été crée le 17 avril 2010.

Caractéristiques

Consulter le module O81 Internet Feature Controls (IFC).

Action ZHPFix

O81 - IFC: Internet Feature Controls [HKCU] [ {SubKey} ] -- {ValueKey}

{Key} : Clé de base de Registres [...\Software\Microsoft\Internet Explorer\Main\FeatureControl]
{SubKey} : sous-clé de {Key} comme par exemple "FEATURE_BROWSER_EMULATION"
{ValueKey} : Valeur de {SubKey}

- L'outil supprime la valeur de clé {ValueKey}

Rapport ZHPFix (Exemple)

O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe
O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [FEATURE_BROWSER_EMULATION] -- svchost.exe

Rapport de ZHPFix v1.12.3149 par Nicolas Coolman, Update du 11/09/2010

========== Valeur(s) du Registre ==========
O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe => Valeur supprimée avec succès
O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [FEATURE_BROWSER_EMULATION] -- svchost.exe => Valeur absente

========== Récapitulatif ==========
2 : Valeur(s) du Registre

Liens

Internet Feature Controls (Microsoft)


ZHPFix_083

ZHPFix - Module O83 (SSS)

Origine

- Le module O83 (SSS) a été crée le 27 juillet 2010.

Caractéristiques

- Consulter ZHPDiag Module O83 (SSS)

Action ZHPFix

O83 - Search Svchost Services: {NameService} ( {KeyService} ) . (...) -- {FileName}

{Key} : Clé de la Base de Registre [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost]
{NameService} : Donnée de la valeur de "NetSvcs" de la Clé {Key}.
{KeyService} : Sous clé de la clé [HKLM\System\CurrentControlSet\Services].
{FileName} : Donnée de la valeur "ServiceDll" de la clé [HKLM\System\ControlControlSet\Services\{KeyService}\Parameters].

1) L'outil supprime le service malware {KeyService}.
2) L'outil supprime le fichier {FileName}.

Rapport ZHPFix (Exemple)

Ligne saisie :
O83 - Search Svchost Services: SSHNAS (SSHNAS) . (.Electronic Arts - Command And Conquer Generals World Builder.) -- C:\WINDOWS\system32\sshnas21.dll [242176]

Rapport de ZHPFix v1.12.3133 par Nicolas Coolman, Update du 02/08/2010

========== Clé(s) du Registre ==========
O83 - Search Svchost Services: SSHNAS (SSHNAS) . (.Electronic Arts - Command And Conquer Generals World Builder.) -- C:\WINDOWS\system32\sshnas21.dll [242176] => Clé supprimée avec succès

========== Fichier(s) ==========
C:\WINDOWS\system32\sshnas21.dll => Supprimé et mis en quarantaine

========== Récapitulatif ==========
1 : Clé(s) du Registre
1 : Fichier(s)

Liens

* Comment supprimer le virus Conficker
* Downadup/ Conficker
* Comment les malwares se cachent en s'installant en service (Malekal)


ZHPfix_084

ZHPDiag - Module O84 (SPRF)

Origine

Le module O84 (SPRF) a été crée le 09 novembre 2010.

Caractéristiques

Consulter le module de Recherche particuliere à la racine de certains dossiers (SPRF)

Exemple d'infection

---\\ Recherche particuliere à la racine de certains dossiers (SPRF) (O84)
[MD5.A383622C180BADC4E2D5C31A5C4F4913] [SPRF] (.Pas de propriétaire - Pas de description.) -- C:\Program Files\k2.exe [174]
[MD5.1825688D192CF152A1D458BA1D3A2924] [SPRF] (.Pas de propriétaire - Pas de description.) -- C:\Program Files\k2.dll [15982]
[MD5.F58DEEFEF0D0D6CDDDC9470695B02472] [SPRF] (.Pas de propriétaire - Pas de description.) -- C:\Users\Quickyx\AppData\Local\Temp\UuU.uUu [8] => Infection Diverse (Malware.Trace)
[MD5.2BD52A1DC75DA08348C32BBD89161C52] [SPRF] (.Pas de propriétaire - Pas de description.) -- C:\Users\Quickyx\AppData\Local\Temp\XxX.xXx [8] => Infection Diverse (Malware.Trace)
[MD5.141296EF22B587E3506FBCDB82B90868] [SPRF] (.Pas de propriétaire - Pas de description.) -- C:\Users\Quickyx\AppData\Roaming\cglogs.dat [488643] => Infection Diverse (Malware.Trace)

Action ZHPFix

- L'outil supprime le processus.

Rapport ZHPFix (Exemple)

[MD5.85C89E6F7158146360D84B443B3BF329] [SPRF] (.Pas de propriétaire - Pas de description.) -- C:\Program Files\mbr.exe [88064]

Rapport de ZHPFix 1.12.3216 par Nicolas Coolman, Update du 09/11/2010

========== Processus mémoire ==========
C:\Program Files\mbr.exe [88064] => Supprimé et mis en quarantaine

========== Récapitulatif ==========
1 : Processus mémoire

End of the scan

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPFix_085

ZHPFix - Module O85 (SKWI)

Origine

Le module O85 (SKWI) a été crée le 22 décembre 2010.

Caractéristiques

Consulter le module O85 Recherche d'infection par le ver Koobface (SKWI)

Exemple d'infection

---\\ Recherche d'infection par le ver Koobface (SKWI) (O85)
[MD5.6383522C180BADC4E1D4B30A5C4F4913] [SPRF] (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\freddy51.exe [1235]
[MD5.85C89E6F7258146360D84C443B3BF329] [SPRF] (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\ld22.exe [35841]

Action ZHPFix

- L'outil supprime le fichier.

Rapport ZHPFix (Exemple)

[MD5.6383522C180BADC4E1D4B30A5C4F4913] [SPRF] (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\freddy51.exe [1235]

Rapport de ZHPFix 1.12.3229 par Nicolas Coolman, Update du 21/12/2010

========== Processus mémoire ==========
C:\WINDOWS\freddy51.exe [1235] => Supprimé et mis en quarantaine

========== Récapitulatif ==========
1 : Processus mémoire

End of the scan

Liens

Adware.Koobface [MBAM]


ZHPFix_086

ZHPFix - Module O86 (SRI)

Origine

Le module O86 (SRI) a été crée le 03 janvier 2011.

Caractéristiques

Consulter le module O86 (SRI).

Exemple d'infection

---\\ Recherche d'infection Rogue (SRI) (O86)
C:\Users\Coolman\AppData\67fac4
[MD5.63E8A132FA2214498CE1F596EBED77AA] [SRI] (.Pas de propriétaire - Pas de description.) -- C:\Users\Coolman\AppData\67fac4\IS21f_2802.exe [111258]

Action ZHPFix

- L'outil supprime le fichier.

Rapport ZHPFix (Exemple)

[MD5.43E8A032EA2214499CE1F596EBED77AA] [SRI] (.Pas de propriétaire - Pas de description.) -- C:\ProgramData\67fac4\IS21f_2802.exe [111258]

Rapport de ZHPFix 1.12.3235 par Nicolas Coolman, Update du 03/01/2011

========== Processus mémoire ==========
C:\ProgramData\67fac4\IS21f_2802.exe => Supprimé et mis en quarantaine

========== Récapitulatif ==========
1 : Processus mémoire

End of the scan

Liens

(C) Copyrights 2011 - Nicolas Coolman - All rights reserved


ZHPdiag_084

ZHPFix - Module O87 (FAEL)

Origine

Le module O87 (FAEL) a été crée le 27 janvier 2011.

Caractéristiques

Consulter le module O87/Firewall Active Exception List.

Exemple d'infection

---\\ Firewall Active Exception List (FirewallRules) (O87)
O87 - FAEL: "TCP Query User{C609E4FF-807A-4516-83C9-85D43A8DD9E1}C:\Program Files\Live-Player\Live-Player.exe" | In - Public - TRUE | .(...) -- C:\Program Files\Live-Player\Live-Player.exe => Infection MagicControl (Magic.Control.Adw)
O87 - FAEL: "UDP Query User{8E178FD2-8255-4354-A850-1FE3F85E508A}C:\Program Files\Live-Player\Live-Player.exe" | In - Public - TRUE | .(...) -- C:\Program Files\Live-Player\Live-Player.exe => Infection MagicControl (Magic.Control.Adw)

Action ZHPFix

O87 - FAEL: "{ValueCLSID}' .(...) -- {FileName}

{Key} : [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules]
{ValueCLSID} : valeur CLSID
{FileName} : Nom du fichier

- L'outil supprime la valeur CLSID {ValueCLSID}
- L'outil supprime le fichier {FileName}

Rapport ZHPFix (Exemple)

O87 - FAEL: "TCP Query User{C609E4FF-807A-4516-83C9-85D43A8DD9E1}C:\Program Files\Live-Player\Live-Player.exe" | In - Public - TRUE | .(...) -- C:\Program Files\Live-Player\Live-Player.exe

Rapport de ZHPFix v1.12.3244 par Nicolas Coolman, Update du 27/01/2011

========== Valeur(s) du Registre ==========
TCP Query User{C609E4FF-807A-4516-83C9-85D43A8DD9E1}C:\Program Files\Live-Player\Live-Player.exe => Valeur supprimée avec succès

========== Fichier(s) ==========
c:\program files\live-player\live-player.exe => Supprimé et mis en quarantaine

========== Récapitulatif ==========
1 : Valeur(s) du Registre
1 : Fichier(s)

Liens

(C) Copyrights 2011 - Nicolas Coolman - All rights reserved


ZHPdiag_SS

ZHPFix - Module Services SR/SS (EGS)

Origine

- Le module SR/SS (EGS) a été crée le 24 août 2010.

Caractéristiques

- Voir ZHPDiag Module SR/SS (EGS)

Action ZHPFix (Suppression d'un service)

{Etat}- | {Mode} {Date} {} | {DataValue} ( {KeyService} ) . (...) - {FileName}

{Key} : Clé de Base de Registres [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services]
{Mode} : Donné de la valeur "Start" de la clé {Key}
{KeyService} : Sous clé de la clé {Key}
{FileName} : Donnée de la valeur "ImagePath" la clé [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\{KeyService}]

1) L'outil supprime la clé [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\{KeyService}]
2) L'outil supprime le processus {FileName}

Action ZHPFix (Démarrage/Arrêt d'un service)

{Commande}{Etat}- | {Mode} {Date} {} | {DataValue} ( {KeyService} ) . (...) - {FileName}

{Commande} : "START:" ou "STOP:".

1) La commande "STOP:" arrête le service
2) La commande "START:" démarre le service

Voir l'utilisation des commandes START et STOP.

Rapport ZHPFix (Suppression d'un service)

Ligne saisie
SS - | Demand 15/01/2010 227232 | McAfee Security Scan Component Host Service (McComponentHostService) . (.McAfee, Inc..) - C:\Program Files\McAfee Security Scan\2.0.181\McCHSvc.exe
SR - | Auto 13/08/2009 101289 | BarDiscover Service - (.Pas de propriétaire.) - C:\ProgramData\BarDiscover\bardiscover133.exe

Rapport de ZHPFix v1.12.3138 par Nicolas Coolman, Update du 25/08/2010

========== Clé(s) du Registre ==========
SS - | Demand 15/01/2010 227232 | McAfee Security Scan Component Host Service (McComponentHostService) . (.McAfee, Inc..) - C:\Program Files\McAfee Security Scan\2.0.181\McCHSvc.exe => Clé supprimée avec succès
SR - | Auto 13/08/2009 101289 | BarDiscover Service - (.Pas de propriétaire.) - C:\ProgramData\BarDiscover\bardiscover133.exe => Clé supprimée avec succès

========== Fichier(s) ==========
c:\program files\mcafee security scan\2.0.181\mcchsvc.exe => Supprimé et mis en quarantaine
C:\ProgramData\BarDiscover\bardiscover133.exe => Supprimé et mis en quarantaine

========== Récapitulatif ==========
2 : Fichier(s)
2 : Clé(s) du Registre

Rapport ZHPFix (Arrêt/Démarrage d'un service)

Lignes saisies :
START:SS - | Demand 02/02/2009 137200 | Google Updater Service (gusvc) . (.Google.) - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
STOP:SR - | Auto 21/07/2009 185089 | Avira AntiVir Guard (AntiVirService) . (.Avira GmbH.) - C:\Program Files\Avira\AntiVir Desktop\avguard.exe

Rapport de ZHPFix v1.12.3138 par Nicolas Coolman, Update du 24/08/2010

========== Etat des services ==========
Google Updater Service (gusvc) de Google => Service démarré avec succès
Avira AntiVir Guard (AntiVirService) de Avira GmbH => Service arrêté avec succès

========== Récapitulatif ==========
2 : Etat des services

Liens

* Liste de tous les services NT
- Configurer le démarrage d'un service

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_084

ZHPFix - Module O88 (AS)

Origine

Le module O88 (AS) a été crée le 20 mars 2011.

Caractéristiques

Consulter le module ZHPDiag/O88.

Exemple d'infection

---\\ Scan Additionnel (O88)
%AppData%\OpenCandy
[HKLM\Software\Classes\AxMetaStream.MetaStreamCtlSecondary.1] =>Adware.MetaStream
[HKLM\Software\Microsoft\Active Setup\Installed Components\{1B00725B-C455-4DE6-BFB6-AD540AD427CD}] =>Adware.MetaStream
[HKCU\SOFTWARE\MyWebSearch] =>Adware.MyWebSearch

Action ZHPFix

[HKCU\SOFTWARE\MyWebSearch] =>Adware.MyWebSearch
%AppData%\OpenCandy

- L'outil supprime la clé ou la valeur de registre,
- L'outil supprime le dossier.

Rapport ZHPFix (Exemple)

[HKCU\SOFTWARE\MyWebSearch] =>Adware.MyWebSearch

Rapport de ZHPFix v1.12.3263 par Nicolas Coolman, Update du 22/03/2011

========== Clé(s) du Registre ==========
HKCU\SOFTWARE\MyWebSearch => Clé supprimée avec succès

========== Récapitulatif ==========
1 : Clé(s) du Registre
1 : Fichier(s)

Liens

(C) Copyrights 2011 - Nicolas Coolman - All rights reserved


ZHPFix_GestionServices

ZHPFix - Gestion des services

Origine

- Le module de Gestion des Services a été crée le 27 août 2010.

Caractéristiques

- Ce module permet de gérer les Services Windows deMicrosoft. Il permet le démarrage ou l'arrêt d'un service anisi quele changement de son mode de démarrage.

- Le mode de démarrage peut prendre les valeurs suivantes::
- (Boot) - Pilote de périphérique chargé par le chargeur de démarrage.
- (System) - Pilote de périphérique démarré au cours de l'initialisation du noyau.
- (Auto) - Service lancé à chaque redémarrage de l'ordinateur, qui s'exécute même si aucun utilisateur ne se connecte à l'ordinateur.
- (Demand) - Service devant être démarré manuellement. Il s'agit de la valeur par défaut si start= n'est pas spécifié.
- (Disabled) - Service ne pouvant pas être démarré. Pour démarrer un service désactivé, changez le type de démarrage en spécifiant une des autres valeurs.

- La recherche des services s'effectue sur la valeur ''ImagePath" de la clé de Base de Registres [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services].

- Masque de commande: {ServiceCommande}:{NomService}
- {NomService} : Nom court du service.
- {ServiceCommand} : Commande de service appartenant à la liste suivante :

1) ServiceStop: Arrête un service,
2) ServiceStart: Démarre un service,
3) ServiceBoot: Configure en mode Boot,
4) ServiceSystem: Configure en mode System,
5) ServiceAuto: Configure en mode Automatique,
6) ServiceDemand: Configure en mode manuel,
7) ServiceDisabled: Configure en mode Désactivé,

Rapport ZHPFix (Arrêt d'un service et configuration en mode "Demand")

Lignes saisies :
ServiceStop:gusvc
ServiceDemand:gusvc

Rapport de ZHPFix v1.12.3139 par Nicolas Coolman, Update du 27/08/2010

========== Etat des services ==========
gusvc => Service démarré avec succès
gusvc => Service configuré avec succès

========== Récapitulatif ==========
2 : Etat des services

Rapport ZHPFix (Démarrage d'un service et configuration en mode "Auto")

Lignes saisies :
ServiceStart:gusvc
ServiceAuto:gusvc

Rapport de ZHPFix v1.12.3139 par Nicolas Coolman, Update du 27/08/2010

========== Etat des services ==========
gusvc => Service arrêté avec succès
gusvc => Service configuré avec succès

========== Récapitulatif ==========
2 : Etat des services

Liens

* Liste de tous les services NT
- Configurer le démarrage d'un service

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_Commandes

ZHPFix - Liste des commandes

Gestion des services généraux

ServiceAuto: Service lancé à chaque redémarrage de l'ordinateur, qui s'exécute même si aucun utilisateur ne se connecte à l'ordinateur.
ServiceBoot: Pilote de périphérique chargé par le chargeur de démarrage.
ServiceDemand: Service devant être démarré manuellement. Il s'agit de la valeur par défaut si start= n'est pas spécifié.
ServiceDisabled: Service ne pouvant pas être démarré. Pour démarrer un service désactivé, changez le type de démarrage en spécifiant une des autres valeurs.
ServiceSystem: Pilote de périphérique démarré au cours de l'initialisation du noyau.
ServiceStart: Démarre le service.
ServiceStop: Arrête le service.

STOP: S'applique aux lignes de module SS/SR. Arrête le service.
START: S'applique aux lignes de module SS/SR. Démarre le service.

Gestion de services particuliers

CTFEnable : Active les services de texte avancés (CTFMon)
CTFDisabled : Désactive les services de texte avancés (CTFMon)

Fichier Hosts

HOSTFix : Cette commande permet de faire un nettoyage de tout le fichier hosts.

Optimisation

OPT: Cette commande permet d'optimiser le système.
FirewallRaz : Cette commande permet d'optimiser les applications autorisées du parefeu.

Image File Execution Options

IFEOFix: Cette commande permet de supprimer toutes les redirections d'applications.

Master Boot Record

MBRFix: Cette commande permet de fixer le MBR (Master Boot Record).

Script de registre

REG: Cette commande permet de fusionner un fichier registre.

Gestion des dossiers et des fichiers

FCopy: Cette commande permet de remplacer un fichier infecté par une copie saine.
EmptyFlash : Cette commande permet de vider le dossier des flash cookies.
EmptyTemp: Cette commande permet de vider le dossier temporaire de l'utilisateur.
EmptyCLSID : Cette commande permet de supprimer les dossiers CLSID vides locaux (O43).
HiddenFix : Restauration des attributs normaux de dossiers/fichiers cachés.
ShortCutFix : Réparation des raccoucis de navivateurs internet.
EmptyPrefetch : Cette commande permet de vider le dossier windows Prefetcher.

Restauration du système

SysRestore: Cette commande permet de créer un point de restauration du système.

Restauration de la quarantaine

QuarantineRestore: Cette commande permet de restaurer un fichier ou un dossier du fichier de quarantaine


ZHPdiag_Commandes_Services

ZHPFix - Commandes pour les services généraux

START:

Cette commande permet de démarrer un service issue de la liste générale des services (Modules SS et SR). La commande doit se placer devant la ligne de rapport.

Exemple : le service "Google Updater Service (gusvc)" de Google est démarré.
START:SS - | Demand 02/02/2009 137200 | Google Updater Service (gusvc) . (.Google.) - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

STOP:

Cette commande permet d'arrêter un service issue de la liste générale des services (Modules SS et SR). La commande doit se placer devant la ligne de rapport.

Exemple : le service "Google Updater Service (gusvc)" de Google est arrêté.
STOP:SR - | Demand 02/02/2009 137200 | Google Updater Service (gusvc) . (.Google.) - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

ServiceStart:

Cette commande permet de démarrer un service.

ServiceStart:{NomService}

Exemple : Démarrer le service Google Updater Service (gusvc)..

ServiceStart:gusvc

ServiceStop:

Cette commande permet d'arrêter un service.

ServiceStop:{NomService}

Exemple : Arrêter le service Google Updater Service (gusvc).

ServiceStop:gusvc

ServiceBoot:

Cette commande permet de configurer un service en mode Boot. Le pilote de périphérique est chargé par le chargeur de démarrage.

ServiceBoot:{NomService}

Exemple : Configurer le service Google Updater Service (gusvc) en mode Boot.

ServiceBoot:gusvc

ServiceSystem:

Cette commande permet de configurer un service en mode System. Le pilote de périphérique est démarré au cours de l'initialisation du noyau.

ServiceSystem:{NomService}

Exemple : Configurer le service Google Updater Service (gusvc) en mode System.

ServiceSystem:gusvc

ServiceAuto:

Cette commande permet de configurer un service en mode Auto (Automatique). Service lancé à chaque redémarrage de l'ordinateur, qui s'exécute même si aucun utilisateur ne se connecte à l'ordinateur.

ServiceAuto:{NomService}

Exemple : Configurer le service Google Updater Service (gusvc) en mode Auto.

ServiceAuto:gusvc

ServiceDemand:

Cette commande permet de configurer un service en mode Demand (Manuel). Service devant être démarré manuellement. Il s'agit de la valeur par défaut si start= n'est pas spécifié.

ServiceDemand:{NomService}

Exemple : Configurer le service Google Updater Service (gusvc) en mode Demand (Manuel).

ServiceDemand:gusvc

ServiceDisabled:

Cette commande permet de configurer un service en mode Disabled (Désactivé). Service ne pouvant pas être démarré. Pour démarrer un service désactivé, changez le type de démarrage en spécifiant une des autres valeurs.

