Analyse log hijackthis sur 2003 server

yozyoz -  
Bonjour,

J'ai des doutes sur la sécurité de mon serveur. C'est un DELL poweredge, il tourne sur Windows 2003 server sp2.

Voilà mon log hijakthis, merci d'avance pour votre aide.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 09:59:08, on 04/06/2009
Platform: Windows 2003 SP2 (WinNT 5.02.3790)
MSIE: Internet Explorer v7.00 (7.00.6000.16827)
Boot mode: Normal

Running processes:
C:\Documents and Settings\Administrateur.SERVEUR2\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\aswServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\crypserv.exe
C:\WINDOWS\system32\Dfssvc.exe
C:\WINDOWS\System32\dns.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\inetsrv\inetinfo.exe
C:\WINDOWS\System32\ismserv.exe
C:\Program Files\Microsoft SQL Server\MSSQL\Binn\sqlservr.exe
C:\WINDOWS\system32\ntfrs.exe
C:\Program Files\Dell\RAID Storage Manager\StorServ.exe
C:\WINDOWS\system32\lserver.exe
C:\WINDOWS\System32\wins.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswMaiSv.exe
C:\Program Files\Alwil Software\Avast4\aswWebSv.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\rdpclip.exe
C:\WINDOWS\Explorer.EXE
c:\Program Files\Intel\PROSetWired\NCS\PROSet\PRONoMgr.exe
C:\PROGRA~1\ALWILS~1\Avast4\aswDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
C:\Program Files\2BrightSparks\SyncBack\SyncBack.exe
C:\Program Files\Alwil Software\Avast4\aswEnhcd.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Administrateur.SERVEUR2\Mes documents\ProcessExplorer\procexp.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = res://shdoclc.dll/hardAdmin.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\system32\blank.htm
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = https://www.orange.fr/portail
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,
O4 - HKLM\..\Run: [PRONoMgrWired] c:\Program Files\Intel\PROSetWired\NCS\PROSet\PRONoMgr.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\aswDisp.exe
O4 - HKLM\..\Run: [MSConfig] "C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe" /auto
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-20\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-21-2352943005-1466514916-3033745841-1155\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe (User 'poste02')
O4 - HKUS\S-1-5-21-2352943005-1466514916-3033745841-1155\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'poste02')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'Default user')
O4 - Startup: SyncBack.lnk = C:\Program Files\2BrightSparks\SyncBack\SyncBack.exe
O4 - Global Startup: Service Manager.lnk = C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O10 - Broken Internet access because of LSP provider 'c:\documents and settings\administrateur.serveur2\windows\system32\mswsock.dll' missing
O15 - ESC Trusted Zone: http://cemappontcharra.dyndns.org
O15 - ESC Trusted Zone: http://runonce.msn.com
O15 - ESC Trusted Zone: https://www.ricoh-europe.com/support/index.html
O15 - ESC Trusted Zone: http://support.ricoh.com
O15 - ESC Trusted Zone: https://www.orange.fr/portail
O15 - ESC Trusted Zone: http://*.windowsupdate.com
O15 - ESC Trusted Zone: http://runonce.msn.com (HKLM)
O15 - ESC Trusted Zone: http://*.windowsupdate.com (HKLM)
O15 - ESC Trusted IP range: http://192.168.0.1
O15 - ESC Trusted IP range: http://192.168.0.20
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = cemap.local
O17 - HKLM\Software\..\Telephony: DomainName = cemap.local
O17 - HKLM\System\CCS\Services\Tcpip\..\{7B2D7774-3587-4212-BFDD-76B0F58F9225}: NameServer = 192.168.0.100
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = cemap.local
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = cemap.local
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswWebSv.exe
O23 - Service: Crypkey License - Unknown owner - crypserv.exe (file missing)
O23 - Service: Intel NCS NetService (NetSvc) - Intel(R) Corporation - c:\Program Files\Intel\PROSetWired\NCS\Sync\NetSvc.exe
O23 - Service: Agent RAID Storage Manager (RAIDStorAgent) - Dell - C:\Program Files\Dell\RAID Storage Manager\StorServ.exe

--
End of file - 6349 bytes
Configuration: Windows XP
Firefox 3.0.10

19 réponses

  1. plopus Contributeur sécurité
    salut

    ton log et infecté par plusieurs choses mais je ne pense que l'on puisse utiliser des outils specifique comme SDfix sur ton windows 2003 car tu as un ver SDbot sur ton PC.

    je me renseigne et te tient au courant
    1. Lyonnais92 Contributeur sécurité
      Bonjour,

      on est sur Windows server, donc sur un OS différent de Xp et Vista.

