[Dossier Douteux] Est-ce un virus ?

Question

Bonjour,

Je ne suis pas sûr de poster dans la bonne section mais bon...

En me baladant dans : C:\Program Files sous Windows, je suis tombé sur un dossier :

"C:\Program files\microsoft frontpage".

Deux choses m'ont interpellé : 

Tout d'abord je n'ai pas d'installé, ni jamais eu d'installé, Microsoft Frontpage sur ma machine. 
De plus le nom du dossier "microsoft frontpage" ne continent aucune majuscule, pour une application aussi "officielle", c'est louche...

Ce dossier ne contient rien d'autre qu'un sous-dossier nommé "version3.0" ( le tout collé et sans majuscule une fois encore ).

Ce même sous-dossier ne contient qu'un dossier nommé "bin", lui étant vide...

Le plus étrange, c'est que ce dossier, apparament vide, je ne peux pas l'effacer. Il serais en cours d'utilisation...
Bizarre pour un dossier vide. Surtout que j'ai bel et bien activé l'affichage des fichiers système ET celui des fichiers masqués.

Fausse alerte ou problème réel ? Comment puis-je savoir ce qui se passe vraiment dans mon système ?

http://img345.imageshack.us/img345/5503/frontpageic8.jpg

Merci de votre aide et/ou conseils.

d0ne · Answer

salut a toi

Fais ce qui suit


A - ad-aware version 1.06
dispo a gauche de la page actuelle

démo
http://pageperso.aol.fr/balltrap34/adwseflash.zip

B - spybot version 1.4
dispo a gauche de la page actuelle
voir demo d utilisation
http://pageperso.aol.fr/Balltrap34/demo%20spybot.htm

C - Ccleaner : ( nettoyeur de registre, cookies+temps+tempos+prefetch+historique+etc..)
Télécharge ici :
https://www.ccleaner.com/ccleaner/download
Tutorial ici:
https://www.vulgarisation-informatique.com/nettoyer-windows-ccleaner.php

D – Ewido

dispo a gauche de la page actuelle

tutorial
https://www.malekal.com/tutorial-et-guide-ewido-v4/
ou
http://www.infos-du-net.com/telecharger/Ewido-Anti-Malware.html

Mets le à jour en cliquant update now.
Fais un "complete system scan".
A la fin du scan, vérifie qu'il y est bien marqué "delete à côté de chaque malware et clique seulement sur : "Apply all actions"
Ensuite, clique sur "Save Report " puis "Save report as" et sauve le rapport dans tes documents.

Copie/colle le rapport



E - Scan online avec BitDefender (fonctionne uniquement sous Internet Explorer en acceptant l’ activX)

http://www.bitdefender.fr/scan8/ie.html
Copie/COLLE le rapport entier 

enfin fais ( ou refais ) un log hijackthis


Voici la procédure :

1- Une fois que tu as téléchargé HiJackThis, il faut le placer dans son propre dossier (C'est obligatoire si tu veux qu'il fasse des sauvegardes dans un dossier nommé "Backup"), par exemple : C:\HiJackThis
Si tu ne suis pas cette étape, tu auras des problèmes si on doit vider le contenu des dossiers temporaires.

2- Après, tu vas pouvoir faire un scan et sauvegarder le rapport dans un fichier. Pour cela, clique sur le bouton "Do a system scan and save a logfile"

3- Ensuite, le Bloc-notes s'ouvre avec le rapport. Clique sur "Edition" Puis sur "Sélectionner tout"

4- Refais la même procédure sauf que, à la place de "Sélectionner tout", tu cliqueras sur "copier"

5- Ensuite tu retournes sur le forum et, dans une réponse, tu pourras coller le rapport en faisant un clic droit et en choisissant "Coller"

Hexawolf · Answer

Alors...

AD-Aware, après une très longue recherche, a trouvé... quatre cookies.

AVG Anti-Spyware 7.5 a trouvé, après un scan plus long encore ( quasiment 3/4 d'heure ) mais complet... a trouvé un nombre considérablement plus important de cookies, mais il est même pas passé, apparament, sur le dossier qui me pose problème lors de son cas de C:\Program Files... Des cookies et un spyware qui s'etait installé lors du setup de free ftp manager, un bon client ftp freeware, mais dont j'ai fait la betise de ne pas le telecharger au bon endroit... le spyware a été ajouté au programme d'installation, ca m'apprendra a telecharger n'importe ou... bref.

Spybot lui... déjà il ne s'occupe que de IE, pas de firefox, ce qui est dommage. Quoi qu'il en soit, il n'a rien trouvé ( oui oui je l'ai mis à jour ).

Voici le relevé de HiJack This : 


Logfile of HijackThis v1.99.1
Scan saved at 01:10:58, on 27/10/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avast4\aswUpdSv.exe
C:\Program Files\Avast4\ashServ.exe
C:\Program Files\MySQL\MySQL Server 5.0\bin\mysqld-nt.exe
C:\WINDOWS\system32
vsvc32.exe
C:\Program Files\Avast4\ashMaiSv.exe
C:\Program Files\Avast4\ashWebSv.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\Avast4\ashDisp.exe
C:\Program Files\ZoneAlarm\zlclient.exe
C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\AVG Anti-Spyware 7.5\guard.exe
C:\Program Files\AVG Anti-Spyware 7.5\avgas.exe
C:\Documents and Settings\Admin\Bureau\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: (no name) - {FFFFFEF0-5B30-21D4-945D-000000000000} - C:\PROGRA~1\STARDO~1\SDIEInt.dll
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O8 - Extra context menu item: Download with Star Downloader - C:\Program Files\Star Downloader\sdie.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/...
O17 - HKLM\System\CCS\Services\Tcpip\..\{21E329A4-2333-4ADD-B201-B83CBBBB682C}: NameServer = 130.244.127.161,130.244.127.169
O17 - HKLM\System\CS1\Services\Tcpip\..\{21E329A4-2333-4ADD-B201-B83CBBBB682C}: NameServer = 130.244.127.161,130.244.127.169
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: MySQL - Unknown owner - C:\Program.exe (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe


Je ne vois pas quel pourrait etre le processus utilisant "frontpage"... Vous êtes sur que certains programmes ne peuvent pas se "dissimuler" de la liste des processus et également de programmes comme Hijack this ?

Autre question : Certains programmes malfaisants peuvent-ils "survivre" a une réinstallation de Windows accompagnée d'un formatage du disque dur ? J'ai entendu dire que certains s'installaient dans une partie du disque dur jamais formatée...
Si cela existe vraiment, comment aller vérifier dans cette zone du HD jamais formatée ?

Merci du temps que vous me consacrez, vous en avez du courage vu le nombre de requetes semblables à la mienne :)

d0ne · Answer

tu as oublié de faire ça

E - Scan online avec BitDefender (fonctionne uniquement sous Internet Explorer en acceptant l’ activX)

http://www.bitdefender.fr/scan8/ie.html
Copie/COLLE le rapport entier

enfin fais ( ou refais ) un log hijackthis

[Dossier Douteux] Est-ce un virus ?

3 réponses

Discussions similaires

Newsletters