Analyse log hijackthis sur 2003 server Fermé

Question

Bonjour,

J'ai des doutes sur la sécurité de mon serveur. C'est un DELL poweredge, il tourne sur Windows 2003 server sp2.

Voilà mon log hijakthis, merci d'avance pour votre aide.


Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 09:59:08, on 04/06/2009
Platform: Windows 2003 SP2 (WinNT 5.02.3790)
MSIE: Internet Explorer v7.00 (7.00.6000.16827)
Boot mode: Normal

Running processes:
C:\Documents and Settings\Administrateur.SERVEUR2\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\aswServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\crypserv.exe
C:\WINDOWS\system32\Dfssvc.exe
C:\WINDOWS\System32\dns.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\inetsrv\inetinfo.exe
C:\WINDOWS\System32\ismserv.exe
C:\Program Files\Microsoft SQL Server\MSSQL\Binn\sqlservr.exe
C:\WINDOWS\system32
tfrs.exe
C:\Program Files\Dell\RAID Storage Manager\StorServ.exe
C:\WINDOWS\system32\lserver.exe
C:\WINDOWS\System32\wins.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswMaiSv.exe
C:\Program Files\Alwil Software\Avast4\aswWebSv.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32dpclip.exe
C:\WINDOWS\Explorer.EXE
c:\Program Files\Intel\PROSetWired\NCS\PROSet\PRONoMgr.exe
C:\PROGRA~1\ALWILS~1\Avast4\aswDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
C:\Program Files\2BrightSparks\SyncBack\SyncBack.exe
C:\Program Files\Alwil Software\Avast4\aswEnhcd.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Administrateur.SERVEUR2\Mes documents\ProcessExplorer\procexp.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = res://shdoclc.dll/hardAdmin.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\system32\blank.htm
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = https://www.orange.fr/portail
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,
O4 - HKLM\..\Run: [PRONoMgrWired] c:\Program Files\Intel\PROSetWired\NCS\PROSet\PRONoMgr.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\aswDisp.exe
O4 - HKLM\..\Run: [MSConfig] "C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe" /auto
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\RunOnce: [tscuninstall] %systemroot%\system32	scupgrd.exe (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-20\..\RunOnce: [tscuninstall] %systemroot%\system32	scupgrd.exe (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-21-2352943005-1466514916-3033745841-1155\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe (User 'poste02')
O4 - HKUS\S-1-5-21-2352943005-1466514916-3033745841-1155\..\RunOnce: [tscuninstall] %systemroot%\system32	scupgrd.exe (User 'poste02')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [tscuninstall] %systemroot%\system32	scupgrd.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [tscuninstall] %systemroot%\system32	scupgrd.exe (User 'Default user')
O4 - Startup: SyncBack.lnk = C:\Program Files\2BrightSparks\SyncBack\SyncBack.exe
O4 - Global Startup: Service Manager.lnk = C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O10 - Broken Internet access because of LSP provider 'c:\documents and settings\administrateur.serveur2\windows\system32\mswsock.dll' missing
O15 - ESC Trusted Zone: http://cemappontcharra.dyndns.org
O15 - ESC Trusted Zone: http://runonce.msn.com
O15 - ESC Trusted Zone: https://www.ricoh-europe.com/support/index.html
O15 - ESC Trusted Zone: http://support.ricoh.com
O15 - ESC Trusted Zone: https://www.orange.fr/portail
O15 - ESC Trusted Zone: http://*.windowsupdate.com
O15 - ESC Trusted Zone: http://runonce.msn.com (HKLM)
O15 - ESC Trusted Zone: http://*.windowsupdate.com (HKLM)
O15 - ESC Trusted IP range: http://192.168.0.1
O15 - ESC Trusted IP range: http://192.168.0.20
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = cemap.local
O17 - HKLM\Software\..\Telephony: DomainName = cemap.local
O17 - HKLM\System\CCS\Services\Tcpip\..\{7B2D7774-3587-4212-BFDD-76B0F58F9225}: NameServer = 192.168.0.100
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = cemap.local
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = cemap.local
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswWebSv.exe
O23 - Service: Crypkey License - Unknown owner - crypserv.exe (file missing)
O23 - Service: Intel NCS NetService (NetSvc) - Intel(R) Corporation - c:\Program Files\Intel\PROSetWired\NCS\Sync\NetSvc.exe
O23 - Service: Agent RAID Storage Manager (RAIDStorAgent) - Dell - C:\Program Files\Dell\RAID Storage Manager\StorServ.exe

