Savoir pour cheval de troie via TCP et UDP ?

Résolu
bobmarley54 Messages postés 44 Statut Membre -  
 g3n-h@ckm@n -
Bonjour, J'aimerais savoir comment reconnait on si l'ordi est infecté par un cheval de troie via l'invite de commande avec netstat . Je ne comprends pas les resultats affichés .. Merci

50 réponses

  • 1
  • 2
  • 3
Résumé de la discussion

L’instruction netstat et l’analyse des appels réseau sous Windows 7 sont envisagées pour identifier des connexions suspectes liées à un cheval de Troie. Des outils et méthodes complémentaires, tels que OTL et TDSSKiller, apparaissent pour générer des rapports et agir sur les composants malveillants détectés. Les échanges décrivent des étapes pratiques allant de la collecte de journaux à l’emplacement de fichiers suspects dans AppData/Local et dans le cache Java Deployment. En cas de détection, un redémarrage ou des nettoyages ciblés et le partage sécurisé des rapports, plutôt que la publication brute de données, peuvent être recommandés.

Bobot (l'IA à votre service)
  1. g3n-h@ckm@n
     
    Télécharge ici :OTL

    ▶ enregistre le sur ton Bureau.

    si tu as XP => double clique
    si tu as Vista ou windows 7 => clic droit "executer en tant que...."

    sur OTL.exe pour le lancer.

    ▶ => Clique ici pour voir la Configuration

    ▶ Copie et colle le contenu de ce qui suit en gras dans la partie inférieure d'OTL "Personnalisation"

    netsvcs
    safebootminimal
    safebootnetwork
    %systemroot%\system32\config\*.exe /s
    %systemroot%\system32\*.sys /s

    ▶ Clic sur Analyse.

    A la fin du scan, le Bloc-Notes va s'ouvrir avec le rapport (OTL.txt).

    Ce fichier est sur ton Bureau (en général C:\Documents and settings\le_nom_de_ta_session\OTL.txt)

    ▶▶▶ NE LE POSTE PAS SUR LE FORUM (il est trop long)

    Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/

    ▶ Clique sur Parcourir et cherche le fichier ci-dessus.

    ▶ Clique sur Ouvrir.

    ▶ Clique sur "Cliquez ici pour déposer le fichier".

    juste au niveau du bouton , en fin de chargement du fichier , Un lien de cette forme apparaitra :

    http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

    ▶ Copie ce lien dans ta réponse.

    ▶▶ Tu feras la meme chose avec le "Extra.txt" qui logiquement sera aussi sur ton bureau.
    1
  2. g3n-h@ckm@n
     
    salut fais

    netstat /?

    t'auras tout :)
    0
  3. bobmarley54 Messages postés 44 Statut Membre
     
    Mais ce sont les resultats APRES avoir fait le test que je ne comprends pas ...

    De plus je suis infecté par des agents BM , BW , BJ , DU . les fichiers trouvés ont été supprimer mais je ne pense pas que l'ordi soit totalement desinfecté .. non ?
    0
  4. g3n-h@ckm@n
     
    non

    tu peux en dire plus sur ces agents ?

    quels fichiers ? quels emplacements ?
    0

  5. Vous n’avez pas trouvé la réponse que vous recherchez ?

    Posez votre question
  6. bobmarley54 Messages postés 44 Statut Membre
     
    Hum ils se trouvaient tous dans :

    C:\User\***\appdata\localow\sun\java\Deployment\cache\6.0\......

    ( 14 fichiers )

    Du genre : A$1.class , b.class , a.class , kavs.class , monoide.class , gromozapa.class

    L'antivirus ne me trouve plus rien maintenant . je me suis fait pirater mon msn mais sans changement de mot de passe .. donc je me demande s'il y a aussi un rapport . . .
    0
  7. bobmarley54 Messages postés 44 Statut Membre
     
    Deja , merci beaucoup pour ton aide , ensuite , voila les rapports :

    http://www.cijoint.fr/cjlink.php?file=cj201110/cijp7JFIvM.txt

    http://www.cijoint.fr/cjlink.php?file=cj201110/cijodxQyzW.txt
    0
  8. g3n-h@ckm@n
     
    pourquoi t'as pas suivi les consignes ?
    0
  9. bobmarley54 Messages postés 44 Statut Membre
     
    autant pour moi je n'ai pas configuré otl , je viens de le faire et le scan est en cours . Mes excuses .
    0
  10. bobmarley54 Messages postés 44 Statut Membre
     
    http://www.cijoint.fr/cjlink.php?file=cj201110/cijBlYhXqq.txt

    http://www.cijoint.fr/cjlink.php?file=cj201110/cijeTjzdqd.txt

    Voila
    0
  11. g3n-h@ckm@n
     
    desinstalle ad-aware il sert à rien

    Fais analyser le(s) fichier(s) suivants sur Virustotal :

    Virus Total

    clique sur "Parcourir" et trouve puis selectionne ce(s) fichier(s) :

    C:\Windows\SysWOW64\XSrvSetup.exe

    * Clique maintenant sur Envoyer le fichier. et laisse travailler tant que "Situation actuelle : en cours d'analyse" est affiché.
    * Il est possible que le fichier soit mis en file d'attente en raison d'un grand nombre de demandes d'analyses. En ce cas, il te faudra patienter sans actualiser la page.
    * Lorsque l'analyse est terminée colle le lien de(s)( la) page(s) dans ta prochaine réponse.
    0
  12. bobmarley54 Messages postés 44 Statut Membre
     
    voila :

    http://www.virustotal.com/file-scan/reanalysis.html?id=d50ccb5e9c38031b30d0e9734287a3bc128bf422a1c4eac76485befe567e604c-1317927508

    Donc ?
    0
  13. g3n-h@ckm@n
     
    fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.