ServiceDisabled:{NomService}

Exemple : Configurer le service Google Updater Service (gusvc) en mode Disabled (Désactivé).

ServiceDisabled:gusvc

Exemple 1 : Désactiver un service (Démarré en mode Manuel)

L'outil commence par arrêter le service et ensuite le désactive.

Rapport ZHPDiag
---\\ Etat général des services non Microsoft (EGS) (SR=Running, SS=Stopped)
SR - | Demand 02/02/2009 137200 | Google Updater Service (gusvc) . (.Google.) - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

Ligne saisie :
ServiceDisabled:gusvc

Rapport de ZHPFix v1.12.3141 par Nicolas Coolman, Update du 28/08/2010

========== Etat des services ==========
gusvc => Service arrêté avec succès
gusvc => Service configuré avec succès (disabled)

========== Récapitulatif ==========
2 : Etat des services

Rapport ZHPDiag (Vérification)
---\\ Etat général des services non Microsoft (EGS) (SR=Running, SS=Stopped)
SS - | Disabled 02/02/2009 137200 | Google Updater Service (gusvc) . (.Google.) - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

Exemple 2 : Démarrer un service (mode Desactivé)

L'outil configure un mode de service, par défaut en mode Manuel, et ensuite lance son démarrage.

Rapport ZHPDiag
---\\ Etat général des services non Microsoft (EGS) (SR=Running, SS=Stopped)
SS - | Disabled 02/02/2009 137200 | Google Updater Service (gusvc) . (.Google.) - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

Ligne saisie :
ServiceStart:gusvc

Rapport de ZHPFix v1.12.3141 par Nicolas Coolman, Update du 28/08/2010

========== Etat des services ==========
gusvc => Service configuré avec succès (Demand)
gusvc => Service démarré avec succès

========== Récapitulatif ==========
2 : Etat des services

Rapport ZHPDiag (Vérification)
---\\ Etat général des services non Microsoft (EGS) (SR=Running, SS=Stopped)
SR - | Demand 02/02/2009 137200 | Google Updater Service (gusvc) . (.Google.) - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

Exemple 3 : Configurer en mode automatique un service (Démarré en mode Manuel)

A la fin du changement de mode de configuration, si le service était démarré, il y a redémarrage du service. L'outil se charge de faire ces deux opérations.

Rapport ZHPDiag
---\\ Etat général des services non Microsoft (EGS) (SR=Running, SS=Stopped)
SR - | Demand 02/02/2009 137200 | Google Updater Service (gusvc) . (.Google.) - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

Ligne saisie :
ServiceAuto:gusvc

Rapport de ZHPFix v1.12.3141 par Nicolas Coolman, Update du 28/08/2010

========== Etat des services ==========
gusvc => Service configuré avec succès (auto)
gusvc => Service démarré avec succès

========== Récapitulatif ==========
2 : Etat des services

Rapport ZHPDiag (Vérification)
---\\ Etat général des services non Microsoft (EGS) (SR=Running, SS=Stopped)
SR - | Auto 02/02/2009 137200 | Google Updater Service (gusvc) . (.Google.) - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe


ZHPdiag_Commandes_Services

ZHPFix - Commandes pour le service CTFMon

Liminaire

Microsoft Office contient des fonctionnalités de reconnaissance vocale et de reconnaissance de l'écriture manuscrite. Sous Windows XP, il est possible de démarrer ou d'arrêter les services de texte avancés via le Panneau de Configuration :

1) Sélectionner "Options régionales et linguistiques",
2) Sélectionner "Langues",
3) Sélectionner "Détails"
3) Sélectionner "Avancé"
4) Cocher la case "Arrêtez les services de texte avancés"

ZHPfix propose la désactivation ou l'activation du service via la Base de Registres. La modification se fait sur la valeur DWORD "ShowDeskBand".

CTFMon désactivé :
[HKEY_CURRENT_USER\Software\Microsoft\CTF\MSUTB]
"ShowDeskBand"=dword:00000000

CTFMon activé :
[HKEY_CURRENT_USER\Software\Microsoft\CTF\MSUTB]
"ShowDeskBand"=dword:00000001

Dans le cas où Microsoft Office est installé il faut aussi intervenir sur la valeur DWORD "Disable Thread Input Manager"

CTFMon désactivé :
[HKEY_CURRENT_USER\Software\Microsoft\CTF]
"Disable Thread Input Manager"=dword:00000001

CTFMon activé :
[HKEY_CURRENT_USER\Software\Microsoft\CTF]
"Disable Thread Input Manager"=dword:00000000

CTFEnable

Cette commande permet d'activer les services de texte avancés (CTFMon) sur des stations Windows XP.

Ligne ZHPDiag
---\\ Applications démarrées automatiquement par le registre (O4)
O4 - HKCU\..\Run: [ctfmon.exe] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\ctfmon.exe

Ligne ZHPFix :
CTFEnable

Rapport de ZHPFix v1.12.3148 par Nicolas Coolman, Update du 09/09/2010

========== Elément(s) de donnée du Registre ==========
CTFEnable => Donnée supprimée avec succès

========== Récapitulatif ==========
1 : Elément(s) de donnée du Registre

La prise en compte nécessite un redémarrage de la station.

CTFDisabled

Cette commande permet de désactiver les services de texte avancés (CTFMon) sur des stations Windows XP

Ligne ZHPDiag
---\\ Applications démarrées automatiquement par le registre (O4)
O4 - HKCU\..\Run: [ctfmon.exe] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\ctfmon.exe

Ligne ZHPFix
CTFDisabled

Rapport de ZHPFix v1.12.3148 par Nicolas Coolman, Update du 09/09/2010

========== Elément(s) de donnée du Registre ==========
CFTDisabled => Donnée supprimée avec succès

========== Récapitulatif ==========
1 : Elément(s) de donnée du Registre

La prise en compte nécessite un redémarrage de la station.

Sous Vista et Windows 7, le service CTFMon est désactivé par défaut. Si une commande "CTFEnable" ou "CTFDisabled" est exécuté le rapport affichera "CTFMon désactivé par défaut".

CTFFix

Cette commande est équivalente à "CTFDisabled" et permet de désactiver les services de texte avancés (CTFMon) sur des stations Windows XP. elle est accessible via l'interface utilisateur.

Bouton "CTFFix"

Rapport de ZHPFix v1.12.3201 par Nicolas Coolman, Update du 25/09/2010

========== Elément(s) de donnée du Registre ==========
CTFDisabled => Donnée supprimée avec succès

========== Récapitulatif ==========
1 : Elément(s) de donnée du Registre

La prise en compte nécessite un redémarrage de la station.

Sous Vista et Windows 7, le service CTFMon est désactivé par défaut. Si une commande "CTFEnable" ou "CTFDisabled" est exécuté le rapport affichera "CTFMon désactivé par défaut".

Liens

Support Microsoft

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_Commandes_Autres

ZHPFix - Autres commandes

A partir de la version 1.16.32, l'inferface se ZHPFix s'enrichie de boutons permettant d'effectuer certaines commandes sans effectuer de copier/coller dans la zone de rapport.

CTFFix

Cette commande permet de désactiver les services de texte avancés, elle est équivalente à la fonction CTFDisabled sur des stations Windows XP.

EmptyCLSID

Cette commande permet de vider les dossiers CLSID vides du module O43. Les fichiers sont supprimés sans mise en quarantaine.

%UserProfiles%\AppData\Local\

Syntaxe :
EMPTYCLSID

Rapport de ZHPDiag v1.30.13 par Nicolas Coolman, Update du 19/04/2012
----\\ Contenu des dossiers Programs/ProgramFiles/ProgramData/AppData (O43)
O43 - CFD: 19/04/2012 - 15:37:24 - [0] ----D C:\Users\Coolman\AppData\Local\{00000BA0-5731-46FD-9326-FA79A36E6D46}
O43 - CFD: 19/04/2012 - 15:37:40 - [0] ----D C:\Users\Coolman\AppData\Local\{10000BA0-5731-46FD-9326-FA79A36E6D46}
O43 - CFD: 19/04/2012 - 15:37:47 - [0] ----D C:\Users\Coolman\AppData\Local\{20000BA0-5731-46FD-9326-FA79A36E6D46}
O43 - CFD: 19/04/2012 - 15:37:55 - [0] ----D C:\Users\Coolman\AppData\Local\{30000BA0-5731-46FD-9326-FA79A36E6D46}

Rapport de ZHPFix 1.2.03 par Nicolas Coolman, Update du 18/04/2011
Run by Coolman at 19/04/2012 15:44:48
Windows 7 Business Edition, 32-bit Service Pack 1 (Build 7601)

========== Dossier(s) ==========
SUPPRIME Folder: C:\Users\Coolman\AppData\Local\{00000BA0-5731-46FD-9326-FA79A36E6D46}
SUPPRIME Folder: C:\Users\Coolman\AppData\Local\{10000BA0-5731-46FD-9326-FA79A36E6D46}
SUPPRIME Folder: C:\Users\Coolman\AppData\Local\{20000BA0-5731-46FD-9326-FA79A36E6D46}
SUPPRIME Folder: C:\Users\Coolman\AppData\Local\{30000BA0-5731-46FD-9326-FA79A36E6D46}

========== Récapitulatif ==========
4 : Dossier(s)

End of clean in 00mn 00s

EmptyFlash

Cette commande permet de supprimer les Flash Cookies ou Local Shared Object (LSO). Ils sont recencés par le logiciel Adobe Flash Player. Par cette opération le dossier "#SharedObjects" est complétement vidé.
Au prochain lancement du navigateur, Adobe Flash Player recréer un nouveau dossier aléatoire pour y stocker ses nouveaux dossiers et fichiers de cookies.

Le nettoyage pour Windows 7 se fait dans le dossier :
C:\Users\Coolman\AppData\Roaming\macromedia\Flash Player\#SharedObjects\

Le nettoyage pour Windows XP se fait dans le dossier :
%APPDATA%\Macromedia\Flash Player\#SharedObjects\

Exemple : Supprimer tous les flash cookies

Ligne saisie :
EmptyFlash

Rapport de ZHPFix 1.12.3246 par Nicolas Coolman, Update du 02/02/2011
Windows 7 Home Premium Edition, 32-bit (Build 7600)

========== Dossier(s) ==========
Dossiers Flash Cookies supprimés : 823

========== Fichier(s) ==========
Fichiers Flash Cookies supprimés : 422

========== Récapitulatif ==========
1 : Dossier(s)
1 : Fichier(s)

EmptyTemp

Cette commande permet de vider le dossier temporaire de l'utilisateur. Les fichiers sont supprimés sans mise en quarantaine.

Ajout de la suppression des fichiers du cache de Sun Microsystems java. (v1.27.1523)

Sous W7 :
C:\Users\Coolman\AppData\LocalLow\Sun\Deployment\cache

Sous XP
%appdata%\Sun\Java\Deployment\cache

Syntaxe :
EMPTYTEMP

Rapport de ZHPFix 1.12.3222 par Nicolas Coolman, Update du 23/11/2010
Fichier d'export Registre :
Run by Coolman at 23/11/2010 17:55:12
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Dossier(s) ==========
Dossiers temporaires supprimés: 96

========== Fichier(s) ==========
Fichiers temporaires supprimés : 37

========== Récapitulatif ==========
1 : Dossier(s)
1 : Fichier(s)

End of the scan

FCopy:

Cette commande permet de remplacer un fichier infecté par une copie saine.

Syntaxe :
FCOPY:{Fichier Infecté} | {Fichier Sain}

Exemple : Remplacer le fichier infecté "c:\PsExec.exe" par une copie se trouvant dans l'unité "F"
FCOPY:c:\PsExec.exe | F:\Delphi\Applications\ZHPFix\PsExec.exe

Rapport de ZHPFix 1.12.3209 par Nicolas Coolman, Update du 12/10/2010

========== Fichier(s) ==========
c:\PsExec.exe => Supprimé et mis en quarantaine
c:\PsExec.exe | F:\Delphi\Applications\ZHPFix\PsExec.exe => Fichier infecté remplacé par une copie saine

========== Récapitulatif ==========
2 : Fichier(s)

HostFix

Cette fonction permet de faire un nettoyage de tout le fichier hosts. Sur le principe, l'outil traque tous les domaines dont l'adresse IP n'est pas l'adresse de rebouclage (127.0.0.1 localhost) et les remplace. En outre une copie du fichier HOSTS est conservée dans le dossier de ZHPFix. Une liste de lignes modifiées est donnée en fin de rapport.

Voir le module O1 Redirection du fichier Hosts (RFH).

IFEOFix

Cette fonction permet de supprimer toutes les redirections d'applications. Sur le principe, l'outil recherche toutes les valeurs "Debugger" et supprime les clés de registre IFEO correspondantes. Une liste de clés supprimées est donnée en fin de rapport.

En cas d'absence de clé IFEO malware, le message suivant s'affiche "Branche de Base de Registres IFEO non infectée !". Dans le cas contraire l'outil édite chaque clé malware et son mode de nettoyage.
Voir le module O50 Image File Execution Options (IEFO)

ProxyFix

La commande ProxyFix permet de supprimer l'action du proxy en rétablissant les valeurs et données par défaut de la Base de Registres.

Voir la fiche détaillée (ProxyFix)

MBRFix

Cette fonction permet de fixer le MBR (Master Boot Record). Le master boot record (MBR) est le premier secteur physique d'un disque. il est parfois appelé "Zone amorce" et contient un petit programme de 512 octets d'informations capitales sur la structure du support. Certains malwares rootkits s'attaquent au MBR du disque système afin d'alterer ce programme et de le rendre le disque illisible. Ce module s'appuie sur l'utilitaire MBR de Gmer.
Voir le module O80 Recherche Infection Master Boot Record (MBR)

OPT:

Cette commande permet d'optimiser le système. Elle est l'abrévation de OPTIMISE et elle est basée sur le principe d'HijackThis. La commande doit se placer devant la ligne de rapport. Concrètement le processus ne sera pas supprimé. Cela devrait notamment permettre de traiter les lignes classées en catégorie "Inutile" au démarrage du système. Il faut préciser aussi que cette commande s'applique aux lignes présentant des clés, valeurs ou données de Base de Registres.

Exemple avec cette ligne, seule la valeur de Base de Registres "Adobe Reader Speed Launcher" est supprimée, le processus est conservé.
OPT:O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] . (.Adobe Systems Incorporated - Adobe Acrobat SpeedLauncher.) -- C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe

Exemple avec cette ligne, la valeur de Base de Registres "Adobe Reader Speed Launcher" est supprimée, le processus est supprimé.
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] . (.Adobe Systems Incorporated - Adobe Acrobat SpeedLauncher.) -- C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe

REG:

Cette commande permet de lancer un fichier registre et d'en effectuer la fusion avec la Base de Registres.
- La syntaxe est la suivante :
REG:{Random}.reg

SysRestore

Cette commande permet de créer un point de restauration du système. Elle est analogue à celle du bouton de même nom situé dans le panel de droite.

Rapport de ZHPFix 1.12.3240 par Nicolas Coolman, Update du 21/01/2011

========== Restauration Système ==========
=> Point de restauration du système crée avec succès

========== Récapitulatif ==========
1 : Restauration Système

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


Commade_FirewallRAZ

ZHPFix - Commande FirewallRAZ

Origine

La commande FirewallRAZ a été crée le 26 janvier 2011.

Caractéristiques

Cette commande permet la suppression d''applications autorisées par le parefeu Windows. La gestion diffère selon le système d'exploitation.

Sous Windows XP, le traitement des lignes se fait via le module O47/Authorized Application Key Export.

Depuis Windows Vista, le traitement des lignes se fait via le module O87/Firewall Active Exception List.

O47 - Authorized Application Key Export

La commande FirewallRAZ assure la suppression de toutes les valeurs orphelines ou de toutes les valeurs dont la donnée comporte un fichier absent (not file).
- Elle est basée sur les critères de recherche du module O47 de ZHPDiag.
- La recherche s'effectue dans la clé "FirewallPolicy", plus précisément au niveau des clés de registre suivantes :

[HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]
[HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]

- Afin de vérifier l'exécution et pour éviter d'avoir un rapport "vide", en cas d'asbence de valeur dans l'une des deux branches (SP ou DP) une ligne s'affichera dans le rapport au format :
FirewallRaz : Aucune valeur présente dans la clé de registre "Domain Profile"
FirewallRaz : Aucune valeur présente dans la clé de registre "Standard Profile"

- En cas se suppression d'une valeur de clé, celle-ci sera précédée de l'information "FirewallRaz (DP) :" ou "FirewallRaz (SP) :" selon le cas

Exemple de rapport :

Liminaires :
1) Sous SP, la valeur est orpheline (pas de processus dans sa donnée),
2) Sous DP, Aucune valeur de clé n'est présente,

Rapport de ZHPFix 1.12.3243 par Nicolas Coolman, Update du 26/01/2011
Run by Coolman at 26/01/2011 15:49:31
Windows 7 Home Premium Edition, 32-bit (Build 7600)

========== Valeur(s) du Registre ==========
FirewallRaz (SP) : %windir%\system32\zPharaoh.exe => Valeur supprimée avec succès
FirewallRaz : Aucune valeur présente dans la clé de registre "Domain Profile"

========== Récapitulatif ==========
2 : Valeur(s) du Registre

End of the scan

O87 - Firewall Active Exception List

La commande FirewallRAZ assure la suppression de toutes les valeurs CLSID dont la donnée comporte un fichier absent.
- Elle est basée sur les critères de recherche du module O87 de ZHPDiag.
- La recherche s'effectue dans la clé "FirewallRules", plus précisément au niveau de la clé de registre suivante :

[HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules]

- En cas se suppression d'une valeur de clé, celle-ci sera précédée de l'information "FirewallRaz ( {Profile}):"

Exemple de rapport :

Rapport de ZHPFix 1.12.3248 par Nicolas Coolman, Update du 03/02/2011
Fichier d'export Registre : F:\ZHPExportRegistry-03-02-2011-17-40-32.txt
Windows 7 Home Premium Edition, 32-bit (Build 7600)

========== Valeur(s) du Registre ==========
FirewallRaz : Aucune valeur présente dans la clé de registre "Standard Profile"
FirewallRaz : Aucune valeur présente dans la clé de registre "Domain Profile"
FirewallRaz (Domain) : NetPres-In-TCP-NoScope => Valeur supprimée avec succès
FirewallRaz (Domain) : NetPres-Out-TCP-NoScope => Valeur supprimée avec succès
FirewallRaz (None) : NetPres-WSD-In-UDP => Valeur supprimée avec succès
FirewallRaz (None) : NetPres-WSD-Out-UDP => Valeur supprimée avec succès
FirewallRaz (Public) : NetPres-In-TCP => Valeur supprimée avec succès
FirewallRaz (Public) : NetPres-Out-TCP => Valeur supprimée avec succès
FirewallRaz (Private) : {3BB832FD-90A6-4341-8BAD-D19902873A4C} => Valeur supprimée avec succès
FirewallRaz (Private) : {CC6871D4-83AF-4964-8B33-96F9D2E2D08B} => Valeur supprimée avec succès
FirewallRaz (None) : {2484FC86-4B69-4811-B4DB-8B8100E9035E} => Valeur supprimée avec succès

========== Récapitulatif ==========
11 : Valeur(s) du Registre

Liens

(C) Copyrights 2011 - Nicolas Coolman - All rights reserved


ZHPdiag_Commandes_HiddenFix

ZHPFix - Commande HiddenFix

Origine

La commande HiddenFix a été crée le 03 avril 2011.

Liminaire

Certains malwares utilisent ce procédé pour faire croire à l'utilisateur qu'il a perdu ses fichiers personnels. C'est le cas notamment du Rogue.WindowsDiagnostic qui cache tous les raccourcis du Bureau.

Fonction

la commande HiddenFix permet de modifier les attributs cachés en normal de certains dossiers et fichiers. L'action est menée sur les dossiers suivants :

Bureau (Desktop) --> %USERPROFILES%\Desktop
Ma musique (My Music) --> %USERPROFILES%\Music
Mes images (My Pictures) --> %USERPROFILES%n\Pictures
Mes favoris (Favorites) --> %USERPROFILES%s\Favorites
Mes documents (Personal) --> %USERPROFILES%\Documents
Mes vidéos (My Video) --> %USERPROFILES%\Videos
Menu demarrer (Programs) --> %USERPROFILES%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs
Dossier utilisateur (AppData) --> %USERPROFILES%\AppData\Roaming
Programmes --> C:\Program Files

Action ZHPFix

1) Restaure l'attribut normal des dossiers et fichiers cachés.

Rapport ZHPFix

HiddenFix

Rapport de ZHPFix 1.12.3272 par Nicolas Coolman, Update du 03/04/2011
Fichier d'export Registre :
Run by Coolman at 03/04/2011 16:23:49
Windows 7 Home Premium Edition, 32-bit (Build 7600)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

========== Dossiers/Fichiers cachés restaurés ==========
Mes images (My Pictures) : 12 => Restauré(s) avec succès
Ma musique (My Music) : 0
Ma Video (My Video) : 30 => Restauré(s) avec succès
Mes Favoris (My Favorites) : 5 => Restauré(s) avec succès
Mes Documents (My Documents) : 5 => Restauré(s) avec succès
Mon Bureau (My Desktop) : 0
Menu demarrer (Programs) : 7 => Restauré(s) avec succès
Dossier utilisateur (AppData) : 50 => Restauré(s) avec succès
Programmes (Program Files) : 2 => Restauré(s) avec succès

========== Récapitulatif ==========
113 : Dossiers/Fichiers cachés restaurés

Liens

Rogue.WindowsDiagnostic

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_Commandes_ProxyFix

ZHPFix - Commande ProxyFix

Origine

La commande ProxyFix a été crée le 21 septembre 2010.

