Problème infection, svchost... log spybot ici
PuceDesbois
-
PuceDesbois -
PuceDesbois -
Bonjour à tous !
J'ai bizarrement des problèmes de sécurité, que je vais vous décrire. Je dis bizarrement car je dispose de PC-Cillin 2002 que je mets très régulièrement à jour, ainsi que de ZoneAlarm Pro, qui est, je pense, bien configuré. Je fais aussi régulièrement les mises à jour de windows, je suis d'ailleurs passée au SP2, et j'ai pris les mises à jour.
Je reçois tous les jours au moins 5 mails que mon PC-Cillin me dit être infectés. Je les supprime définitivement, bien sûr, mais est-ce normal d'en recevoir autant tous les jours ? (virus mis en cause : netsky.C, bagle, ...). Je me sers de outlook express, lui aussi mis souvent à jour.
Par souci de bien faire, j'ai passé mon ordi avec Spybot, et voici le log :
Cydoor: User settings (Registry key, nothing done)
HKEY_USERS\S-1-5-21-1123561945-1606980848-725345543-1004\Software\Cydoor
Cydoor: Global settings (Registry key, nothing done)
HKEY_LOCAL_MACHINE\Software\Cydoor
DSO Exploit: Data source object exploit (Registry change, nothing done)
HKEY_USERS\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3
DSO Exploit: Data source object exploit (Registry change, nothing done)
HKEY_USERS\S-1-5-21-1123561945-1606980848-725345543-1004\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3
DSO Exploit: Data source object exploit (Registry change, nothing done)
HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3
DSO Exploit: Data source object exploit (Registry change, nothing done)
HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3
DSO Exploit: Data source object exploit (Registry change, nothing done)
HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3
SYSWEB TELECOM: System file (File, nothing done)
C:\WINDOWS\Downloaded Program Files\SysWebTelecomInt.dll
SYSWEB TELECOM: Class ID (Registry key, nothing done)
HKEY_CLASSES_ROOT\CLSID\{EFB22865-F3BC-4309-ADFA-C8E078A7F762}
SYSWEB TELECOM: Code storage database (Registry key, nothing done)
HKEY_LOCAL_MACHINE\Software\Microsoft\Code Store Database\Distribution Units\{EFB22865-F3BC-4309-ADFA-C8E078A7F762}
SYSWEB TELECOM: Interface (Registry key, nothing done)
HKEY_CLASSES_ROOT\Interface\{66B0C472-A6B5-4E86-8330-F4875AF90929}
SYSWEB TELECOM: Interface (Registry key, nothing done)
HKEY_CLASSES_ROOT\Interface\{639581D0-8376-4073-B73B-45993FA45156}
SYSWEB TELECOM: Module usage (Registry key, nothing done)
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ModuleUsage\C:/WINDOWS/Downloaded Program Files/SysWebTelecomInt.dll
SYSWEB TELECOM: Root class (Registry key, nothing done)
HKEY_CLASSES_ROOT\SysWebTelecom.SysWebTelecom
SYSWEB TELECOM: Shared DLL (1 apps) (Registry value, nothing done)
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\SharedDlls\C:\WINDOWS\Downloaded Program Files\SysWebTelecomInt.dll
SYSWEB TELECOM: Type library (Registry key, nothing done)
HKEY_CLASSES_ROOT\TypeLib\{21DE6877-97C0-4FC7-9C16-666B996DB4A2}
--- Spybot - Search && Destroy version: 1.3 ---
2004-08-11 Includes\Cookies.sbi
2004-09-16 Includes\Dialer.sbi
2004-09-16 Includes\Hijackers.sbi
2004-09-16 Includes\Keyloggers.sbi
2004-05-12 Includes\LSP.sbi
2004-09-16 Includes\Malware.sbi
2004-08-12 Includes\Revision.sbi
2004-09-16 Includes\Security.sbi
2004-09-16 Includes\Spybots.sbi
2004-08-30 Includes\Tracks.uti
2004-09-16 Includes\Trojans.sbi
Comment cela se fait d'avoir autant de fichiers infectés, alors que j'ai un pare feu et un bon antivirus ?