    ▶ Télécharge ici :

    Malwarebytes

    ▶ Installe le ( choisis bien "francais" ; ne modifie pas les paramètres d'installe ) et mets le à jour .

    relance malwarebytes en suivant scrupuleusement ces consignes :

    ! Déconnecte toi et ferme toutes applications en cours !

    ▶ Lance Malwarebyte's .

    Fais un examen dit "Complet" .

    ▶ Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ).
    ▶ à la fin tu cliques sur "résultat" .
    ▶ Vérifie que tous les objets infectés soient validés, puis clique sur " suppression " .

    ▶ Note : si il faut redémarrer ton PC pour finir le nettoyage, fais le !

    ▶ Poste le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwarebytes, le dernier en date)

    ¤¤¤¤¤¤¤¤¤¤_g3n-h@ckm@n_developpement_¤¤¤¤¤¤¤¤¤¤
    ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤_Pre_scan_¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
    0
  14. bobmarley54 Messages postés 44 Statut Membre
     
    Malwarebytes' Anti-Malware 1.51.2.1300
    www.malwarebytes.org

    Version de la base de données: 7887

    Windows 6.1.7601 Service Pack 1
    Internet Explorer 9.0.8112.16421

    06/10/2011 21:57:31
    mbam-log-2011-10-06 (21-57-31).txt

    Type d'examen: Examen complet (C:\|D:\|E:\|F:\|G:\|H:\|I:\|J:\|K:\|)
    Elément(s) analysé(s): 318003
    Temps écoulé: 23 minute(s), 33 seconde(s)

    Processus mémoire infecté(s): 0
    Module(s) mémoire infecté(s): 0
    Clé(s) du Registre infectée(s): 0
    Valeur(s) du Registre infectée(s): 0
    Elément(s) de données du Registre infecté(s): 0
    Dossier(s) infecté(s): 0
    Fichier(s) infecté(s): 0

    Processus mémoire infecté(s):
    (Aucun élément nuisible détecté)

    Module(s) mémoire infecté(s):
    (Aucun élément nuisible détecté)

    Clé(s) du Registre infectée(s):
    (Aucun élément nuisible détecté)

    Valeur(s) du Registre infectée(s):
    (Aucun élément nuisible détecté)

    Elément(s) de données du Registre infecté(s):
    (Aucun élément nuisible détecté)

    Dossier(s) infecté(s):
    (Aucun élément nuisible détecté)

    Fichier(s) infecté(s):
    (Aucun élément nuisible détecté)

    apparament toujours rien , encore autre chose ?
    0
  16. bobmarley54 Messages postés 44 Statut Membre
     
    http://www.cijoint.fr/cjlink.php?file=cj201110/cijz60XQAD.txt

    http://www.cijoint.fr/cjlink.php?file=cj201110/cijFIaUa1P.txt

    Voila .
    0
  17. g3n-h@ckm@n
     
    desactive ton antivirus
    desactive Windows defender si présent
    desactive ton pare-feu

    Ferme toutes tes appilications en cours

    telecharge et enregistre ceci sur ton bureau :

    Pre_Scan

    si le lien ne fonctionne pas :

    http://www.archive-host.com

    s'il n'est pas sur ton bureau coupe-le de ton dossier telechargements et colle-le sur ton bureau

    Avertissement: Il y aura une extinction du bureau pendant le scan --> pas de panique.

    une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition de "Pre_scan.txt" sur le bureau.

    si 'outil est bloqué par l'infection utilise cette version : Version .pif

    si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

    si l'outil semble ne pas avoir fonctionné renomme-le winlogon , ou change son extension en .com ou .scr

    Il se peut qu'une multitude de fenêtres noires clignotent , laisse-le travailler

    Poste Pre_Scan_la_date_et_l'heure.txt qui apparaitra sur le bureau en fin de scan

    ▶▶▶ NE LE POSTE PAS SUR LE FORUM (il est trop long)

    clique sur ce lien : http://www.cijoint.fr/

    ▶ Clique sur Parcourir et cherche le fichier ci-dessus.

    ▶ Clique sur Ouvrir.

    ▶ Clique sur "Cliquez ici pour déposer le fichier".

    Un lien de cette forme :

    http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

    est ajouté dans la page.

