Virus ? Fermé

Question

Bonjour à tous et à toutes,

J'ai installé une mise à jour de mon logiciel proxy la semaine dernière ( Jana Server 2.1 pour ceux qui connaisse ). Le problème est que depuis 2 jours, il se connecte régulièrement ( à vrai dire tout le temps ) sur des adresses IP sur le Web.

Quand je regarde mon log il m'indique que c'est le PC où j'ai installé le proxy qui demande la connection.

J'ai résolu quelques noms d'IP :

161-114-189-66.wo.cpe.charter-ne.com
12-220-54-29.client.insightBB.com
ma-sandwich4a-36.ply.adelphia.net

Je ne sais absolument pas à quoi ca correspond ce genre d'adresse.

J'ai sniffé tout les ports et rien à signaler de ce côté.

PS : J'ai reçu un mail suspect il y a 2 jours en anglais dont l'objet était : re : Password et qui disait en gros que mon password était accepté. Il y avait une pièce jointe ( Decrypt_Password.exe ). Malheureusement ce n'est pas moi qui l'ai vu en premier et l'utilisateur l'a ouvert ( Ôooo Joie !! ).
Résultat, un résident ( Password s'est lancé et le fichier s'est placé dans le temp de windows ) ,j'ai tout viré et prié pour ca n'est rien fait.

C'est peut être la cause de mon problème mais peut être pas.

Merci d'avance

@+

ofournier.cbd · Answer

J'ai filtré ce matin dans mes mails un truc qui donnait un mot de passe (!) avec une pièce jointe qui était "decrypt-passwo.exe". Cet exe met un autre exe appelé "taskbar.exe" dans C:\WINDOWS\ avec un "taskbar.lgc" dans C:\WINDOWS\APPLOG.

Ce taskbar essaie de se connecter sans arrêt ... On cherche ce que ça fait et d'où ça vient ... Les antivirus ne voient rien !

Cela ne semble pas un virus ni un espion ... Mais ??

Désactiver les exe en les renommant en eex et le lgc en clg. Suprimer tous les autres liens.

A suivre ...

----
| ( ) | OFou

david_r · Answer

Merci Ofournier :), c'était exactement ca.

Je suis passé à côté sans même le voir. Je le voyait en résident mais sur le coup ca m'a pas choqué.

Ouff plus de connections à répétitions.

Merci encore, je vais essayer d'en savoir un peu plus sur ce mystérieux "Taskbar"

gsx · Answer

C'est pas ça des fois ? http://www.secuser.com/alertes/2002/frethemk.htm (abonné à la news letter...) A+ >gsX< -> Je dis : longue est la route ! C'est sûr !<

piergeb · Answer

Pour ce débarrasser de cette M... !
http://www.secuser.com/telechargement/AntiFrethem.exe OU
http://www.bitdefender.com/download/download.php?file=AntiFrethem.exe

:0E)
PIERGEB (Ancien Mémèmbres)

ofournier.cbd · Answer

Une suite rigolote :
j'essaie de renvoyer à l'expéditeur son mail et ses pièces jointes (désactivées, je suis pas chien !) ... et il refuse !

Si, si il refuse de récupérer ce qu'il a envoyé (ou un tocard qui l'a envoyé sous ce couvert).

Encore plus drôle : c'est un site officiel très connu !

Patience, je vais leur faire manger d'une manière ou d'une autre ...

----
| ( ) | OFou

gsx · Answer

Ah oué ? ben elle est forte, celle là !Si t'arrives à leur refourguer, ça s'ra pas dommage, tiens !A+      -:  gsX :- -> Je dis : longue est la route ! C'est sûr !

ipl · Answer

Salut tout le monde,

"L'expéditeur" apparent de "Re: your pasword!" n'est bien sûr, pas le vrai expéditeur du mail !!!

Cà n esert à rien de s'en prendre à lui ! les virus modernes sont comme çà !

@12C4
Ipl

ofournier.cbd · Answer

Ipl, je t'explique : l'envoyeur du truc (qui n'est pas un virus mais une connection forcée qui se voudrait marrante : raté !) a utilisé une adresse mail du site officiel dont j'ai parlé plus haut, MAIS en "oubliant" une lettre dans son adresse.

Que j'ai rajoutée bien sûr pour le retour ... Gros malaise en face !

A suivre ...

----
| ( ) | OFou

ofournier.cbd · Answer

Du nouveau suite, à ce thread : en bidouillant dans les antivirus y en a un qui m'a signalé que ce fameux "TASKBAR.EXE" contenait le code du virus "Worm/Frethem.010" !!!

Alors là, çui là c'est la 1ère fois que je vois le suffixe " .010" !

En tous cas ne jamais ouvrir les pièces jointes à des mails promettant des "mots de passe", dont le classique "decrypt.paswo.exe". Bien que le ver ne semble pas toucher à l'intégrité des fichiers ...

----
| ( ) | OFou

Emmanuel · Answer

Voir plutôt le nouvel utilitaire de désinfection gratuit pour éliminer toutes les versions connues de Fretem : http://www.secuser.com/telechargement/index.htm#Frethem

ofournier.cbd · Answer

Pas vu chez eux !Je leur ai fait un mail. Prends le temps de lire les messages au dessus, cet excellent site est cité plusieurs fois déjà !   ----     | (  ) |  OFou

Virus ?

11 réponses

Discussions similaires

Newsletters