Bonjour, j'utilise MalwareBytes AntiMalware avec le mode de protection activé, et celui ci se manifeste de façon assez intempestive (voir même carrément relou !!!). De temps en temps j'ai un message du type "MalwareBytes' a réussi à bloquer l'accès à une adresse IP malveillante: 95.211.***.***" Celui ci semble s'exciter lorsque j'utilise des programmes P2P types Vuze mais pas seulement des fois du simple surf permet de le réveiller, je ne comprends pas trop quel est l'action qu'exerce Malwares, ses conséquences et sa cause. Une âme éclairée pourrait elle m'aider ?

MalwareBytes' + "adresse IP Malveillante&quot [Résolu]

Réponse 1 / 6

Toto
24 oct. 2009 à 02:18

Bonjour Jon-Jon,

Si tu utilise du P2P, Malwarebyte's ne fait que son travail. Il n'y a pas de quoi à s'inquiété.

Cordialement,

Toto.

Réponse 2 / 6

Jon-Jon Messages postés 89 Date d'inscription lundi 8 juin 2009 Statut Membre Dernière intervention 15 février 2010 5
24 oct. 2009 à 07:57

J'ai pris GMER si tu n'y vois pas d'inconvénients.

GMER 1.0.15.15163 - http://www.gmer.net
Rootkit scan 2009-10-23 22:56:06
Windows 6.1.7100
Running: gmer.exe; Driver: C:\Users\JONJON~1\AppData\Local\Temp\pwldapob.sys

---- System - GMER 1.0.15 ----

SSDT \SystemRoot\System32\DRIVERS\cmdguard.sys (COMODO Internet Security Sandbox Driver/COMODO) ZwAdjustPrivilegesToken [0x8E755F32]
SSDT \SystemRoot\System32\DRIVERS\cmdguard.sys (COMODO Internet Security Sandbox Driver/COMODO) ZwAlpcConnectPort [0x8E757182]
SSDT \SystemRoot\System32\DRIVERS\cmdguard.sys (COMODO Internet Security Sandbox Driver/COMODO) ZwAlpcCreatePort [0x8E756118]
SSDT \SystemRoot\System32\DRIVERS\cmdguard.sys (COMODO Internet Security Sandbox Driver/COMODO) ZwConnectPort [0x8E755292]
SSDT \SystemRoot\System32\DRIVERS\cmdguard.sys (COMODO Internet Security Sandbox Driver/COMODO) ZwCreateFile [0x8E755AD6]
SSDT \SystemRoot\System32\DRIVERS\cmdguard.sys (COMODO Internet Security Sandbox Driver/COMODO) ZwCreatePort [0x8E755174]
SSDT \SystemRoot\System32\DRIVERS\cmdguard.sys (COMODO Internet Security Sandbox Driver/COMODO) ZwCreateSection [0x8E75592C]
SSDT \SystemRoot\System32\DRIVERS\cmdguard.sys (COMODO Internet Security Sandbox Driver/COMODO) ZwCreateSymbolicLinkObject [0x8E756E3C]
SSDT \SystemRoot\System32\DRIVERS\cmdguard.sys (COMODO Internet Security Sandbox Driver/COMODO) ZwCreateThread [0x8E754D3A]
SSDT \SystemRoot\System32\DRIVERS\cmdguard.sys (COMODO Internet Security Sandbox Driver/COMODO) ZwCreateThreadEx [0x8E756224]
SSDT \SystemRoot\System32\DRIVERS\cmdguard.sys (COMODO Internet Security Sandbox Driver/COMODO) ZwDuplicateObject [0x8E754A9C]
SSDT \SystemRoot\System32\DRIVERS\cmdguard.sys (COMODO Internet Security Sandbox Driver/COMODO) ZwLoadDriver [0x8E756ABE]
SSDT \SystemRoot\System32\DRIVERS\cmdguard.sys (COMODO Internet Security Sandbox Driver/COMODO) ZwMakeTemporaryObject [0x8E755516]
SSDT \SystemRoot\System32\DRIVERS\cmdguard.sys (COMODO Internet Security Sandbox Driver/COMODO) ZwOpenFile [0x8E755D1A]
SSDT \SystemRoot\System32\DRIVERS\cmdguard.sys (COMODO Internet Security Sandbox Driver/COMODO) ZwOpenProcess [0x8E7547CC]
SSDT \SystemRoot\System32\DRIVERS\cmdguard.sys (COMODO Internet Security Sandbox Driver/COMODO) ZwOpenSection [0x8E7557A6]
SSDT \SystemRoot\System32\DRIVERS\cmdguard.sys (COMODO Internet Security Sandbox Driver/COMODO) ZwOpenThread [0x8E754944]
SSDT \SystemRoot\System32\DRIVERS\cmdguard.sys (COMODO Internet Security Sandbox Driver/COMODO) ZwRequestWaitReplyPort [0x8E7565D8]
SSDT \SystemRoot\System32\DRIVERS\cmdguard.sys (COMODO Internet Security Sandbox Driver/COMODO) ZwSecureConnectPort [0x8E75685A]
SSDT \SystemRoot\System32\DRIVERS\cmdguard.sys (COMODO Internet Security Sandbox Driver/COMODO) ZwSetSystemInformation [0x8E756C6C]
SSDT \SystemRoot\System32\DRIVERS\cmdguard.sys (COMODO Internet Security Sandbox Driver/COMODO) ZwShutdownSystem [0x8E7554B0]
SSDT \SystemRoot\System32\DRIVERS\cmdguard.sys (COMODO Internet Security Sandbox Driver/COMODO) ZwSystemDebugControl [0x8E75569A]
SSDT \SystemRoot\System32\DRIVERS\cmdguard.sys (COMODO Internet Security Sandbox Driver/COMODO) ZwTerminateProcess [0x8E75503E]
SSDT \SystemRoot\System32\DRIVERS\cmdguard.sys (COMODO Internet Security Sandbox Driver/COMODO) ZwTerminateThread [0x8E754F0C]