Je ne sais pas comment faire pour les enlever, dois-je supprimer les clefs en question ? Et comment ?
J'ai aussi une autre question : Puis-je supprimer sans risque le contenu du fichier C/temp , celui de "cookies" ? Il y a - t -il d'autres fichiers à supprimer pour être tranquille ?
Et encore une dernière question, et pas des moindres : Lorsque je regarde mon processus, je m'aperçois qu'il y a au moins 6 svchost qui tournent, tous avec une utilisation mémoire différente. Est-ce normal ? De plus, je trouve qu'il y a beaucoup de programmes qui tournent, certains qui n'ont pas de nom (!), et d'autres qui ne me disent rien ou ne m'inspirent guère confiance...
Je vous remercie d'avoir pris le temps de lire mon long message (je ferai plus court, promis), et je vous remercie aussi d'avance de me donner de l'aide.
J'ai bizarrement des problèmes de sécurité, que je vais vous décrire. Je dis bizarrement car je dispose de PC-Cillin 2002 que je mets très régulièrement à jour, ainsi que de ZoneAlarm Pro, qui est, je pense, bien configuré. Je fais aussi régulièrement les mises à jour de windows, je suis d'ailleurs passée au SP2, et j'ai pris les mises à jour.
Je reçois tous les jours au moins 5 mails que mon PC-Cillin me dit être infectés. Je les supprime définitivement, bien sûr, mais est-ce normal d'en recevoir autant tous les jours ? (virus mis en cause : netsky.C, bagle, ...). Je me sers de outlook express, lui aussi mis souvent à jour.
Par souci de bien faire, j'ai passé mon ordi avec Spybot, et voici le log :
Cydoor: User settings (Registry key, nothing done)
HKEY_USERS\S-1-5-21-1123561945-1606980848-725345543-1004\Software\Cydoor
Cydoor: Global settings (Registry key, nothing done)
HKEY_LOCAL_MACHINE\Software\Cydoor
DSO Exploit: Data source object exploit (Registry change, nothing done)
HKEY_USERS\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3
DSO Exploit: Data source object exploit (Registry change, nothing done)
HKEY_USERS\S-1-5-21-1123561945-1606980848-725345543-1004\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3
DSO Exploit: Data source object exploit (Registry change, nothing done)
HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3
DSO Exploit: Data source object exploit (Registry change, nothing done)
HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3
DSO Exploit: Data source object exploit (Registry change, nothing done)
HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3
SYSWEB TELECOM: System file (File, nothing done)
C:\WINDOWS\Downloaded Program Files\SysWebTelecomInt.dll
SYSWEB TELECOM: Class ID (Registry key, nothing done)
HKEY_CLASSES_ROOT\CLSID\{EFB22865-F3BC-4309-ADFA-C8E078A7F762}
SYSWEB TELECOM: Code storage database (Registry key, nothing done)
HKEY_LOCAL_MACHINE\Software\Microsoft\Code Store Database\Distribution Units\{EFB22865-F3BC-4309-ADFA-C8E078A7F762}
SYSWEB TELECOM: Interface (Registry key, nothing done)