Liminaire

Le proxy est un ordinateur qui fait fonction de passerelle entre le réseau et Internet. Il joue à la fois un rôle de parefeu réseau et de mémoire cache. En cas d'attaque malware, cette mémoire cache est utilisée pour stocker des pages web dangereuses. Cette technique est souvent utilisée lors d'infection rogue.

Fonction

La commande ProxyFix permet de supprimer l'action du proxy en rétablissant les valeurs et données par défaut de la Base de Registres..

L'action est menée sur la clé "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings" et sur plusieurs valeurs de clé.

Présence d'un proxy :
- La valeur REG_SZ ProxyServer est présente et contient le nom du proxy comme donnée.
- La valeur DWORD ProxyEnable est égale à 1.
- La valeur DWORD EnableHttp1_1 est égale à 0.
- La valeur DWORD ProxyHttp1.1 est égale à 0.

Absence d'un proxy :
- La valeur REG_SZ ProxyServer est absente
- La valeur DWORD ProxyEnable est égale à 0.
- La valeur DWORD EnableHttp1_1 est égale à 1.
- La valeur DWORD ProxyHttp1.1 est égale à 1.

Action ZHPFix

1) Supprime la valeur ProxyServer
2) Modifie les valeurs ProxyEnable, EnableHttp1_1 et ProxyHttp1.1 pour avoir une configuration sans proxy définie ci-avant.
3) Restaure la donnée par défaut de la valeur ProxyOverride avec la chaîne *.local.

Rapport ZHPFix (Proxy supprimé)

ProxyFix

Rapport de ZHPFix v1.12.3155 par Nicolas Coolman, Update du 21/09/2010

========== Elément(s) de donnée du Registre ==========
ProxyFix : Configuration proxy supprimée avec succès

========== Récapitulatif ==========
1 : Elément(s) de Valeur du Registre

La prise en compte nécessite un redémarrage de la station.

Rapport ZHPFix (Proxy absent)

ProxyFix

Rapport de ZHPFix v1.12.3155 par Nicolas Coolman, Update du 21/09/2010

========== Elément(s) de donnée du Registre ==========
ProxyFix : Aucun proxy de configuré.

========== Récapitulatif ==========
1 : Elément(s) de Valeur du Registre

La prise en compte nécessite un redémarrage de la station.

Liens

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


Commande_QuarantineRestore

ZHPFix - Commande QuarantineRestore:

Origine

La commande QuarantineRestore a été crée le 02 février 2011.

Caractéristiques

Cette commande permet de restaurer un fichier ou un dossier du fichier de quarantaine "ZHPFixQuarantine.txt".

- Pour un dossier, une ligne du fichier de quarantaine est au format : {FileDestination.DIR} , {FileOrigine}
- Pour un fichier, une ligne du fichier de quarantaine est au format : {FileDestination.VIR} , {FileOrigine}

- La syntaxe de restauration d'un fichier ou d'un dossier est la suivante :
QuarantineRestore:{FileOrigine}

Exemple N°1 - Cas d'un dossier

Contenu du fichier de quarantaine :
F:\Delphi\Applications\ZHPFix\Quarantine\67fac4.DIR,c:\programdata\67fac4

Ligne à saisir dans ZHPFix :
QuarantineRestore:c:\programdata\67fac4

Rapport de ZHPFix 1.12.3245 par Nicolas Coolman, Update du 01/02/2011
Fichier d'export Registre :
Run by Coolman at 01/02/2011 21:33:04

========== Dossier(s) ==========
c:\programdata\67fac4 => Dossier restauré de la quarantaine

========== Récapitulatif ==========
1 : Dossier(s)

Exemple N°2 - Cas d'un fichier

Ligne du fichier de quarantaine :
F:\Delphi\Applications\ZHPFix\Quarantine\IS21f_2802.exe.VIR,c:\programdata\67fac4\IS21f_2802.exe

Ligne à saisir dans ZHPFix :
QuarantineRestore:c:\programdata\67fac4\IS21f_2802.exe

Rapport de ZHPFix 1.12.3245 par Nicolas Coolman, Update du 01/02/2011
Fichier d'export Registre :

========== Fichier(s) ==========
c:\programdata\67fac4\IS21f_2802.exe => Fichier restauré de la quarantaine

========== Récapitulatif ==========
1 : Fichier(s)

Liens

(C) Copyrights 2011 - Nicolas Coolman - All rights reserved


Commande_QuarantineRestoreAll

ZHPFix - Commande QuarantineRestoreAll

Origine

La commande QuarantineRestore a été crée le 02 février 2011.

Caractéristiques

Cette commande permet de restaurer tous les fichiers et dossiers du fichier de quarantaine "ZHPFixQuarantine.txt". En fin de traitement, le fichier de quarantaine est vidé.

Exemple

Exemple : Le fichier de quarantaine est vide, On Supprime 2 fichiers et on les restaure.

Suppression de deux fichiers :
c:\programdata\67fac4\IS21f_2801.exe
c:\programdata\67fac4\IS21f_2802.exe

Rapport de ZHPFix 1.12.3245 par Nicolas Coolman, Update du 01/02/2011
Run by Coolman at 02/02/2011 09:27:20

========== Processus mémoire ==========
c:\programdata\67fac4\IS21f_2801.exe => Supprimé et mis en quarantaine
c:\programdata\67fac4\IS21f_2802.exe => Supprimé et mis en quarantaine

========== Récapitulatif ==========
2 : Processus mémoire

Contenu du fichier de quarantaine :
F:\Delphi\Applications\ZHPFix\Quarantine\IS21f_2802.exe.VIR,c:\programdata\67fac4\IS21f_2801.exe
F:\Delphi\Applications\ZHPFix\Quarantine\IS21f_2802.exe.VIR,c:\programdata\67fac4\IS21f_2802.exe

Lancement de la commande :
QuarantineRestoreAll

Rapport de ZHPFix 1.12.3245 par Nicolas Coolman, Update du 01/02/2011
Run by Coolman at 02/02/2011 09:17:14
Windows 7 Home Premium Edition, 32-bit (Build 7600)

========== Fichier(s) ==========
c:\programdata\67fac4\is21f_2801.exe => Fichier restauré de la quarantaine
c:\programdata\67fac4\is21f_2802.exe => Fichier restauré de la quarantaine

========== Récapitulatif ==========
2 : Fichier(s)

Liens

(C) Copyrights 2011 - Nicolas Coolman - All rights reserved


ZHPdiag_Commandes_ProxyFix

ZHPFix - Commande ShortcutFix

Origine

La commande ShortcutFix a été crée le 08 septembre 2013.

Liminaire

De nombreux pirates de navigateurs utilisent le passage en arguments des fichiers cible des raccourcis. C'est le cas notamment de 22Find, Qvo6, DoSearches, PortaldoSites et tant d'autres.

Fonction

La commande ShortcutFix permet de supprimer les arguments placés dans les raccourcis des navigateurs. Elle s'applique aux navigateurs interent les plus utilisés :
- Microsoft Internet Explorer,
- Mozilla Firefox,
- Opera Software Opera,
- Apple Safari,
- Google Chrome,

La recherche s'effectue :
- Dans le Bureau de l'utilisateur,
- Dans la barre des tâches de l'utilisateur,

Action ZHPFix

1) Supprime le raccourci malware
2) Créé un nouveau raccourci sain.

Rapport ZHPFix (Raccourci réparé)

ShortcutFix

Rapport de ZHPFix 2013.10.8.4 par Nicolas Coolman, Update du 08/10/2013
Run by Coolman at 08/10/2013 17:14:53
Windows 7 Business Edition, 64-bit Service Pack 1 (Build 7601)

========== Fichiers ==========
SUPPRIMÉ: c:\users\coolman\desktop\iexplore.exe.lnk
REMPLACÉ: C:\Users\Coolman\Desktop\iexplore.exe.lnk

(C) Copyrights 2013 - Nicolas Coolman - All rights reserved


GIF - Graphic Interchange Format

Zeb Help Process - ChangeLog

Evolutions v2013 (Développement)

- 10/05/13 : Correctif d'affichage de lignes sécurité, (2013.5.10.1)

Evolutions v2013-04

- 28/03/13 : Module M2, Prise en charge de lignes génériques Adware.Browse2Save (2013.3.28.1)
- 28/03/13 : Traitement de dossiers aléatoires PUP.crossRider (2013.3.28.2)
- 29/03/13 : Module O23, levée d'un FP sur McAfee Application Installer Cleanup (2013.3.29.3)
- 29/03/13 : Module O61, levée d'un FP sur des pilotes ATI (2013.3.29.4)
- 01/04/13 : Modules O43 & O91, Modification de prise en charge de clés génériques Toolbar.Babylon (2013.4.1.5)
- 01/04/13 : Module O88, Optimisation par suppression d'analyse (2013.4.1.6)
- 03/04/13 : Module O61, Prise en compte de lignes produit Google "Local Extension Settings" (2013.4.3.7)
- 05/04/13 : Module O39, Prise en charge d'une tache générique MyDefrag (2013.4.5.8)
- 08/04/13 : Module O61, Prise en compte d'adresses https "Local Storage" (2013.4.8.9)
- 16/04/13 : Module M2,O2,O39,O42,O43, traitement des chaînes aléatoires PUP.Offerware (2013.4.16.10)
- 19/04/13 : Module O91, Traitement automatique en 2° passe des clés PUP.VideoPerformer (2013.4.19.11)
- 19/04/13 : Module O61, Traitement des favoris (2013.4.19.12)
- 20/04/13 : Module M2,O2,O39,O42,O43, traitement des chaînes aléatoires Adware.MagniPic (2013.4.20.13)
- 21/04/13 : Module M2,O2,O39,O42,O43, traitement des chaînes aléatoires Adware.FastSaveApp (2013.4.21.14)
- 28/04/13 : Module O61, Traitement de certaines lignes d'extensions logicielles (2013.4.28.15)
- 29/04/13 : Module P2, Correction de syntaxe d'exclusion de rapport (2013.4.29.16)
- 30/04/13 : Module G2, Prise en compte du code produit (2013.4.30.17)
- 02/05/13 : Mise à jour des tables, Ajout de 10284 lignes (2013.5.2.18)

Evolutions v3.06 (27/03/13)

- 21/02/13 : Module O61, traitement de lignes 'Local\Diagnostics" (3.06.01)
- 21/02/13 : Module O39, Prise en charge des tâches aléatoires HewLett-Packard (3.06.02)
- 22/02/13 : ZBPDiag, Passe N°2, Exclusion d'enregistrement de drivers aléatoires Synatec NIS (3.06.03)
- 22/02/13 : Modification du contrôle d'Exception des rapports (3.06.04)
- 24/02/13 : Correctif de lancement des privilèges pour les stations XP (3.06.05) (Béta)
- 24/02/13 : ZBPDiag, Passe N°2, Exclusion d'enregistrement de drivers Epson/Seiko NIS (3.06.06)
- 24/02/13 : Module O61, Traitement de lignes aléatoires 'History Index" (3.06.07)
- 25/02/13 : Module O61, Traitement de lignes aléatoires 'Extension State" (3.06.08)
- 26/02/13 : Module O61, Traitement de lignes aléatoires 'Skype" (3.06.09)
- 27/02/13 : Module O23 & SS/SR, Correction d'affichage du commentaire (3.06.10)
- 27/02/13 : Module O44, Traitement de lignes aléatoires de rapports Bitdefender (3.06.11)
- 27/02/13 : Module O61, Traitement de lignes aléatoires Browser Cookies (3.06.12)
- 27/02/13 : Module O42, Prise en charge de logiciels aléatoires d'imprimantes Epson/Seiko (3.06.13)
- 28/02/13 : Module O61, Prise en charge des fichiers setup aléatoires de MalwareBytes (3.06.14)
- 28/02/13 : Suppression de la troncature de ligne a 255 caractères (3.06.15)
- 28/02/13 : Module O61, Prise en charge des fichiers "Skype-Chatsync" (3.06.16)
- 28/02/13 : Module O61, Prise en charge des fichiers Vidéos "RealPlayer" (3.06.17)
- 28/02/13 : Module O61, Prise en charge de fichiers SST de Google Chrome (3.06.18)
- 28/02/13 : Module O61, Traitement de lignes aléatoires 'Skype\Databases" (3.06.19)
- 28/02/13 : Module O61, Prise en charge de logiciels HP series (3.06.20)
- 01/03/13 : Module O39, Traitement des tâches planifiées de ReviverSoft Battery Optimizer (v3.06.21)
- 02/03/13 : Module O61, Prise en charge de Video Utilisateur (v3.06.22)
- 02/03/13 : Module O61, Prise en charge de VirginMega (v3.06.23)
- 02/03/13 : Module O61, Prise en charge de Google "Manifest" (v3.06.24)
- 03/03/13 : Module O61, Prise en charge de lignes cache de Mozilla Firefox Profiles (v3.06.25)
- 03/03/13 : Module O39, Traitement des tâches planifiées de HP Digital maging (v3.06.26)
- 04/03/13 : Module O61, Prise en charge de Google "IndexedDB" (v3.06.27)
- 05/03/13 : Module O61, Prise en charge de Canon "MP Navigator & MX Series" (v3.06.28)
- 05/03/13 : Module O61, Levée de faux-positifs sur EPSON drivers (v3.06.29)
- 06/03/13 : Module O87, Prise en charge de certaines lignes "Program Files" 64Bits (v3.06.30)
- 06/03/13 : Module O90, Traitement spécifique de lignes "Logicool" (v3.06.31)
- 07/03/13 : Module O61, Prise en charge de Mozilla Firefox "Crash Reports" (v3.06.32)
- 07/03/13 : Module O61, Prise en charge de Google Chrome "SafeBrowsing" (v3.06.33)
- 07/03/13 : Module O61, Prise en charge de Google Chrome temporaires "Local State" (v3.06.34)
- 07/03/13 : Module O61, Prise en charge de Google Chrome temporaires "TransportSecurity" (v3.06.35)
- 07/03/13 : Module O61, Prise en charge de Microsoft Windows Store (v3.06.36)
- 07/03/13 : Module O61, Prise en charge de Microsoft Windows CrashDumps (2013.37.0.0) (beta)
- 08/03/13 : Module O61, Prise en charge de Mozilla Firefox "BookmarkBackups" (2013.3.8.1)
- 08/03/13 : Module O61, Prise en charge de Mozilla Firefox "Thumbnails" (2013.3.9.2)
- 10/03/13 : Module O24, Traitement des lignes Personal WallPaper (2013.3.10.3)
- 10/03/13 : Module O24, Traitement ESET Smart Security Quarantine (2013.3.10.4)
- 11/03/13 : Levée d'un blocage d'analyse de rapport ZHPDiag (2013.3.11.5)
- 11/02/13 : Module O44, Traitement de ressources aléatoires Python Core (2013.3.11.6) (Béta)
- 12/02/13 : Module O42, Traitement de chaine générique Adware.Browse2Save (2013.3.12.7)
- 12/02/13 : Module O61, Prise en charge du cache de Google Chrome (2013.3.12.8)
- 13/02/13 : Module O61, Prise en charge du cache de Microsoft Windows Store Cache (2013.3.13.9)
- 13/02/13 : Module O61, Prise en charge de Mozilla Firefox SafeBrowsing (2013.3.13.10)
- 13/02/13 : Module O61, Prise en charge de Shockwave Flash Extension Chrome (2013.3.13.11)
- 11/02/13 : Module O44, Traitement de ressources aléatoires Creative Soundblaster (2013.3.13.12)
- 14/03/13 : Module R1, Prise en charge d'un format particulier SearchURL (2013.3.14.13)
- 16/03/13 : Module O61, Prise en charge de Google "Managed Extensions" (2013.3.16.14)
- 17/03/13 : Module O39, Traitement de dossiers génériques PUP.CrossRider (2013.3.17.15)
- 17/03/13 : Module O61, Prise en compte d'un format d'extension Google Chrome (2013.3.17.16)
- 17/03/13 : Module O4, Modification d'un filtre conduisant à des faux positifs "Installer" (2013.3.17.17)
- 18/03/13 : Module O44, Prise en charge de ressources génériques de Canon (2013.3.18.18)
- 20/03/13 : Module O88, Traitement de clés génériques Adware.Browse2Save (2013.3.20.19)
- 27/03/13 : Optimisation, Suppression de la deuxième analyse (sauf si présence du module O91) (2013.3.27.20)
- 27/03/13 : Mise à jour des tables (8016 lignes) (2013.3.27.21) (Publique)

Evolutions v3.05 (21/02/2013)

02/02/13 : Module O43, Traitement de dossiers temporaires aléatoires Google Update Manager (GUMxxx) (3.05.01)
02/02/13 : Module O39, Prise en charge des tâches aléatoires de Copernic (3.05.02)
03/02/13 : Module O88, Prise en charge des clés génériques de PUP.CrossRider (3.05.03)
04/02/13 : Module O91, Traitement automatique en 2° passe des clés Toolbar.Babylon (3.05.04)
09/02/13 : Module O80, Levée d'une rectriction de rapport (3.05.05)
11/02/13 : GUI, Affichage du nombre de lignes dans les onglets de catégorie de bas de page (3.05.06)
12/02/13 : Optimisation, Réduction du temps de traitement de la deuxième analyse (3.05.07)
12/02/13 : Module O61, Traitement des lignes utilisateur Google "Local Storage" (3.05.08)
13/02/13 : Module O61, Traitement des lignes Google "chrome-extension" (3.05.09)
14/02/13 : Module O61, Traitement des lignes "Local\Packages\Microsoft" (3.05.10)
14/02/13 : Module O88, Prise en charge de lignes génériques Toolbar.Babylon (3.05.11)
15/02/13 : UAC, Elevation des privilèges de l'utilicateur (3.05.12)
16/02/13 : Module O61, Recherche de dossiers générique Community Toolbar (3.05.13)
17/02/13 : Module O61, Prise en charge de lignes Google Chrome Media Cache (3.05.14)
18/02/13 : Module O39, Prise en compte de Tâches aléatoires RealNetworks (3.05.15)
18/02/13 : Exclusion d'enregistrement de lignes drivers aléatoires Symantec NIS (3.05.16)
18/02/13 : Exclusion d'enregistrement de lignes drivers aléatoires Symantec NAV (3.05.17)
19/02/13 : Module O61, Traitement des lignes "Local Extension Settings" (3.05.18)
20/02/13 : Traitement de nouvelles lignes aléatoires Toolbar.Babylon (3.05.19)
20/02/13 : Module O91, Traitement automatique en 2° passe des clés PUP.BProtector (3.05.20)
21/02/13 : Suppression des outils ZHPDiag, ZHPFix. (3.05.21)
21/02/13 : Mise à jour des tables (4300 lignes) (3.05.22)
21/02/13 : Correctif de table d'exception (3.05.23)

Evolutions v3.04 (01/02/2013)

- 18/01/13 : Module O39, Prise en charges de tâches aléatoires Toolbar.AVGSearch (3.04.01)
- 19/01/13 : Traitement des clés produits registre (Feature,Product,UpgradeCodes,Component) (3.04.02)
- 21/01/13 : Passage en catégorie "Superflu" de tous les fichiers de rapport (extension ".Log") non malwares (3.04.03)
- 24/01/13 : Prise en compte de lignes particulières Comodo (3.04.04)
- 26/01/13 : Module O39, Prise en charge de fichiers aléatoires d'installation Comodo (3.04.05)
- 26/01/13 : Prise en charge de certains formats de clés de ZHPScan (3.04.06)
- 28/01/13 : Traitement de dossiers malwares dans certains dossiers temporaires utilisateurs (3.04.07)
- 31/01/13 : Arrêt des mises à jour automatiques des tables des versions antérieures de ZHP (3.04.08)
- 31/01/13 : Intégration de 2840 lignes du fichier de mise à jour et mise à disposition des informations complémentaires.(3.04.09)
- 31/01/13 : Intégration des dernières versions de ZHPDiag, ZHPFix, ZHPScan et ZHPSearch.(3.04.10) Version béta
- 01/01/13 : Mise en ligne de la version publique (3.04.11)

Evolutions v3.03 (17/01/2013)