-- 
End of file - 6349 bytes

plopus · Answer

salut

ton log et infecté par plusieurs choses mais je ne pense que l'on puisse utiliser des outils specifique comme SDfix sur ton windows 2003 car tu as un ver SDbot sur ton PC.

je me renseigne et te tient au courant

Lyonnais92 · Answer

Bonjour,

on est sur Windows server, donc sur un OS différent de Xp et Vista.

Des processus illégitimes sur ces derniers peuvent être tout à fait normaux sur Windows Server 2003.

========

Pour vérifier :

Rends toi sur ce site :

https://www.virustotal.com/gui/

Clique sur parcourir et cherche ce fichier : C:\WINDOWS\System32\wins.exe 

Clique sur Send File.

Un rapport va s'élaborer ligne à ligne.

Attends la fin. Il doit comprendre la taille du fichier envoyé.

Sauvegarde le rapport avec le bloc-note.

Copie le dans ta réponse. 

Si VirusTotal indique que le fichier a déjà été analysé, cliquer sur le bouton Reanalyse le fichier maintenant  

====

Fais de même avec :

C:\Documents and Settings\Administrateur.SERVEUR2\WINDOWS\System32\smss.exe

====

Hijackthis n'est pas assez puissant pour déceler un certain nombre d'infections.

fais ceci :

Télécharge OTL de OLDTimer ici :

http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/

et enregistre le sur ton Bureau.

Double clic sur OTL.exe pour le lancer.

Coche les 2 cases Lop et Purity

Coche la case devant "scan all users"

Clic sur Run Scan.

A la fin du scan, le Bloc-Notes va s'ouvrir avec le rapport (OTL.txt).

Ce fichier est sur ton Bureau (en général C:\Documents and settings\le_nom_de_ta_session\OTL.txt)


Pour me le transmettre clique sur ce lien :

http://www.cijoint.fr/

Clique sur Parcourir et cherche le fichier ci-dessus.

Clique sur Ouvrir.

Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt

est ajouté dans la page.

Copie ce lien dans ta réponse. 


La aussi, l'interprétation devra prendre en compte l'OS.

yozyoz · Answer

Merci pour votre aide.

Voilà les log de virustotal :

Pour wins.exe :

Information additionnelle
File size: 154112 bytes
MD5   : fb34b1698cd9aa2831f418125db39afb
SHA1  : 8e24bc441f07b2aa31ba21c7805176ac9d6444f0
SHA256: 473d38f1f416bea852412a8f1dd2844ebedd513bf6f07c842e02eeec11457efc
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x12FFB
timedatestamp.....: 0x496F11C2 (Thu Jan 15 11:36:50 2009)
machinetype.......: 0x14C (Intel I386)

( 3 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x246B4 0x24800 6.42 527f57e2ae33251771cf84d728178c21
.data 0x26000 0x1EB8 0xA00 2.67 387aee59355bb79c81ff7c3ef13a907a
.rsrc 0x28000 0x3D8 0x400 3.33 1b045aa8e35126247a3d973416d67026

( 0 imports )


( 0 exports )
TrID  : File type identification
Win64 Executable Generic (59.6%)
Win32 Executable MS Visual C++ (generic) (26.2%)
Win32 Executable Generic (5.9%)
Win32 Dynamic Link Library (generic) (5.2%)
Generic Win/DOS Executable (1.3%)
ThreatExpert: https://www.symantec.com?md5=fb34b1698cd9aa2831f418125db39afb
ssdeep: 3072:cUQCWi6xVfVMCSTEDwv+Td+Ns2HpxcvGp6Ew4TCHmpnQgN8+0kuu0kVsO7:Tgi67wAw2Z+JHpxcvA6zcCH8nQcuOv
PEiD  : -
RDS   : NSRL Reference Data Set

yozyoz · Answer

Concernant le fichier smss.exe, il ne se trouve pas dans C:\Documents and Settings\Administrateur.SERVEUR2\WINDOWS\System32\     . D'ailleurs, le dossier System32 n'existe pas, je n'ai que system (vide) et Fonts (vide).