      Des processus illégitimes sur ces derniers peuvent être tout à fait normaux sur Windows Server 2003.

      ========

      Pour vérifier :

      Rends toi sur ce site :

      https://www.virustotal.com/gui/

      Clique sur parcourir et cherche ce fichier : C:\WINDOWS\System32\wins.exe

      Clique sur Send File.

      Un rapport va s'élaborer ligne à ligne.

      Attends la fin. Il doit comprendre la taille du fichier envoyé.

      Sauvegarde le rapport avec le bloc-note.

      Copie le dans ta réponse.

      Si VirusTotal indique que le fichier a déjà été analysé, cliquer sur le bouton Reanalyse le fichier maintenant

      ====

      Fais de même avec :

      C:\Documents and Settings\Administrateur.SERVEUR2\WINDOWS\System32\smss.exe

      ====

      Hijackthis n'est pas assez puissant pour déceler un certain nombre d'infections.

      fais ceci :

      Télécharge OTL de OLDTimer ici :

      http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/

      et enregistre le sur ton Bureau.

      Double clic sur OTL.exe pour le lancer.

      Coche les 2 cases Lop et Purity

      Coche la case devant "scan all users"

      Clic sur Run Scan.

      A la fin du scan, le Bloc-Notes va s'ouvrir avec le rapport (OTL.txt).

      Ce fichier est sur ton Bureau (en général C:\Documents and settings\le_nom_de_ta_session\OTL.txt)

      Pour me le transmettre clique sur ce lien :

      http://www.cijoint.fr/

      Clique sur Parcourir et cherche le fichier ci-dessus.

      Clique sur Ouvrir.

      Clique sur "Cliquez ici pour déposer le fichier".

      Un lien de cette forme :

      http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt

      est ajouté dans la page.

      Copie ce lien dans ta réponse.

      La aussi, l'interprétation devra prendre en compte l'OS.
      1. yozyoz Auteur
        Merci pour votre aide.

        Voilà les log de virustotal :

        Pour wins.exe :

        Information additionnelle
        File size: 154112 bytes
        MD5 : fb34b1698cd9aa2831f418125db39afb
        SHA1 : 8e24bc441f07b2aa31ba21c7805176ac9d6444f0
        SHA256: 473d38f1f416bea852412a8f1dd2844ebedd513bf6f07c842e02eeec11457efc
        PEInfo: PE Structure information

        ( base data )
        entrypointaddress.: 0x12FFB
        timedatestamp.....: 0x496F11C2 (Thu Jan 15 11:36:50 2009)
        machinetype.......: 0x14C (Intel I386)

        ( 3 sections )
        name viradd virsiz rawdsiz ntrpy md5
        .text 0x1000 0x246B4 0x24800 6.42 527f57e2ae33251771cf84d728178c21
        .data 0x26000 0x1EB8 0xA00 2.67 387aee59355bb79c81ff7c3ef13a907a
        .rsrc 0x28000 0x3D8 0x400 3.33 1b045aa8e35126247a3d973416d67026

        ( 0 imports )

        ( 0 exports )
        TrID : File type identification
        Win64 Executable Generic (59.6%)
        Win32 Executable MS Visual C++ (generic) (26.2%)
        Win32 Executable Generic (5.9%)
        Win32 Dynamic Link Library (generic) (5.2%)
        Generic Win/DOS Executable (1.3%)
        ThreatExpert: https://www.symantec.com?md5=fb34b1698cd9aa2831f418125db39afb
        ssdeep: 3072:cUQCWi6xVfVMCSTEDwv+Td+Ns2HpxcvGp6Ew4TCHmpnQgN8+0kuu0kVsO7:Tgi67wAw2Z+JHpxcvA6zcCH8nQcuOv
        PEiD : -
        RDS : NSRL Reference Data Set
        1. yozyoz Auteur
          Concernant le fichier smss.exe, il ne se trouve pas dans C:\Documents and Settings\Administrateur.SERVEUR2\WINDOWS\System32\ . D'ailleurs, le dossier System32 n'existe pas, je n'ai que system (vide) et Fonts (vide).

          Je faire le test OTL.

          Merci encore
          2. yozyoz Auteur
            Voila le fichier OTL.txt, il m'a aussi généré un fichier Extras.txt

            http://www.cijoint.fr/cjlink.php?file=cj200906/cijyzYlWKZ.txt

            Merci
            1. Lyonnais92 Contributeur sécurité
              Re,

              pour quelles raisons as-tu des craintes pour la sécurité du serveur ?

