Programme inconnu : injection de code

Résolu
Utilisateur anonyme -  
 Utilisateur anonyme -
bonjour, bon jai remarqué que parfois au demarrage il y a un programme nommé jzahsdfc qui se demarre avec windows. jai téléchargé recemment et installer sunbelt kerio personnal firewall et quand je regarde dans un onglet du logiciel qui s'apelle HIPS il me dit que ce programme jzahsdfc qui est dans system32 fait de l'injection dangereuse de code dans msnmsgr.exe .jai essayé de rechercher manuellement dans system32 le prog mais il est pas , jai scanner avec avast mais rien aussi. si quelqu'un a une idée ,aidez-moi, svp, merci
A voir également:

51 réponses

Précédent
Réponse 21 / 51
Utilisateur anonyme
 
Tré bien expliqué ce lien:
http://securite-facile.ovh.org/hosts.php
merci.
0
Réponse 22 / 51
Utilisateur anonyme
 
voila c'est le resultat du vbscript:
"Silent Runners.vbs", revision R50, https://www.silentrunners.org/
Operating System: Windows XP
Output limited to non-default values, except where indicated by "{++}"


Startup items buried in registry:
---------------------------------

HKCU\Software\Microsoft\Windows\CurrentVersion\Run\ {++}
"SpybotSD TeaTimer" = "C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe" ["Safer Networking Limited"]
"msnmsgr" = ""C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background" [MS]

HKLM\Software\Microsoft\Windows\CurrentVersion\Run\ {++}
"00THotkey" = "C:\WINDOWS\System32\00THotkey.exe" ["TOSHIBA Corp."]
"000StTHK" = "000StTHK.exe" [null data]
"S3Hotkey" = "s3hotkey.exe" ["S3 Graphics, Inc."]
"TFncKy" = "TFncKy.exe /Type 02" ["TOSHIBA Corporation"]
"MsmqIntCert" = "regsvr32 /s mqrt.dll" [MS]
"avast!" = "C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe" [null data]

HKLM\Software\Microsoft\Active Setup\Installed Components\
{8b15971b-5355-4c82-8c07-7e181ea07608}\(Default) = "Fax"
\StubPath = "rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\fxsocm.inf,Fax.UnInstall.PerUser" [MS]
{94de52c8-2d59-4f1b-883e-79663d2d9a8c}\(Default) = "Fax Provider"
\StubPath = "rundll32.exe C:\WINDOWS\System32\Setup\FxsOcm.dll,XP_UninstallProvider" [MS]

HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\
{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}\(Default) = (no title provided)
-> {HKLM...CLSID} = "Adobe PDF Reader Link Helper"
\InProcServer32\(Default) = "C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll" ["Adobe Systems Incorporated"]
{2A646672-9C3A-4C28-9A7A-1FB0F63F28B6}\(Default) = (no title provided)
-> {HKLM...CLSID} = "IE 4.x-6.x BHO for Internet Download Accelerator"
\InProcServer32\(Default) = "C:\PROGRA~1\IDA\idaiehlp.dll" ["WestByte"]
{2F364306-AA45-47B5-9F9D-39A8B94E7EF7}\(Default) = "flashget urlcatch"
-> {HKLM...CLSID} = "Flashget Catch Url Class"
\InProcServer32\(Default) = "C:\Program Files\FlashGet\jccatch.dll" ["www.flashget.com"]
{53707962-6F74-2D53-2644-206D7942484F}\(Default) = (no title provided)
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = "C:\PROGRA~1\SPYBOT~1\SDHelper.dll" ["Safer Networking Limited"]
{C56CB6B0-0D96-11D6-8C65-B2868B609932}\(Default) = (no title provided)
-> {HKLM...CLSID} = "NTIECatcher Class"
\InProcServer32\(Default) = "C:\Program Files\Xi\NetTransport 2\NTIEHelper.dll" ["Xi"]
{F156768E-81EF-470C-9057-481BA8380DBA}\(Default) = (no title provided)
-> {HKLM...CLSID} = "FlashGet GetFlash Class"
\InProcServer32\(Default) = "C:\Program Files\FlashGet\getflash.dll" ["www.flashget.com"]

HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\
"{42071714-76d4-11d1-8b24-00a0c9068ff3}" = "Extension Affichage Panorama du Panneau de configuration"
-> {HKLM...CLSID} = "Extension Affichage Panorama du Panneau de configuration"
\InProcServer32\(Default) = "deskpan.dll" [file not found]
"{88895560-9AA2-1069-930E-00AA0030EBC8}" = "Extension icône HyperTerminal"
-> {HKLM...CLSID} = "HyperTerminal Icon Ext"
\InProcServer32\(Default) = "C:\WINDOWS\System32\hticons.dll" ["Hilgraeve, Inc."]
"{FC9FB64A-1EB2-4CCF-AF5E-1A497A9B5C2D}" = "Messenger Sharing Folders"
-> {HKLM...CLSID} = "Mes dossiers de partage"
\InProcServer32\(Default) = "C:\Program Files\MSN Messenger\fsshext.8.1.0178.00.dll" [MS]
"{CA5FEE26-14C1-4B5A-86E9-233FC0EE2682}" = "IZArc DragDrop Menu"
-> {HKLM...CLSID} = "IZArc DragDrop Menu"
\InProcServer32\(Default) = "C:\PROGRA~1\IZArc\IZArcCM.dll" [null data]
"{8D9D4D0D-FDDD-44CB-AAB2-6161FA0757C5}" = "IZArc Shell Context Menu"
-> {HKLM...CLSID} = "IZArc Shell Context Menu"
\InProcServer32\(Default) = "C:\PROGRA~1\IZArc\IZArcCM.dll" [null data]
"{B41DB860-8EE4-11D2-9906-E49FADC173CA}" = "WinRAR shell extension"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]
"{e57ce731-33e8-4c51-8354-bb4de9d215d1}" = "Périphériques Plug and Play universels"
-> {HKLM...CLSID} = "Périphériques Plug and Play universels"
\InProcServer32\(Default) = "C:\WINDOWS\System32\upnpui.dll" [MS]
"{cc86590a-b60a-48e6-996b-41d25ed39a1e}" = "Portable Media Devices Menu"
-> {HKLM...CLSID} = "Portable Media Devices Menu"
\InProcServer32\(Default) = "C:\WINDOWS\System32\Audiodev.dll" [MS]
"{472083B0-C522-11CF-8763-00608CC02F24}" = "avast"
-> {HKLM...CLSID} = "avast"
\InProcServer32\(Default) = "C:\Program Files\Alwil Software\Avast4\ashShell.dll" ["ALWIL Software"]
"{C52AF81D-F7A0-4AAB-8E87-F80A60CCD396}" = "OpenOffice.org Column Handler"
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = ""C:\Program Files\OpenOffice.org 2.1\program\shlxthdl.dll"" ["Sun Microsystems, Inc."]
"{087B3AE3-E237-4467-B8DB-5A38AB959AC9}" = "OpenOffice.org Infotip Handler"
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = ""C:\Program Files\OpenOffice.org 2.1\program\shlxthdl.dll"" ["Sun Microsystems, Inc."]
"{63542C48-9552-494A-84F7-73AA6A7C99C1}" = "OpenOffice.org Property Sheet Handler"
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = ""C:\Program Files\OpenOffice.org 2.1\program\shlxthdl.dll"" ["Sun Microsystems, Inc."]
"{3B092F0C-7696-40E3-A80F-68D74DA84210}" = "OpenOffice.org Thumbnail Viewer"
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = ""C:\Program Files\OpenOffice.org 2.1\program\shlxthdl.dll"" ["Sun Microsystems, Inc."]
"{8D1636FD-CA49-4B4E-90E4-0A20E03A15E8}" = "jetAudio"
-> {HKLM...CLSID} = "JetFlExt Class"
\InProcServer32\(Default) = "C:\Program Files\JetAudio\JetFlExt.dll" ["JetAudio, Inc."]
"{2B3453E4-49DF-11D3-8229-0080BE509050}" = "GMail Drive"
-> {HKLM...CLSID} = "GMail Drive"
\InProcServer32\(Default) = "C:\WINDOWS\System32\ShellExt\GMailFS.dll" ["Bjarke Viksoe"]
"{2B3453E4-49DF-11D3-8229-0080BE509052}" = "GMailFS Property Sheet"
-> {HKLM...CLSID} = "GMailFS Property Sheet"
\InProcServer32\(Default) = "C:\WINDOWS\System32\ShellExt\GMailFS.dll" ["Bjarke Viksoe"]
"{2B3453E4-49DF-11D3-8229-0080BE509054}" = "GMailFS Drop Handler"
-> {HKLM...CLSID} = "GMailFS Drop Handler"
\InProcServer32\(Default) = "C:\WINDOWS\System32\ShellExt\GMailFS.dll" ["Bjarke Viksoe"]
"{2B3453E4-49DF-11D3-8229-0080BE509056}" = "GMailFS Context Menu"
-> {HKLM...CLSID} = "GMailFS Context Menu"
\InProcServer32\(Default) = "C:\WINDOWS\System32\ShellExt\GMailFS.dll" ["Bjarke Viksoe"]
"{095177B8-8097-4D32-9081-A8949C47020E}" = "WinUHA Shell Ext"
-> {HKLM...CLSID} = "WinUHA Shell Ext"
\InProcServer32\(Default) = "C:\Program Files\WinUHA\ShellWinUha.dll" [null data]
"{709C6E11-538F-4759-86AC-6ACB302AA0DE}" = "Desktop Manager"
-> {HKLM...CLSID} = "Desktop Manager"
\InProcServer32\(Default) = "C:\WINDOWS\System32\msvdm.dll" [null data]
"{1530F7EE-5128-43BD-9977-84A4B0FAD7DF}" = "PhotoToys"
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = "C:\WINDOWS\System32\phototoys.dll" [MS]
"{efb97cb8-a4a4-4357-a261-002ffaed0267}" = "CD Slideshow Powertoy"
-> {HKLM...CLSID} = "CD Burn Slideshow Hook"
\InProcServer32\(Default) = "C:\WINDOWS\System32\slideshow.dll" [MS]
"{65F411C7-F4EE-11d2-9B7D-00C04FB16A21}" = "Audio Player"
-> {HKLM...CLSID} = "Audio Player"
\InProcServer32\(Default) = "C:\WINDOWS\System32\shplayer.dll" [file not found]
"{76EDEF4C-1313-11d3-8705-00C04FB16A21}" = "Audio Player backend"
-> {HKLM...CLSID} = "%DESK_ZaxxonPlayer%"
\InProcServer32\(Default) = "C:\WINDOWS\System32\shplayer.dll" [file not found]
"{E0D79304-84BE-11CE-9641-444553540000}" = "WinZip"
-> {HKLM...CLSID} = "WinZip"
\InProcServer32\(Default) = "C:\PROGRA~1\WINZIP\WZSHLSTB.DLL" ["WinZip Computing, Inc."]
"{E0D79305-84BE-11CE-9641-444553540000}" = "WinZip"
-> {HKLM...CLSID} = "WinZip"
\InProcServer32\(Default) = "C:\PROGRA~1\WINZIP\WZSHLSTB.DLL" ["WinZip Computing, Inc."]
"{E0D79306-84BE-11CE-9641-444553540000}" = "WinZip"
-> {HKLM...CLSID} = "WinZip"
\InProcServer32\(Default) = "C:\PROGRA~1\WINZIP\WZSHLSTB.DLL" ["WinZip Computing, Inc."]
"{E0D79307-84BE-11CE-9641-444553540000}" = "WinZip"
-> {HKLM...CLSID} = "WinZip"
\InProcServer32\(Default) = "C:\PROGRA~1\WINZIP\WZSHLSTB.DLL" ["WinZip Computing, Inc."]

