Keylogger

Question

Salut à toutes & tous

J'ai un petit problème sur le pc de ma fille que je n'arrive pas régler.
J'ai comme anti virus Kaspersky Internet Security (6.0). Quand je lance la défense proactive, (qui gère entre autre, le registre et la bibliothèque DLL), j'ai un message annonçant que j'ai un keylogger (system32/drivers/ps2.sys). 
Je n'ai pas d'autre choix que d'autoriser celui -ci malgré le risque car cette même défense proactive ne me propose pas de le bloquer.
J'ai fais plusieurs scannes avec spybot & ad-aware ainsi qu'avec ccleaner qui ne trouve rien. 
Comme j'ai installé le contrôle parental Wanadoo (securitoo), je me demande si ce logger n'est pas un contrôle permettant aux parents de vérifier les "frappes" de leur progéniture, mais je ne trouve aucune confirmation de cette commande dans les options de Securitoo.
Quoiqu'il en soit, j'aimerai bien m'en défaire. 
Merci de votre aide et du temps passer à me lire et à essayer de me comprendre...

Regis59 · Answer

Salut Meldireen;

Cela ressemble plutot a une autre infection qu'un keylogger...

télécharge HijackThis ici: 
http://telechargement.zebulon.fr/138-hijackthis-1991.html 

Dézippe le dans un dossier prévu à cet effet. 
Par exemple C:\hijackthis < Enregistre le bien dans c : ! 
Démo : (Merci a Balltrap34 pour cette réalisation)   
http://pageperso.aol.fr/balltrap34/Hijenr.gif 

Lance le puis: 
clique sur "do a system scan and save logfile" (cf démo) 
faire un copier coller du log entier sur le forum

Démo : (Merci a Balltrap34 pour cette réalisation)   
http://pageperso.aol.fr/balltrap34/demohijack.htm
	
Bon courage

A+

Utilisateur anonyme · Answer

Re bonjour
Voici le scan hijackthis...

Logfile of HijackThis v1.99.1
Scan saved at 13:32:45, on 04/01/2007
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
C:\Program Files\Controle Parental\bin\optproxy.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
C:\windows\system\hpsysdrv.exe
C:\WINDOWS\System32\VTTimer.exe
C:\WINDOWS\ALCXMNTR.EXE
C:\Program Files\Lexmark 2400 Series\lxcrmon.exe
C:\Program Files\Lexmark 2400 Series\ezprint.exe
C:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\WkUFind.exe
C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
C:\Program Files\SAGEM WiFi manager\WLANUTL.exe
C:\WINDOWS\System32\lxcrcoms.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Hijackthis Version Française\VERSION TRADUITE ORIGINALE.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://fr10.hpwis.com/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://srch-fr10.hpwis.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://fr10.hpwis.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://srch-fr10.hpwis.com/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [hpsysdrv] c:\windows\system\hpsysdrv.exe
O4 - HKLM\..\Run: [Recguard] C:\WINDOWS\SMINST\RECGUARD.EXE
O4 - HKLM\..\Run: [VTTimer] VTTimer.exe
O4 - HKLM\..\Run: [AlcxMonitor] ALCXMNTR.EXE
O4 - HKLM\..\Run: [regcmdcons] c:\hp\bin\cloaker.exe c:\hp\bin\cmdcons.cmd
O4 - HKLM\..\Run: [AutoTBar] DOWS\system32;C:\WINDOWS;C:\WINDOWS\System32\Wbem;c:\Python22AUTOTBAR.EXE
O4 - HKLM\..\Run: [lxcrmon.exe] "C:\Program Files\Lexmark 2400 Series\lxcrmon.exe"
O4 - HKLM\..\Run: [EzPrint] "C:\Program Files\Lexmark 2400 Series\ezprint.exe"
O4 - HKLM\..\Run: [LXCRCATS] rundll32 C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\LXCRtime.dll,_RunDLLEntry@16
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe"
O4 - HKCU\..\Run: [ccleaner] "C:\Program Files\CCleaner\ccleaner.exe" /AUTO
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Utilitaire réseau pour SAGEM Wi-Fi 11g USB adapter.lnk = ?
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\shdocvw.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\shdocvw.dll
O9 - Extra button: Antivirus Internet - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\scieplugin.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://download.microsoft.com/download/E/5/6/E5611B10-0D6D-4117-8430-A67417AA88CD/LegitCheckControl.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan8/oscan8.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/...
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O20 - Winlogon Notify: klogon - C:\WINDOWS\System32\klogon.dll
O23 - Service: Kaspersky Anti-Virus 6.0 (AVP) - Unknown owner - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe" -r (file missing)
O23 - Service: lxcr_device -   - C:\WINDOWS\System32\lxcrcoms.exe
O23 - Service: Control Parental (OPTENET_FILTER) - Contrôle Parental - C:\Program Files\Controle Parental\bin\optproxy.exe

Dans l'attente de vos commentaires
merci

Regis59 · Answer

Salut

Tutoie moi ;)

On vérifie une chose:

Télécharge ceci: (merci a S!RI pour ce programme).
http://siri.urz.free.fr/Fix/SmitfraudFix.exe
Exécute le, Double click sur Smitfraudfix.cmd choisit l’option 1, il va générer un rapport
Copie/colle le sur le poste stp.