INT 0x1F \SystemRoot\system32\halmacpi.dll (Hardware Abstraction Layer DLL/Microsoft Corporation) 85C33AF8
INT 0x37 \SystemRoot\system32\halmacpi.dll (Hardware Abstraction Layer DLL/Microsoft Corporation) 85C33104
INT 0xC1 \SystemRoot\system32\halmacpi.dll (Hardware Abstraction Layer DLL/Microsoft Corporation) 85C333F4
INT 0xD1 \SystemRoot\system32\halmacpi.dll (Hardware Abstraction Layer DLL/Microsoft Corporation) 85C1B634
INT 0xD2 \SystemRoot\system32\halmacpi.dll (Hardware Abstraction Layer DLL/Microsoft Corporation) 85C1B898
INT 0xDF \SystemRoot\system32\halmacpi.dll (Hardware Abstraction Layer DLL/Microsoft Corporation) 85C331DC
INT 0xE1 \SystemRoot\system32\halmacpi.dll (Hardware Abstraction Layer DLL/Microsoft Corporation) 85C33958
INT 0xE3 \SystemRoot\system32\halmacpi.dll (Hardware Abstraction Layer DLL/Microsoft Corporation) 85C336F8
INT 0xFD \SystemRoot\system32\halmacpi.dll (Hardware Abstraction Layer DLL/Microsoft Corporation) 85C33F2C
INT 0xFE \SystemRoot\system32\halmacpi.dll (Hardware Abstraction Layer DLL/Microsoft Corporation) 85C341A8