Je faire le test OTL.

Merci encore

yozyoz · Answer

Voila le fichier OTL.txt, il m'a aussi généré un fichier Extras.txt

http://www.cijoint.fr/cjlink.php?file=cj200906/cijyzYlWKZ.txt

Merci

Lyonnais92 · Answer

Re,

pour quelles raisons as-tu des craintes pour la sécurité du serveur ?

Fais redémarrer l'ordi et remets un rapport Hijackthis (ce problème de fichier non trouvé doit être élucidé).

yozyoz · Answer

Le serveur a planté lors du parcours réseau sur un poste d'un site distant via un VPN, impossible de reprendre la main sur la session, donc extinction à l'ancienne !!!!! De plus depuis quelques jours j'ai des machines sur le domaine qui se mettent à faire des trucs inhabituel : lenteur, disparition des drivers, carte mère et HDD fusillés, etc..... donc je me demandais s'il ne pouvait pas y avoir une attaque depuis l'extérieur ou bien une merde à l'intérieur de mon domaine, ou plus loin sur mon vpn.

Je viens de rebooter, voici le log :

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 13:00:21, on 04/06/2009
Platform: Windows 2003 SP2 (WinNT 5.02.3790)
MSIE: Internet Explorer v7.00 (7.00.6000.16827)
Boot mode: Normal

Running processes:
C:\Documents and Settings\Administrateur.SERVEUR2\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\aswServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\crypserv.exe
C:\WINDOWS\system32\Dfssvc.exe
C:\WINDOWS\System32\dns.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\inetsrv\inetinfo.exe
C:\WINDOWS\System32\ismserv.exe
C:\Program Files\Microsoft SQL Server\MSSQL\Binn\sqlservr.exe
C:\WINDOWS\system32
tfrs.exe
C:\Program Files\Dell\RAID Storage Manager\StorServ.exe
C:\WINDOWS\system32\lserver.exe
C:\WINDOWS\System32\wins.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswMaiSv.exe
C:\Program Files\Alwil Software\Avast4\aswWebSv.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\userinit.exe
C:\WINDOWS\system32dpclip.exe
C:\WINDOWS\system32\userinit.exe
C:\WINDOWS\Explorer.EXE
c:\Program Files\Intel\PROSetWired\NCS\PROSet\PRONoMgr.exe
C:\PROGRA~1\ALWILS~1\Avast4\aswDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\2BrightSparks\SyncBack\SyncBack.exe
C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
C:\Program Files\2BrightSparks\SyncBack\SyncBack.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = res://shdoclc.dll/hardAdmin.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\system32\blank.htm
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = https://www.orange.fr/portail
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,
O4 - HKLM\..\Run: [PRONoMgrWired] c:\Program Files\Intel\PROSetWired\NCS\PROSet\PRONoMgr.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\aswDisp.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\RunOnce: [tscuninstall] %systemroot%\system32	scupgrd.exe (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-20\..\RunOnce: [tscuninstall] %systemroot%\system32	scupgrd.exe (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [tscuninstall] %systemroot%\system32	scupgrd.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [tscuninstall] %systemroot%\system32	scupgrd.exe (User 'Default user')
O4 - Startup: SyncBack.lnk = C:\Program Files\2BrightSparks\SyncBack\SyncBack.exe
O4 - Global Startup: Service Manager.lnk = C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O10 - Broken Internet access because of LSP provider 'c:\documents and settings\administrateur.serveur2\windows\system32\mswsock.dll' missing
O15 - ESC Trusted Zone: http://cemappontcharra.dyndns.org
O15 - ESC Trusted Zone: http://runonce.msn.com
O15 - ESC Trusted Zone: https://www.ricoh-europe.com/support/index.html
O15 - ESC Trusted Zone: http://support.ricoh.com
O15 - ESC Trusted Zone: https://www.orange.fr/portail
O15 - ESC Trusted Zone: http://*.windowsupdate.com
O15 - ESC Trusted Zone: http://runonce.msn.com (HKLM)
O15 - ESC Trusted Zone: http://*.windowsupdate.com (HKLM)
O15 - ESC Trusted IP range: http://192.168.0.1
O15 - ESC Trusted IP range: http://192.168.0.20
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = cemap.local
O17 - HKLM\Software\..\Telephony: DomainName = cemap.local
O17 - HKLM\System\CCS\Services\Tcpip\..\{7B2D7774-3587-4212-BFDD-76B0F58F9225}: NameServer = 192.168.0.100
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = cemap.local
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = cemap.local
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswWebSv.exe
O23 - Service: Crypkey License - Unknown owner - crypserv.exe (file missing)
O23 - Service: Intel NCS NetService (NetSvc) - Intel(R) Corporation - c:\Program Files\Intel\PROSetWired\NCS\Sync\NetSvc.exe
O23 - Service: Agent RAID Storage Manager (RAIDStorAgent) - Dell - C:\Program Files\Dell\RAID Storage Manager\StorServ.exe