A+

Regis59 · Answer

Ok.

Fais un scan en ligne Kaspersky avec Internet Explorer :
- Clique sur Démarrer Online-Scanner

- Clique maintenant sur J'accepte.
- Valide l'installation d'un ou de plusieurs ActiveX si c'est nécessaire.
- Patiente pendant l'installation des Mises à jour.
- Choisis par la suite l'analyse du Poste de travail.
- Sauvegarde puis colle le rapport généré en fin d'analyse.

AIDE : Configurer le contrôle des ActiveX

NOTE : Si tu reçois le message "La licence de Kaspersky On-line Scanner est périmée", va dans Ajout/Suppression de programmes puis désinstalle On-Line Scanner, reconnecte toi sur le site de Kaspersky pour retenter le scan en ligne.

Regis59 · Answer

Re,

C'est un crack pour Winrar?

As tu supprimé ceci?

F:\ressources\Winrar 3.61

A+

Utilisateur anonyme · Answer

Salut Régis

En fait non, il s'agit d'une version d'évaluation de winrar. Elle fonctionne très bien, même passé le délais d'éval. Y a seulement à chaque ouverture un panneau qui me demande de l'acheter. Mais en ce qui concerne ton autre question, je n'ai pas supprimer le dossier F:\ressources\winrar3.61
Penses tu que je doivent le supprimer ? 
Merci

Regis59 · Answer

Re,

Le truc c est qu'il est infecté.
Le mieux serait d avoir un autre dezippeur et de supprimer celui ci, qu en penses tu?

A+

Utilisateur anonyme · Answer

De toute évidence je suis pour le supprimer sans perdre de temps.  Mais cela ne supprimera pas mon keylogger... D'autre part je ne comprend pas comment on peu être infecté avec un log. qui jusqu'a présent fonctionnait très bien. Cela ne viendrait il pas du fait d'un fichier que j'aurai pu ouvrir avec ? Mais si oui, lequel... That is the question...
Merci

Regis59 · Answer

Re,

Perso, J opte pour un faux positif:

Vas sur le site https://virusscan.jotti.org/
- Clic en haut à droite sur "Parcourir", navigue dans les dossiers et sélectionne ce fichier : c:\windows\system32\drivers\PS2.sys
- Clic sur submit toujours en haut à droite
- Le scan va se lancer, ça va prendre un petit instant
- En bas, tu as le résultat du scan, copie/colle le résultat complet du scan ici.
Aide : https://www.malekal.com/scan-antivirus-ligne-nod32/#mozTocId662799

A+

Regis59 · Answer

Salut

D'accord, bonne continuation

A+

Connor SG-1 · Answer

Salut,

J'ai moi aussi le même problème , faut il que je fasse des test avec tous les logiciels donné plus haut et vous mettre les rapport ? 
Puis sinon, j'ai lu quelques parts que certains Keylogger était des drivers de Clavier !
Puis lorsque je suprime le PS2.sys, au redémarrage plus de clavier, l'ordi bloque dès que je touche à une seule touche !

Merci d'avance 

A+

Regis59 · Answer

Salut

Qu'est ce que PS2.sys?
Réponse: 
https://www.file.net/process/ps2.sys.html

Je dirais dans un premier temps, un faux positif.
Je n'écarte pas que certaines infections peuvent l'utiliser mais pour l'instant, j'opte pour le faux positif.

A+

ConnorSG1 · Answer

Merci, j'ai trouvé ca aussi ! 
https://www.sosordi.net/questions/136512/defense-proactive-kapersky
Voilou, donc plus aucune crainte a me faire 

Bye !

Regis59 · Answer

Ok super

A+

Utilisateur anonyme · Answer

Merci à tous les deux pour votre aide et le temps passé à m'aider !
J'ai farfouillé de mon coté sur le net et il se peut que la défense pro-active de KAV 6 soit "tombée" sur le driver HP du clavier.
Maintenant est ce que HP fout des keylogger dans leurs drivers ?!
Quoiqu'il en soit encore merci de votre aide
A charge de revenche
Amitié
Mel

celine2b · Answer

J'ai le meme pb ke vou mai jarive pa a reparer meme apres avoir formater certaine touche ne marchent tjs pa.
Comment avez vous fai SVP ???§§§???
MERCI

Utilisateur anonyme · Answer

Salut Céline2b
Pour ma part il s'agissait tout simplement d'un "driver" du clavier HP de mon pc... Toute fois afin de vérifier certaines choses, tu peux faire un scan avec "hijackthis" et coller dans un post le résultat de ce dernier. On pourra ainsi vérifier ce qui cloche.
Hijackthis est téléchargeable à cette adresse (entre autre) : http://www.infos-du-net.com/telecharger/HijackThis,0301-454.html.
Une fois installer cliques sur "scan an save log" Un fichier notepad va s'ouvrir, fais un copier coller de cef ichier et postes le ici... on te dira ce qui déconne ou pas...
pace é salute

leopheard · Answer

Non madame, System32\DRIVERS\PS2.sys est pour le shortcuts de la keyboard. e.g. fais les magazins, e-mail, finance, les sports, etc. Tout sont les clefs specials sur la keyboard sur votre HP!

Keylogger

18 réponses

Discussions similaires

Newsletters