HKLM\Software\Classes\Folder\shellex\ColumnHandlers\
{C52AF81D-F7A0-4AAB-8E87-F80A60CCD396}\(Default) = "OpenOffice.org Column Handler"
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = ""C:\Program Files\OpenOffice.org 2.1\program\shlxthdl.dll"" ["Sun Microsystems, Inc."]
{F9DB5320-233E-11D1-9F84-707F02C10627}\(Default) = "PDF Column Info"
-> {HKLM...CLSID} = "PDF Shell Extension"
\InProcServer32\(Default) = "C:\Program Files\Adobe\Acrobat 7.0\ActiveX\PDFShell.dll" ["Adobe Systems, Inc."]

HKLM\Software\Classes\*\shellex\ContextMenuHandlers\
avast\(Default) = "{472083B0-C522-11CF-8763-00608CC02F24}"
-> {HKLM...CLSID} = "avast"
\InProcServer32\(Default) = "C:\Program Files\Alwil Software\Avast4\ashShell.dll" ["ALWIL Software"]
IZArcCM\(Default) = "{8D9D4D0D-FDDD-44CB-AAB2-6161FA0757C5}"
-> {HKLM...CLSID} = "IZArc Shell Context Menu"
\InProcServer32\(Default) = "C:\PROGRA~1\IZArc\IZArcCM.dll" [null data]
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]
WinUHA\(Default) = "{095177B8-8097-4D32-9081-A8949C47020E}"
-> {HKLM...CLSID} = "WinUHA Shell Ext"
\InProcServer32\(Default) = "C:\Program Files\WinUHA\ShellWinUha.dll" [null data]
WinZip\(Default) = "{E0D79304-84BE-11CE-9641-444553540000}"
-> {HKLM...CLSID} = "WinZip"
\InProcServer32\(Default) = "C:\PROGRA~1\WINZIP\WZSHLSTB.DLL" ["WinZip Computing, Inc."]

HKLM\Software\Classes\Directory\shellex\ContextMenuHandlers\
IZArcCM\(Default) = "{8D9D4D0D-FDDD-44CB-AAB2-6161FA0757C5}"
-> {HKLM...CLSID} = "IZArc Shell Context Menu"
\InProcServer32\(Default) = "C:\PROGRA~1\IZArc\IZArcCM.dll" [null data]
jetAudio\(Default) = "{8D1636FD-CA49-4B4E-90E4-0A20E03A15E8}"
-> {HKLM...CLSID} = "JetFlExt Class"
\InProcServer32\(Default) = "C:\Program Files\JetAudio\JetFlExt.dll" ["JetAudio, Inc."]
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]
WinZip\(Default) = "{E0D79304-84BE-11CE-9641-444553540000}"
-> {HKLM...CLSID} = "WinZip"
\InProcServer32\(Default) = "C:\PROGRA~1\WINZIP\WZSHLSTB.DLL" ["WinZip Computing, Inc."]

HKLM\Software\Classes\Folder\shellex\ContextMenuHandlers\
avast\(Default) = "{472083B0-C522-11CF-8763-00608CC02F24}"
-> {HKLM...CLSID} = "avast"
\InProcServer32\(Default) = "C:\Program Files\Alwil Software\Avast4\ashShell.dll" ["ALWIL Software"]
jetAudio\(Default) = "{8D1636FD-CA49-4B4E-90E4-0A20E03A15E8}"
-> {HKLM...CLSID} = "JetFlExt Class"
\InProcServer32\(Default) = "C:\Program Files\JetAudio\JetFlExt.dll" ["JetAudio, Inc."]
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]
WinUHA\(Default) = "{095177B8-8097-4D32-9081-A8949C47020E}"
-> {HKLM...CLSID} = "WinUHA Shell Ext"
\InProcServer32\(Default) = "C:\Program Files\WinUHA\ShellWinUha.dll" [null data]
WinZip\(Default) = "{E0D79304-84BE-11CE-9641-444553540000}"
-> {HKLM...CLSID} = "WinZip"
\InProcServer32\(Default) = "C:\PROGRA~1\WINZIP\WZSHLSTB.DLL" ["WinZip Computing, Inc."]


Group Policies {GPedit.msc branch and setting}:
-----------------------------------------------

Note: detected settings may not have any effect.

HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\

"EditLevel" = (REG_DWORD) hex:0x00000000
{unrecognized setting}

"NoRun" = (REG_DWORD) hex:0x00000000
{unrecognized setting}

"NoClose" = (REG_DWORD) hex:0x00000000
{unrecognized setting}

"NoSaveSettings" = (REG_BINARY) hex:01 00 00 00
{User Configuration|Administrative Templates|Desktop|
Don't save settings at exit}

"NoFileMenu" = (REG_DWORD) hex:0x00000000
{unrecognized setting}

"NoCommonGroups" = (REG_DWORD) hex:0x00000000
{unrecognized setting}

"Nofind" = (REG_DWORD) hex:0x00000000
{unrecognized setting}

"NoFavoritesMenu" = (REG_DWORD) hex:0x00000000
{User Configuration|Administrative Templates|Start Menu and Taskbar|
Remove Favorites menu from Start Menu}