yozyoz · Answer

Lyonnais92 : quel est ton sentiment sur les logs et les différents tests que j'ai fait. Plopus plus haut me parlait de SDbot, qu'en penses-tu ? Apparemment je ne suis pa sle seul à avoir le chemin erroné pour smss.exe : 

http://www.commentcamarche.net/forum/affich 11713540 impossible de se connecter a internet+O10+ +Broken+Internet+access+because+of+LSP+provider+mswsock.dll+missing&cd=2&hl=fr&ct=clnk&gl=fr

Merci de ton aide

yozyoz · Answer

Elle signifie quoi cette ligne :

O10 - Broken Internet access because of LSP provider 'c:\documents and settings\administrateur.serveur2\windows\system32\mswsock.dll' missing

Dans le lien que j'ai donné au-dessus, le gars avaient les mêmes lignes que moi qui posaient probleme, et aussi sur un 2003 server. Cela peut-il être propre à 2003 ces problemes ?

Lyonnais92 · Answer

Re,

l'OS nous est très mal connue. je marche sur des oeufs.

Ce qui me surprend le plus est cette histoire de fichiers systèmes dans un répertoire 

c:\documents and settings\administrateur.serveur2\windows\system32

(dont tu dis qu'il n'existe pas).

On va faire 2 choses :

- est ce que c:\windows\system32\mswsock.dl­l existe ?

- on va analyser en profondeur les processus.

==

Ouvre ce lien et télécharge ProcessExplorer.zip de Sysinternals sur ton Bureau :

https://docs.microsoft.com/en-us/sysinternals/downloads/process-explorer?redirectedfrom=MSDN

Dézippe le et lance le.

Clique sur View puis Select columns

Coche Description, company name, veified signer et image path puis OK.

Clique sur File puis Save as.

Donne lui un nom, une extension .txt et poste le contenu dans ta réponse.

yozyoz · Answer

Voilà :