- 18/12/12 : Création d'une fonction d'exections malwares pour optimiser l'analyse (3.03.01)
- 18/12/12 : Prise en charge d'une fin de chaîne erronée "=&gt;" au lieu de "=> " (3.03.02)
- 19/12/12 : GUI, Suppression d'affichage du mot 'Version' (3.03.03)
- 19/12/12 : Module O4 : Prise en charge en superflu des clés de registre SpybotDeleting (3.03.04)
- 19/12/12 : Module O39 : Traitement des tâches aléatoires de SUPERAntiSpyware Sheduled (3.03.05)
- 19/12/12 : Module O88 : Prise en charge des clés produits (Feature,Products) (3.03.06)
- 21/12/12 : Module O39 : Traitement des tâches aléatoires de RealNetworks Reclaimer (3.03.07)
- 23/12/12 : Création d'une nouvelle table pour la gestion des exceptions (3.03.08)
- 26/12/12 : Prise en compte de clés aléatoires SearchScopes infection Bandoo (3.03.09)
- 27/12/12 : Module O61 : Traitement de lignes utilisateurs sous Roaming (3.03.10)
- 27/12/12 : Module O61 : Correctif d'un message d'overflow 3000 (3.03.11)
- 30/12/12 : Module O92, Traitement des lignes du nouveau module (3.03.12)
- 31/12/12 : Module O61, Traitement en superflu des fichiers temporaires XP (3.03.13)
- 02/01/13 : Module O39, Prise en charge de fichiers aléatoires d'installation de BitDefender (3.03.14)
- 03/01/13 : Module O61, Traitement en superflu des fichiers temporaires Vista,W7,W8 (3.03.15)
- 09/01/13 : Module O39, Prise en charge de fichiers aléatoires d'installation Ahead Nero Live (3.03.16)
- 10/01/13 : Module O17, Traitement des adresses IP privées (10.XX.XX.XX) avec message "Private IP" (3.03.17)
- 10/01/13 : Module O43, Traitement des chaines aléatoires Adobe Support Advisor (3.03.18)
- 11/01/13 : Module O17, Traitement des adresses Google Public DNS (8.8.8.XXX) (3.03.19)
- 11/01/13 : Module O39, Traitement des tâches aléatoires de Auslogics Disk Defrag (3.03.20)
- 11/01/13 : Module O17 (NameServer), Traitement des adresses IP privées (10.XX.XX.XX) avec message "Private IP" (3.03.21)
- 12/01/13 : Module O39, Traitement des tâches aléatoires de Webroot Spy Sweeper (3.03.22)
- 13/01/13 : Module O88, Prise en charge de certains dossiers malwares dans la zone de téléchargement utilisateur (3.03.23)
- 16/01/12 : Intégration des dernières versions de ZHPDiag, ZHPFix, ZHPScan et ZHPSearch.(3.03.24)
- 17/01/12 : Correctif mineur (3.03.25)

Evolutions v3.02 (17/12/2012)

- 02/12/12 : Prise en charge des extensions de programmes malwares à partir de NT6. (v3.02.01)
- 03/12/12 : Modification de la valeur de LiveUpdate du fichier config.ini (v3.02.02)
- 03/12/12 : Création de nouvelles valeurs de registres pour la version helper. (v3.02.03)
- 03/12/12 : Tests identifiants version helper. (v3.02.04)
- 04/12/12 : Module O69 : Traitement des lignes Web Search (Adware.Bandoo) du rapport ZHPDiag (v3.02.05)
- 04/12/12 : Module O61 : Prise en charge des fichiers issus d'extension Google Chrome (v3.02.06)
- 05/12/12 : Module O90 : Traitement du nouveau module ZHPDiag (v3.02.07)
- 06/12/12 : Module M2 : Prise en charge d'un nouveau format de version (v3.02.08)
- 07/12/12 : Reparation des tables, rectification du message de vérification (v3.02.09)
- 08/12/12 : Module M3 : Prise en charge d'un format spécifique en SearchPlugin (v3.02.10)
- 08/12/12 : Module O39 : Traitement des tâches aléatoires d'Easy Software Manager (v3.02.11)
- 08/12/12 : Traitement des dossiers "Menu demarrer" sans accent. (v3.02.12)
- 09/12/12 : Traitement des dossiers utilisateurs "Start Menu". (v3.02.13)
- 10/12/12 : Prise en charge des lignes registre Installer,Products,features,UpgradeCades. (v3.02.14)
- 11/12/12 : Module O39 : Traitement des tâches aléatoires de Optimizer Pro (v3.02.15)
- 11/12/12 : Module O61 : Prise en charge de plugin d'extension Google Chrome (v3.02.16)
- 12/12/12 : Module O91 : Traitement des clés software du nouveau module. (v3.02.17)
- 13/12/12 : Module O61 : Traitement en superflu des fichiers "Google Chrome Cache" (v3.02.18)
- 14/12/12 : Module O61 : Traitement en superflu des fichiers "Mozilla Firefox Cache" (v3.02.19)
- 14/12/12 : Module O43 : Traitement de lignes brésiliennes "Dados de aplicativos" & "Menu Iniciar\Programas" (v3.02.20)
- 15/12/12 : Module O39 : Traitement des tâches aléatoires de Adobe AAM Updater (v3.02.21)
- 15/12/12 : Module O39 : Traitement des tâches aléatoires de Adobe AAM Updater (v3.02.21)
- 17/12/12 : Intégration des 4090 lignes du fichier de mise à jour et mise à disposition des informations complémentaires. (3.02.22)
- 17/12/12 : Intégration des dernières versions de ZHPDiag, ZHPFix, ZHPScan. (3.02.23)

Evolutions v3.01 (01/12/2012)

- 05/11/12 : Détection des lignes CLSID non hexadécimales d'origine virales (3.01.01)
- 11/11/12 : Traitement de lignes Microsoft W8 netcfg (v3.01.02)
- 13/11/12 : Prise en compte de clés "Software" génériques Toolbar.Conduit (CTxxxxxxx). (v3.01.03)
- 14/11/12 : Message d'alerte en cas de détournement d'adresses du fichier Hosts. (v3.01.04)
- 16/11/12 : Module O61 : Prise en compte des extensions de programme Chrome (Vista/W7/W8). (v3.01.05)
- 19/11/12 : Module O43 : Prise en charge de chaines aléatoires hexadécimales. (v3.01.06)
- 20/11/12 : Prise en compte de lignes de préférences pour Toolbar.WinAmp. (v3.01.07)
- 21/11/12 : Module O39 - prise en charge du nom des tâches aléatoires de Google Update. (v3.01.08)
- 21/11/12 : Module O61 : Prise en compte des extensions de programme Chrome XP. (v3.01.09)
- 22/11/12 : Prise en compte de lignes de préférences pour Toolbar.SearchResults. (v3.01.10)
- 23/11/12 : Prise en compte de lignes de préférences pour Adware.ClaroSearch. (v3.01.11)
- 23/11/12 : Prise en compte de lignes de préférences pour Parasite.Pugi. (v3.01.12)
- 24/11/12 : Pose d'un nouveau filtre pour la détection du Spyware.AgenceExclusive. (v3.01.13)
- 24/11/12 : Pose d'un filtre pour la détection de l'Adware.Yontoo (v3.01.14)
- 24/11/12 : Module O39 : Traitement des tâches aléatoires de PC Tools Registry Mechanic (v3.01.15)
- 25/11/12 : Module O43 : Pose d'un filtre pour Adware.Boxore (v3.01.16)
- 28/11/12 : Module O42 : correctif pour le traitement de logiciel sans version. (v3.01.17)
- 28/11/12 : Prise en compte de lignes de préférences pour PUP.VidSaver (v3.01.18)
- 30/11/12 : Module O61 : Traitement des lignes de quarantaine de MBAM (v3.01.19)
- 01/12/12 : Mise à jour des tables (Plus de 4000 lignes) (v3.01.19)

Evolutions v3.00 (16/08/2012)

- 14/03/12 : Traitement des caractères Unicode (v3.0.10)

- 15/03/12 : Adaptation/remplacement de nombreuses fonctions.(v3.0.20)

- 15/03/12 : Changement du cryptage des tables. (v3.0.40)

- 18/03/12 : Nouvelle interface graphique. (v3.0.50)

- 19/03/12 : Intégration des lignes du fichier de mise à jour et mise à disposition des informations complémentaires.((v3.0.58)

- 19/03/12 : Intégration des dernières versions de ZHPDiag XE2, ZHPFix, ZHPScan et ZHPSearch.(v3.0.59)

- 20/03/12 : Correctif de l'environnement des tables au démarrage de l'application (v3.0.60)

- 27/03/12 : Nouvelle interface graphique suite au problème de lisibilité des boutons. (v3.0.61)

- 19/04/12 - Correctif sur le module de portabilité (OS 64bits) (3.0.62)

- 19/04/12 - Correctif sur la reconnaissance du mode Helper (3.0.63)

- 19/04/12 - Correctif sur la reconnaissance des paramètres de dimensionnement interface (3.0.64)

- 19/04/12 - Correctif sur l'autorisation des mises à jour des tables locales (3.0.65)

- 28/04/12 - Création d'une routine pour les lignes d'update Adobe Macromedia FlashPlayer (3.0.66)

- 02/05/12 - Prise en compte de certaines lignes AdwCleaner (3.0.67)

- 17/07/12 - Résolution de l'expiration de version helper (3.0.68)

- 18/07/12 - Correction d'un message de violation d'accès lors de la lecture d'un rapport ZHPDiag (3.0.69)

- 20/07/12 - Mise à jour des tables (3.0.70)

- 21/07/12 - Rapport PreScan, prise en compte des services LEGACY (3.0.70)

- 21/07/12 - Rapport PreScan, Prise en compte des services R(0,4) et S(0,4) (3.0.71)

- 21/07/12 - Rapport PreScan, Prise en compte des lignes "Deleted" et "Quarantined" pour réduction du temps de traitement (3.0.72)

- 21/07/12 - Correctif d'affichage de réparation des tables (3.0.73)

- 26/07/12 - Correctif d'un message d'overflow pour le module O69 (3.0.74)

- 03/08/12 - Levée d'une détection rootkit sur un processus FoxMailUAC (3.0.75)

- 16/08/12 - Prise en charge de certaines lignes malware avec caractères spéciaux (3.0.76)

- 25/08/12 - Affichage de la date de mise à jour automatique dans le panel supérieur (3.0.77)

- 30/08/12 - Prise en charge des lignes de rapports ZHPDiag (Analyse & Suppression) de l'outil ADWCleaner (XPlode). (3.0.78)

- 05/09/12 - Intégration des dernières versions de ZHPDiag et ZHPFix. (3.0.79)

- 23/09/12 - Levée d'un Faux Positif FakeAlert sur des lignes utilisateur. (3.0.80)

- 25/09/12 - Levée d'un Faux Positif Rootkit (UAC) sur des lignes utilisateur. (3.0.81)

- 23/10/12 - Intégration des dernières lignes du fichier de mise à jour et mise à disposition des informations complémentaires. (3.0.81)

- 23/10/12 - Intégration des dernières versions de ZHPDiag, ZHPFix, ZHPScan. (3.0.81)

Evolutions v2.54 (03/01/2012)

Consulter l'article

Evolutions v2.53 (16/12/2011)

- 16/12/2011 : Intégration de 2030 lignes du fichier de mise à jour et mise à disposition des informations complémentaires.
- 16/12/2011 : Intégration des dernières versions de ZHPDiag, ZHPFix, ZHPScan et ZHPSearch.
- 16/12/2011 : Correction d'un message d'overflow sur un comptage de lignes malwares supérieur à 3000.
- 13/12/2011 : Reconnaissance de données toolbar du fichier de préférences Firefox dans le module ZHPDiag/O69.
- 12/12/2011 : Prise en compte de certaines adresses IP USA Google au format "173.194.34.XXX".
- 11/12/2011 : Prise en compte de lignes "SRV - File not found" issues des rapports OTL.
- 07/12/2011 : Ajout d'une recherche pjjoint sur une sélection de ligne de rapport.
- 27/11/2011 : Portabilité sur clé USB.
- 15/11/2011 : Prise en compte de lignes d'extension du navigateur Google Chrome.
- 13/11/2011 : Traitement des tâches utilisateur "PC Speed Master" dans le module ZHPDiag APT/O39.

Evolutions v2.52 (11/11/2011)

- 11/11/2011 : Intégration de 3621 lignes du fichier de mise à jour et mise à disposition des informations complémentaires.
- 11/11/2011 : Intégration des dernières versions de ZHPDiag, ZHPFix, ZHPScan et ZHPSearch.
- 09/11/2011 : Pose d'un filtre de traitement des taches automatiques FaceBook issues de rapports ZHPDiag/O39,
- 07/11/2011 : Traitement de lignes avec chaine "WOW6432Node" de lignes issues de rapports ZHPDiag/O88,
- 29/10/2011 : Prise en compte de lignes avec "Dokumente und Einstellungen" & "Anwendungsdaten" des lignes ZHPDiag/O43,
- 25/10/2011 : Traitement d'un format de ligne particulier "O20/Winlogon/UserInit" de rapports OTL.
- 20/10/2011 : Prise en compte de certaines lignes du modue O34 BootExecute issues de rapports ZHPDiag.
- 18/10/2011 : Traitement particulier de clés de Registre Conduit.
- 01/10/2011 : Traitement de lignes R1 "Main,SearchAssistant" issues de rapport ZHPDiag.
- 28/09/2011 : Prise en compte de certaines adresses IP USA Google au format "72.14.XXX.XXX".

Evolutions v2.51 (22/09/2011)

- 22/09/2011 : Intégration de 1970 lignes du fichier de mise à jour et mise à disposition des informations complémentaires correspondantes.
- 22/09/2011 : Intégration des dernières versions de ZHPDiag, ZHPFix, ZHPScan et ZHPSearch.
- 18/09/2011 : Fusion des versions Lite et Helper en une seule version.
- 16/09/2011 : Traitement de certaines lignes issues de rapport MBR de ZHPDiag.
- 14/09/2011 : Nouveaux filtres IP USA Google.
- 27/08/2011 : Prise en compte de certaines adresses IP USA Google au format "74.125.XXX.XXX".
- 26/08/2011 : Prise en compte de certaines adresses IP au format "192.168.XXX.XXX".
- 21/08/2011 : Prise en charge de certaines adresses routeur du module ZHPDiag/O89

Evolutions v2.50 (08/08/2011)

- 08/08/2011 : Intégration de 4336 lignes du fichier de mise à jour et mise à disposition des informations complémentaires correspondantes.
- 08/08/2011 : Intégration des dernières versions de ZHPDiag, ZHPFix, ZHPScan et ZHPSearch.
- 10/07/2011 : Traitement des fichiers vide "[0]" avec le commentaire "Empty File not necessary"
- 08/07/2011 : Traitement de lignes malwares de la rubrique "Fichiers cachés" de ZHPDiag.
- 06/07/2011 : Prise en compte de certains clés Registre au format de ruche étendu.
- 05/07/2011 : Prise en charge de certaines clés Run de lignes issues de rapports MBAM
- 24/06/2011 : Prise en compte du module d'état des fichiers cachés de ZHPDiag.
- 21/06/2011 : Module G2, Filtre sur dossier d'extension Google Chrome.

Evolutions v2.49 (14/06/2011)

- 13/06/2011 : Intégration de 4603 lignes du fichier de mise à jour et mise à disposition des informations complémentaires correspondantes.
- 13/06/2011 : Intégration des dernières versions de ZHPDiag, ZHPFix, ZHPScan et ZHPSearch.
- 12/06/2011 : Ajout d'un nouveau filtre d'infection par le trojan FakeAlert.
- 07/06/2011 : Traitement en superflu de certains dossiers vides issus du rapport ZHPDiag/O43.
- 04/06/2011 : Suppression d'un Faux Positif sur le filtre TDSS pour l'outil TDSSKiller.
- 03/06/2011 : Pose d'un filtre d'infection DNS (WareOut) pour le module O60/ZHPDiag.
- 29/05/2011 : Ajout de l'affichage de l'origine dans les lignes identifiées par leur MD5.
- 28/05/2011 : Prise en charge de certaines lignes Pre_Scan de g3n-h@ckm@n.
- 26/05/2011 : Modification dans le module logiciel O42 pour les updates Microsoft KBxxx.
- 18/05/2011 : Prise en charge de lignes d'extension Firefox du rapport ZHPDiag/O88.
- 16/05/2011 : Prise en charge de lignes profiles Firefox du rapport ZHPDiag/O88.
- 14/05/2011 : Traitement de certaines clés de Registre 64Bits du rapport ZHPDiag/O88.

Evolutions v2.48 (06/05/2011)

- 06/05/2011 : Intégration de 4954 lignes du fichier de mise à jour et mise à disposition des informations complémentaires correspondantes.
- 06/05/2011 : Intégration des dernières versions de ZHPDiag, ZHPFix, ZHPScan et ZHPSearch.
- 05/05/2011 : Prise en compte de certaines lignes IP/Domaine (Server,Address) du module ZHPDiag/O89.
- 04/05/2011 : Prise en compte de clés 64Bits "Wow6432Node" dans les rapports ZHPScan.
- 03/05/2011 : Correctif du filtre d'infection FakeAlert (Trojan.FakeAlert). (ZHPDiag/O4)
- 29/04/2011 : Correctif d'overflow dans le module des tâches planifiées O39.
- 25/04/2011 : Modification dans le module Ad-Remover.
- 20/04/2011 : Prise en charge de certaines lignes du rapport ZHPScan.
- 12/04/2011 : Prise en compte du dossier "AppData\Local" des OS Vista/W7. (ZHPDiag/O43)

Evolutions v2.47 (24/03/2011)

- 29/03/2011 : Correctif dans le module d'infection diverse pour le module Global Startup de ZHPDiag (v2.47.03)
- 26/03/2011 : Création d'un paramètre pour supprimer la mise à jour des tables locales (ZHPHelper) (v2.47.02)
- 25/03/2011 : Recompilation (v2.47.01)
- 23/03/2011 : Intégration de 2812 lignes du fichier de mise à jour et mise à disposition des informations complémentaires correspondantes.
- 23/03/2011 : Intégration des dernières versions de ZHPDiag, ZHPFix, ZHPScan et ZHPSearch.
- 21/03/2011 : Ajout d'un filtre d'infection diverse sur fichier d'extension exe dans le dossier "AppData\Roaming\Microsoft".
- 21/03/2011 : Reconnaissance des lignes du module O88 (Scan Additionnel) des rapports ZHPDiag.
- 20/03/2011 : Prise en compte des commentaires de fin de ligne issus des rapports ZHPDiag.

Evolutions v2.46 (06/03/2011)

- 05/03/2011 : Intégration de 3779 lignes du fichier de mise à jour et mise à disposition des informations complémentaires correspondantes.
- 05/03/2011 : Intégration des dernières versions de ZHPDiag, ZHPFix et ZHPSearch.
- 05/03/2011 : Suppression de Faux Positif sur OperOffice.org issue de rapports OTL.
- 04/03/2011 : Ajout d'un filtre d'infection Toolbar.Kiwee sur module O69/ZHPDiag.
- 28/02/2011 : Traitement des lignes avec adresses IP privées au format 192.168.XX.XX.
- 27/02/2011 : Traitement des lignes SafeBootMin/Net pour OS 64Bits issues de rapports OTL.
- 26/02/2011 : Ajout d'un filtre d'infection diverse (Trojan.Kazy) sur le module ZHPDiag/O68/StartMenuInternet.
- 25/02/2011 : Ajout d'un filtre d'infection DNS (Détournement Proxy).
- 23/02/2011 : Ajout d'un filtre d'infection Diverse (Worm.Sality).
- 15/02/2011 : Amélioration du filtre MagicControl/Navipromo.
- 13/02/2011 : Traitement de certaines lignes O87/FAEL-Users issues de rapports ZHPDiag.
- 09/02/2011 : Ajout de la table MD5 dans le module de répartion des tables.

Evolutions v2.45 (08/02/2011)

- 08/02/2011 : Suppression du message d'erreur en cas de méga infection O47 (v2.45.03).
- 07/02/2011 : Traitement de lignes M3/Plugins issues de rapports ZHPDiag. (v2.45.02).
- 06/02/2011 : Module O69, Traitement de certaines lignse SearchScopes. (v2.45.01).
- 06/02/2011 : Module G0, Traitement de certaines lignes HomePage. (v2.45.01).
- 06/02/2011 : Intégration des dernières versions de ZHPDiag, ZHPFix et ZHPSearch.
- 06/02/2011 : Intégration de 4575 lignes du fichier de mise à jour et mise à disposition des informations complémentaires correspondantes.
- 06/02/2011 : Prise en charge de lignes Internet Explorer "Main,SearchMigratedDefaultName" issues de rapports ZHPDiag
- 05/02/2011 : Ajout d'un filtre d'infection P2P.Worm sur les lignes APT de rapports ZHPDiag.
- 04/02/2011 : Modification du titre de module O23 pour les rapports HijackThis.
- 03/02/2011 : Suppression d'un Faux Positif d'infection LOP sur ZHPDiag O4/Glogal Startup.
- 31/01/2011 : Traitement des lignes "O20 - Winlogon\Notify\" issues de rapports OTL.
- 30/01/2011 : Prise en charge de lignes "Start Menu\Programs" issues de divers rapports.
- 29/01/2011 : Augmentation du nombre de détections de lignes P2P sur lecture d'un rapport ZHPDiag.
- 27/01/2011 : Prise en compte de lignes du module "Active Application Exception List" issues de rapports OTL Extra.
- 23/01/2011 : Prise en charge des lignes Internet Explorer "Search,AutoSearch" issues de rapports OTL.
- 22/01/2011 : Traitement particulier de lignes malwares sans fichier du module ZHPDiag/Global Startup.
- 21/01/2011 : Prise en compte de certaines lignes d'entête "Type = System" issues de rapports OTL.
- 20/01/2011 : Ajout du libellé pour le bouton "F-Secure" du panel de droite.
- 17/01/2011 : Prise en charge de certaines lignes "SafeBootMin" et "SafeBootNet" issues de rapports OTL.
- 16/01/2011 : Module SS/SR, Modification dans la création automatique de lignes "tronquées".
- 13/01/2011 : Ajout d'un filtre d'infection Diverse (Mal/TinyDL-T).
- 12/01/2011 : Modification de la couleur rouge de lignes "Reg Error: Key error" issues de rapports OTL.
- 08/11/2011 : Rapport de Synthèse, Correctif conduisant à l'affichage à tort d'une infection Vundo.
- 08/11/2011 : Prise en compte de certaines lignes "Drivers32" issues de rapports OTL.
- 07/01/2011 : Prise en compte de certaines lignes O9/"Extra Button" & "Extra Tools" issues de rapports OTL.