              Fais redémarrer l'ordi et remets un rapport Hijackthis (ce problème de fichier non trouvé doit être élucidé).
              1. yozyoz Auteur
                Le serveur a planté lors du parcours réseau sur un poste d'un site distant via un VPN, impossible de reprendre la main sur la session, donc extinction à l'ancienne !!!!! De plus depuis quelques jours j'ai des machines sur le domaine qui se mettent à faire des trucs inhabituel : lenteur, disparition des drivers, carte mère et HDD fusillés, etc..... donc je me demandais s'il ne pouvait pas y avoir une attaque depuis l'extérieur ou bien une merde à l'intérieur de mon domaine, ou plus loin sur mon vpn.

                Je viens de rebooter, voici le log :

                Logfile of Trend Micro HijackThis v2.0.2
                Scan saved at 13:00:21, on 04/06/2009
                Platform: Windows 2003 SP2 (WinNT 5.02.3790)
                MSIE: Internet Explorer v7.00 (7.00.6000.16827)
                Boot mode: Normal

                Running processes:
                C:\Documents and Settings\Administrateur.SERVEUR2\WINDOWS\System32\smss.exe
                C:\WINDOWS\system32\winlogon.exe
                C:\WINDOWS\system32\services.exe
                C:\WINDOWS\system32\lsass.exe
                C:\WINDOWS\system32\svchost.exe
                C:\WINDOWS\System32\svchost.exe
                C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
                C:\Program Files\Alwil Software\Avast4\aswServ.exe
                C:\WINDOWS\system32\spoolsv.exe
                C:\WINDOWS\system32\crypserv.exe
                C:\WINDOWS\system32\Dfssvc.exe
                C:\WINDOWS\System32\dns.exe
                C:\WINDOWS\System32\svchost.exe
                C:\WINDOWS\system32\inetsrv\inetinfo.exe
                C:\WINDOWS\System32\ismserv.exe
                C:\Program Files\Microsoft SQL Server\MSSQL\Binn\sqlservr.exe
                C:\WINDOWS\system32\ntfrs.exe
                C:\Program Files\Dell\RAID Storage Manager\StorServ.exe
                C:\WINDOWS\system32\lserver.exe
                C:\WINDOWS\System32\wins.exe
                C:\WINDOWS\System32\svchost.exe
                C:\Program Files\Alwil Software\Avast4\aswMaiSv.exe
                C:\Program Files\Alwil Software\Avast4\aswWebSv.exe
                C:\WINDOWS\System32\svchost.exe
                C:\WINDOWS\System32\svchost.exe
                C:\WINDOWS\system32\winlogon.exe
                C:\WINDOWS\system32\userinit.exe
                C:\WINDOWS\system32\rdpclip.exe
                C:\WINDOWS\system32\userinit.exe
                C:\WINDOWS\Explorer.EXE
                c:\Program Files\Intel\PROSetWired\NCS\PROSet\PRONoMgr.exe
                C:\PROGRA~1\ALWILS~1\Avast4\aswDisp.exe
                C:\WINDOWS\system32\ctfmon.exe
                C:\Program Files\2BrightSparks\SyncBack\SyncBack.exe
                C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
                C:\Program Files\2BrightSparks\SyncBack\SyncBack.exe
                C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