HKEY_CLASSES_ROOT\Interface\{66B0C472-A6B5-4E86-8330-F4875AF90929}
SYSWEB TELECOM: Interface (Registry key, nothing done)
HKEY_CLASSES_ROOT\Interface\{639581D0-8376-4073-B73B-45993FA45156}
SYSWEB TELECOM: Module usage (Registry key, nothing done)
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ModuleUsage\C:/WINDOWS/Downloaded Program Files/SysWebTelecomInt.dll
SYSWEB TELECOM: Root class (Registry key, nothing done)
HKEY_CLASSES_ROOT\SysWebTelecom.SysWebTelecom
SYSWEB TELECOM: Shared DLL (1 apps) (Registry value, nothing done)
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\SharedDlls\C:\WINDOWS\Downloaded Program Files\SysWebTelecomInt.dll
SYSWEB TELECOM: Type library (Registry key, nothing done)
HKEY_CLASSES_ROOT\TypeLib\{21DE6877-97C0-4FC7-9C16-666B996DB4A2}
--- Spybot - Search && Destroy version: 1.3 ---
2004-08-11 Includes\Cookies.sbi
2004-09-16 Includes\Dialer.sbi
2004-09-16 Includes\Hijackers.sbi
2004-09-16 Includes\Keyloggers.sbi
2004-05-12 Includes\LSP.sbi
2004-09-16 Includes\Malware.sbi
2004-08-12 Includes\Revision.sbi
2004-09-16 Includes\Security.sbi
2004-09-16 Includes\Spybots.sbi
2004-08-30 Includes\Tracks.uti
2004-09-16 Includes\Trojans.sbi
Comment cela se fait d'avoir autant de fichiers infectés, alors que j'ai un pare feu et un bon antivirus ?
Je ne sais pas comment faire pour les enlever, dois-je supprimer les clefs en question ? Et comment ?
J'ai aussi une autre question : Puis-je supprimer sans risque le contenu du fichier C/temp , celui de "cookies" ? Il y a - t -il d'autres fichiers à supprimer pour être tranquille ?
Et encore une dernière question, et pas des moindres : Lorsque je regarde mon processus, je m'aperçois qu'il y a au moins 6 svchost qui tournent, tous avec une utilisation mémoire différente. Est-ce normal ? De plus, je trouve qu'il y a beaucoup de programmes qui tournent, certains qui n'ont pas de nom (!), et d'autres qui ne me disent rien ou ne m'inspirent guère confiance...
Je vous remercie d'avoir pris le temps de lire mon long message (je ferai plus court, promis), et je vous remercie aussi d'avance de me donner de l'aide.
8 réponses
-
Salut
tu peux effacer toutes clef de Spybot car il a un backup en cas de probème, elles de DSO n'effaces pas il s'agit d'un pbm du logiciel;
virus par mail oui c'est normal, on peut rien faire si cen'est ls mettre direct à la poubelle et vider la poubelle;
tous ces pbm et virus malgré ta config, oui normal;
SVCHOST (attention autre orthographe = virus) tu en as 6 oui sans doute normal, j'en ai 4;
si tu as un doute sur les process, charges HijackThis t copie/colle le rapport ici
HijackThis direct download: http://209.133.47.12/~merijn/files/HijackThis.exe
Oui tous fichiers dans TEMP et TEMPORARY INTERNET peuvent être effacés sans crainte
cherche après logiiel MRU-blaster pour nettoyage automatique de l'ordi
A+ -
Merci de votre réponse.
Comment je fais pour supprimer les clefs que m'a donné Spybot ?