Evolutions v2.44 (07/01/2011)

- 07/11/2011 : Correctif de l'affichage en double des lignes malwares (Bouton "Malware" du panel inférieur). (v2.44.01)
- 06/01/2011 : Prise en compte de certaines lignes malwares du dossier "ProgramData" issues de rapport ZHPDiag/086. (v2.44.01)
- 04/01/2011 : Intégration des dernières versions de ZHPDiag, ZHPFix et ZHPSearch.
- 04/01/2011 : Intégration de 2955 lignes du fichier de mise à jour et mise à disposition des informations complémentaires correspondantes.
- 03/01/2011 : Ajout d'un filtre d'une possible infection Rogue.
- 02/01/2011 : Ajout d'un filtre d'infection DNS (Ukraine Promnet).
- 27/12/2010 : Ajout d'un filtre d'infection Rogue (Trojan.Dropper).
- 26/12/2010 : Prise en compte de certaines lignes G1/GCS issues de rapport ZHPDiag.
- 23/12/2010 : Ajout d'un filtre d'infection Diverse (P2P.Worm).
- 14/12/2010 : Traitement de certaines lignes avec code HTML 64bits MOD/Modules issues de rapports OTL.
- 13/12/2010 : Prise en compte de certaines lignes "F2/REG:system.ini" classées à tort en catégorie inconnue.
- 12/12/2010 : Ajout d'un filtre d'infection BT (Adware.SPointer).
- 11/12/2010 : Correctif dans le module O4/Global Startup conduisant à l'affichage d'une catégorie "Variable" erronée.
- 11/12/2010 : Suppression des lignes de syntaxe HTML issues de rapports OTL.
- 10/12/2010 : Prise en charge de lignes d'entêtes de plateformes 64bits issues de rapports OTL.
- 09/12/2010 : Traitement de certaines lignes 64bits DRV/Drivers issues de rapports OTL.
- 09/12/2010 : Traitement de certaines lignes 64bits MOD/Modules issues de rapports OTL.
- 08/12/2010 : Prise en compte de certaines lignes "Dossiers utilisateurs" issues de rapports OTL.
- 08/12/2010 : Traitement de certaines lignes O1/Hosts issues de rapports OTL.
- 06/12/2010 : Reconnaissance automatique de la langue par défaut au démarrage du système.
- 05/12/2010 : Prise en compte de certaines lignes O54/MCSP issues de rapport ZHPDiag.

Evolutions v2.43 (04/12/2010)

- 04/12/2010 : Intégration des dernières versions de ZHPDiag, ZHPFix et ZHPSearch.
- 04/12/2010 : Intégration de 2100 lignes du fichier de mise à jour et mise à disposition des informations complémentaires correspondantes.
- 04/12/2010 : Prise en compte du nouveau format des lignes ZHPDiag/O58,
- 03/12/2010 : Prise en compte de certaines lignes issues de rapports MBR,
- 30/11/2010 : Gestion de l'optimisation, nouvelle catégorie "Optimise" (Version Helper),
- 27/11/2010 : Prise en compte de l'extension http/.pro de lignes issues de divers rapports,
- 27/11/2010 : Traitement des lignes IE/SearchMigratedDefaultName issues des rapports OTL,
- 26/11/2010 : Traitement de certaines lignes utilisateur des modules PRC & MOD des rapports OTL,
- 25/11/2010 : Traitement de certaines lignes issues du module SRV des rapports OTL,
- 24/11/2010 : Traitement des lignes O32/AutoRun File issues des rapports OTL,
- 24/11/2010 : Correctif d'affichage de la lecture de l'entête ZHPDiag/MSIE affichant à tort la catégorie "Superflue" au lieu de "Version".

Evolutions v2.42 (23/11/2010)

- 23/11/2010 : Intégration des dernières versions de ZHPDiag, ZHPFix et ZHPSearch.
- 23/11/2010 : Intégration de 3100 lignes du fichier de mise à jour et mise à disposition des informations complémentaires correspondantes.
- 19/11/2010 : Ajout d'une recherche d'infection Vundo dans le dossier ProgramData (Vista/W7).
- 18/11/2010 : Prise en compte de certaines lignes G0/G1 issues du rapport ZHPDiag.
- 16/11/2010 : Début de prise en charge du rapport OTL d'OldTimer.
- 14/11/2010 : Coloration en bleu de toutes les lignes en "not file" issues du rapport ZHPDiag.
- 12/11/2010 : Traitement des lignes B1 du navigateur Opera issues du rapports ZHPDiag.
- 12/11/2010 : Traitement des lignes d'extension de programme G2 de Google Chrome issues du rapport ZHPDiag.
- 09/11/2010 : Prise en charge du rapport SystemLook de "jpshortstuff"
- 08/11/2010 : Mise au format de certaines lignes utilisateurs O4/Global Startup issues de rapports ZHPDiag.
- 07/11/2010 : Prise en compte de lignes malware issues de services SS/SR.
- 05/11/2010 : Prise en charge du rapport ZHPSearch.

Evolutions v2.41 (01/11/2010)

- 31/10/2010 - Intégration des dernières versions de ZHPDiag, ZHPFix et ZHPSearch.
- 31/10/2010 - Intégration de 800 lignes du fichier de mise à jour et mise à disposition des informations complémentaires correspondantes.
- 30/10/2010 - Prise en charge de certaines lignes malwares d'infection Rogue.Antivus2010.
- 28/10/2010 - Ajout d'un filtre d'infection FakeAlert (Trojan.FakeAlert).
- 26/10/2010 - Ajout d'un filtre d'infection Rogue (Rogue.AntimalwareDoctor).
- 24/10/2010 - Ajout d'un filtre d'infection des fichiers systèmes par le Trojan.Batimal.
- 23/10/2010 - Correctif sur l'analyse du module ZHPDiag/O50 conduisant à un message d'overflow.

Evolutions v2.40 (17/10/2010)

- 17/10/2010 - Correctif dans le module d'import des mises à jour conduisant à un message d'erreur "key Violation".
- 15/10/2010 - Intégration des dernières versions de ZHPDiag et ZHPFix.
- 15/10/2010 - Intégration de 1600 lignes du fichier de mise à jour et mise à disposition des informations complémentaires correspondantes.
- 13/10/2010 : Correctif dans l'analyse du module O4 Global Startup conduisant à un Faux Positif.
- 10/10/2010 - Modification du filtre d'infection Rogue.AntiMalwareDoctor.
- 09/10/2010 - Modification du filtre d'infection Rogue.Security Tool pour les lignes O4/Global Startup.
- 04/10/2010 - Table autonome MD5 maintenant opérationelle avec près de 33000 enregistrements.
- 02/10/2010 - Prise en compte de certaines lignes du nouveau format O4/Global Startup de ZHPDiag.
- 29/09/2010 - Création d'un filtre pour le Plugin Mozilla Firefox Microsoft Silverlight.

Evolutions v2.39 (27/09/2010)

- 27/09/2010 - Intégration des dernières versions de ZHPDiag et ZHPFix.
- 27/09/2010 - Intégration de 3700 lignes du fichier de mise à jour et mise à disposition des informations complémentaires correspondantes.
- 26/09/2010 - Ajout d'un filtre d''infection Rogue (Rogue.SecurityTool).
- 25/09/2010 - Analyse des lignes du module ZHPDiag O45/Prefetcher.
- 22/09/2010 - Prise en charge des dossiers malwares sous %System32%.
- 20/09/2010 - Traitement de certaines lignes malwares M2 d'extension Mozilla Firefox.
- 14/09/2010 - Ajout d'un filtre d'infection Diverse (Trojan.Agent).
- 13/09/2010 - Ajout d'un filtre d'infection FakeAlert (Trojan.FakeAlert).
- 12/09/2010 - Ajout d'un filtre d''infection Rogue (Rogue.AntimalwareDoctor).
- 10/09/2010 - Traitement du rapport MBRCheck.

Evolutions v2.38 (08/09/2010)

- 08/09/2010 - Intégration des dernières versions de ZHPDiag et ZHPFix.
- 08/09/2010 - Intégration de 3350 lignes du fichier de mise à jour et mise à disposition des informations complémentaires correspondantes.
- 07/09/2010 - Correction dans le module de filtre d'infection LOP.
- 06/09/2010 - Mise en place d'un filtre d'infection FakeAlert,
- 06/09/2010 - Analyse des lignes B0/Page de démarrage du navigateur Opera,
- 05/09/2010 - Analyse des lignes M2/Programmes d'extension de Mozilla Firefox,
- 04/09/2010 - Analyse des lignes M0/Page de démarrage de Mozilla Firefox,
- 02/09/2010 - Module d'entête, ajout d'un test supplémentaire sur la taille du disque pour la qualification critique (Version Helper),
- 01/09/2010 - Mise en place d'un filtre d'infection Rogue (Trojan.Sinkin),
- 28/08/2010 - Optimisation des mises à jour automatiques des tables au démarrage,
- 25/08/2010 - Au lancement de ZHP, affichage de la barre de progression des mises à jour automatiques,
- 25/08/2010 - Prise en compte de lignes O61 au format d'utilisateur "Documents And Settings",
- 23/08/2010 - Prise en charge de certaines lignes du module ZHPDiag SR/SS (EGS),

Evolutions v2.37 (21/08/2010)

- 20/08/2010 - Ajout d'un filtre d'infection Rogue.
- 19/08/2010 - Reconnaissance de lignes de bouclage sur l'adresse IP locale des rapports RSIT.
- 17/08/2010 - Ajout d'un filtre d'infection FakeAlert.
- 09/08/2010 - Traitement global pour la reconnaissance des lignes malwares ZHPDiag/O1.
- 08/08/2010 - Correctif dans le module BHO/02 pour la qualification d'une possible infection BT.
- 06/08/2010 - prise en compte de lignes de clés orphelines en catégorie superflue.
- 02/08/2010 - Ajout d'un bouton dans le panel de recherche de droite pour F-Secure Web Site.
- 31/07/2010 - Reconnaissance du nouveau format de lignes ZHPDiag/O60.
- 28/07/2010 - Prise en charge d'une nouvelle famille d'infection par le trojan Vundo.
- 26/07/2010 - Reconnaissance des logiciels issus de la prise en charge de la clé 'AppDataLow' du module O69 (SBI).
- 22/07/2010 - Prise en compte de tous les dossiers "Program Files" des stations avec OS 64Bits.

Evolutions v2.36 (20/07/2010)

- 20/07/2010 - Ajout dans l'entête du rapport de la liste des options cochées par l'utilisateur (Unselected Option).
- 18/07/2010 - Ajout dans l'entête du rapport de la liste des utilisateurs.
- 17/07/2010 - Ajout d'un nouveau paramètre /BLF (Background/Log/Full) - Travaille en arrière plan, affichage du Log, Full module (sauf O1,O45,O61,O65).
- 16/07/2010 - Intégration complète du changelog USBFix qui porte à plus de 10500 lignes de mises à jour.
- 12/07/2010 - Ajout du scan de la branche HKU du module O67/File Extensions Shell Spawning.
- 11/07/2010 - Ajout de la recherche de doublons dans le module O69/SBI.
- 11/07/2010 - Ajout de la détection de cherche.us et de Conduit dans le module O69/SBI
- 11/07/2010 - Ajout du Scan des clés RUN de la branche Wow6432Node pour les OS 64bits Vista/7.
- 11/07/2010 - En cas d'infection du MBR, ajout d'un message spécifique en fin de rapport.
- 10/07/2010 - Contrôle de la donnée de la valeur "Start_ShowSearch" dans le module "Security Center & Tools Informations" (Clé : Explorer\Advanced)
- 09/07/2010 - Prise en compte d' un nouvelle famille d'infection rootkit PRAGMA.
- 09/07/2010 - Augmentation du nombre de lignes prises en charge dans le module O47/AAKE.
- 08/07/2010 - Modification d'affichage du dossier processus sur les modules O18 et O41 de certaines stations Windows XP.
- 06/07/2010 - Modification dans le module de suppression de fichier.
- 02/07/2010 - Modification dans le module O15/Trusted Zone sur le traitement de la valeur de clé de BDR "www".
- 30/06/2010 - Modification des paramètres d'exécution de MBR et ajout de la date de réalisation du rapport.
- 29/06/2010 - Correctif dans le module O4/Process pour la détection de fichiers systèmes.
- 28/06/2010 - Correctif dans le module O47/AAKE conduisant à l'impossibilité de supprimer la valeur de BDR et le processus.
- 26/06/2010 - Correctif sur le mode de connexion sur les OS W2K conduisant à un message d'erreur de chargement de ressource.
- 26/06/2010 - Correctif dans le module O66/EventLog.
- 23/06/2010 - Correctif dans le module O67/Shell Spawning.
- 21/06/2010 - Le fichier de rapport de scan est désormais placé sur le bureau de l'utilisateur.

(C) Copyrights 2010-2011 - Nicolas Coolman - All rights reserved


ZHP_Connexion_Admin

ZHP - Portabilité

Origine

La portabilité de ZHP sur une clé USB a été créee le 27 novembre 2010. Remerciements à Georges BAILLY. (v2.53.3)

Caractéristiques

La portabilité permet de faire fonctionner l'analyseur de ZHP depuis une unité externe comme par exemple une clé USB. Il n'est donc plus nécessaire d'installer ZHP et son moteur de Base de Donnée Borland (BDE) dans la station de l'utilisateur.

Installer ZHP sur votre clé USB dans un dossier ZHP.
N:\ZHP (N étant le nom d'unité de la clé)

Installer le BDE (Borland Database Engine) sur la clé dans un dossier ZHP\BDE :
N:\ZHP\BDE (N étant le nom d'unité de la clé)

Base de registre

Au démarrage de ZHP, il y a création de 2 nouvelles clés de registre dans la station de l'utilisateur.

[HKEY_LOCAL_MACHINE\SOFTWARE\Borland\BLW32]
"BLAPIPATH"="N:\\ZHP\\BDE"

[HKEY_LOCAL_MACHINE\SOFTWARE\Borland\Database Engine]
"CONFIGFILE01"="N:\\ZHP\\BDE\\IDAPI32.CFG"
"DLLPATH"="N:\\ZHP\BDE"

(C) Copyrights 2011 - Nicolas Coolman - All rights reserved


ZHP_Erreur_Admin

ZHP - Résolution de problèmes

Messages d'alerte

Code 740 necessite une elevation. (Droits Administrateur),

Corrupt file - otherthan header... (Réparation des tables),

Network initialization failed. File does not exist C:\PDOSUSRS.NET... (Droits Administrateur),

TableXXX: Impossible d'effectuer cette opération sur un ensemble de données fermé. (Droits Administrateur),

Unknown internal operating error. (Borland Database Engine)

Messages d'information

Saisir un rapport avant de lancer une analyse. (Ne pas laisser de ligne vierge en début de rapport).


ZHP_Erreur_Admin

ZHP - Réparation de tables

Origine

Cette résolution de problème a été créee le 08 août 2010.

Caractéristiques

ZHP embarque des fonctions d'optimisation et de nombreux filtres. Lorsque vous analysez un rapport, ces fonctions et filtres provoquent la création de lignes dans vos tables locales. Du fait de ces écritures aux formats parfois complexes, il peut arriver qu'un index de table se corrompe. Lorsque cela se produit et plutôt que de réinstaller le logiciel, vous pouvez tenter une raparation des tables avec ZHP Data Utility. (v2.34.68)

Message d'alerte

Mode de résolution N°1

1) lancer ZHP,
2) Cliquer à droite sur le bouton de configuration.
3) Sélectionner "Table" puis "Maintenance des tables"
4) Cliquer sur le bouton "R" pour démarrer la réparation.

Normalement cette opération dure moins d'une minute, en fin de traitement un rapport permet de vérifier l'état de la répartion pour chacune des tables.

Rapport de ZHP Database Utility v1.0 de Nicolas Coolman
Run at 30/08/2010 13:57:37

Table Processus ---> Verification Successful. Table has no errors. - Rebuild was successful.
Table Rapports ---> Verification Successful. Table has no errors. - Rebuild was successful.
Table Versions ---> Verification Successful. Table has no errors. - Rebuild was successful.
Table Logiciels ---> Verification Successful. Table has no errors. - Rebuild was successful.
Table Hosts ---> Verification Successful. Table has no errors. - Rebuild was successful.
Table Utilisateurs ---> Verification Successful. Table has no errors. - Rebuild was successful.
Table Malwares ---> Verification Successful. Table has no errors. - Rebuild was successful.
Table Processus malwares ---> Verification Successful. Table has no errors. - Rebuild was successful.
Table BDR malwares ---> Verification Successful. Table has no errors. - Rebuild was successful.
Table BDR légitimes ---> Verification Successful. Table has no errors. - Rebuild was successful.
Table CLSID ---> Verification Successful. Table has no errors. - Rebuild was successful.
Table Infections ---> Verification Successful. Table has no errors. - Rebuild was successful.
Table Vundo ---> Verification Successful. Table has no errors. - Rebuild was successful.

Réparation terminée en 00mn 38s

En fin d'opération, il peut exister encore un dossier "Temp" dans le dossier d'installation de ZHP. Dans ce cas, il faut déplacer manuellement tous les fichiers qui s'y trouvent vers le dossier d'installation de ZHP en acceptant l'écrasement des fichiers existants.

4) Redémarrer ZHP.

Mode de résolution N°2

Si le mode de résolution N°1 ne fonctionne pas , procéder à la réinstallation du produit.

Mode de résolution N°3

Plus vous soumettez de rapports à l'analyse, plus il y aura d'ajout de lignes et par conséquent plus il y aura de possibilités de corrompre une table.
La corruption vient du fait que la ligne peut contenir toute forme de caractère, notamment un caractère spécial ou unicode.

Ce flux de données entrantes est difficile a contrôler via ma version CodeGear 2007 qui ne supporte pas l'unicode. Il faudrait que je migre vers une version 2010, mais bon c'est plusieurs centaines d'euros d'investissement !

Bien sûr, je conçois qu'il n'est pas viable de réparer les tables plusieurs fois par jour. /!\

Un compromis qui me semble acceptable est de donner la possibilité à l'utilisateur de supprimer la mise à jour automatique d'une table lors de l'analyse d'un rapport.

L'avantage c'est que la corruption des tables va forcément disparaître.
L'inconvénient c'est que la détection sera légérement plus faible.

- 26/03/2011 : Création d'un paramètre pour supprimer la mise à jour des tables locales (ZHPHelper) (v2.47.02)

Voici la procédure pour supprimer l'écriture dans les tables locales :

Créer une nouvelle valeur de clé "EnableLocalDataBase" avec pour donnée "0" (Zéro)

Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\ZebHelpProcess Helper]
"EnableLocalDataBase"="0"

La mise à jour automatique des tables lors du démarrage de l'outil ne sera pas impacté par cette action.

Mode de résolution N°4

- Au lancement de ZHP, le message suivant s'affiche :

Il signifie que votre moteur de base de donnée (BDE) est corrompu.

Rechercher et supprimer le dossier "BDE", puis refaite l'installation en autorisant l'installation du BDE.

Sous W7, il se trouve sous "Program Files\Common Files\Delphi\BDE".

(C) Copyrights 2010-2011 - Nicolas Coolman - All rights reserved


ZHP_Connexion_Admin

ZHP - Connexion administrateur

Origine

Cette résolution de problème a été créee le 04 septembres 2010.

Caractéristiques

Dans un environnement orienté réseau comme Vista ou Windows 7, il est nécessaire de verrouiller l'accès aux fichiers de bases de données. Aussi, Paradox a introduit un
mécanisme spécial de verrouillage avec un fichier de contrôle du réseau nommé "PDOXUSRS.NET".

Ce fichier recense les noms des utilisateurs du Moteur Borland de Bases de données (BDE) ainsi que les tables en cours d'utilisation. Il va sans dire que tous les utilisateurs doivent être reliés au
même fichier de contrôle du réseau.

En fait, Vista & Windows 7, pour des raisons de sécurité, bloque les écritures sur la partition système à la fois pour les utilisateurs et les administrateurs. Lors du
lancement d'une application utilisant le BDE avec des tables Paradox, il y a lecture/écriture en temps réel du fichier de verrouillage PDOXUSRS.NET qui se
trouve à la racine de la partition système comme défini dans l'administrateur du BDE au niveau du 'Net Dir'.

Vista & Windows 7, en interdisant l'accès à la partition système refuse l'écriture dans le fichier de verrouillage, provoque un message d'erreur du BDE et le lancement
de ZHP échoue.

Messages d'alerte

Une fois lancé ZHP, le message suivant peut apparaître :

Ou le message sur station XP

Mode de résolution

Il faut lancer ZHP avec les droits administrasteur.