                R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = res://shdoclc.dll/hardAdmin.htm
                R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
                R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
                R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
                R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
                R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
                R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\system32\blank.htm
                R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = https://www.orange.fr/portail
                R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
                F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,
                O4 - HKLM\..\Run: [PRONoMgrWired] c:\Program Files\Intel\PROSetWired\NCS\PROSet\PRONoMgr.exe
                O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\aswDisp.exe
                O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
                O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
                O4 - HKUS\S-1-5-19\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'SERVICE LOCAL')
                O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
                O4 - HKUS\S-1-5-20\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'SERVICE RÉSEAU')
                O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
                O4 - HKUS\S-1-5-18\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'SYSTEM')
                O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
                O4 - HKUS\.DEFAULT\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'Default user')
                O4 - Startup: SyncBack.lnk = C:\Program Files\2BrightSparks\SyncBack\SyncBack.exe
                O4 - Global Startup: Service Manager.lnk = C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
                O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
                O10 - Broken Internet access because of LSP provider 'c:\documents and settings\administrateur.serveur2\windows\system32\mswsock.dll' missing
                O15 - ESC Trusted Zone: http://cemappontcharra.dyndns.org
                O15 - ESC Trusted Zone: http://runonce.msn.com
                O15 - ESC Trusted Zone: https://www.ricoh-europe.com/support/index.html
                O15 - ESC Trusted Zone: http://support.ricoh.com
                O15 - ESC Trusted Zone: https://www.orange.fr/portail
                O15 - ESC Trusted Zone: http://*.windowsupdate.com
                O15 - ESC Trusted Zone: http://runonce.msn.com (HKLM)
                O15 - ESC Trusted Zone: http://*.windowsupdate.com (HKLM)
                O15 - ESC Trusted IP range: http://192.168.0.1
                O15 - ESC Trusted IP range: http://192.168.0.20
                O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = cemap.local
                O17 - HKLM\Software\..\Telephony: DomainName = cemap.local
                O17 - HKLM\System\CCS\Services\Tcpip\..\{7B2D7774-3587-4212-BFDD-76B0F58F9225}: NameServer = 192.168.0.100
                O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = cemap.local
                O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = cemap.local
                O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
                O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswServ.exe
                O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswMaiSv.exe
                O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswWebSv.exe
                O23 - Service: Crypkey License - Unknown owner - crypserv.exe (file missing)
                O23 - Service: Intel NCS NetService (NetSvc) - Intel(R) Corporation - c:\Program Files\Intel\PROSetWired\NCS\Sync\NetSvc.exe
                O23 - Service: Agent RAID Storage Manager (RAIDStorAgent) - Dell - C:\Program Files\Dell\RAID Storage Manager\StorServ.exe
                1. yozyoz Auteur
                  Lyonnais92 : quel est ton sentiment sur les logs et les différents tests que j'ai fait. Plopus plus haut me parlait de SDbot, qu'en penses-tu ? Apparemment je ne suis pa sle seul à avoir le chemin erroné pour smss.exe :

                  http://www.commentcamarche.net/forum/affich 11713540 impossible de se connecter a internet+O10+ +Broken+Internet+access+because+of+LSP+provider+mswsock.dll+missing&cd=2&hl=fr&ct=clnk&gl=fr

                  Merci de ton aide
                  1. yozyoz Auteur
                    Elle signifie quoi cette ligne :

                    O10 - Broken Internet access because of LSP provider 'c:\documents and settings\administrateur.serveur2\windows\system32\mswsock.dll' missing

                    Dans le lien que j'ai donné au-dessus, le gars avaient les mêmes lignes que moi qui posaient probleme, et aussi sur un 2003 server. Cela peut-il être propre à 2003 ces problemes ?
                    1. Lyonnais92 Contributeur sécurité
                      Re,

                      l'OS nous est très mal connue. je marche sur des oeufs.

                      Ce qui me surprend le plus est cette histoire de fichiers systèmes dans un répertoire

                      c:\documents and settings\administrateur.serveur2\windows\system32

                      (dont tu dis qu'il n'existe pas).

                      On va faire 2 choses :

                      - est ce que c:\windows\system32\mswsock.dl­l existe ?

                      - on va analyser en profondeur les processus.

                      ==

                      Ouvre ce lien et télécharge ProcessExplorer.zip de Sysinternals sur ton Bureau :

                      https://docs.microsoft.com/en-us/sysinternals/downloads/process-explorer?redirectedfrom=MSDN

                      Dézippe le et lance le.

                      Clique sur View puis Select columns

                      Coche Description, company name, veified signer et image path puis OK.

                      Clique sur File puis Save as.

                      Donne lui un nom, une extension .txt et poste le contenu dans ta réponse.
                      1. yozyoz Auteur
                        Voilà :