"NoNetHood" = (REG_DWORD) hex:0x00000000
{unrecognized setting}

"NoDesktop" = (REG_DWORD) hex:0x00000000
{unrecognized setting}

"ClearRecentDocsOnExit" = (REG_BINARY) hex:00 00 00 00
{unrecognized setting}

"NoActiveDesktop" = (REG_BINARY) hex:00 00 00 00
{User Configuration|Administrative Templates|Desktop|Desktop / Active Desktop|
Disable Active Desktop}

"NoWindowsUpdate" = (REG_DWORD) hex:0x00000000
{User Configuration|Administrative Templates|Start Menu and Taskbar|
Remove links and access to Windows Update}

"NoLogOff" = (REG_DWORD) hex:0x00000000
{User Configuration|Administrative Templates|System|Logon/Logoff|
Disable Logoff}

"NoDeletePrinter" = (REG_DWORD) hex:0x00000000
{unrecognized setting}

"NoAddPrinter" = (REG_DWORD) hex:0x00000000
{unrecognized setting}

"NoSetTaskbar" = (REG_DWORD) hex:0x00000000
{User Configuration|Administrative Templates|Start Menu and Taskbar|
Prevent changes to Taskbar and Start Menu Settings}

"NoStartBanner" = (REG_DWORD) hex:0x00000000
{Remove "Click here to begin" from Start button}

"NoInternetIcon" = (REG_DWORD) hex:0x00000000
{User Configuration|Administrative Templates|Desktop|
Hide Internet Explorer icon on desktop}

"NoViewContextMenu" = (REG_DWORD) hex:0x00000000
{unrecognized setting}

"NoFileSharingControl" = (REG_DWORD) hex:0x00000000
{unrecognized setting}

HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\

"shutdownwithoutlogon" = (REG_DWORD) hex:0x00000001
{Computer Configuration|Windows Settings|Security Settings|Local Policies|Security Options|
Shutdown: Allow system to be shut down without having to log on}

"undockwithoutlogon" = (REG_DWORD) hex:0x00000001
{Computer Configuration|Windows Settings|Security Settings|Local Policies|Security Options|
Devices: Allow undock without having to log on}


Active Desktop and Wallpaper:
-----------------------------

Active Desktop may be disabled at this entry:
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellState

Displayed if Active Desktop enabled and wallpaper not set by Group Policy:
HKCU\Software\Microsoft\Internet Explorer\Desktop\General\
"Wallpaper" = "C:\Documents and Settings\Gilles\Local Settings\Application Data\Microsoft\Wallpaper1.bmp"

Displayed if Active Desktop disabled and wallpaper not set by Group Policy:
HKCU\Control Panel\Desktop\
"Wallpaper" = "C:\WINDOWS\web\wallpaper\Colline verdoyante.bmp"


Enabled Screen Saver:
---------------------

HKCU\Control Panel\Desktop\
"SCRNSAVE.EXE" = "C:\WINDOWS\System32\logon.scr" [MS]


Enabled Scheduled Tasks:
------------------------

"Gestion des sauvegardes" -> launches: "C:\WINDOWS\system32\ntbackup.exe" [MS]
"Restauration du système" -> launches: "C:\WINDOWS\system32\Restore\rstrui.exe" [MS]


Winsock2 Service Provider DLLs:
-------------------------------

Namespace Service Providers

HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\ {++}
000000000001\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]
000000000002\LibraryPath = "%SystemRoot%\System32\winrnr.dll" [MS]
000000000003\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]

Transport Service Providers

HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\ {++}
0000000000##\PackedCatalogItem (contains) DLL [Company Name], (at) ## range:
%SystemRoot%\system32\mswsock.dll [MS], 01 - 04, 07 - 18
%SystemRoot%\system32\rsvpsp.dll [MS], 05 - 06


Toolbars, Explorer Bars, Extensions:
------------------------------------

Toolbars

HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\
"{C70E30C7-140A-4166-A2E8-43557E62B41A}"
-> {HKLM...CLSID} = "IDA Bar"
\InProcServer32\(Default) = "C:\Program Files\IDA\idabar.dll" ["2VG Group"]

HKLM\Software\Microsoft\Internet Explorer\Toolbar\
"{E0E899AB-F487-11D5-8D29-0050BA6940E3}" = "FlashGet"
-> {HKLM...CLSID} = "FlashGet"
\InProcServer32\(Default) = "C:\Program Files\FlashGet\fgiebar.dll" ["Amaze Soft"]
"{C70E30C7-140A-4166-A2E8-43557E62B41A}" = "IDA Bar"
-> {HKLM...CLSID} = "IDA Bar"
\InProcServer32\(Default) = "C:\Program Files\IDA\idabar.dll" ["2VG Group"]

Extensions (Tools menu items, main toolbar menu buttons)

HKLM\Software\Microsoft\Internet Explorer\Extensions\
{08B0E5C0-4FCB-11CF-AAA5-00401C608501}\
"MenuText" = "Console Java (Sun)"
"CLSIDExtension" = "{CAFEEFAC-0015-0000-0011-ABCDEFFEDCBC}"
-> {HKCU...CLSID} = "Java Plug-in 1.5.0_11"
\InProcServer32\(Default) = "C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll" [file not found]
-> {HKLM...CLSID} = "Java Plug-in 1.5.0_11"
\InProcServer32\(Default) = "C:\Program Files\Java\jre1.5.0_11\bin\npjpi150_11.dll" ["Sun Microsystems, Inc."]