1) Cliquer sur le raccourci de ZHP placé sur le Bureau Windows.
2) Sélectioner "Exécuter en tant qu'administrateur'


ZHPSearch_changelog

ZHPSearch - ChangeLog

Evolutions

Septembre 2011
- 20/09/2011 : Modification dans la recherche des listes, commutateurs "/Start" et "/MD5Start". (1.28.1350)

Février 2011
- 25/02/2011 : Modification dans le module d'export de clé de registre. (1.23.19)
- 23/02/2011 : Modification dans le module d'export de clé de registre (Tests). (1.23.18)
- 09/02/2011 : Mise à jour des listes blanches des hash MD5 (1.23.16)
- 05/02/2011 : Création du commutateur "RegExport" pour exporter une clé de registre. (1.23.15)

Janvier 2011
- 30/01/2011 : Ajout de la variable d'environnement %Temp% (1.23.14)
- 29/01/2011 : Mise à jour des listes blanches et noires des hash MD5 (1.23.13)
- 17/01/2011 : Ajout de "Trojan.Lavandos" en liste spéciale (1.23.12)

Decembre 2010
- 24/12/2010 : Mise à jour des listes blanches et noires des hash MD5 (1.23.11)
- 19/12/2010 : Mise à jour des listes blanches et noires des hash MD5 (1.23.10)

Novembre 2010
- 21/11/2010 : Mise à jour de la liste blanche des hash MD5 (1.23.09)
- 21/11/2010 : Ajout d'une recherche de fichier par hash MD5 (1.23.08)
- 05/11/2010 : Passerelle avec ZHPDiag (1.23.05)
- 01/11/2010 : Affichage du rapport ZHPSearch sur le bureau Windows.

Octobre 2010
- 28/10/2010 : Création d'un module Batimal pour l'identification des fichiers systèmes sains, inconnus ou patchés.
- 28/10/2010 : Création du commutateur /Exact (1.23.03)
- 27/10/2010 : Passerelle avec ZHPFix (1.23.00)
- 25/10/2010 : Ajout d'un panel pour la sélection automatique des commutateurs. (v1.22.09)
- 23/10/2010 : Mise en place d'un module de Listes spéciales accéssible par menu déroulant. (v1.22.08)
- 21/10/2010 : Refonte complète du module de recherche, travail par ligne avec insertion de Commutateurs. (v1.22.07)
- 14/10/2010 : ZHPSearch, Prise en compte de 4 occurences dans la recherche multi-critères. (v1.22.6)
- 12/10/2010 : Mise en place d'une recherche double critére pour le mode Fichier/Dossier. (v1.22.4b)
- 11/10/2010 : Création d'un module d'optimisation dans le but de réduire le temps de la recherche. (v1.22.3b)
- 09/10/2010 : Ajout de nouveaux critères de sélection. (v1.22.2b)
- 08/10/2010 : Gestion des comptages de recherche et des variables d'environnement. (v1.22.1b)
- 05/10/2010 : Création du module de recherche "Base de Registres". (v1.22b)
- 03/10/2010 : Création du module de recherche "Fichiers/Dossiers". (v1.21b)

(C) Copyrights 2010-2011 - Nicolas Coolman - All rights reserved


GIF - Graphic Interchange Format

ZHPSearch - Présentation

La recherche détaillée

Mode de recherche/Détail. (v1.22.2b)
Liée au mode de recherche de fichiers, il permet d'afficher le détail des fichiers (Attributs, origine, MD5,...).
Pour une première recherche, il est conseillé de décocher cette case. En effet l'utilisateur ne connaît pas à l'avance le nombre de lignes que la recherche va donner. Si le compteur de lignes indique un nombre élevé et que l'utilisateur stoppe la recherche et il n'y aura aucun traitement de détail de fichier, ce qui fait gagner un temps de traitement.

Exemple : Case "Détail" décochée :
- Le compteur de recherche atteint les 500 lignes,
- L'utilisateur stoppe la recherche afin de revoir son critére de recherche,
- Il n'y a aucun traitement d'effectué pour détailler le fichier trouvé (Attributs, Origine, MD5,...),
- L'utilisateur peut accéder sans délai au rapport non détaillé.

Exemple : Case "Détail" cochée :
- Le compteur de recherche atteint les 500 lignes,
- L'utilisateur stoppe la recherche afin de revoir son critére de recherche,
- L'outil va lancer la recherche des détails (Attributs, Origine, MD5,...) pour les 500 fichiers trouvés en augmentant inutilement le temps de traitement.

La recherche multi-critères

Un certain nombre de commutateurs sont disponibles. Certains se placent en début de lignes, d'autres en fin de lignes. Il peut y avoir concatenation des commutateurs. (v1.23.06)

La recherche par hash MD5

La recherche s'effectue pour un MD5 donné. (v1.23.07)

Exemple : Rechercher tous les fichiers du dossier %System32% qui possèdent le MD5 : ABC3DBF9C508F48109782499C3D9DAB5
MD5.ABC3DBF9C508F48109782499C3D9DAB5 /%System32%

Rapport de ZHPSearch 1.23.08 par Nicolas Coolman, Update du 20/11/2010
Run by Coolman at 21/11/2010 14:22:23
Windows 7 Home Premium Edition, 32-bit (Build 7600)

---\\ Elément(s) de recherche
MD5.ABC3DBF9C508F48109782499C3D9DAB5 /%System32%

---\\ Liste des Fichiers & Dossiers:
[MD5.ABC3DBF9C508F48109782499C3D9DAB5] - (.NVIDIA Corporation.) 26/06/2009 16:32:36 | ---A- | -- C:\Windows\System32\nvvsvc.exe [211488]

---\\ Bilan de la recherche
Mode de recherche : Fichiers, Dossiers
Elément(s) trouvé(s) : 1
Nombre de fichiers analysés : 3158
Nombre de clés, valeurs ou données analysées : 0
Mode : Recherche complète
End of the scan (00mn 36s)

Les variables d'environnement

Des boutons permettent d'inscrire le contenu de la variable dans la zone de saisie. Par exemple si vous cliquez sur "%Windir%", le texte "C:\Windows\" sera saisi.

%AllUsersProfile% : "C:\Users\{UserName}\Appdata" (Pour W7
%AppData% : "C:\Users\{UserName}\Appdata" (Pour W7)
%CommonProgramFiles% : "C:\Program Files\Fichiers Communs"
%System32% : "C:\Windows\System32"
%SystemDrive : "C:\Windows\System32\Drivers"
%SystemRoot% : "C:\"
%ProgramFiles% : "C:\Program Files\"
%ProgramData% : "C:\ProgramData\"
%Users% : "C:\Users" ou "C:\Documents And Settings" selon le système d'exploitation
%WinDir% : "C:\Windows\"

Exemple :
Cliquez sur "%Windir%", le texte "C:\Windows\" sera affiché dans la zone de saisie du critère de recherche.

Les unités DOS/Devices

Le panel de droite affiche toutes les unités de la station. Celles qui sont chargées sont automatiquement côchées.

Les compteurs de recherche

Durant le traitement un comptage de ligne s'affiche pour chaque mode de sélection (Fichiers/Dossiers ou Base de Registres). Ils permettent de donner une indication de recherche et éventuellement de stopper le traitement si l'utilisateur juge que le critère de recherche n'est pas assez affiné.

L'arrêt du traitement par l'utilisateur

Une fois le traitement lancé, l'utilisateur dispose d'un bouton d'arrêt [image] pour lui permettre de stopper le traitement. Chaque mode de sélection comporte son bouton d'arrêt. (Voir aussi l'option Mode Fichier/Détail").

Recherche dans un dossier

Ces cases à cocher permettent de lancer la recherche exclusivement dans le dossier sélectionné. (v1.22.2b)

Exemple : "Utilisateur" coché et "Détail" décoché

---\\ Liste des Fichiers & Dossiers:

==============================================
C:\Users\All Users\Microsoft\eHome\EPG\tracehelper\DefaultDomain-Coolman.xml
C:\Users\All Users\Microsoft\User Account Pictures\Coolman.dat

==============================================
Elément(s) trouvé(s) : 2

Optimisation

Afin d'optimiser le traitement de la recherche, certaines options sont disponibles. (v1.22.3b)

Compteurs de recherche : Permet de supprimer l'affichage des compteurs de recherche.
Défilement du résultat : Permet de supprimer l'affichage des lignes de recherche trouvées, le résultat sera visible seulement dans le rapport de recherche.
Barre de status : Permet de supprimer l'affichage des lignes analysées dans la barre de status inférieures.

Exemple : Optimisation (Affiche compteurs seulement)

---\\ Bilan de la recherche
Mode de recherche : Fichiers, Dossiers, Registre
Elément(s) trouvé(s) : 74559
Nombre de fichiers analysés : 886745
Nombre de clés, valeurs ou données analysées : 618206

End of the scan (01mn 23s)

La syntaxe des lignes du Registre

Cas d'une clé :
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\GRISBI]

Cas d'une valeur de clé :
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\GRISBI]:DisplayIcon

Cas d'une donnée de valeur de clé :
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\GRISBI]:DisplayIcon="C:\Program Files\Grisbi\grisbi.ico"

Cas d'une donnée d'une valeur par défaut de clé :
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\GRISBI]:@="C:\Program Files\Grisbi\grisbi.ico"

Rapport de Base de Registres

L'analyse ne porte que sur la première ligne saisie, toutes les autres lignes sont ignorées.

Ligne saisie :

Adobe

Rapport de recherche:

Rapport de ZHPSearch 1.23.00 par Nicolas Coolman, Update du 19/10/2010
Run by Coolman at 23/10/2010 13:47:48
Windows 7 Home Premium Edition, 32-bit (Build 7600)

---\\ Elément(s) de recherche
adobe

---\\ Liste des Clés, Valeurs & Données:
[HKEY_CURRENT_USER\Control Panel\MMCPL]:Adobe Gamma="C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma.cpl"
[HKEY_CURRENT_USER\Software\Adobe\Acrobat Reader\8.0\InstallPath]:@="C:\Program Files\Adobe\Reader 8.0\Reader"
[HKEY_CURRENT_USER\Software\Adobe\CommonFiles]:AdobeHome="C:\Program Files\Common Files\Adobe"
[HKEY_CURRENT_USER\Software\Adobe\MediaBrowser\MRU\Dreamweaver]:ApplicationPath="C:\Program Files\Adobe\Adobe D"

---\\ Bilan de la recherche
Mode de recherche : Registre
Elément(s) trouvé(s) : 35
Nombre de fichiers analysés : 0
Nombre de clés, valeurs ou données analysées : 28516

End of the scan (00mn 00s)

Rapport de Fichiers/Dossiers

Lignes saisies :

%ProgramData%\ClickPotatoLiteSA
%ProgramData%\ClickPotatoLite
%ProgramFiles%\ClickPotatoLite\bin\10.0.528.0\ClickPotatoLiteSA.exe

Rapport de recherche:

Rapport de ZHPSearch 1.23.00 par Nicolas Coolman, Update du 19/10/2010
Run by Coolman at 23/10/2010 13:51:46
Windows 7 Home Premium Edition, 32-bit (Build 7600)

---\\ Elément(s) de recherche
%ProgramData%\ClickPotatoLiteSA
%ProgramData%\ClickPotatoLite
%ProgramFiles%\ClickPotatoLite\bin\10.0.528.0\ClickPotatoLiteSA.exe

---\\ Liste des Fichiers & Dossiers:
Aucune ligne trouvée

---\\ Bilan de la recherche
Mode de recherche : Fichiers, Dossiers
Elément(s) trouvé(s) : 0
Nombre de fichiers analysés : 7
Nombre de clés, valeurs ou données analysées : 0

End of the scan (00mn 00s)

Rapport de Liste spéciale

Lignes saisies :

[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]:IP Network
[HKLM\Software\InstallPedia]
[HKLM\SYSTEM\CurrentControlSet\Services\IP netservices]
%ProgramFiles%\InstallPedia
%ProgramFiles%\InstallPedia\networker.exe

Rapport de recherche:

Rapport de ZHPSearch 1.23.00 par Nicolas Coolman, Update du 19/10/2010
Run by Coolman at 23/10/2010 13:52:38
Windows 7 Home Premium Edition, 32-bit (Build 7600)

---\\ Elément(s) de recherche
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]:IP Network
[HKLM\Software\InstallPedia]
[HKLM\SYSTEM\CurrentControlSet\Services\IP netservices]
%ProgramFiles%\InstallPedia
%ProgramFiles%\InstallPedia\networker.exe

---\\ Liste des Fichiers & Dossiers:
Aucune ligne trouvée

---\\ Liste des Clés, Valeurs & Données:
Aucune ligne trouvée

---\\ Bilan de la recherche
Mode de recherche : Fichiers, Dossiers
Elément(s) trouvé(s) : 0
Nombre de fichiers analysés : 2
Nombre de clés, valeurs ou données analysées : 3

End of the scan (00mn 00s)


GIF - Graphic Interchange Format

ZHPSearch - Commutateurs

Définition

Un certain nombre de commutateurs sont disponibles. Certains se placent en début de lignes, d'autres en fin de lignes. Il peut y avoir concatenation des commutateurs.

Les Commutateurs de Registre

/RegExport

Ce commutateur permet d"exporter une clé de registre. Un fichier de registre, avec l'extension texte, est cré sur le Bureau Windows. A la fin de l'export, il y a affichage de l'export dans le notepad Windows.

Exemples : Exporter la clé "Clients".

Ligne Saisie :

[HKLM\SOFTWARE\Clients] /RegExport

Rapport de recherche:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\software\clients]

[HKEY_LOCAL_MACHINE\software\clients\Calendar]
@="Microsoft Outlook"

[HKEY_LOCAL_MACHINE\software\clients\Calendar\Microsoft Outlook]
@="Microsoft Outlook"

[HKEY_LOCAL_MACHINE\software\clients\Calendar\Microsoft Outlook\Protocols]

[HKEY_LOCAL_MACHINE\software\clients\Calendar\Microsoft Outlook\Protocols\.ics]
@="icsfile"
"Content Type"="text/calendar"

[HKEY_LOCAL_MACHINE\software\clients\Calendar\Microsoft Outlook\Protocols\.vcs]
@="vcsfile"

/RegKey

Ce commutateur, combiné avec le joker, permet de rechercher un ensemble de sous-clés d'une clé de Registre.

Exemples : Rechercher toutes les sous-clés de la clé "setup" comportant la chaine de caractère "Sys".

Ligne Saisie :

[HKLM\Software\Microsoft\Windows\CurrentVersion\Setup\Sys*.*] /RegKey

Rapport de recherche:

Rapport de ZHPSearch 1.23.00 par Nicolas Coolman, Update du 19/10/2010
Run by Coolman at 26/10/2010 17:00:49
Windows 7 Home Premium Edition, 32-bit (Build 7600)

---\\ Elément(s) de recherche
[HKLM\Software\Microsoft\Windows\CurrentVersion\Setup\Sys*.*] /RegKey

---\\ Liste des Fichiers & Dossiers:
Aucune ligne trouvée

---\\ Liste des Clés, Valeurs & Données:
[hklm\software\microsoft\windows\currentversion\setup\sysprep]
[hklm\software\microsoft\windows\currentversion\setup\sysprepexternal]

---\\ Bilan de la recherche
Mode de recherche : Fichiers, Dossiers, Registre
Elément(s) trouvé(s) : 2
Nombre de fichiers analysés : 0
Nombre de clés, valeurs ou données analysées : 10

End of the scan (00mn 00s)

/RegValue

Ce commutateur, combiné avec le joker, permet de rechercher un ensemble de valeurs de clés de Registre.

Exemples : Rechercher les valeurs de clés comportant la chaine "Tdss".

Ligne Saisie :

[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]:Tdss*.* /RegValue

Rapport de recherche:

Rapport de ZHPSearch 1.23.00 par Nicolas Coolman, Update du 19/10/2010
Run by Coolman at 26/10/2010 11:51:14
Windows 7 Home Premium Edition, 32-bit (Build 7600)

---\\ Elément(s) de recherche
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]:Tdss*.* /RegValue

---\\ Liste des Clés, Valeurs & Données:
[hklm\software\microsoft\windows\currentversion\run]:TdssReg
[hklm\software\microsoft\windows\currentversion\run]:Shed_Tdss

---\\ Bilan de la recherche
Mode de recherche : Fichiers, Dossiers, Registre
Elément(s) trouvé(s) : 2
Nombre de fichiers analysés : 0
Nombre de clés, valeurs ou données analysées : 16

End of the scan (00mn 00s)

Les Commutateurs de fichiers

/Exact

Ce commutateur permet la recherche d'un fichiers correspondant uniquement à la chaîne saisie. Si l'on recherche "Explorer.Exe", le fichier "iexplorer.exe" ne sera pas trouvé. Il s'agit d'un commutateur de fin de ligne.

Exemples : Recherche seulement le processus système "Explorer.exe"

Lignes Saisies :

/Start %Windir% /s /md5 /exact
Explorer.exe
/Stop

Rapport de recherche: (Partiel)

Rapport de ZHPSearch 1.23.03 par Nicolas Coolman, Update du 28/10/2010
Run by Coolman at 28/10/2010 11:28:50
Windows 7 Home Premium Edition, 32-bit (Build 7600)

---\\ Elément(s) de recherche
/Start %Windir% /s /md5 /exact
Explorer.exe
/Stop

---\\ Liste des Fichiers & Dossiers:
[MD5.2626FC9755BE22F805D3CFA0CE3EE727] - (.Microsoft Corporation.) 31/10/2009 06:45:39 | ---A- | -- C:\Windows\explorer.exe [2614272]
[MD5.15BC38A7492BEFE831966ADB477CF76F] - (.Microsoft Corporation.) 14/07/2009 02:14:20 | ---A- | -- C:\Windows\winsxs\x86_microsoft-windows-explorer__518afd35db100430\explorer.exe [2613248]
[MD5.B95EEB0F4E5EFBF1038A35B3351CF047] - (.Microsoft Corporation.) 03/08/2009 06:35:50 | ---A- | -- C:\Windows\winsxs\x86_microsoft-windows-explorer__51e07e31dad00878\explorer.exe [2613248]
[MD5.2626FC9755BE22F805D3CFA0CE3EE727] - (.Microsoft Corporation.) 31/10/2009 06:45:39 | ---A- | -- C:\Windows\winsxs\x86_microsoft-windows-explorer__51a66d6ddafc2ed1\explorer.exe [2614272]
[MD5.9FF6C4C91A3711C0A3B18F87B08B518D] - (.Microsoft Corporation.) 03/08/2009 06:49:47 | ---A- | -- C:\Windows\winsxs\x86_microsoft-windows-explorer__526619d4f3f142e6\explorer.exe [2613248]
[MD5.C76153C7ECA00FA852BB0C193378F917] - (.Microsoft Corporation.) 31/10/2009 07:00:51 | ---A- | -- C:\Windows\winsxs\x86_microsoft-windows-explorer_e_52283b2af41f3691\explorer.exe [2614272]

---\\ Bilan de la recherche
Mode de recherche : Fichiers, Dossiers
Elément(s) trouvé(s) : 6
Nombre de fichiers analysés : 55267
Nombre de clés, valeurs ou données analysées : 0

End of the scan (00mn 23s)

/S

Ce commutateur permet la récursivité dans la recherche des fichiers, ce qui signifie que seront scannés les dossiers et sous-dossiers. Il s'agit d'un commutateur de fin de ligne.

Exemples : C:\Users\Coolman\AppData\Local\Analog Clock\*.exe

Lignes Saisies :

C:\Users\Coolman\AppData\Local\Analog Clock\*.exe
%appdata%\*.exe /s /MD5
%WinDir%\*.scr /S /MD5
%SystemVolumInfo\*.exe /s /MD5
%ALLUSERSPROFILE%\Application Data\*.bmp /s
%CommonProgramFiles%\*.doc /s /MD5
%SystemConfig%\*.log1 /s
C:\Users\Coolman\AppData\Local\Analog Clock\Analog Clock.exe
c:\Windows\*.dll /S /MD5

Rapport de recherche: (Partiel)

Rapport de ZHPSearch 1.23.00 par Nicolas Coolman, Update du 19/10/2010
Run by Coolman at 20/10/2010 19:43:36
Plateforme : Windows 7 Home Premium Edition, 32-bit (Build 7600)

---\\ Elément de recherche
C:\Users\Coolman\AppData\Local\Analog Clock\*.exe
%appdata%\*.exe /s /MD5
%WinDir%\*.scr /S /MD5
%SystemVolumInfo\*.exe /s /MD5
%ALLUSERSPROFILE%\Application Data\*.bmp /s
%CommonProgramFiles%\*.doc /s /MD5
%SystemConfig%\*.log1 /s
C:\Users\Coolman\AppData\Local\Analog Clock\Analog Clock.exe
c:\Windows\*.dll /S /MD5

---\\ Liste des Fichiers & Dossiers:
[MD5.B7538FC858CF4EB39A4E1D3E71EAB441] - (.Opera Software.) 07/09/2010 16:56:43 | ---A- | -- c:\users\coolman\appdata\local\analog clock\Analog Clock.exe [836464]
[MD5.BEE43C913E11FDE77E2203F92A91679C] - (.Microsoft Corporation.) 19/12/2007 07:54:02 | ---A- | -- C:\Users\Coolman\AppData\Local\Installer3692\redist\WindowsServer2003-KB898715-x64-enu.exe [4584688]
[MD5.C1F8B62F140B9B519DBCC2F9A3FC651A] - (.Discordia Limited.) 20/09/2010 14:13:49 | ---A- | -- C:\Users\Coolman\AppData\Local\Temp\GLF5F5A\Bin\BndCore.exe [1579968]
[MD5.10828260B9E9BA29F72CD79A64F01019] 20/09/2010 14:15:54 | ---A- | -- C:\Users\Coolman\AppData\Local\Temp\nsaDBB6.tmp.exe [1713912]
[MD5.80A299C1EBC79FA2F24C26DF93543A64] - (.ACD Systems.) 27/07/2005 11:13:36 | ---A- | -- C:\Windows\System32\ACDSee.scr [532480]
[MD5.3EBCB634281E023DBB7BA65707F565BA] - (.Microsoft Corporation.) 14/07/2009 02:14:09 | ---A- | -- C:\Windows\System32\Bubbles.scr [878592]
[MD5.D8C17663091088F594258FF40F23E4B6] - (.Microsoft Corporation.) 14/07/2009 02:14:30 | ---A- | -- C:\Windows\System32\recdisc.exe [210432]
[MD5.01C74B25911C3054F4C37C7389528CE5] - (.Microsoft Corporation.) 14/07/2009 02:14:30 | ---A- | -- C:\Windows\System32\recover.exe [11776]
[MD5.BBB40CA86B88918864D16CFAC9D4ABA4] 13/07/2009 22:41:04 | ---A- | -- C:\Windows\System32\redir.exe [2842]
[MD5.D69A9ABBB0D795F21995C2F48C1EB560] - (.Microsoft Corporation.) 14/07/2009 02:14:30 | ---A- | -- C:\Windows\System32\reg.exe [62464]480]

---\\ Bilan de la recherche
Mode de recherche : Fichiers, Dossiers
Elément(s) trouvé(s) : 1861
Nombre de fichiers analysés : 98422
Nombre de clés, valeurs ou données analysées : 0

End of the scan (01mn 07s)

/Start et /Stop

Ces commutateurs permettent la recherche d'une liste de fichiers. Ce sont des commutateurs de début de ligne. La recherche s'effectue dans le dossier spécifié en paramètres au format /%xxx%. Les paramètres de récurcivité /S et de calcul de MD5 (/md5) sont acceptés. La liste doit débuter par le commutateur /Start et se terminer pas le commuteur /Stop. La recherche s'effectue par défaut sur le disque système.