---- Devices - GMER 1.0.15 ----

Device \FileSystem\Ntfs \Ntfs 883801F8

AttachedDevice \FileSystem\Ntfs \Ntfs eamon.sys (Amon monitor/ESET)
AttachedDevice \Driver\kbdclass \Device\KeyboardClass0 Wdf01000.sys (Kernel Mode Driver Framework Runtime/Microsoft Corporation)
AttachedDevice \Driver\kbdclass \Device\KeyboardClass1 Wdf01000.sys (Kernel Mode Driver Framework Runtime/Microsoft Corporation)

Device \Driver\volmgr \Device\VolMgrControl 8837C1F8
Device \Driver\usbohci \Device\USBPDO-0 897861F8
Device \Driver\ACPI_HAL \Device\00000051 halmacpi.dll (Hardware Abstraction Layer DLL/Microsoft Corporation)
Device \Driver\usbohci \Device\USBPDO-1 897861F8
Device \Driver\usbehci \Device\USBPDO-2 897871F8

AttachedDevice \Driver\tdx \Device\Tcp cmdhlp.sys (COMODO Internet Security Helper Driver/COMODO)

Device \Driver\volmgr \Device\HarddiskVolume1 8837C1F8

AttachedDevice \Driver\volmgr \Device\HarddiskVolume1 fvevol.sys (BitLocker Drive Encryption Driver/Microsoft Corporation)

Device \Driver\volmgr \Device\HarddiskVolume2 8837C1F8

AttachedDevice \Driver\volmgr \Device\HarddiskVolume2 fvevol.sys (BitLocker Drive Encryption Driver/Microsoft Corporation)

Device \Driver\cdrom \Device\CdRom0 894061F8
Device \Driver\atapi \Device\Ide\IdeDeviceP2T0L0-2 8837E1F8
Device \Driver\atapi \Device\Ide\IdePort0 8837E1F8
Device \Driver\atapi \Device\Ide\IdePort1 8837E1F8
Device \Driver\atapi \Device\Ide\IdePort2 8837E1F8
Device \Driver\atapi \Device\Ide\IdeDeviceP1T0L0-1 8837E1F8
Device \Driver\NetBT \Device\NetBT_Tcpip_{5A0498AF-D1E6-4D87-956A-9B28ADCC8472} 896F81F8
Device \Driver\sptd \Device\1592764737 spmm.sys
Device \Driver\NetBT \Device\NetBt_Wins_Export 896F81F8

AttachedDevice \Driver\tdx \Device\Udp cmdhlp.sys (COMODO Internet Security Helper Driver/COMODO)

Device \Driver\PCI_PNP4736 \Device\0000005d spmm.sys

AttachedDevice \Driver\tdx \Device\RawIp cmdhlp.sys (COMODO Internet Security Helper Driver/COMODO)

Device \Driver\usbohci \Device\USBFDO-0 897861F8
Device \Driver\usbohci \Device\USBFDO-1 897861F8
Device \Driver\usbehci \Device\USBFDO-2 897871F8
Device \Driver\NetBT \Device\NetBT_Tcpip_{42451DE4-61CF-4850-BC8F-56BC4396768D} 896F81F8
Device \Driver\alix659x \Device\Scsi\alix659x1 897FE500
Device \FileSystem\cdfs \Cdfs 89414500

---- Registry - GMER 1.0.15 ----

Reg HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg@s1 771343423
Reg HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg@s2 285507792
Reg HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg@h0 1
Reg HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04
Reg HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@p0 C:\Program Files\Alcohol Soft\Alcohol 120\
Reg HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@h0 0
Reg HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@ujdew 0xE6 0x2F 0x86 0x4B ...
Reg HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001
Reg HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001@a0 0x20 0x01 0x00 0x00 ...
Reg HKLM\SYSTEM\ControlSet003\services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04 (not active ControlSet)
Reg HKLM\SYSTEM\ControlSet003\services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@p0 C:\Program Files\Alcohol Soft\Alcohol 120\
Reg HKLM\SYSTEM\ControlSet003\services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@h0 0
Reg HKLM\SYSTEM\ControlSet003\services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@ujdew 0xE6 0x2F 0x86 0x4B ...
Reg HKLM\SYSTEM\ControlSet003\services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001 (not active ControlSet)
Reg HKLM\SYSTEM\ControlSet003\services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001@a0 0x20 0x01 0x00 0x00 ...