                        Process PID CPU Description Company Name Path Verified Signer
                        System Idle Process 0 99.23
                        Interrupts n/a Hardware Interrupts
                        DPCs n/a Deferred Procedure Calls
                        System 4
                        smss.exe 284 Windows NT Session Manager Microsoft Corporation C:\WINDOWS\system32\smss.exe
                        csrss.exe 332 Client Server Runtime Process Microsoft Corporation C:\WINDOWS\system32\csrss.exe
                        winlogon.exe 356 Application d'ouverture de session Windows NT Microsoft Corporation C:\WINDOWS\system32\winlogon.exe
                        services.exe 404 0.77 Applications Services et Contrôleur Microsoft Corporation C:\WINDOWS\system32\services.exe
                        svchost.exe 584 Generic Host Process for Win32 Services Microsoft Corporation C:\WINDOWS\system32\svchost.exe
                        wmiprvse.exe 3680 WMI Microsoft Corporation C:\WINDOWS\system32\wbem\wmiprvse.exe
                        svchost.exe 728 Generic Host Process for Win32 Services Microsoft Corporation C:\WINDOWS\system32\svchost.exe
                        svchost.exe 792 Generic Host Process for Win32 Services Microsoft Corporation C:\WINDOWS\system32\svchost.exe
                        svchost.exe 828 Generic Host Process for Win32 Services Microsoft Corporation C:\WINDOWS\system32\svchost.exe
                        svchost.exe 844 Generic Host Process for Win32 Services Microsoft Corporation C:\WINDOWS\system32\svchost.exe
                        aswUpdSv.exe 896 avast! Antivirus updating service ALWIL Software C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
                        aswServ.exe 916 avast! antivirus service ALWIL Software C:\Program Files\Alwil Software\Avast4\aswServ.exe
                        spoolsv.exe 1360 Application sous-système spouleur Microsoft Corporation C:\WINDOWS\system32\spoolsv.exe
                        msdtc.exe 1408 MS DTCconsole program Microsoft Corporation C:\WINDOWS\system32\msdtc.exe
                        Crypserv.exe 1484 CrypKey NT Service CrypKey (Canada) Ltd. C:\WINDOWS\system32\Crypserv.exe
                        dfssvc.exe 1564 Windows NT Distributed File System Service Microsoft Corporation C:\WINDOWS\system32\dfssvc.exe
                        dns.exe 1628 Serveur du Système de Noms de Domaine (DNS) Microsoft Corporation C:\WINDOWS\system32\dns.exe
                        svchost.exe 1644 Generic Host Process for Win32 Services Microsoft Corporation C:\WINDOWS\system32\svchost.exe
                        inetinfo.exe 1716 Internet Information Services Microsoft Corporation C:\WINDOWS\system32\inetsrv\inetinfo.exe
                        ismserv.exe 1748 Windows NT Intersite Messaging Service Microsoft Corporation C:\WINDOWS\system32\ismserv.exe
                        sqlservr.exe 1836 SQL Server Windows NT Microsoft Corporation C:\Program Files\Microsoft SQL Server\MSSQL\Binn\sqlservr.exe
                        ntfrs.exe 1856 Service de réplication de fichiers Microsoft Corporation C:\WINDOWS\system32\ntfrs.exe
                        StorServ.exe 2008 RAID Storage Manager Service Dell C:\Program Files\Dell\RAID Storage Manager\StorServ.exe
                        svchost.exe 2024 Generic Host Process for Win32 Services Microsoft Corporation C:\WINDOWS\system32\svchost.exe
                        lserver.exe 2104 Assistant Gestionnaire de licences pour services Terminal Server Microsoft® Microsoft Corporation C:\WINDOWS\system32\lserver.exe
                        wins.exe 2208 WINS SERVER Microsoft Corporation C:\WINDOWS\system32\wins.exe
                        svchost.exe 2324 Generic Host Process for Win32 Services Microsoft Corporation C:\WINDOWS\system32\svchost.exe
                        aswMaiSv.exe 2908 avast! e-Mail Scanner Service ALWIL Software C:\Program Files\Alwil Software\Avast4\aswMaiSv.exe
                        aswWebSv.exe 2936 avast! Web Scanner ALWIL Software C:\Program Files\Alwil Software\Avast4\aswWebSv.exe
                        svchost.exe 3024 Generic Host Process for Win32 Services Microsoft Corporation C:\WINDOWS\system32\svchost.exe
                        svchost.exe 3040 Generic Host Process for Win32 Services Microsoft Corporation C:\WINDOWS\system32\svchost.exe
                        alg.exe 3420 Application Layer Gateway Service Microsoft Corporation C:\WINDOWS\system32\alg.exe
                        lsass.exe 416 Noyau LSA Microsoft Corporation C:\WINDOWS\system32\lsass.exe
                        logon.scr 2184 Ouverture de session Microsoft Corporation C:\WINDOWS\system32\logon.scr
                        csrss.exe 4080 Client Server Runtime Process Microsoft Corporation C:\WINDOWS\system32\csrss.exe
                        winlogon.exe 180 Application d'ouverture de session Windows NT Microsoft Corporation C:\WINDOWS\system32\winlogon.exe
                        rdpclip.exe 3128 Analyseur de clip RDP Microsoft Corporation C:\WINDOWS\system32\rdpclip.exe
                        explorer.exe 1536 Explorateur Windows Microsoft Corporation C:\WINDOWS\explorer.exe
                        PRONoMgr.exe 3564 PRONotifyMgr Module Intel(R) Corporation c:\Program Files\Intel\PROSetWired\NCS\PROSet\PRONoMgr.exe
                        aswDisp.exe 3468 avast! service GUI component ALWIL Software C:\Program Files\Alwil Software\Avast4\aswDisp.exe
                        ctfmon.exe 720 CTF Loader Microsoft Corporation C:\WINDOWS\system32\ctfmon.exe
                        sqlmangr.exe 3832 SQL Server Service Manager Microsoft Corporation C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
                        SyncBack.exe 3848 SyncBack 2BrightSparks C:\Program Files\2BrightSparks\SyncBack\SyncBack.exe
                        notepad.exe 2232 Bloc-notes Microsoft Corporation C:\WINDOWS\system32\notepad.exe
                        iexplore.exe 2044 Internet Explorer Microsoft Corporation C:\Program Files\Internet Explorer\iexplore.exe
                        procexp.exe 1340 Sysinternals Process Explorer Sysinternals - www.sysinternals.com C:\Documents and Settings\Administrateur.SERVEUR2\Mes documents\ProcessExplorer\procexp.exe
                        1. yozyoz Auteur 
                          smss.exe	284		Windows NT Session Manager	Microsoft Corporation	C:\WINDOWS\system32\smss.exe
                          1. Lyonnais92 Contributeur sécurité
                            Re,