/%xxx% : peut prendre les valeurs suivantes :

/%AllDrives% : La recherche s'effectue dans tous les dossiers et dans toutes les unités de disque insérées. Il s'agit d'un commutateur de fin de ligne.
/%AllUsersProfile% : La recherche s'effectue dans tous les dossiers de tous les utilisateurs. Il s'agit d'un commutateur de fin de ligne.
/%CommonProgramFiles% : La recherche s'effectue dans le dossier Fichier Communs (Common Files) du dossier Program Files (Programme).
/%ProgramData% : La recherche s'effectue dans le dossier ProgramData. Il s'agit d'un commutateur de fin de ligne.
/%ProgramFiles% : La recherche s'effectue dans le dossier Program Files. Il s'agit d'un commutateur de fin de ligne.
/%System32% : La recherche s'effectue dans le dossier System (System32 ou SysWow64). Il s'agit d'un commutateur de fin de ligne.
/%SystemDrive% : La recherche s'effectue dans le root du systeme. Il s'agit d'un commutateur de fin de ligne.
/%SystemDrivers% : La recherche s'effectue dans le dossier Drivers du System . Il s'agit d'un commutateur de fin de ligne.
/%SystemConfig% : La recherche s'effectue dans le dossier System32\Config. Il s'agit d'un commutateur de fin de ligne.
/%SystemRoot% : La recherche s'effectue dans le root du systeme. Il s'agit d'un commutateur de fin de ligne.
/%SystemVolumeInfo% : La recherche s'effectue dans le dossier caché System Volume Information. Il s'agit d'un commutateur de fin de ligne.
/%Users% : La recherche s'effectue dans tous les dossiers de tous les utilisateurs. Il s'agit d'un commutateur de fin de ligne.
/%Windir% : La recherche s'effectue dans le dossier Vindows. Il s'agit d'un commutateur de fin de ligne.

Exemple : Recherche une liste de 3 fichiers avec leurs MD5 dans le dossier %System32% et dans ses sous-dossiers :

NB : la commande "/Start /%System32% /s /md5" est similaire à "/MD5Start".

Lignes Saisies :

/Start /%System32% /s /md5
acproxy.dll
COMPONENTS.LOG1
adp94xx.sys
/Stop

Rapport de recherche:

Rapport de ZHPSearch 1.23.00 par Nicolas Coolman, Update du 20/10/2010
Run by Coolman at 20/10/2010 16:36:47
Plateforme : Windows 7 Home Premium Edition, 32-bit (Build 7600)

---\\ Elément de recherche
/Start /%System32% /s /md5

---\\ Liste des Fichiers & Dossiers:
[MD5.3A9FC5D24053769ED9B710B576DEEB8A] - (.Microsoft Corporation.) 14/07/2009 02:14:51 | ---A- | -- C:\Windows\System32\acproxy.dll [9216]
[MD5.18062BABCAC5BA211F0E062BD8F3392D] - (.Microsoft Corporation.) 06/08/2009 22:49:43 | ---A- | -- C:\Windows\System32\fr-FR\acproxy.dll.mui [2560]
[MD5.7B47956FCDB9488A6A88E1869D23487E] 20/10/2010 08:18:33 | --HA- | -- C:\Windows\System32\config\COMPONENTS.LOG1 [262144]
[MD5.21E785EBD7DC90A06391141AAC7892FB] - (.Adaptec, Inc..) 14/07/2009 02:26:15 | ---A- | -- C:\Windows\System32\drivers\adp94xx.sys [422976]
[MD5.21E785EBD7DC90A06391141AAC7892FB] - (.Adaptec, Inc..) 14/07/2009 02:26:15 | ---A- | -- C:\Windows\System32\DriverStore\FileRepository\adp94xx.inf_x86_neutral_4928c8870f6a1577\adp94xx.sys [422976]

---\\ Bilan de la recherche
Critère de recherche : /Start /%System32% /s /md5
Mode de recherche : Fichiers, Dossiers
Elément(s) trouvé(s) : 5
Nombre de fichiers analysés : 101817
Nombre de clés, valeurs ou données analysées : 0

End of the scan (00mn 02s)

/MD5

Ce commutateur permet de donnér le MD5 du fichier. Il s'agit d'un commutateur de fin de ligne.

Exemples : Permet la recherche de tous les fichiers bmp avec affichage du MD5 dans les dossiers "Application Data" et ses sous-dossiers

Ligne Saisie :

%ALLUSERSPROFILE%\Application Data\*.bmp /s /md5

Rapport de recherche: (Partiel)

Rapport de ZHPSearch 1.23.00 par Nicolas Coolman, Update du 19/10/2010
Run by Coolman at 20/10/2010 16:59:49
Plateforme : Windows 7 Home Premium Edition, 32-bit (Build 7600)

---\\ Elément de recherche
%ALLUSERSPROFILE%\Application Data\*.bmp /s /md5

---\\ Liste des Fichiers & Dossiers:
[MD5.1F6B40814EDE8A43AA82149768C0CA7F] 15/08/2009 14:54:43 | ---A- | -- C:\Users\Coolman\AppData\Local\Microsoft\Wallpaper1.bmp [2359350]
[MD5.343FA15C150A516B20CC9F787CFD530E] 24/02/2010 17:25:01 | ---A- | -- C:\Users\Coolman\AppData\Local\Temp\Administrateur.bmp [49208]
[MD5.79E99CC3E47D1DFCB8F2B57536E03DE7] 12/05/2010 09:12:30 | ---A- | -- C:\Users\Coolman\AppData\Local\Temp\Coolman.bmp [31832]
... Edition interrompue...

---\\ Bilan de la recherche
Mode de recherche : Fichiers, Dossiers
Elément(s) trouvé(s) : 3
Nombre de fichiers analysés : 7970
Nombre de clés, valeurs ou données analysées : 0

End of the scan (00mn 00s)

/NS

Ce commutateur permet la recherche de fichiers non signés. Ces fichiers seront édités avec une coloration rouge.

Exemple : Recherche tous les drivers système et marquage des fichiers non signés.

Ligne Saisie :

%SystemDrivers%\*.sys /s /MD5 /NS

Rapport de recherche: (Partiel)

Rapport de ZHPSearch 1.23.00 par Nicolas Coolman, Update du 19/10/2010
Run by Coolman at 21/10/2010 16:58:11
Plateforme : Windows 7 Home Premium Edition, 32-bit (Build 7600)

---\\ Elément de recherche
%SystemDrivers%\*.sys /s /MD5 /NS

---\\ Liste des Fichiers & Dossiers:
[MD5.FBCE2F43185104AE8BF4D32571B19203] - (.Microsoft Corporation.) 14/07/2009 00:51:21 | ---A- | -- C:\Windows\System32\drivers\1394bus.sys [54784]
[MD5.6D2ACA41739BFE8CB86EE8E85F29697D] - (.Microsoft Corporation.) 14/07/2009 00:52:00 | ---A- | -- C:\Windows\System32\drivers\1394ohci.sys [163328]
[MD5.2000000000000000C044E340C850D9E1] 15/01/2008 01:30:42 | ---A- | -- C:\Windows\System32\drivers\FDCENT.SYS [47470]
[MD5.3727097B55738E2F554972C3BE5BC1AA] - (.Silicon Integrated Systems.) 14/07/2009 02:19:04 | ---A- | -- C:\Windows\System32\drivers\sisraid4.sys [77888]
[MD5.D16D818E9930A6E5B4F6476DD0998D1A] - (.Microsoft Corporation.) 13/07/2009 21:34:43 | ---A- | -- C:\Windows\System32\drivers\spsys.sys [405504]
[MD5.200000000000000000A9E34089888888] 27/03/2010 07:15:36 | ---A- | -- C:\Windows\System32\drivers\sptd.sys [691696]

---\\ Bilan de la recherche
Mode de recherche : Fichiers, Dossiers
Elément(s) trouvé(s) : 298
Nombre de fichiers analysés : 439
Nombre de clés, valeurs ou données analysées : 0

End of the scan (00mn 01s)

/LockedFiles

Ce commutateur permet la recherche de fichiers pour lequels il n'est pas possible de calculer le MD5. Seuls ces fichiers sans MD5 seront édités.

Exemple : Recherche tous les drivers sans MD5 :

Ligne Saisie :

%SystemDrivers%\*.sys /s /MD5 /Lockedfiles

/MD5Start et /MD5Stop

Ces commutateurs permettent la recherche d'une liste de fichiers systèmes. Ce sont des commutateurs de début de ligne. La recherche s'effectue dans le dossier %System32% et de façon récursive. La liste doit débuter par le commutateur /MD5Start et se terminer pas le commuteur /MD5Stop.

La commande /MD5Start est équivalente à /Start /MD5 /%System32% /S

Exemple : Recherche des 3 fichiers systèmes suivants :

Lignes Saisies :

/MD5Start
acproxy.dll
COMPONENTS.LOG1
adp94xx.sys
/MD5Stop

NB : Pour le rapport, voir les commutateurs /Start.../Stop.

/64

Ce commutateur permet d'étendre la recherche aux dossiers systeme spécifiques aux systemes d'exploitation 64 bits comme "SysWOW64".

L'EDITEUR DE COMMUTATEURS

Mode Dossier/Fichier

Exemple : Rechercher tous les fichiers contenant la chaine "explor" se trouvant dans windows et ses sous-dossiers avec un affichage en mode détaillé.

a) Clique sur %Windir% dans le panel "Format de fichier",
---> Affichage : %Windir%\

b) Clique derriere la chaine qui vient de s'afficher et saisi le texte "explor" (sans les quotes),
---> Affichage : %Windir%\explor

c) Clique sur *.* pour avoir le joker,
---> Affichage : %Windir%\explor*.*

d) Clique sur /s pour avoir la récursivité,
---> Affichage : %Windir%\explor*.* /s

e) Clique sur /md5 pour avoir un mode détaillé,
--- Affichage : %WinDir%\explorer.exe /s /md5

La chaine de recherche est complète avec ses commutateurs de recherche, vous pouvez lancer la recherche avec :
%WinDir%\explorer.exe /s /md5

Mode Registre

A faire...


ZHPSearch_listes_speciales

ZHPSearch - Listes spéciales

Définition

Une liste déroulante de fichiers est disponible dans les options. Cette liste permet de charger le contenu d'un fichier texte contenu dans un dossier nommé "Liste Spéciale" du dossier d'installation de l'outil. Cette option est intéressante lorsque l'on possède une liste de fichiers connus relatifs à une infection donnée.

La liste spéciale est intéressante lorsque l'on souhaite effectuer une recherche sur des fichiers systèmes prècis qui peuvent êtres patchés par un malware. C'est le cas notamment du Trojan.Batimal, qui nécessite de trouver des fichiers systèmes sains par analyse du MD5, tels qu "Explorer.exe", "Wininit.exe" et "Winlogon.exe".

La liste spéciale pourra être utilisée pour rechercher des reliquats d'infection.

Exemples : Clic sur le fichier Adware.PurityScan et lancement de l'analyse

Lignes affichées :

[HKEY_CURRENT_USER\Software\Aubt]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]:Content Service
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]:twhe
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]:Ussi
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]:Oesi
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]:Eech
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]:WNSI
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]:Esph
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]:Content Service
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]:twhe
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]:Ussi
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]:Oesi
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]:Eech
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]:WNSI
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]:Esph
%Windir%\Application Data\wbta.exe
%Windir%\Application Data\rwsa.exe
%System32%\wnscpit.exe
%System32%\winserv*.exe
%AppData%\srts.exe
%AppData%\hoor.exe
%AppData%\rwsa.exe
%AppData%\ortu.exe

Rapport de recherche:

Rapport de ZHPSearch 1.23.00 par Nicolas Coolman, Update du 19/10/2010
Run by Coolman at 22/10/2010 16:42:25
Windows 7 Home Premium Edition, 32-bit (Build 7600)

---\\ Elément(s) de recherche
[HKEY_CURRENT_USER\Software\Aubt]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]:Content Service
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]:twhe
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]:Ussi
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]:Oesi
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]:Eech
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]:WNSI
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]:Esph
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]:Content Service
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]:twhe
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]:Ussi
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]:Oesi
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]:Eech
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]:WNSI
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]:Esph
%Windir%\Application Data\wbta.exe
%Windir%\Application Data\rwsa.exe
%System32%\wnscpit.exe
%System32%\winserv*.exe
%AppData%\srts.exe
%AppData%\hoor.exe
%AppData%\rwsa.exe
%AppData%\ortu.exe

---\\ Liste des Fichiers & Dossiers:
Aucune ligne trouvée

---\\ Liste des Clés, Valeurs & Données:
Aucune ligne trouvée

---\\ Bilan de la recherche
Mode de recherche : Fichiers, Dossiers
Elément(s) trouvé(s) : 0
Nombre de fichiers analysés : 6248
Nombre de clés, valeurs ou données analysées : 0

End of the scan (00mn 02s)

ETUDE PARTICULIERE DU TROJAN BATIMAL

La recherche d'infection Batimal par le Trojan Batimal s'effectue sur les trois fichiers système Winlogon.exe,Wininit.exe et Explorer.exe.

Le rapport de recherche se fera suivant la coloration suivante :

Couleur de ligne noire et commentaire "Fichier sain" :
Le fichier est signé "Microsoft Corporation", le MD5 du processus a bien été trouvé dans la liste blanche

Couleur de ligne bleue et commentaire "Fichier inconnu" :
Le fichier est signé "Microsoft Corporation", le MD5 du processus n'a pas été trouvé dans la liste blanche

Couleur de ligne rouge et commentaire "Fichier patché" :
Le fichier n'est pas signé, le MD5 du processus n'a pas été trouvé dans la liste blanche.

Exemples : Clic sur le fichier Trojan.Batimal et lancement de l'analyse

Lignes affichées :

/Start /%windir% /s /md5 /Exact
explorer.exe
Winlogon.exe
Wininit.exe
/Stop

Rapport de recherche:

Rapport de ZHPSearch 1.23.03 par Nicolas Coolman, Update du 28/10/2010
Run by Coolman at 22/10/2010 16:58:17
Windows 7 Home Premium Edition, 32-bit (Build 7600)

---\\ Liste des Fichiers & Dossiers:
[MD5.2626FC9755BE22F805D3CFA0CE3EE727] - (.Microsoft Corporation.) 31/10/2009 06:45:39 | ---A- | -- C:\Windows\explorer.exe [2614272] => Fichier sain
[MD5.15BC38A7492BEFE831966ADB477CF76F] - (.Microsoft Corporation.) 14/07/2009 02:14:20 | ---A- | -- C:\Windows\winsxs\x86_microsoft_...\explorer.exe [2613248] => Fichier inconnu
[MD5.B95EEB0F4E0000F1038A35B3351CF047] - (.Microsoft Corporation.) 03/08/2009 06:35:50 | ---A- | -- C:\Windows\System32\Winlogon.exe [2632103] => Fichier patché


GIF - Graphic Interchange Format

NCDiag - Diagnostic & Analyse

Cet outil a été crée le 13 janvier 2014 par Nicolas Coolman, concepteur/développeur de projets et conseiller en sécurité informatique. Après plusieurs mois de tests avec l'équipe sécurité de WebTranquille , l'outil a fait officiellement sa sortie le 17 mars 2014.

Systèmes compatibles

Windows XP (32 et 64 bits)
Windows Vista (32 et 64 bits)
Windows 7 (32 et 64 bits)

Windows 8 (32 et 64 bits)
Windows 8.1 (32 et 64 bits)

Caractéristiques

NCDiag est un outil de diagnostic et d'analyse du système d'exploitation Windows. - Il s'agit un clone de ZHPDiag réécrit en langage C++.

- Il permet d'effectuer un diagnostic très complet du système d'exploitation.

- Il scrute la Base de Registres et énumère les zones sensibles qui sont susceptibles d'être piratées. Il détecte un grand nombre de malwares. Il fait office d'analyseur pour la plupart des infections courantes.

La plupart des infections sont commentées, trojans, vers, spywares, PUP, hijackers, adwares, rogues, rootkits, toolbars, pollutewares, ransomwares, keyloggers...

A la fin du rapport, une rubrique liste des détections trouvées sur votre station.

Un lien permet d'accéder à une description complète du malware, plus de 500 fiches sont déjà disponibles.

A noter qu'il ne nécessite aucune installation et que la recherche dépasse rarement la minute.

Une analyse du rapport est possible avec le logiciel ZebHelpProcess (ZHP).

Le logiciel doit être lancé avec les droits administrateurs.

(C) Copyrights 2014 - Nicolas Coolman - All rights reserved


ZHPdiag_B0

NCDiag - Module O100 (STRK)

Origine

Le module O100 (STRK) a été crée le 05 avril 2014.

Caractéristiques

Ce module permet d'énumérer les clés de registre "Tracing". Certaines de ces clés peuvent avoir un fichier de rapport ".log" sous %WindDir%\Tracing. A la différence de ZHPDiag qui s'appuie sur ZHPScan et ses clés Tracing saisies dans sa table, NCDiag va faire une recherche plus large en énumérant toutes les clés et en recherchant leur légitimité.

La recherche s'effectue dans les sous-clés suivantes :

HKLM\SOFTWARE\Microsoft\Tracing

HKLM\SOFTWARE\WOW6432Node\Microsoft\Tracing

Aperçu NCDiag

---\\ Recherche de clés de registre Tracing (O100)
HKLM\SOFTWARE\WOW6432Node\Microsoft\Tracing\eMule_RASAPI32 => P2P.eMule
HKLM\SOFTWARE\WOW6432Node\Microsoft\Tracing\Mobogenie12_RASAPI32 =>PUP.Mobogenie

Exemples d'infection

---\\ Recherche de clés de registre Tracing (O100)
HKLM\SOFTWARE\WOW6432Node\Microsoft\Tracing\Mobogenie12_RASAPI32 =>PUP.Mobogenie

Action ZHPFix

HKLM\SOFTWARE\WOW6432Node\Microsoft\Tracing\{Name}

{Name} : Nom de la sous clé,

- L'outil supprime la clé Tracing {Name}.

Rapport ZHPFix (Exemple)

HKLM\SOFTWARE\WOW6432Node\Microsoft\Tracing\Mobogenie12_RASAPI32

Rapport de ZHPFix 2014.4.7.2 par Nicolas Coolman, Update du 07/04/2014
Run by Coolman at 07/04/2014 17:57:02
High Elevated Privileges : OK
Windows 7 Business Edition, 64-bit Service Pack 1 (Build 7601)

========== Clés du Registre ==========
SUPPRIMÉ: HKLM\SOFTWARE\WOW6432Node\Microsoft\Tracing\Mobogenie12_RASAPI32

========== Récapitulatif ==========
1 : Clés du Registre

(C) Copyrights 2014 - Nicolas Coolman - All rights reserved


ZHPdiag_B0

NCDiag - Module O101 (SCRK)

Origine

Le module O100 (SCRK) a été crée le 05 avril 2014.

Caractéristiques

Ce module permet d'énumérer les clés de registre "CLSID". Ces clés sont largement utilisées par les malwares. La chaine de caractère entre parenthèse correspond à la donnée de la valeur par défaut de la clé CLSID.

La recherche s'effectue dans la sous-clé "HKEY_CLASSES_ROOT\CLSID"

Aperçu ZHPDiag,NCDiag

---\\ Recherche de clés de registre CLSID (O101)
[HKCR\CLSID\{00000001-0000-0000-C000-000000000000}] (Crimsolite) =>PUP.CrimSolite

Exemples d'infection

---\\ Recherche de clés de registre CLSID (O101)
[HKCR\CLSID\{00000001-0000-0000-C000-000000000000}] (Crimsolite) =>PUP.CrimSolite

Action ZHPFix

[HKCR\CLSID\{KeyCLSID}] (DataName)

{KeyCLSID} : Nom de la clé CLSID,

{DataName} : Donnée de la valeur par défaut de la clé KeyCLSID ,

- L'outil supprime la clé CLSID {KeyCLSID}.