---- EOF - GMER 1.0.15 ----

Réponse 3 / 6

Jon-Jon Messages postés 89 Date d'inscription lundi 8 juin 2009 Statut Membre Dernière intervention 15 février 2010 5
24 oct. 2009 à 02:35

Oui mais j'essayais justement de comprendre ce qu'était son travail et le pourquoi du comment. (un vrai geek ne se contente pas de se dire ah ok ben tant que ca marche c'est ok, il veut savoir comment ca marche de l'intérieur et pourquoi :p).

Donc si quelqu'un veut m'instruire et m'expliquer pourquoi ce message et si Malware est parano ou pas ca serait sympa :D.

Trying2 Messages postés 7096 Date d'inscription dimanche 13 juillet 2008 Statut Contributeur sécurité Dernière intervention 15 octobre 2015 234
24 oct. 2009 à 05:59

Hello,

Est-ce que tu as les logs de MBAM?

Et puis si tu étais resté jusqu'au bout ici, comme on te l'avait demandé, tu éviterais certainement de débarquer avec ce genre de phrases:
Celui ci semble s'exciter lorsque j'utilise des programmes P2P

PS: Je partage l'avis de Toto.

Jon-Jon Messages postés 89 Date d'inscription lundi 8 juin 2009 Statut Membre Dernière intervention 15 février 2010 5 > Trying2 Messages postés 7096 Date d'inscription dimanche 13 juillet 2008 Statut Contributeur sécurité Dernière intervention 15 octobre 2015
24 oct. 2009 à 06:58

Mon Pc est plus que propre et comme je l'avais expliqué ici https://forums.commentcamarche.net/forum/affich-14870626-malwarebytes-adresse-ip-malveillante-quot#4 ce pc n'était hélas (enfin tant mieux plutôt) pas le mien, mais celui d'un ami qui me l'avait prêté et que j'ai essayé de rendre utilisable sans tout formater. Je suis bien désolé de t'avoir laissé en plan mais je n'ai pas réussi à le revoir depuis pour diverses raisons.

Donc sans vouloir être désagréable je ne vois pas en quoi mettre à jour la console Java m'aurait empêcher de sortir la phrase "j'utilise un logiciel P2P".

Ne t'inquiète pas mon pc ne risque pas de voir une infection, et je mon rapport Malware te dira seulement qu'aucune élément nuisible n'a était trouvé ou que ce soit.
Tout de façon j'ai continué mes recherches (qui avaient étaient infructueuses jusqu'à maintenant) et ait finalement trouvé ma réponse http://www.forum-seven.com/forum/topic2228.html#p12536

Merci quand même !

Trying2 Messages postés 7096 Date d'inscription dimanche 13 juillet 2008 Statut Contributeur sécurité Dernière intervention 15 octobre 2015 234 > Jon-Jon Messages postés 89 Date d'inscription lundi 8 juin 2009 Statut Membre Dernière intervention 15 février 2010
24 oct. 2009 à 07:19

Mon Pc est plus que propre:
On vérifie? ça prend deux minutes un rapport rsit ;)

et ai finalement trouvé ma réponse:
C'est ce que t'as dit Toto sans le détailler.

mon pc ne risque pas de voir une infection:
De voir ou d'avoir^^?
Justement un AV + MBAM ne voient pas tout.

Je suis bien désolé de t'avoir laissé en plan</ital>:
Pas de soucis, c'est juste qu'en fin de désinfection de bons conseils sont donnés.