Process	PID	CPU	Description	Company Name	Path	Verified Signer
System Idle Process	0	99.23				
 Interrupts	n/a		Hardware Interrupts			
 DPCs	n/a		Deferred Procedure Calls			
 System	4					
  smss.exe	284		Windows NT Session Manager	Microsoft Corporation	C:\WINDOWS\system32\smss.exe	
   csrss.exe	332		Client Server Runtime Process	Microsoft Corporation	C:\WINDOWS\system32\csrss.exe	
   winlogon.exe	356		Application d'ouverture de session Windows NT	Microsoft Corporation	C:\WINDOWS\system32\winlogon.exe	
    services.exe	404	0.77	Applications Services et Contrôleur	Microsoft Corporation	C:\WINDOWS\system32\services.exe	
     svchost.exe	584		Generic Host Process for Win32 Services	Microsoft Corporation	C:\WINDOWS\system32\svchost.exe	
      wmiprvse.exe	3680		WMI	Microsoft Corporation	C:\WINDOWS\system32\wbem\wmiprvse.exe	
     svchost.exe	728		Generic Host Process for Win32 Services	Microsoft Corporation	C:\WINDOWS\system32\svchost.exe	
     svchost.exe	792		Generic Host Process for Win32 Services	Microsoft Corporation	C:\WINDOWS\system32\svchost.exe	
     svchost.exe	828		Generic Host Process for Win32 Services	Microsoft Corporation	C:\WINDOWS\system32\svchost.exe	
     svchost.exe	844		Generic Host Process for Win32 Services	Microsoft Corporation	C:\WINDOWS\system32\svchost.exe	
     aswUpdSv.exe	896		avast! Antivirus updating service	ALWIL Software	C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe	
     aswServ.exe	916		avast! antivirus service	ALWIL Software	C:\Program Files\Alwil Software\Avast4\aswServ.exe	
     spoolsv.exe	1360		Application sous-système spouleur	Microsoft Corporation	C:\WINDOWS\system32\spoolsv.exe	
     msdtc.exe	1408		MS DTCconsole program	Microsoft Corporation	C:\WINDOWS\system32\msdtc.exe	
     Crypserv.exe	1484		CrypKey NT Service	CrypKey (Canada) Ltd.	C:\WINDOWS\system32\Crypserv.exe	
     dfssvc.exe	1564		Windows NT Distributed File System Service	Microsoft Corporation	C:\WINDOWS\system32\dfssvc.exe	
     dns.exe	1628		Serveur du Système de Noms de Domaine (DNS)	Microsoft Corporation	C:\WINDOWS\system32\dns.exe	
     svchost.exe	1644		Generic Host Process for Win32 Services	Microsoft Corporation	C:\WINDOWS\system32\svchost.exe	
     inetinfo.exe	1716		Internet Information Services	Microsoft Corporation	C:\WINDOWS\system32\inetsrv\inetinfo.exe	
     ismserv.exe	1748		Windows NT Intersite Messaging Service	Microsoft Corporation	C:\WINDOWS\system32\ismserv.exe	
     sqlservr.exe	1836		SQL Server Windows NT	Microsoft Corporation	C:\Program Files\Microsoft SQL Server\MSSQL\Binn\sqlservr.exe	
     ntfrs.exe	1856		Service de réplication de fichiers	Microsoft Corporation	C:\WINDOWS\system32
tfrs.exe	
     StorServ.exe	2008		RAID Storage Manager Service	Dell	C:\Program Files\Dell\RAID Storage Manager\StorServ.exe	
     svchost.exe	2024		Generic Host Process for Win32 Services	Microsoft Corporation	C:\WINDOWS\system32\svchost.exe	
     lserver.exe	2104		Assistant Gestionnaire de licences pour services Terminal Server Microsoft®	Microsoft Corporation	C:\WINDOWS\system32\lserver.exe	
     wins.exe	2208		WINS SERVER	Microsoft Corporation	C:\WINDOWS\system32\wins.exe	
     svchost.exe	2324		Generic Host Process for Win32 Services	Microsoft Corporation	C:\WINDOWS\system32\svchost.exe	
     aswMaiSv.exe	2908		avast! e-Mail Scanner Service	ALWIL Software	C:\Program Files\Alwil Software\Avast4\aswMaiSv.exe	
     aswWebSv.exe	2936		avast! Web Scanner	ALWIL Software	C:\Program Files\Alwil Software\Avast4\aswWebSv.exe	
     svchost.exe	3024		Generic Host Process for Win32 Services	Microsoft Corporation	C:\WINDOWS\system32\svchost.exe	
     svchost.exe	3040		Generic Host Process for Win32 Services	Microsoft Corporation	C:\WINDOWS\system32\svchost.exe	
     alg.exe	3420		Application Layer Gateway Service	Microsoft Corporation	C:\WINDOWS\system32\alg.exe	
    lsass.exe	416		Noyau LSA	Microsoft Corporation	C:\WINDOWS\system32\lsass.exe	
    logon.scr	2184		Ouverture de session	Microsoft Corporation	C:\WINDOWS\system32\logon.scr	
   csrss.exe	4080		Client Server Runtime Process	Microsoft Corporation	C:\WINDOWS\system32\csrss.exe	
   winlogon.exe	180		Application d'ouverture de session Windows NT	Microsoft Corporation	C:\WINDOWS\system32\winlogon.exe	
    rdpclip.exe	3128		Analyseur de clip RDP	Microsoft Corporation	C:\WINDOWS\system32dpclip.exe	
explorer.exe	1536		Explorateur Windows	Microsoft Corporation	C:\WINDOWS\explorer.exe	
 PRONoMgr.exe	3564		PRONotifyMgr Module	Intel(R) Corporation	c:\Program Files\Intel\PROSetWired\NCS\PROSet\PRONoMgr.exe	
 aswDisp.exe	3468		avast! service GUI component	ALWIL Software	C:\Program Files\Alwil Software\Avast4\aswDisp.exe	
 ctfmon.exe	720		CTF Loader	Microsoft Corporation	C:\WINDOWS\system32\ctfmon.exe	
 sqlmangr.exe	3832		SQL Server Service Manager	Microsoft Corporation	C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe	
 SyncBack.exe	3848		SyncBack	2BrightSparks	C:\Program Files\2BrightSparks\SyncBack\SyncBack.exe	
 notepad.exe	2232		Bloc-notes	Microsoft Corporation	C:\WINDOWS\system32
otepad.exe	
 iexplore.exe	2044		Internet Explorer	Microsoft Corporation	C:\Program Files\Internet Explorer\iexplore.exe	
 procexp.exe	1340		Sysinternals Process Explorer	Sysinternals - www.sysinternals.com	C:\Documents and Settings\Administrateur.SERVEUR2\Mes documents\ProcessExplorer\procexp.exe