Rapport ZHPFix (Exemple)

[HKCR\CLSID\{00000001-0000-0000-C000-000000000000}] (Crimsolite) =>PUP.CrimSolite

Rapport de ZHPFix 2014.4.7.2 par Nicolas Coolman, Update du 07/04/2014
Run by Coolman at 07/04/2014 18:15:01
Windows 7 Business Edition, 64-bit Service Pack 1 (Build 7601)

========== Clés du Registre ==========
SUPPRIMÉ:* HKCR\CLSID\{00000001-0000-0000-C000-000000000000}

========== Récapitulatif ==========
1 : Clés du Registre

(C) Copyrights 2014 - Nicolas Coolman - All rights reserved


ZHPdiag_Entete

ZHPScan - Présentation

Caractéristiques

ZHPScan est un outil complémentaire intégré à ZHPDiag.

Il permet de rechercher la présence de programmes inutiles ou indésirables. Cette recherche s'effectue à la fois dans des dossiers cibles et dans la Base de Registres Windows.

Ajout de nouvelles branche de clés de Registre. (1.27.192)

Recherche complémentaire de dossiers dans les profiles Mozilla/Firefox (1.27.195)

KEY_APPPATHS:
HKLM\Software\Microsoft\Windows\CurrentVersion\app paths\

KEY_ARPCACHE:
HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\
HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\

KEY_CLASSES:
HKCU\Software\Classes\
HKCU\Software\Wow6432Node\Classes\ (v1.27.192)
HKLM\Software\Classes\
HKLM\Software\Wow6432Node\Classes\ (v1.27.192)

KEY_CLSID:
HKCR\Component Categories\
HKLM\ (v1.27.194)
HKLM\Software\Wow6432Node\Classes\AppID\ (v1.27.192)
HKLM\Software\Classes\CLSID\
HKLM\Software\Classes\FileType\
HKLM\Software\Classes\Interface\
HKLM\Software\Classes\TypeLib\
HKLM\Software\Classes\TypeLib\
HKLM\Software\Microsoft\Active Setup\Installed Components\
HKLM\Software\microsoft\Code Store Database\Distribution Units\
HKLM\Software\Microsoft\Internet Explorer\Explorer Bars\
HKLM\Software\Microsoft\Internet Explorer\Extensions\
HKLM\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\
HKLM\Software\Microsoft\Internet Explorer\SearchScopes\
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\
HKLM\Software\Microsoft\Windows\CurrentVersion\Ext\PreApproved\
HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\
HKCU\ (v1.27.194)
HKCU\Software\Classes\AppID\
HKCU\Software\Wow6432Node\Classes\AppID\ (v1.27.192)
HKCU\Software\Classes\FileType\
HKCU\Software\Microsoft\Active Setup\Installed Components\
HKCU\Software\microsoft\Explorer\Bars\
HKCU\Software\Microsoft\Internet Explorer\explorer bars\
HKCU\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\
HKCU\Software\Microsoft\Internet Explorer\searchscopes\
HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\
HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\
HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\
HKCU\Software\Microsoft\Windows\CurrentVersion\Uninstall\

KEY_CERTIFICATES: (v1.27.2353)
HKCU\Software\Microsoft\SystemCertificates\TrustedPublisher\Certificates\
HKLM\Software\Microsoft\SystemCertificates\TrustedPublisher\Certificates\

KEY_EXTENSIONS
HKLM\Software\Google\Chrome\Extensions\

KEY_INSTALLER
HKCU\Software\Microsoft\Installer\Features\
HKCU\Software\Microsoft\Installer\Products\
HKCU\Software\Microsoft\Installer\UpgradeCodes\
HKLM\Software\Microsoft\Installer\Features\
HKLM\Software\Microsoft\Installer\Products\
HKLM\Software\Microsoft\Installer\UpgradeCodes\
HKLM\Software\Classes\Installer\Features\
HKLM\Software\Classes\Installer\Products\
HKLM\Software\Classes\Installer\UpgradeCodes\
HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\
HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\

KEY_LEGACY
HKLM\SYSTEM\ControlSet001\Enum\Root\
HKLM\SYSTEM\CurrentControlSet\Enum\Root\ (v1.27.192)

KEY_MENUEXT:
HKCU\Software\Microsoft\Internet Explorer\menuext\ (v1.27.218)

KEY_MICROSOFT: (v1.27.218)
HKCU\Software\Microsoft\
HKLM\Software\Microsoft\

KEY_MODULEUSAGE: (v1.27.2403)
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ModuleUsage\

KEY_PROGRAMS:
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MenuOrder\Start Menu\Programs\
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MenuOrder\Start Menu2\Programs\

KEY_SERVICES:
HKLM\CurrentControlSet\Services\
HKLM\SYSTEM\CurrentControlSet\Services\Eventlog\Application\

KEY_SOFTWARE:
HKCU\Software\
HKCU\Software\AppDataLow\ (v1.27.192)
HKCU\Software\AppDataLow\Software\ (v1.27.192)
HKCU\Software\Wow6432Node\ (v1.27.192)
HKLM\Software\
HKLM\Software\Wow6432Node\(v1.27.192)
HKLM\Software\Microsoft\Shared Tools\MSConfig\startupreg\ (v1.27.193)
HKCU\Software\Microsoft\Shared Tools\MSConfig\startupreg\(v1.27.193)
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MenuOrder\Start Menu\Programs\ (v1.27.193)
HKCU\software\microsoft\windows\currentversion\explorer\menuorder\start menu\&programs\ (v1.27.193)
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MenuOrder\Start Menu2\Programs\ (v1.27.193)

KEY_TASK:
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\ (v1.27.230)

KEY_UNINSTALL:
HKCU\Software\Microsoft\Windows\CurrentVersion\Uninstall\
HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\

VAL_ALLOW:
HKCU\Software\Microsoft\Internet Explorer\New Windows\Allow| (v1.27.196)

VAL_CLSID:
HKCU\Software\Microsoft\Internet Explorer\toolbar\shellbrowser|
HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser|
HKCU\Software\Microsoft\Internet Explorer\toolbar|
HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks|
HKCU\Software\Microsoft\Internet Explorer\extensions\cmdmapping|
HKLM\Software\Microsoft\Internet Explorer\toolbar|
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler|

VAL_EXTENSIONS
HKLM\Software\Mozilla\Firefox\Extensions|

VAL_POST_PLATFORM:
HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings\5.0\User Agent\Post Platform|(v1.27.193)

VAL_RUN
HKCU\Software\Microsoft\Windows\CurrentVersion\Run|
HKLM\Software\Microsoft\Windows\CurrentVersion\Run|
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run|
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run|

VAL_SHAREDLL
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs|

FOLDER:
C:\Users\<User>\AppData\Local\
C:\Users\<User>\AppData\Local\Temp\
C:\Users\<User>\AppData\LocalLow\
C:\Users\<User>\AppData\Roaming\
C:\Program Files\
C:\Program Files\Common Files\
C:\Program Files (x86)\
C:\Program Files (x86)\Common Files\
C:\ProgramData\
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\
C:\Documents And Settings\Coolman\Local Settings\Application Data\
%System32%\Config\systemprofile\Start Menu\Programs\
%APPDATA%\Local\Google\Chrome\User Data\Default\Extensions\ (v1.28.2242)

FILE:
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ (v1.27.193)

FILE_FIREFOX:
%AppData%\Mozilla\FireFox\Profiles\<profile>\searchplugins\ (v1.27.193)
%ProgramFiles%\Mozilla Firefox\searchplugins\ (v1.27.193)

FILE_SPEC:
Chemin complet avec variable d'environnement (v1.27.229)

Aperçu ZHPScan

Rapport de ZHPScan v1.27 par Nicolas Coolman, Update du 21/04/2011
Run by Coolman at 22/04/2011 17:27:54
Web site : http://www.premiumorange.com/zeb-help-process/zhpdiag.html

---\\ Clés et valeurs de Registre trouvées (Registry Keys & values found)
[HKLM\Software\Google\Chrome\Extensions\bjeikeheijdjdfjbmknpefojickbkmom] =>PUP.OfferBox
[HKLM\Software\Messenger Plus!\OpenCandy] =>Adware.OpenCandy
[HKLM\Software\Orbit\OpenCandy] =>Adware.OpenCandy
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{01398B87-61AF-4FFB-9AB5-1A1C5FB39A9C}] =>PUP.Dealio
[HKCR\Interface\{06DE5702-44CF-4B79-B4EF-3DDF653358F5}] =>Adware.Bandoo
[HKLM\Software\Classes\Interface\{06DE5702-44CF-4B79-B4EF-3DDF653358F5}] =>Adware.Bandoo
[HKLM\Software\Microsoft\Internet Explorer\SearchScopes\{8a96af9e-4074-43b7-bea3-87217bda74c8}] =>Adware.Bandoo
[HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}] =>Toolbar.Conduit
[HKLM\Software\Microsoft\Internet Explorer\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}] =>Toolbar.Conduit
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}] =>PUP.Dealio

---\\ Clés de Registre génériques trouvées (Generic Registry Keys found) (v1.28.2671)
[HKLM\Software\\Apple Computer, Inc.\OpenCandy] =>Adware.OpenCandy
[HKLM\Software\Classes\Toolbar.CT2452476] =>Toolbar.Agent
[HKLM\Software\Classes\Toolbar.CT2661018] =>Toolbar.Agent

---\\ Dossiers trouvés (Directories found)
C:\Program Files\OpenCandy =>Adware.OpenCandy
C:\Users\Coolman\Appdata\Local\OpenCandy =>Adware.OpenCandy
C:\Documents and Settings\Coolman\Local Settings\Application Data\OpenCandy =>Adware.OpenCandy

---\\ Bilan de la recherche (Scan Result)
Database Version : 6168 - (21/04/2011)
Number of Keys Founds (Clés trouvées) : 10
Number of Directories Founds (Dossiers trouvés) : 3

End of the scan in 00mn 02s

Action ZHPFix

- L'outil supprime la valeur de clé ou la clé de registre.
- L'outil supprime le dossier ou le fichier.

Rapport ZHPFix (Suppression de dossier)

Ligne saisie :
C:\Program Files\Trymedia => Adware.Trymedia

Rapport de ZHPFix v1.12.3118 par Nicolas Coolman, Update du 07/07/2010

========== Dossier ==========
C:\Program Files\Trymedia => Supprimé et mis en quarantaine

========== Récapitulatif ==========
1 : Dossier

Rapport ZHPFix (Suppression de clé de registre)

Lignes saisies (2) :
[HKCU\Software\PopCap] => Adware.PopCap
[HKLM\Software\PopCap] => Adware.PopCap

Rapport de ZHPFix v1.12.3118 par Nicolas Coolman, Update du 07/07/2010

========== Clé du Registre ==========
HKCU\Software\PopCap => Clé supprimée avec succès
HKLM\Software\PopCap => Clé supprimée avec succès

========== Récapitulatif ==========
2 : Clé du Registre

Liens

(C) Copyrights 2011 - Nicolas Coolman - All rights reserved


ZHPdiag_Rogue_AntimalwareDoctor

ZHPDiag - Rogue.AntimalwareDoctor

Origine

- Fiche crée le 08 aôut 2010.

Caractéristiques

- Il appartient à une famille de rogues, c'est à dire de faux logiciels anti-malwares.

Actions principales

- Il s'installe en tant que processus mémoire,
- Il s'installe en tant que programme,
- Il modifie les options internet en attribuant une adresse spécifique à "ProxyServer" avec l'ouverture du port "6522" ou "6092" de l'IP locale de bouclage
- Il s'installe dans la Base de Registres afin d'être lancé à chaque démarrage du système,
- Il installe des raccourcis de fichiers dans les dossiers de l'utilisateur,
- Il démarre une tâche planifiée en automatique (O39),
- Il place un raccourci Quick Launch sous Microsoft Internet Explorer (O4 GS),

Aperçu ZHPDiag

---\\ Processus lancés
[MD5.D5F0C1F74EFA44E0F4237A569E22D587] - (.MS - Pas de description.) -- C:\Users\Céline\AppData\Roaming\102487063028963872707EBDC2E6F570\0015modulesetup.exe [1051136]
[MD5.1527D35620AD008783A5935552AD92F8] - (.MS - Pas de description.) -- C:\Documents and Settings\Owner\Application Data\302300BFA110C1BE32E5F52279FE3F19\newsecureapp70700.exe [1057280]

---\\ Pages de recherche d'Internet Explorer (R1)
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:6522
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:6092

---\\ Applications démarrées par registre & par dossier (O4)
O4 - HKCU\..\Run: [0015modulesetup.exe] . (.MS - Pas de description.) -- C:\Users\Céline\AppData\Roaming\102487063028963872707EBDC2E6F570\0015modulesetup.exe
O4 - HKUS\S-1-5-21-2158713649-3914711306-3565348853-1002\..\Run: [0015modulesetup.exe] . (.MS - Pas de description.) -- C:\Users\Céline\AppData\Roaming\102487063028963872707EBDC2E6F570\0015modulesetup.exe
O4 - HKCU\..\Run: [newsecureapp70700.exe] . (.MS - Pas de description.) -- C:\Users\Céline\AppData\Roaming\D061BC5E4F250A82B257CDEB407EF687\newsecureapp70700.exe
O4 - HKCU\..\Run: [mediafix70700en02.exe] . (.MS - Pas de description.) -- C:\Users\syphilis\AppData\Roaming\8D85352691F83B9C9C869F1E4051DBC3\mediafix70700en02.exe
O4 - HKUS\S-1-5-21-3582907488-3732082540-215861076-1000\..\Run: [newsecureapp70700.exe] . (.MS - Pas de description.) -- C:\Users\Céline\AppData\Roaming\D061BC5E4F250A82B257CDEB407EF687\newsecureapp70700.exe
O4 - HKCU\..\Run: [newsecureapp70700.exe] . (.MS - Pas de description.) -- C:\Documents and Settings\Owner\Application Data\302300BFA110C1BE32E5F52279FE3F19\newsecureapp70700.exe
O4 - HKUS\S-1-5-21-3898742151-3397307314-1374154227-1007\..\Run: [newsecureapp70700.exe] . (.MS - Pas de description.) -- C:\Documents and Settings\Owner\Application Data\302300BFA110C1BE32E5F52279FE3F19\newsecureapp70701.exe
O4 - HKCU\..\Run: [boqajhqe] . (.Pas de propriétaire - Pas de description.) -- C:\Users\Céline\AppData\Local\hghycetct\vdimlinshdw.exe
O4 - HKCU\..\Run: [vdrsssdj] . (.Pas de propriétaire - Pas de description.) -- C:\Users\Céline\AppData\Local\etcycvgth\vlwftlqshdw.exe
O4 - HKCU\..\Run: [vwfslpck] . (.Pas de propriétaire - Pas de description.) -- C:\Users\Céline\AppData\Local\pnsydngwi\pwniyulshdw.exe
O4 - HKUS\S-1-5-21-1692903521-4205118310-1231453352-1001\..\Run: [boqajhqe] . (...) -- C:\Users\...\AppData\Local\hghycetct\vdimlinshdw.exe
O4 - HKUS\S-1-5-21-1692903521-4205118310-1231453352-1001\..\Run: [vdrsssdj] . (...) -- C:\Users\...\AppData\Local\etcycvgth\vlwftlqshdw.exe
O4 - HKUS\S-1-5-21-3582907488-3732082540-215861076-1000\..\Run: [vwfslpck] . (...) -- C:\Users\...\AppData\Local\pnsydngwi\pwniyulshdw.exe
O4 - HKCU\..\Run: [appcore70700integrated.exe] . (...) -- C:\Users\...\AppData\Roaming\966B159E628A2C40ED53893F39DF0DEF\appcore70700integrated.exe
O4 - HKCU\..\Run: [v700bin00mod.exe] . (...) -- C:\Users\...\AppData\Roaming\6998B942FC0CB5C1A8B3B1057D806DE7\v700bin00mod.exe

---\\ Autres liens utilisateurs (O4)
O4 - Global Startup: C:\Users\Lucas\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Antimalware Doctor.lnk . (.Pas de propriétaire.) -- C:\Users\Lucas\AppData\Roaming\5B25A68FE82703E54CBEFDAEF842FF2F\reform70700isoload.exe

---\\ Tâches planifiées en automatique (O39)
[MD5.00000000000000000000000000000000] [APT] [{632F82CE-E2C4-4E72-86C5-744ECB3E81A7}] (.Pas de propriétaire.) -- C:\Users\Lucas\AppData\Roaming\5B25A68FE82703E54CBEFDAEF842FF2F\reform70700isoload.exe

---\\ Logiciels installés (O42)
O42 - Logiciel: Antimalware Doctor - (.Pas de propriétaire.) [HKCU] -- Antimalware Doctor

---\\ HKCU & HKLM Software Keys
[HKCU\Software\Antimalware Doctor Inc]

---\\ Contenu des dossiers ProgramFiles/ProgramData/AppData (O43)
O43 - CFD: 23/10/2010 - 08:22:14 ----D- C:\Users\Lucas\AppData\Roaming\5B25A68FE82703E54CBEFDAEF842FF2F

---\\ Derniers fichiers modifiés ou crées (Utilisateur) (O61)
C:\Users\Céline\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Antimalware Doctor.lnk
C:\Users\Céline\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Antimalware Doctor.lnk
C:\Users\Céline\Desktop\Antimalware Doctor.lnk
C:\Users\Céline\AppData\Roaming\Microsoft\Windows\Start Menu\Antimalware Doctor.lnk

---\\ Recherche d'infection Rogue (SRI) (O86)
C:\Users\Lucas\AppData\Roaming\5B25A68FE82703E54CBEFDAEF842FF2F
[MD5.D328EAB52689FD91C86BF20C297FEA27] [SRI] (.Pas de propriétaire - Pas de description.) -- C:\Users\Lucas\AppData\Roaming\5B25A68FE82703E54CBEFDAEF842FF2F\ultradimiso70700xr.exe [557056]

Liens

* Rogue.AntimalwareDoctor [MBAM]
* How to Remove Antimalware Doctor

(C) Copyrights 2010 - Nicolas Coolman - All rights reserved


ZHPdiag_Adware.AdRotator

ZHPDiag - Rogue.SecurityTool

Origine

Fiche crée le 26 septembre 2010.

Caractéristiques

Il appartient à une famille de rogues, c'est à dire de faux logiciels anti-malwares.

Actions principales

- Il s'installe dans une clé "RunOnce" aléatoire pour être lancé à chaque démarrage d'une cession utilisateur,
- Il s'installe dans une clé "Run" pour être lancé à chaque démarrage d'une cession utilisateur,
- Il s'installe en tant que programme.

Aperçu ZHPDiag

---\\ Processus lancés
[MD5.6DF894040AE83460F46A190E64E30B47] - (.Pas de propriétaire - Pas de description.) -- C:\Users\Nadjim\AppData\Local\366165.exe [941056]

---\\ Applications démarrées par registre & par dossier(O4)
O4 - HKCU\..\RunOnce: [982374] . (.Pas de propriétaire - Pas de description.) -- C:\Users\Julien\AppData\Local\982374.exe
O4 - HKUS\S-1-5-21-287379363-1416521045-975003019-1000\..\RunOnce: [982374] . (.Pas de propriétaire - Pas de description.) -- C:\Users\Julien\AppData\Local\982374.exe

O4 - HKCU\..\RunOnce: [295866825] . (.Pas de propri?taire - Pas de description.) -- C:\Users\Marine\AppData\Local\295866825.exe
O4 - HKUS\S-1-5-21-2617828284-3794730503-2547943610-1000\..\RunOnce: [295866825] . (.Pas de propri?taire - Pas de description.) -- C:\Users\Marine\AppData\Local\295866825.exe

O4 - HKCU\..\RunOnce: [5335248] . (.Pas de propriétaire - Pas de description.) -- C:\DOCUME~1\Barthe\LOCALS~1\APPLIC~1\5335248.exe
O4 - HKUS\S-1-5-21-1801674531-1220945662-682003330-1004\..\RunOnce: [5335248] . (.Pas de propriétaire - Pas de description.) -- C:\DOCUME~1\Barthe\LOCALS~1\APPLIC~1\5335248.exe

O4 - HKLM\..\Run: [PromoReg] . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\Temp\_ex-08.exe
O4 - HKLM\..\Run: [restorer64_a] . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\restorer64_a.exe
O4 - HKCU\..\Run: [restorer64_a] . (.Pas de propriétaire - Pas de description.) -- C:\Documents and Settings\Barthe\restorer64_a.exe
O4 - HKLM\..\Run: [restorer64_a] . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\restorer32_a.exe

---\\ Autres liens utilisateurs (O4)
O4 - Global Startup: C:\Users\Titaboo\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Security Tool.lnk . (.Pas de propriétaire.) -- C:\Users\Titaboo\AppData\Local\07208.exe
O4 - Global Startup: C:\Users\christophe\Desktop\Security Tool.LNK . (.Pas de propriétaire.) -- C:\Users\Titaboo\AppData\Local\07208.exe

Liens

Rogue.SecurityTool [MBAM]
Supprimer Security Tool (Malekal)