Ordi en Galère : backdoor.win32 ! qu'y a-t-il Fermé

Question

Bonjour,
J'ai des soucis avec l'utilisation de mon ordi.
Deux minutes après que je me sois mis a surfer sur Internet, Kaspersky découvre des backdoor.win32 qui se déclinent dans les suffixes suivants
backdoor.win32.codbot.ay
backdoor.win32.Rbot.gen
backdoor.win32.Rbot.afo
backdoor.win32.Rbot.rd
backdoor.win32.Poebot.a
Ces backdoors apparaissent par paire, je n'ai jamais eu les 5 dans la même session. Les fichiers bloqués par Kasper sont situés dans system32 mais impossible de les retrouver (noms : resource32w.exe ; botfile.exe ; tftp1120, tftp2876 ou encore tftp520 et encore d'autres numéros...)
L'ordi ralentit au point de ne plus répondre. Chauffe.
Xoftspy m'a détecté un trojan "Fivsec" qui est vecteur de backdoor justement mais jamais il n'est supprimé...
Arghhhhhhhh au secours !!! ça me saoule depuis longtemps !

voici le log de HiJackthis!

Logfile of HijackThis v1.99.1
Scan saved at 17:48:17, on 22/10/2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\CTsvcCDA.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wincntrl.exe
C:\WINDOWS\System32\igfxtray.exe
C:\WINDOWS\System32\hkcmd.exe
C:\Program Files\Creative\SB Live! 24-bit\Surround Mixer\CTSysVol.exe
C:\Program Files\Fichiers communs\Logitech\QCDriver\LVCOMS.EXE
C:\WINDOWS\system32\qttask.exe
C:\Program Files\Winamp\winampa.exe
C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
C:\Program Files\HighCriteria\TotalRecorder\TotRecSched.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\WINDOWS\System32\wuauclt.exe
C:\HiJackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.90bpm.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.90bpm.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Internet Explorer avec Club-Internet
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Program Files\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll
O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\fr\msntb.dll
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\fr\msntb.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [CTSysVol] C:\Program Files\Creative\SB Live! 24-bit\Surround Mixer\CTSysVol.exe /r
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [LVCOMS] C:\Program Files\Fichiers communs\Logitech\QCDriver\LVCOMS.EXE
O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\system32\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKLM\..\Run: [KAVPersonal50] C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe /minimize
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [TotalRecorderScheduler] C:\Program Files\HighCriteria\TotalRecorder\TotRecSched.exe
O4 - HKLM\..\Run: [XoftSpy] C:\Program Files\XoftSpy\XoftSpy.exe -s
O4 - HKLM\..\Run: [TrojanScanner] C:\Program Files\Trojan Remover\Trjscan.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} - http://software-dl.real.com/18123f7988636fa02e20/netzip/RdxIE601_fr.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\System32\CTsvcCDA.exe
O23 - Service: kavsvc - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe
O23 - Service: MS Dns Service (WinNet) - Unknown owner - C:\WINDOWS\system32\wincntrl.exe

Diagnostic ?

Merci d'avance.
A demain (car je reviens devant l'écran demain)

Real Mona · Answer

Bonjour,Vérifie que tu as bien la dernière version de Spybot S&D 1.4. sinon, désinstalle la et installe :http://www.safer-networking.org/fr/index.html Si tu n'as pas Ad-Aware SE 1.06, installe le :http://www.lavasoftusa.com/software/adaware/ -Une aide:http://www.tutopat.com/viewtopic.php?t=1191 - installe le patch français, tu pourras le trouver ici: http://download.lavasoft.de.edgesuite.net/public/pllangs.exe et une petite vidéo d'utilisation ici:(merci à Moe31 pour cette réalisation)http://pageperso.aol.fr/balltrap34/adawrevid.asf Scanne ton pc avec Spybot et Ad-aware.Puis fais ces deux scans en ligne :http://www.bitdefender.com/scan/licence.php Copie/colle le rapport iciethttp://www.ewido.net/fr/download/Tu l'installes et tu le mets à jour.Fais un scan en mode complet.Sauvegardes le rapport et copie le iciDans la foulée copie un autre log HT avec.Et dis moi où en sont tes soucis.A+M.