    ▶ Copie ce lien dans ta réponse.

    si ton bureau ne reapparait pas => ctrl+alt+supp , gestionnaire des taches => onglet fichier => nouvelle tache puis tape explorer
    0
  18. bobmarley54 Messages postés 44 Statut Membre
     
    http://www.cijoint.fr/cjlink.php?file=cj201110/cijOMlyrC2.txt

    Voila , tout sa est suffisant pour la verification non ?
    0
    1. g3n-h@ckm@n
       
      je vois que tu suis mes autres desinfections ^^

      j'etudie ca :)
      0
    2. bobmarley54 Messages postés 44 Statut Membre
       
      Oui , pourquoi ne le ferais-je pas :)

      D'accord , et je t'en remercie . Qui plus est , tu as fait ce programme .. chapeau :)

      Par ailleurs , sur mon serveur ( vu que je suis en reseau local sur ce pc ) j'ai detecter 3 fichiers infectés avec mbam au nom de " rogue winantivir " . A ce que j'ai pu lire il est chiant comme virus , aurais tu un truk efficace pour le barré ? Ou je l'ai deja viré grace a mbam ?
      0
  19. bobmarley54 Messages postés 44 Statut Membre
     
    derniere nouvelle , je suis blindé de rootkit . detecté par avg du genre ( 6 ) :

    win32k.sys[TEXT] XLATEOBJ-cGetPalette+0..........

    et 1 autre :

    win32k.sys[TEXT] EngCreateClip+.......

    Sa me dis que l'objet est caché par un rootkit ( logiciel malveillant ) .
    0
  20. g3n-h@ckm@n
     
    fais glisser une icone n'importe quel fichier sur Pre_scan , pre_script va apparaitre

    Lance Pre_script , une page vierge va s'ouvrir.

    selectionne tout le texte en gras ci-dessous, puis (clic droit/copier ou ctrl+c) :
    ___________________________________________________
    Registry::
    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
    "TaskTray"=-
    [-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\AcroRd32.exe]
    [-HKEY_LOCAL_MACHINE\Software\Conduit]

    folder::
    C:\WINDOWS\XSxS
    C:\Users\CRESTO\AppData\Local\_1_

    attrib::
    ___________________________________________________

    colle-le ensuite (clic droit/coller ou ctrl+V) dans la page vierge.

    puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

    des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille

    poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail

    si ton bureau ne reapparait pas => ctrl+alt+supp , gestionnaire des taches => onglet fichier => nouvelle tache puis tape explorer
    0
  21. bobmarley54 Messages postés 44 Statut Membre
     
    ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Script | 1.0.2.91 ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

    ¤¤¤¤¤ XP | Vista | Seven - 32/64 bits ¤¤¤¤¤

    Mise à jour : 06/10/2011 | 15.00 Par g3n-h@ckm@n
    Utilisateur : CRESTO (Administrateurs)
    Ordinateur : CRESTO-PC
    Système d'exploitation : Windows 7 Home Premium (64 bits)
    Internet Explorer : 9.0.8112.16421
    Mozilla Firefox : 7.0.1 (fr)

    Switchs possibles :

    processes:: | file:: | folder:: | Registry::
    Driver:: | replace:: | DNS:: | Command::
    attrib:: | txt:: | Host:: | NsLook::
    list:: | IP:: | ADS:: | Kill::

    Script : 16:53:43

    ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
    ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

    ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

    Modification du registre effectuée

    ¤

    Absent : C:\WINDOWS\XSxS
    Supprimé : C:\Users\CRESTO\AppData\Local\_1_

    ¤

    Disques externes : 2 Objets réattribués
    Disque Local : 10 Objets réattribués
    Utilisateurs : 1 Objets réattribués
    ProgramFiles : 7 Objets réattribués
    Music : 4 Objets réattribués
    Pictures : 0 Objets réattribués
    Videos : 0 Objets réattribués
    Downloads : 0 Objets réattribués
    Desktop : 16 Objets réattribués
    Links : 0 Objets réattribués
    Searches : 3 Objets réattribués
    Contacts : 0 Objets réattribués
    Saved Games : 0 Objets réattribués
    Favorites : 0 Objets réattribués
    Documents : 5 Objets réattribués
    Windows : 92 Objets réattribués
    StartMenu : 2 Objets réattribués
    Librairies : 0 Objets réattribués
    Quick Launch : 2 Objets réattribués
    %AppData% : 12 Objets réattribués

    ¤

    Fin : 16:54:08

    ¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤

    j'ai fait un scan et sa m'a supprimé : cheval de troie dans sun/java/... maintenant java marche plus je dois réinstaller .. a la la
    0
    1. bobmarley54 Messages postés 44 Statut Membre
       
      mais il y a encore des problemes de rootkits ... toujours les meme , pas moyen de les supprimer AVG me les supprimes pas grrrr :)
      0
  • 1
  • 2
  • 3

Discussions similaires

virus et ou cheval de troie
FLORE+60 -
bazfile -

1 réponse
cheval dans oblivion
sernaldo53 -
sernaldo53 -

12 réponses
Android partage de connexion par USB grisé.
Pic83 -
bazfile -

3 réponses
Débogage usb grisé
arnouldpatrice -
arnouldpatrice -

2 réponses