Jon-Jon Messages postés 89 Date d'inscription lundi 8 juin 2009 Statut Membre Dernière intervention 15 février 2010 5 > Trying2 Messages postés 7096 Date d'inscription dimanche 13 juillet 2008 Statut Contributeur sécurité Dernière intervention 15 octobre 2015
24 oct. 2009 à 07:26

C'est ce que t'as dit Toto sans le détailler.
Je pensais connaitre la réponse mais je cherchais justement les détails.

Certes d'avoir.

Non il est certain que nod.32.4 et Malwarebytes ne sont pas invincibles mais je pense que combinés avec Comodo pro, un surf et téléchargement averti et un entretien régulier de ma machine je suis assez à l'abri...

Mais cependant prudence est mère de sureté et je me ferais un plaisir de te faire un petit RSIT.

Jon-Jon Messages postés 89 Date d'inscription lundi 8 juin 2009 Statut Membre Dernière intervention 15 février 2010 5 > Jon-Jon Messages postés 89 Date d'inscription lundi 8 juin 2009 Statut Membre Dernière intervention 15 février 2010
24 oct. 2009 à 07:28

Oups mauvais lien au dessus : https://forums.commentcamarche.net/forum/affich-13498445-arrgh-win32-rootkit-agent-odg-trojan?page=3#79

Réponse 4 / 6

Trying2 Messages postés 7096 Date d'inscription dimanche 13 juillet 2008 Statut Contributeur sécurité Dernière intervention 15 octobre 2015 234
24 oct. 2009 à 08:07

Edit:
J'ai vu Gmer, je voudrais les deux rapports Rsit stp.
Commence par le 4/ pour gagner du temps.

_______________________________________________________________________________

J'ai vu que tu avais édité, je répond donc à ceci:
je ne vois pas en quoi mettre à jour la console Java m'aurait empêcher de sortir la phrase "j'utilise un logiciel P2P".

1/
Ske69 te dit:
au moins avec Java ... car la console JAVA pas à jour = grosse faille de sécurité ....
+ nettoyage correcte des outils et création d'un point de restauration sain

Et le connaissant un peu, c'est vraiment "au moins"^^.

2/
La phrase entière que j'ai citée est celle-ci:
Celui ci semble s'exciter lorsque j'utilise des programmes P2P
Sous entendu donc que MBAM réagit quand tu utilises Vuze.

-Donc si tu étais resté jusqu'au bout, tu aurais eu ce genre de conseils.
Regarde le dernier lien dans ces conseils: il t'emmène ici.
-Dans "Idée reçue numéro 2" il y a un lien qui t'emmène sur une page (les images n'y apparaissent plus: dommage) ou il est écrit ceci à propos du P2P:

Imaginez-vous que vous voyez les IP de connexion des autres utilisateurs, pour eux, c'est identique, ils ont aussi votre adresse IP, quelques petits malins pourraient s'en servir pour faire quelques bricoles pas très claires, ce n'est pas les outils ni les script-kiddies qui manque sur Internet, Atchoum !

3/
De plus, essaye d'utiliser un logiciel comme LimeWire par exemple sans JAVA, cela ne fonctionnera pas.
D'où l'importance de mettra cette console à jour.

Loin de moi, l'idée de te faire la morale ou quoi que ce soit vis à vis du P2P, mais c'est vrai que cela devient un peu agaçant de désinfecter des PC d'utilisateurs qui ignorent les risques qu'ils encourent.
Et 90% des PC qu'on reçoit en V/S ont au moins un logiciel P2P installé.
Un exemple concret parmi tant d'autres.

4/
Si tu veux un check de ton Rsit, c'est avec plaisir, car comme tu dis: "prudence est mère de sureté", et si tout est nickel, tant mieux :)

- Télécharge Random's System Information Tool (RSIT) (par random/random) sur ton Bureau.

- Double-clique sur RSIT.exe afin de lancer le programme.

- Clique sur Continue à l'écran Disclaimer.

-Si l'outil HijackThis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera (autorise l'accès dans ton pare-feu, si demandé) et tu devras accepter la licence.

- Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront. Poste le contenu de log.txt (c'est celui qui apparaît à l'écran) ainsi que de info.txt (que tu verras dans la barre des tâches) dans deux messages différents.

@+

Réponse 5 / 6

Jon-Jon Messages postés 89 Date d'inscription lundi 8 juin 2009 Statut Membre Dernière intervention 15 février 2010 5
24 oct. 2009 à 08:45

1/3/ Ma console Java est mis a jour probablement quelques heures maximum après que Sun microsystems annonce les siennes (j'exagère mais l'esprit y est). Et comme je te le dit le PC que j'ai désinfecté n'est pas le mien et n'est pas celui que j'utilise. Et si j'y avait accès je finirais volontiers le nettoyage !

2/
Imaginez-vous que vous voyez les IP de connexion des autres utilisateurs, pour eux, c'est identique, ils ont aussi votre adresse IP, quelques petits malins pourraient s'en servir pour faire quelques bricoles pas très claires, ce n'est pas les outils ni les script-kiddies qui manque sur Internet, Atchoum !

Merci pour cette information :-), (que je n'ait d'ailleurs pas retrouvé dans tes liens :-s).

c'est vrai que cela devient un peu agaçant de désinfecter des PC d'utilisateurs qui ignorent les risques qu'ils encourent. Anyway, je précise quand même que je suis venu ici pour avoir des informations sur le fonctionnement d'un module de Malware et non pas pour signaler une infection ou demander à l'aide. Sache en tout cas que j'assume entièrement ces risques...

4/ J'avais la flemme car RSIT ne semblait pas très adapté à Seven et refusait de se lancer, j'ai lancer le compatibility mode sous XP SP2 (pourquoi pas SP3 d'ailleurs?). Et ca m'a l'air de marcher.
Dans un prochain post pour faire ca plus proprement.

Réponse 6 / 6

Jon-Jon Messages postés 89 Date d'inscription lundi 8 juin 2009 Statut Membre Dernière intervention 15 février 2010 5
24 oct. 2009 à 08:50

En fait j'espère que tu m'excuse mais après avoir regardé ces posts, je trouve que certaines des informations qu'ils fournissent me génent un peu à poster sur un forum public :-s.

De toute façon je n'ai aucune issue sur mon problème à part quelques drivers béta (que j'ai installé un peu audacieusement :p) et aucune perte de vitesse ou problème de ralentissements qu'elle quelle soit.

Je t'économise donc de la lecture si tu veux bien ;-)

Trying2 Messages postés 7096 Date d'inscription dimanche 13 juillet 2008 Statut Contributeur sécurité Dernière intervention 15 octobre 2015 234
24 oct. 2009 à 09:15

Comme tu veux.

Je trouve que certaines des informations qu'ils fournissent me génent un peu à poster sur un forum public:

A part éventuellement une adresse mail dans "info.txt" et ton nom d'utilisateur sur ce PC qui se retrouve en dernière ligne dans les processus lancés( "C:\Program Files\trend micro\jonjon.exe ": c'est Hijackthis renommé automatiquement), je ne vois quelles infos persos il peut y avoir...
Si tu peux m'éclairer, je suis curieux de savoir.

Si tu souhaites me les envoyer en MP, no pb.

c'est vrai que cela devient un peu agaçant de désinfecter des PC d'utilisateurs qui ignorent les risques qu'ils encourent.
Il ne fallait pas le prendre pour toi.

pas retrouvé dans tes liens
C'est ici

Jon-Jon Messages postés 89 Date d'inscription lundi 8 juin 2009 Statut Membre Dernière intervention 15 février 2010 5 > Trying2 Messages postés 7096 Date d'inscription dimanche 13 juillet 2008 Statut Contributeur sécurité Dernière intervention 15 octobre 2015
24 oct. 2009 à 09:19

Ok

MalwareBytes' + "adresse IP Malveillante&quot

6 réponses

Discussions similaires