d0ne · Answer

fais un scan en ligne ici bitdefenderhttp://fr.bitdefender.com/scan/licence.php et lasecuserhttp://www.secuser.com/outils/antivirus.htmPS : il faut aller sur ces sites avec internet explorer car ca ne marche pas avec mozilla ou autre

d0ne · Answer

exact j'avais pas vu. mais c'est pas grave

Jérôme · Answer

Bonsoir,Merci pour vos réponses.Je fais ce que vous me conseillez et je reveins vous donnez le résultat des scans et tout.@ plus tard.

d0ne · Answer

ah oui aus passage n'oublie pas de desactiver la restauration systeme ¤Désactive ta restauration système (uniquement si tu es sous XP):Clic droit sur poste de travail puis,propriété, tu cliques sur onglet restauration systèmetu coches la case « désactiver la restauration » et applique.¤Résactive ta restauration système (uniquement si tu es sous XP):Clic droit sur poste de travail puis,propriété, tu cliques sur onglet restauration systèmetu décoches la case « désactiver la restauration » et applique.

Jerome · Answer

Bonjour à tous,Hier soir dans la nuit et ce matin avant de partir au boulot, je fais les scans que vous me conseillez...Verdict (dans l'ordre):SpyBot détecte des petites merdes mais rien de bien grave apparementAd-Aware détecte rien du tout. Puis ensuite j'ai préféré exécuter ewido avant bitdefender car bitdefender est un scan en ligne et, étant donné que la backdoor se met en marche avec Internet Explorer et le surf sur Internet, j'ai préféré faire comme ça... Donc je scanne avec Ewido. Il me repère 7 trucs mais entre temps la backdoor semble s'être mise en route car les symptômes de sa présence se sont manifestés (ralentissements, blocages, etc)... après 54 minutes de scan, je n'ai pas accès au rapport mais Ewido me dit que les éléments ont été supprimés... je ferme ewido et comme d'habitude le bureau ne se réafiche pas, les commandes ne répondent plus. Redémarrage et cette fois, le scan de Ewido est propre. Je lance le scan de BitDefender qui ne détecte rien. Je remarque par ailleurs que le surf est redevenu normal, fluide comme au bon vieux temps ! Mais est-ce définitif ? De plus, comme me l'a fait remarquer dOne, je n'ai pas désactivé la restauration système, ce qui est une erreur grossière de ma part. Est ce que cela signifie pour autant que la suppression par Ewido n'est pas efficace ? Qu'est ce que je risque alors.Je vous envoie la suite de mes aventures (les scans et les logs) ce soir de retour à la maison.Merci encore. Jérôme

Real Mona · Answer

Bonjour,Ce soir, tu as deux autres devoirs à faire :- faire un windows update (passe au sp2 qui corrige les failles de sécurité)- très important : installer un parefeu, car celui de windows XP n'est pas efficace. Télécharge http://download.zonelabs.com/bin/free/fr/download/comparison.htmlPuis déconnecte toi du net et fais ceci :Pour désactiver ton firewall Windows XP : clique sur le bouton Démarrer, sur Paramètres, puis double clique sur Connexion Réseau. Sélectionne ta connexion puis clique dessus avec le bouton droit de la souris. Choisis la commande Propriétés. Dans l'onglet Avancé, décoche la case Protéger mon ordinateur et le réseau... Valide par OK.Ensuite installe ZoneAlarm.Il faut configurer ton ZoneAlarm. Pour configurer les programmes qui peuvent avoir accès à internet, ouvre ZoneAlarm, va dans "contrôle des programmes" clique sur l'onglet programme. Tu vas voir tous tes programmes. Quand tu cliques dans les colonnes "accès" et "serveur" tu as la possibilité d'autoriser de bloquer ou de demander.Tuto : http://www.zebulon.fr/articles/configurationZA_1.phpEt tu pourras te reconnecter à Internet.A ce soir,M.

d0ne · Answer

ah oui real mona j'avais pas vu qu'il etait au SP1 , c'est clair que le SP2 corrige pas mal de problemes

Jérôme · Answer

Salut,D'accord, je vois que j'ai affaire à une bande bien organisée!Une question juste : j'ai vu que le SP2 entraînait des problèmes avec certains programmes dont notamment Kaspersky, Norton ou encore ZoneAlarm... est ce grave ou est ce négligeable? Ensuite, en cherchant un parefeu, je me suis orienté vers Kerio. puis-je avoir votre objectif avis sur Kerio (et ceux d'autres internautes pareillement)Ce soir, je fais mes devoirs et je vous envoie tout ceci...Wesh wesh au boulot maintenant !Jérôme