                            alors le logiciel nous dit que le processus est activé à partir du répertoire normal.

                            Sais tu si il existe sur Windows server 2003 des "jointures" comme il en existe sur Windows Vista ?

                            Ca pourrait être l'explication de ce chemin bizarre qui serait "virtuel" et non réel.

                            =========

                            Pour le fichier c:\windows\system32\mswsock.dl­l ?
                            1. yozyoz Auteur
                              Je ne sais pas si il existe des jointures sous 2003, mais je me dis qu'une appli anciennement installée a laissé trainer des chemins d'accès dans la BDR. D'ailleurs le probleme de la ligne O10 (Broken Internet access because of LSP provider 'c:\documents and settings\administrateur.serveur2\windows\system32\mswsock.dl­l' missing) pointe vers le même répertoire inexistant. Il faudrait trouver des spécialistes sur 2003 server.....

                              Encore merci de chercher à m'aider.
                              1. yozyoz Auteur
                                Je suis entrain de repasser un coup de ccleaner au cas où.

                                Est-ce utile de passer un coup de LSPfix ? Je ne connais pas bien cet outil, et de plus ma connexion web est OK sur le serveur.
                                1. Lyonnais92 Contributeur sécurité
                                  Re,

                                  pour LSPFix, cela dépend du résultat de l'existence du fichier sous Windows/system32.

                                  Pour le moment, mon sentiment est plus d'une défaillance du système que d'une attaque de malware.

                                  L'ordi d'où est venu le problème est sain ?
                                  1. yozyoz Auteur
                                    En fait le probleme n'est pas réellement venu d'un ordi.

                                    J'ai juste 2 ordis qui ont présenté des troubles, puis le serveur qui a planté.

                                    - Un des ordis a laché (Alim,Cm,HDD) => neuf à la pace sous xp pro sp3
                                    - l'autre qui était louche : ca semble plus être un pb de proc lié à la chaleur
                                    1. yozyoz Auteur
                                      Pour LSPFix, le fichier mswsock.dl­­l sous Windows/system32 est présent
                                      1. Lyonnais92 Contributeur sécurité
                                        Re,

                                        ça indique plutôt un problème d'origine matérielle.

                                        Lors du plantage, la récupérartion a pu être délicate.

                                        En suivant le lien que tu m'as donné, essaye :

                                        netsh winsock reset dans l'invite dos

                                        Discussions similaires

                                        Nouveau tag ajouté | Nouvelle option activé sans permission?
                                        BountyFullChest

                                        1 réponse
                                        Huawei P8 Lite "nouveau tag ajouté"
                                        ArianeKathleen

                                        25 réponses
                                        Nouveau tag ajouté - Utilité
                                        Eerfers

                                        1 réponse
                                        Google Chrome "  Échec de l'analyse antivirus "
                                        jmpower

                                        18 réponses
                                        " Échec de l'analyse antivirus " la solution.
                                        bazfile

                                        0 réponse