{36ECAF82-3300-8F84-092E-AFF36D6C7040}\
"ButtonText" = "Run WinHTTrack"
"MenuText" = "Launch WinHTTrack"
"CLSIDExtension" = "{86529161-034E-4F8A-88D2-3C625E612E04}"
-> {HKLM...CLSID} = "WinHTTrackLauncher Class"
\InProcServer32\(Default) = "C:\Program Files\WinHTTrack\WinHTTrackIEBar.dll" [null data]

{85D1F590-48F4-11D9-9669-0800200C9A66}\
"MenuText" = "Uninstall BitDefender Online Scanner v8"
"Exec" = "%windir%\bdoscandel.exe" [null data]

{9819CC0E-9669-4D01-9CD7-2C66DA43AC6C}\
"ButtonText" = "Internet Download Accelerator"
"MenuText" = "&Internet Download Accelerator"
"Exec" = "C:\Program Files\IDA\ida.exe" ["WestByte"]

{D6E814A0-E0C5-11D4-8D29-0050BA6940E3}\
"ButtonText" = "FlashGet"
"MenuText" = "FlashGet"
"Exec" = "C:\PROGRA~1\FlashGet\flashget.exe" ["FlashGet.com"]


Miscellaneous IE Hijack Points
------------------------------

C:\WINDOWS\INF\IERESET.INF (used to "Reset Web Settings")

Added lines (compared with English-language version):
[Strings]: SAFESITE_VALUE="https://www.msn.com/fr-fr/?redirfallthru=http%3a%2f%2fhome.microsoft.com%2fintl%2ffr%2f%3f"

Missing lines (compared with English-language version):
[Strings]: 1 line


Running Services (Display Name, Service Name, Path {Service DLL}):
------------------------------------------------------------------

avast! Antivirus, avast! Antivirus, ""C:\Program Files\Alwil Software\Avast4\ashServ.exe"" [null data]
avast! iAVS4 Control Service, aswUpdSv, ""C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe"" [null data]
avast! Mail Scanner, avast! Mail Scanner, ""C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service" ["ALWIL Software"]
avast! Web Scanner, avast! Web Scanner, ""C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service" ["ALWIL Software"]
InteractiveLogon, InteractiveLogon, "C:\WINDOWS\System32\Fast.exe -service" [MS]
Message Queuing, MSMQ, "C:\WINDOWS\System32\mqsvc.exe" [MS]
Message Queuing Triggers, MSMQTriggers, "C:\WINDOWS\System32\mqtgsvc.exe" [MS]
Service d'administration du Gestionnaire de disque logique, dmadmin, "C:\WINDOWS\System32\dmadmin.exe /com" ["Microsoft Corp., Veritas Software"]
Service Messenger Sharing Folders USN Journal Reader, usnjsvc, "C:\Program Files\MSN Messenger\usnsvc.exe" [MS]
Services TCP/IP simplifiés, SimpTcp, "C:\WINDOWS\System32\tcpsvcs.exe" [MS]
Sunbelt Kerio Personal Firewall 4, KPF4, "C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe" ["Sunbelt Software"]
Tmesbs32, Tmesbs, ""C:\Program Files\TOSHIBA\EMT3\Tmesbs32.exe" /Service" ["TOSHIBA Corporation test"]
Tmesrv3, Tmesrv, ""C:\Program Files\TOSHIBA\EMT3\Tmesrv31.exe" /Service" ["Toshiba"]
Windows User Mode Driver Framework, UMWdf, "C:\WINDOWS\System32\wdfmgr.exe" [MS]
Écouteur RIP, Iprip, "C:\WINDOWS\System32\svchost.exe -k netsvcs" {"C:\WINDOWS\System32\iprip.dll" [MS]}


Keyboard Driver Filters:
------------------------

HKLM\System\CurrentControlSet\Control\Class\{4D36E96B-E325-11CE-BFC1-08002BE10318}\
"UpperFilters" = <<!>> "Lkbdflt2" ["Logitech"]


Print Monitors:
---------------

HKLM\System\CurrentControlSet\Control\Print\Monitors\
LPR Port\Driver = "lprmon.dll" [MS]


----------
<<!>>: Suspicious data at a malware launch point.

+ This report excludes default entries except where indicated.
+ To see *everywhere* the script checks and *everything* it finds,
launch it from a command prompt or a shortcut with the -all parameter.
+ The search for DESKTOP.INI DLL launch points on all local fixed drives
took 229 seconds.
---------- (total run time: 1836 seconds)
0
Réponse 23 / 51
Utilisateur anonyme
 
re,
je suppose que ça ne t'a pas échappé...
http://209.85.135.104/search?q=cache:VMsTtjNF52oJ:www.superantispyware.com/definition/idabar/+idabar.dll&hl=fr&ct=clnk&cd=3&gl=fr
0
Réponse 24 / 51
Utilisateur anonyme
 
idabar se supprime dans le registre ou alors je dois telecharger le logiciel sur le lien que tu as mis sur le forum? Je croyais que cela faisait partie du logiciel internet download accelarator.d'où le ida.
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 25 / 51
zBr
 
Salut the drum master

Juste un truc en passant, poste le log de Kério pour l'hips, ce sera utile pour ceux qui t'aide.
Normalement tu le trouve ici, selon ta version de kério, avec les détails des tentatives d'injection:
C:\Program Files\Kerio\Personal Firewall 4\logs\hips.log
C:\Program Files\Sunbelt Software\Personal Firewall\logs\hips.log

L'Hips est une méthode de détection avancé sensé prévenir et surveiller l'injection de code ou le hook de processus dans le cas des rootkits, rien à voir avec le fichier hosts.
Vu le processus qui est signalé, cela ressemble fortement à une tentative d'injection du simili-rootkit Navipromo/Mailskinner (avis strictement perso).
Il y a une faille qui existe concernant l'hips et plusieurs firewalls utilisant cette méthode peuvent être bypassés malgré tout.
Dans le meilleur des cas, tu auras au moins la liste des processus qui tentent d'injecter du code.
Possible qu'entre temps jzahsdfc se soit renommé ou soit hooké (masqué) du gestionnaire des taches, ce qui expliquerait que tu ne l'aies pas encore trouvé sur ton pc...