Real Mona · Answer

Re,j'ai vu que le SP2 entraînait des problèmes avec certains programmes dont notamment Kaspersky, Norton ou encore ZoneAlarm... est ce grave ou est ce négligeable?Hum... jamais entendu parler de problèmes avec ZoneAlarm, ni Kaspersky d'ailleurs.En plus tu as deux antivirus ??? pas bien du tout ! vire Norton et garde Kaspersky !Et c'est important d'installer le SP2, crois moi !Ensuite, en cherchant un parefeu, je me suis orienté vers Kerio. puis-je avoir votre objectif avis sur Kerio (et ceux d'autres internautes pareillement) Tout ce que je peux te dire c'est que j'utilise ZoneAlarm depuis plus de 4 ans, et que je n'ai jamais eu aucun problème !J'ai entendu dire que Kerio était bon, mais le problème, c'est que l'utilisation de Kerio Personal FireWall est illimitée dans le temps pour une utilisation personelle, mais certaines fonctionnalités sont désactivées au bout de 30 jours.A toi de voir !M.

Jérôme · Answer

Pour les problèmes entrainés par SP2, j'ai vu ça là : http://support.microsoft.com/default.aspx?kbid=884130&product=windowsxpsp2ça vaut ce que ça vaut, mais si tu me dis que pas de problème constaté ni avéré, ok. J'm'y mets.A tout'Jérôme

Real Mona · Answer

J'ai regardé ton lien.En ce qui te concerne :Kaspersky, je sais pas quelle version tu as, mais les problèmes ne se posent que pour les versions 4.5 et 5.0 de plus ils disent "The vendor's Web site has available product updates that are designed to address this issue." donc Kaspersky a réussi à contourner le problème. Pour ZoneAlarm, ca concerne les versions antérieures à celle actuelle, qui est la 6.0. Donc pas de soucis.Donc no soucy !A+M.

d0ne · Answer

moi j'ai kaspesky et zone alarm et tout ca tourne avec le SP2et aucun souci depuis.je te conseille de garder kaspersky comme antivirus car c''st celui qui a le meilleur taux de detection et donc le meilleur du marché. -- vive le hack et les hackers ,les vrais .

Jérôme · Answer

Salut,J'ai suivi pas à pas la résolution de mon problème...Passages aux scans (spybot s&d1.4; adaware, bitdefender, ewido, kaspersky, a²) qui ne me detectent rien. Seul xoftspy détecte encore un trojan Fivsec qui revient malgré le fait que je l'ai remové.Déjà ça c'est suspect mais bon, qd je surfait sur Internet, y'a pas eu de backdoor, pas de ralentissement.Tout en desactivant réactivant la restauration. Ensuite j'ai mis SP2 nickel. Et là ça se complique avec l'instalation de ZoneAlarm. J'installe, je redémarre et là, pas moyen que ZA se lance car "Erreur d'application" de "vsmon.exe". Donc y'a ni moyen de lancer ZA, ni moyen de reinstaller par dessus, ni moyen de désinstaller non plus. d'autant plus que dans "Ajout suppression de programmes" j'ai plus rien du tout... ah bon ! Perplexité. J'ai bien conscience d'avoir bouté un problème pour retomber sur un autre (peut être de ma faute?)!Merci d'avance de vous pencher sur mon cas. Je joins ce log si cela peut servir... Logfile of HijackThis v1.99.1Scan saved at 23:44:20, on 24/10/2005Platform: Windows XP SP2 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\WINDOWS\System32\CTsvcCDA.exeC:\Program Files\ewido\security suite\ewidoctrl.exeC:\Program Files\ewido\security suite\ewidoguard.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\wincntrl.exeC:\WINDOWS\Explorer.EXEC:\WINDOWS\System32\igfxtray.exeC:\WINDOWS\System32\hkcmd.exeC:\Program Files\Creative\SB Live! 24-bit\Surround Mixer\CTSysVol.exeC:\Program Files\Fichiers communs\Logitech\QCDriver\LVCOMS.EXEC:\WINDOWS\system32\qttask.exeC:\Program Files\Winamp\winampa.exeC:\Program Files\Fichiers communs\Real\Update_OB\realsched.exeC:\Program Files\HighCriteria\TotalRecorder\TotRecSched.exeC:\WINDOWS\system32\ctfmon.exeC:\HiJackThis\HijackThis.exeR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.90bpm.comR0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.90bpm.comR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Internet Explorer avec Club-InternetR0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dllO2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Program Files\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dllO2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\fr\msntb.dllO3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\fr\msntb.dllO4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exeO4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exeO4 - HKLM\..\Run: [CTSysVol] C:\Program Files\Creative\SB Live! 24-bit\Surround Mixer\CTSysVol.exe /rO4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXEO4 - HKLM\..\Run: [LVCOMS] C:\Program Files\Fichiers communs\Logitech\QCDriver\LVCOMS.EXEO4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\system32\qttask.exe" -atboottimeO4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exeO4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exeO4 - HKLM\..\Run: [KAVPersonal50] C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe /minimizeO4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe"  -osbootO4 - HKLM\..\Run: [TotalRecorderScheduler] C:\Program Files\HighCriteria\TotalRecorder\TotRecSched.exeO4 - HKLM\..\Run: [XoftSpy] C:\Program Files\XoftSpy\XoftSpy.exe -sO4 - HKLM\..\Run: [TrojanScanner] C:\Program Files\Trojan Remover\Trjscan.exeO4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exeO9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exeO9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exeO16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} - http://software-dl.real.com/18123f7988636fa02e20/netzip/RdxIE601_fr.cabO16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.com/scan8/oscan8.cabO16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cabO16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cabO16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cabO16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cabO18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dllO23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\System32\CTsvcCDA.exeO23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido\security suite\ewidoctrl.exeO23 - Service: ewido security suite guard - ewido networks - C:\Program Files\ewido\security suite\ewidoguard.exeO23 - Service: kavsvc - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exeO23 - Service: MS Dns Service (WinNet) - Unknown owner - C:\WINDOWS\system32\wincntrl.exeBon courage er Merci d'avanceJérôme