yozyoz · Answer

smss.exe	284		Windows NT Session Manager	Microsoft Corporation	C:\WINDOWS\system32\smss.exe

Lyonnais92 · Answer

Re,

alors le logiciel nous dit que le processus est activé à partir du répertoire normal.

Sais tu si il existe sur Windows server 2003 des "jointures" comme il en existe sur Windows Vista ?

Ca pourrait être l'explication de ce chemin bizarre qui serait "virtuel" et non réel.

=========

Pour le fichier c:\windows\system32\mswsock.dl­l ?

yozyoz · Answer

Je ne sais pas si il existe des jointures sous 2003, mais je me dis qu'une appli anciennement installée a laissé trainer des chemins d'accès dans la BDR. D'ailleurs le probleme de la ligne O10 (Broken Internet access because of LSP provider 'c:\documents and settings\administrateur.serveur2\windows\system32\mswsock.dl­l' missing) pointe vers le même répertoire inexistant. Il faudrait trouver des spécialistes sur 2003 server.....

Encore merci de chercher à m'aider.

yozyoz · Answer

Je suis entrain de repasser un coup de ccleaner au cas où.

Est-ce utile de passer un coup de LSPfix ? Je ne connais pas bien cet outil, et de plus ma connexion web est OK sur le serveur.

Lyonnais92 · Answer

Re,

pour LSPFix, cela dépend du résultat de l'existence du fichier sous Windows/system32.



Pour le moment, mon sentiment est plus d'une défaillance du système que d'une attaque de malware.

L'ordi d'où est venu le problème est sain ?

yozyoz · Answer

En fait le probleme n'est pas réellement venu d'un ordi.

J'ai juste 2 ordis qui ont présenté des troubles, puis le serveur qui a planté.

- Un des ordis a laché (Alim,Cm,HDD) => neuf à la pace sous xp pro sp3
- l'autre qui était louche : ca semble plus être un pb de proc lié à la chaleur

yozyoz · Answer

Pour LSPFix, le fichier mswsock.dl­­l sous Windows/system32 est présent

Lyonnais92 · Answer

Re,

ça indique plutôt un problème d'origine matérielle.

Lors du plantage, la récupérartion a pu être délicate.

En suivant le lien que tu m'as donné, essaye :

netsh winsock reset dans l'invite dos

Analyse log hijackthis sur 2003 server

19 réponses

Discussions similaires