a+
0
Réponse 26 / 51
Utilisateur anonyme
 
Merci pour tes précisions,
voila le log du hips:
[18/Feb/2007 18h54:23] "Hips" type = 'Code injection', action = 'denied', descr = 'Process C:\windows\system32\jzahsdfc.exe injected dangerous code into C:\Program Files\MSN Messenger\MsnMsgr.Exe (code address: 0x07960123)
[18/Feb/2007 18h54:23] "Hips" type = 'Code injection', action = 'denied', descr = 'Process C:\windows\system32\jzahsdfc.exe injected dangerous code into C:\Program Files\MSN Messenger\MsnMsgr.Exe (code address: 0x07960123)
[20/Feb/2007 18:55:40] "Hips" type = 'Code injection', action = 'denied', descr = 'Process C:\windows\system32\jzahsdfc.exe injected dangerous code into C:\Program Files\MSN Messenger\MsnMsgr.Exe (code address: 0x07A60123)
[20/Feb/2007 18:56:06] "Hips" type = 'Code injection', action = 'denied', descr = 'Process C:\windows\system32\jzahsdfc.exe injected dangerous code into C:\Program Files\MSN Messenger\MsnMsgr.Exe (code address: 0x07A60123)
[22/Feb/2007 18:56:25] "Hips" type = 'Code injection', action = 'denied', descr = 'Process C:\windows\system32\jzahsdfc.exe injected dangerous code into C:\Program Files\MSN Messenger\MsnMsgr.Exe (code address: 0x016B0123)
[22/Feb/2007 18:56:35] "Hips" type = 'Code injection', action = 'denied', descr = 'Process C:\windows\system32\jzahsdfc.exe injected dangerous code into C:\Program Files\MSN Messenger\MsnMsgr.Exe (code address: 0x016B0123)

Mais en fait c'est quoi l'injection de code ,c'est dangereux?, je demande car bon je tiens a savoir et à comprendre toutes les manip que j'ai faites et bon aussi pour mon savoir personnel.
0
Réponse 27 / 51
Regis59 Messages postés 21466 Statut Contributeur sécurité 1 322
 
Re et merci zbr,

Prends connaissance du contenu le lien suivant:
http://www.f-secure.com/products/license-terms/eult_fra.pdf
Tu as donc pris connaissance et accepté les conditions d'utilisations du programme blacklight qui est inclus dans le dossier compressé navilog1.zip que tu vas télécharger.
Maintenant fais un clic droit sur ce lien :
http://perso.orange.fr/il.mafioso/Navifix/navilog1.zip
Enregistrer la cible (du lien) sous... et enregistre-le sur ton bureau.
Fais un clic droit sur navilog1.zip et choisis "tout extraire"
Ensuite double clique sur navilog1.bat
Laisses-toi guider. Au menu principal, choisis 1 et valides.
(ne fais pas le choix 2 sans notre avis/accord)
Patientes jusqu'au message :
*** Analyse Termine le ..... ***
Appuies sur une touche comme demandé, le blocnote va s'ouvrir.
Copies-colles l'intégralité dans une réponse. Refermes le blocnote.
Le rapport est en outre sauvegardé à la racine du disque (fixnavi.txt)
0
Réponse 28 / 51
Utilisateur anonyme
 
Bonsoir,voila le rapport:
Search Navipromo version 1.0.3 commencé le 23/02/2007 à 22:25:06,73

!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!
!!! Poster ce rapport sur le forum pour le faire analyser !!!
!!! Ne pas lancer la partie désinfection sans l'avis d'un spécialiste !!!

Fix lancé depuis C:\Documents and Settings\Gilles\Bureau\navilog1
Mise a jour le 21.02.2007 a 17h00 by IL-MAFIOSO

Executé en mode normal

*** Recherche Programmes installes ***




*** Recherche dossiers dans C:\WINDOWS ***




*** Recherche dossiers dans C:\Program Files ***




*** Recherche dossiers dans C:\Documents and Settings\All Users\Application Data ***




*** Recherche dossiers dans C:\Documents and Settings\Gilles\Application Data ***


...\Application Data\MessengerSkinner trouvé !

*** Recherche avec BlackLight Engine/F-secure ***
BlackLight Engine est un produit de F-secure, pour + d'infos :
https://www.f-secure.com/en


F-SECURE BLACKLIGHT ROOTKIT ELIMINATOR
======================================

Copyright 2005-2006 F-Secure Corporation. All rights reserved.
This is a beta version. It will expire on 1st of April, 2007.
Version information: 2.2.1055.

[+] Started on 02/23/07 at 22:18:13.
[+] Initializing ...
[+] Starting scan, press Ctrl-C to abort.
[+] Scanning for hidden items .........................................................................
[+] Scan complete.
[+] Summary: 0 hidden item(s) found, 0 scheduled for renaming.
[+] Exited on 02/23/07 at 22:26:35 (return code = 0).


*** Recherche fichiers ***


C:\WINDOWS\system32\nvs2.inf trouvé !


*** Recherche cles registre ***


Recharche dans [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs]



Recharche dans [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ModuleUsage]



Recherche Clé Magic Control

HKEY_CURRENT_USER\Software\Lanconfig trouvé !


*** Module de recherche complémentaire ***
(recherche fichiers spécifiques)



*** Analyse Terminé le 23/02/2007 à 22:37:52,09 ***
0
Réponse 29 / 51
Regis59 Messages postés 21466 Statut Contributeur sécurité 1 322
 
Salut,

¤Démarre en mode sans échec :
Pour cela, tu tapotes la touche F8 dès le début de l’allumage du pc sans t’arrêter
Une fenêtre va s’ouvrir tu te déplaces avec les flèches du clavier sur démarrer en mode sans échec puis tape entrée.
Une fois sur le bureau s’il n’y a pas toutes les couleurs et autres c’est normal !
(Si F8 ne marche pas utilise la touche F5).