Jérôme · Answer

Et d'ailleurs, c'est ZA pro ou ZA normal (gratuit) que vous utilisez ? Jérôme

Real Mona · Answer

Bonjour,A priori rien de suspect dans ton log.En ce qui concerne ZA pour ma part j'ai ZA normal (pourquoi payer?). Et en ce qui concerne ton soucis avec l'installation de ZA, notre ami d0ne pourra mieux te renseigner car il a la même configuration que toi.A part ZA, déplores tu encore des problèmes (à part Fivsec qui n'a pas l'air de gêner, d'ailleurs où le trouve t'il ?) ?A+M.

d0ne · Answer

salut a tousbon pour ZA perso j'ai jamais eu de problemes donc ça va etre un peu long ( enfin pour moi a trouver une solution , et oui je suis pas un magicien ).  tiens voici une petite explication de vsmon.exe  http://www.commentcamarche.net/processus/vsmon-exe.php3tu as redémarré après l'install du SP2 ? ou pas ? as-tu eu d'autres problemes particuliers suite a l'installation?essaie de vchanger ta date ( avance la de 30 jours et essaie de desinstaller ) ( c'est une idée que j'ai trouvée sur un autre forum )

Jérôme · Answer

Bonjour,Eh oui, j'ai toujours FivSec. C'est vrai qu'il ne fait pas trop de vagues mais j'aime pas trop le voir revenir constamment... De mémoire, Xoftspy le trouve dans {software.......} enfin vers là quoi ! Je t'enverrai le chemin précis (que je n'ai d'ailleurs pas pu retrouver via la recherche de fichiers et de dossiers) ce soir même. Pour ZA, pas moyen de desinstaller même en mode sans echec, le problème reste le même "vsmon.exe" qui est en erreur. Supprimer manuellement (sans merder) ???Autre détail que j'ai relevé, ma fenetre "Ajouts suppression de programmes" ne contient désormais que 5 programmes alors que j'en possède bcp plus (cf. HJthis), où sont passés les autres... j'arrive pas à savoir si c consécutif à la manip avec SP2 ou avec ZA.A part ça rien d'autre et tant mieux !Bon courage.A plus tard.Jérôme

Jérôme · Answer

Bonjour dOne.Tu répondais au moment même où je rédigeais un post.Alors : j'ai pas redémarré tout de suite après avoir installé SP2. ZA est bloqué par l'erreur de vsmon.exe à qui il manque un .dllCe soir, je balance des infos plus précises.a tout'Jérôme

d0ne · Answer

pour ce qui est de ton ajout/suppression de programmes je dirais que le SP2 y est pour quelque chose, mais pourquoi ?je ne sais pas.ta dll qui te manque tu peux me donner le nom que je te trouve ça?