Voici le rapport d'hijackthis :
Logfile of HijackThis v1.98.2
Scan saved at 15:31:43, on 26/09/2004
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Norton SystemWorks\Norton Utilities\NPROTECT.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\PROGRA~1\NORTON~1\SPEEDD~1\nopdb.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Trend Micro\PC-cillin 2002\Tmntsrv.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Program Files\Analog Devices\SoundMAX\SMax4PNP.exe
C:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exe
C:\Program Files\Messenger Plus! 3\MsgPlus.exe
C:\Program Files\Trend Micro\PC-cillin 2002\pccguide.exe
C:\Program Files\Trend Micro\PC-cillin 2002\PCCClient.exe
C:\Program Files\Trend Micro\PC-cillin 2002\Pop3trap.exe
C:\Program Files\Musicmatch\Musicmatch Jukebox\mmtask.exe
C:\Program Files\Wallpaper\Wallpaper.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\system32\rundll32.exe
C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\Puce Desbois\Mes documents\Mes Logiciels\HijackThis.exe
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.free.fr/search/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://mysearchnow.com/searchbar.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: Barre d'outils MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Toolbar\01.01.1629.0\fr\msntb.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Program Files\Analog Devices\SoundMAX\SMax4PNP.exe
O4 - HKLM\..\Run: [SoundMAX] "C:\Program Files\Analog Devices\SoundMAX\Smax4.exe" /tray
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Zone Labs Client] C:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exe
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\Messenger Plus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [pccguide.exe] "C:\Program Files\Trend Micro\PC-cillin 2002\pccguide.exe"
O4 - HKLM\..\Run: [PCCClient.exe] "C:\Program Files\Trend Micro\PC-cillin 2002\PCCClient.exe"
O4 - HKLM\..\Run: [Pop3trap.exe] "C:\Program Files\Trend Micro\PC-cillin 2002\Pop3trap.exe"
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033 -noicon
O4 - HKLM\..\Run: [CloneCDTray] "C:\Program Files\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [mmtask] C:\Program Files\Musicmatch\Musicmatch Jukebox\mmtask.exe
O4 - HKCU\..\Run: [sr64] C:\Documents and Settings\Puce Desbois\Application Data\Microsoft\sr64\caciddao.exe
O4 - HKCU\..\Run: [Wallpaper] "C:\Program Files\Wallpaper\Wallpaper.exe" Starter
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit
O4 - HKCU\..\Run: [MessengerPlus3] "C:\Program Files\Messenger Plus! 3\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O9 - Extra button: Organise-notes - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Program Files\Fichiers communs\Microsoft Shared\Encarta Researcher\EROPROJ.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://home.free.fr/
O16 - DPF: {11111111-1111-1111-1111-111111111157} - ms-its:mhtml:file://c:\nosuch.mht!http://hard-virgins.com/sher/x.chm::/load.exe
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab
O16 - DPF: {39B0684F-D7BF-4743-B050-FDC3F48F7E3B} (FilePlanet Download Control Class) - www.fileplanet.com/fpdlmgr/cabs/FPDC_1_0_0_41.cab' target='_blank'>http://dev-www.fileplanet.com/fpdlmgr/cabs/FPDC_1_0_0_41.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab
O16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cab
O16 - DPF: {EB387D2F-E27B-4D36-979E-847D1036C65D} (QDiagHUpdateObj Class) - http://h30043.www3.hp.com/hpdj/en/check/qdiagh.cab?316
O16 - DPF: {EFB22865-F3BC-4309-ADFA-C8E078A7F762} (SysWebTelecomInt Class) - http://www.sponsoradulto.com/fr/SysWebTelecom.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{3E1847A5-F9D2-4299-A088-DE8DBCD94A48}: NameServer = 212.27.32.5 213.228.0.168
Merci ! -
-
Salut
voilà déjà le tuto
http://www.safer-networking.org/en/tutorial/index.html
l'analyse du rapport prend un peu de temp
A+ -
Vous n’avez pas trouvé la réponse que vous recherchez ?
Posez votre question -
Ok merci, je vai essayer de traduire, déjà...
Je vai voir ce que ça donne, mai j'ai déjà passé spybot.
Merci de l'aide -
RE
pour Hijackhis, je te conseille de désinstaller MessengerPlus et d'installer Messenger 6.2
est-ce toi qui as installé ceci: C:\Program Files\Wallpaper\Wallpaper.exe
suspect, vérifie;
A+ -
oi, j'ai installé walllpaper.exe, c'est pour changer de papier peint tous les X temps !
Comment je fais pour supprimer les clefs donnée par spybot ? -
Re-bonjour !
Je ne sais toujours pas comment désinstaller les mauvaises clefs. Peut-on m'aider ?
Merci !