Double clique sur navilog1.bat
Laisses-toi guider. Au menu principal, choisis 3 et valides.
Indique le mode de nettoyage "automatique"
Laisses toi guider et réponds aux questions éventuelles
Ton bureau va disparaitre, c'est normal.
Patientes jusqu'au message :
*** Nettoyage Termine le ..... ***
Appuies sur une touche comme demandé, le blocnote va s'ouvrir.
Sauvegardes le rapport de manière à le retrouver
Refermes le blocnote. Ton bureau va réapparaitre
Redémarres normalement et copies-colles l'intégralité dans une réponse.
Le rapport est en outre sauvegardé à la racine du disque (cleannavi.txt)

PS:Si ton bureau ne réapparait pas, fais CTRL+ALT+SUPP pour ouvrir le gestionnaire de tâches.
Puis rends-toi à l'onglet "processus". Cliques en haut à gauche sur fichiers et choisis "exécuter"
Tapes explorer et valides. Celà te fera apparaitre ton bureau

A+
0
Utilisateur anonyme
 
salut,
Clean Navipromo version 1.0.3 commencé le 23/02/2007 à 22:59:10,56

Fix lancé depuis C:\Documents and Settings\Gilles\Bureau\navilog1
Mise a jour le 21.02.2007 a 17h00 by IL-MAFIOSO

Executé en mode sans echec

*** fsbl1.txt non trouvé ***
(Assurez-vous que Blacklight n'avait rien trouvé lors de la recherche)


*** Suppression dossiers dans C:\WINDOWS ***


*** Suppression dossiers dans C:\Program Files ***


*** Suppression dossiers dans C:\Documents and Settings\All Users\Application Data ***


*** Suppression dossiers dans C:\Documents and Settings\Gilles\Application Data ***

...\Application Data\MessengerSkinner ...suppression...
...\Application Data\MessengerSkinner supprimé !



*** Suppression fichiers ***

C:\WINDOWS\system32\nvs2.inf supprimé !

*** Suppression fichiers temporaires ***

Nettoyage contenu C:\WINDOWS\Temp effectué !
Nettoyage contenu C:\Documents and Settings\Gilles\Local Settings\Temp effectué !


*** Sauvegarde du registre vers dossier Backupnavi***


sauvegarde du registre réalisée avec succès !


*** Nettoyage registre ***


Nettoyage registre Ok

*** Module de recherche complémentaire ***
(recherche fichiers spécifiques)
Le fix ne traite pas ce résultat. Fichiers à supprimer si nécéssaire



*** Nettoyage termine le 23/02/2007 à 23:03:18,96 ***

0
Réponse 30 / 51
Regis59 Messages postés 21466 Statut Contributeur sécurité 1 322
 
Salut

remet un hijack this

a+
0
Réponse 31 / 51
Utilisateur anonyme
 
oui voila,
Logfile of HijackThis v1.99.1
Scan saved at 12:38:39, on 24/02/2007
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\System32\inetsrv\inetinfo.exe
C:\WINDOWS\System32\Fast.exe
C:\WINDOWS\System32\tcpsvcs.exe
C:\WINDOWS\System32\snmp.exe
C:\Program Files\TOSHIBA\EMT3\Tmesbs32.exe
C:\Program Files\TOSHIBA\EMT3\Tmesrv31.exe
C:\WINDOWS\System32\dmadmin.exe
C:\WINDOWS\System32\mqsvc.exe
C:\WINDOWS\System32\mqtgsvc.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\00THotkey.exe
C:\WINDOWS\System32\s3hotkey.exe
C:\Program Files\TOSHIBA\TOSHIBA Controls\TFncKy.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\MSN Messenger\usnsvc.exe
C:\WINDOWS\System32\dllhost.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\System32\taskmgr.exe
C:\WINDOWS\System32\taskmgr.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\JetAudio\JetAudio.exe
C:\Documents and Settings\Gilles\Bureau\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://home.neuf.fr/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 127.0.0.1:8088
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: IE 4.x-6.x BHO for Internet Download Accelerator - {2A646672-9C3A-4C28-9A7A-1FB0F63F28B6} - C:\PROGRA~1\IDA\idaiehlp.dll
O2 - BHO: flashget urlcatch - {2F364306-AA45-47B5-9F9D-39A8B94E7EF7} - C:\Program Files\FlashGet\jccatch.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: NTIECatcher Class - {C56CB6B0-0D96-11D6-8C65-B2868B609932} - C:\Program Files\Xi\NetTransport 2\NTIEHelper.dll
O2 - BHO: FlashGet GetFlash Class - {F156768E-81EF-470C-9057-481BA8380DBA} - C:\Program Files\FlashGet\getflash.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: FlashGet - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\Program Files\FlashGet\fgiebar.dll
O3 - Toolbar: IDA Bar - {C70E30C7-140A-4166-A2E8-43557E62B41A} - C:\Program Files\IDA\idabar.dll
O4 - HKLM\..\Run: [00THotkey] C:\WINDOWS\System32\00THotkey.exe
O4 - HKLM\..\Run: [000StTHK] 000StTHK.exe
O4 - HKLM\..\Run: [S3Hotkey] s3hotkey.exe
O4 - HKLM\..\Run: [TFncKy] TFncKy.exe /Type 02
O4 - HKLM\..\Run: [MsmqIntCert] regsvr32 /s mqrt.dll
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O8 - Extra context menu item: &Tout télécharger avec FlashGet - C:\Program Files\FlashGet\jc_all.htm
O8 - Extra context menu item: &Télécharger avec FlashGet - C:\Program Files\FlashGet\jc_link.htm
O8 - Extra context menu item: &Télécharger avec NetTransport - C:\Program Files\Xi\NetTransport 2\NTAddLink.html
O8 - Extra context menu item: Download ALL with IDA - C:\Program Files\IDA\idaieall.htm
O8 - Extra context menu item: Download with IDA - C:\Program Files\IDA\idaie.htm
O8 - Extra context menu item: Tout t&élécharger avec NetTransport - C:\Program Files\Xi\NetTransport 2\NTAddList.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll (file missing)
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll (file missing)
O9 - Extra button: Run WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dll
O9 - Extra 'Tools' menuitem: Launch WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: Internet Download Accelerator - {9819CC0E-9669-4D01-9CD7-2C66DA43AC6C} - C:\Program Files\IDA\ida.exe
O9 - Extra 'Tools' menuitem: &Internet Download Accelerator - {9819CC0E-9669-4D01-9CD7-2C66DA43AC6C} - C:\Program Files\IDA\ida.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\System32\shdocvw.dll
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\System32\shdocvw.dll
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O9 - Extra 'Tools' menuitem: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} - http://messenger.zone.msn.com/FR-FR/a-UNO1/GAME_UNO1.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/...
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Sunbelt Kerio Personal Firewall 4 (KPF4) - Sunbelt Software - C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe
O23 - Service: Tmesbs32 (Tmesbs) - Unknown owner - C:\Program Files\TOSHIBA\EMT3\Tmesbs32.exe" /Service (file missing)
O23 - Service: Tmesrv3 (Tmesrv) - Unknown owner - C:\Program Files\TOSHIBA\EMT3\Tmesrv31.exe" /Service (file missing)