Jérôme · Answer

Salut,

Voici le problème avec vsmon qui bloque ZA... Je mets tout ce qui se passe des fois que ça vous évoque quelque chose :
Dans la fenêtre "vsmon.exe - Erreur d'application" il y a écrit :
"L'instruction à "0xo1cc2ccd" emploie l'adresse mémoire "0x00080019". La mémoire ne peut pas être "read"."

après, Windows s'excuse du désagrément et la signature de l'erreur c'est
AppName : vsmon.exe
AppVer: 5.5.109.0
ModName: ntdll.dll
ModVer: 5.1.2600.2180
Offset: 00010a0a

Autre fait bizarre (j'avais plutot envie de dire "pète couilles") qd je cherche à uvrir mon dossier "mes images" iexplorer part en sucette et c'est une fermeture immédiate de la fénêtre... désolé de vous rajouter du boulot, mais je crains que tous mes pbs soient liés. Conspiration?

Merci d'avance pour vos réponses.

Jérôme.

Jérôme · Answer

Ah oui, pour le plantage de Explorer c'est les données suivantes :AppName : explorer.exe AppVer: 6.02900.2180 ModName: libavcodec_dec.dll ModVer: 0.0.0.0Offset: 001637b3 A plus

Jérôme · Answer

Bonsoir tout le monde,
J'en ai appris un peu plus sur notre nouvel ami le FivSec.
Voilà comment il agit :

Discovered date March 30, 2005
Risk rating Low
Affected OS Windows 95/98/ME/NT/2000/XP
Type Trojan
Alias Backdoor.Fivsec (Symantec), Trojan-Proxy.Win32.Small.bk (AVP)

Overview

Trojan.Small.BK is a trojan that modifies Windows and Internet Explorer security settings. It is also capable of opening a backdoor on a randomly chosen TCP port.

Go top

Technical Details

On execution, the worm performs the following operations:
Drops the file Pi.sys in the Windows Temporary folder.

Drops the files Thun.dll and Thun32.dll in the Windows System folder.

Executes Thun32.dll as a thread to either of the processes

Rundll32.exe
Explorer.exe

to hook system startup.

Creates the entries

HKCU\Software\Classes\CLSID\{0656A137-B161-CADD-9777-E37A75727E78}
HKCR\CLSID\{0656A137-B161-CADD-9777-E37A75727E78}
HKLM\SYSTEM\ControlSet001\Services\wscsvc
HKLM\SYSTEM\CurrentControlSet\Services\wscsvc

in the Windows registry.

Modifies Windows and Internet Explorer security settings by adding the following values in the Windows registry:

"dll" = "00, 00, 00, 00"
"id" = "124517651736"
"rpt" = "E8, 22, 00, 00"

under the key

HKEY_CURRENT_USER\Software\Microsoft\InternetExplorer\Security

"1001" = "01, 00, 00, 00"
"1004" = "01, 00, 00, 00"
"1200" = "00, 00, 00, 00"
"1809" = "03, 00, 00, 00"

under the keys

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\InternetSettings\Zones HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\InternetSettings\Zones

"AntiVirusDisableNotify" = "01, 00, 00, 00"
"AntiVirusOverride" = "01, 00, 00, 00"
"FirewallDisableNotify" = "01, 00, 00, 00"
"FirewallOverride" = "01, 00, 00, 00"
"UpdatesDisableNotify" = "01, 00, 00, 00"

under the key

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SecurityCenter

"EnableFirewall" = "00, 00, 00, 00"

under the keys

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\WindowsFirewall\StandardProfile

Deletes the service with the name Internet Connection Firewall (ICF) / Internet Connection Sharing (ICS).

Connects to the domains 5sec.biz and 5sec.org to notify the IP address of the infected machine.

Opens a backdoor on a random TCP port to await commands from remote user.

J'ai trouvé ça là : http://www.k7computing.com/virusinfo/trojansmallbk.htm

Mais bon, parès, ça ne me dit pas comment faire précisemment pour virer ce trojan...
Peut être une idée de votre part ?
Merci d'avance
Jérôme.

Jérôme · Answer

Bonjour,

ça fait plusieurs jours que rien n'est arrivé sur le forum concerant mon problème... N'y aurait il pas de solution ???

Je relance un message de détresse : si quelqu'un capte quelque chose à mon cas, merci de me le faire savoir pour un coup de main.

Merci d'avance à tous.

Jérôme