0
Réponse 32 / 51
Regis59 Messages postés 21466 Statut Contributeur sécurité 1 322
 
Salut

Ou en sont tes soucis?

A+
0
Réponse 33 / 51
Utilisateur anonyme
 
slt a tous ,je viens de redemarrer en mode sans echec et le programme a réapparu avec trois autres qui portait des extensions différentes:
jzahsdfc.dat
jzahsdfc_nav.dat
jzahsdfc_navps.dat
Je les ai supprimé de system32 et je l'ai mis dans une archive zip ai-je bien fait? J'ai fais ça car je me suis peut-etre que si je les supprime directement mon pc ne vas plus demarrer.Je les ai scanné avec avast et rien pas de virus. Dois je les garder dans l'archive ou les supprimés totalement?
Merci en tous cas pour votre aide car apparemment les manipulation l'ont fais réapparaitre dans system32 car avant même en mode sans echec c'était un échec de le trouver ce programme.Par contre j'ai fais un scan online malwre search du zip et l'antivirus vba32 a trouvé un trojan PSW.Pinch7 ce qui m'etonne c'est que avas ne l'ai pas trouvé.Dc je le supprime le zip?

PS: pour les écrans bleu je n'en ait pas eu d'autres depuis que j'ai fait toutes les manip. Et encore merci a tous pour votre aide,car apparemment le prog est redevenu visible grace a toutes les manip.Est-ce du hooking ou quelquechose de ce genre que le programme effectué pour se cacher?
0
Réponse 34 / 51
Regis59 Messages postés 21466 Statut Contributeur sécurité 1 322
 
Salut

Les 3 fichiers détectés avec l 'extention .dat, tu peux les supprimer de ton pc !

A+
0
Réponse 35 / 51
Utilisateur anonyme
 
C'est fait.J'ai redemarrer plusieurs fois pour noir si le programme se demarrer avec Windows et puis pas de trace, il a enfin disparu!!
Tous à l'air d'etre rentré dans l'ordre , je n'ai plus eu d'écran bleu depuis un moment.Les manip ont l'air d'avoir très bien marché.
0
Réponse 36 / 51
Utilisateur anonyme
 
désolé pour le double post, mais j'ai eu encore là a l'instant l'écran bleu , toujors ce fichier afd.sys en cause , je ne l'avais pas avant que j'ai ce programme jzahsdfc.exe ainsi que ces doubles en d'autres extensions.J e me suis documenté en cherchant sur google afd.sys et j'ai pus comprendre que c'est un driver de gestion important ou quelquchose comme ça.Je ne pense pas avoir faits de fausses manipulations vus que j'ai scrupulesement suivis tous vos conseils.Quelqu'un aurait -il une idée? Ah oui, ce problème arrive principalement lorsque je suis sur internet que ce soit ds les onglets Firefox où les fenetres IE, precisement lorsque je recherche des images sur google où tout autres moteur de recherche.
Merci de votre aide.
Pour l doc sur afd.sys j'ai trouvé ceci:
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Afd\Parameters]
Afd.sys est le pilote en mode noyau utilisé pour la prise en charge des applications Windows Sockets.

"TransmitWorker"=dword:00000020
10 ou 20 défaut 10
ce paramètre détermine comment Afd.sys utilise les threads système. Quand cette valeur est configurée sur 0x10, AFD utilise les threads système pour effectuer des E/S qui résultent d?une longue requête TransmitFile (l?équivalent d?une quantité de données de plus de 2 fois SendPacketLength). Quand elle est configurée sur 0x20, AFD utilise APC en mode noyau pour les E/S et exécute tout dans le contexte de la même thread. Ce paramètre est nouveau dans Windows 2000/XP et permet d?améliorer les performances grâce à la réduction du nombre de changements de contexte dans les longues requêtes TransmitFile.


"PriorityBoost"=dword:0000000a
0 à 16 defaut 2
priorité donnée par AFD à une thread lorsque les E/S sont terminées pour cette thread. Si une application multi-thread est confrontée à l?abandon de certaines threads, il est possible de remédier au problème en réduisant cette valeur.

"LargeBufferSize"=dword:00002000
defaut 4096 (I386) ou 8192 (ALPHA)
la taille, en octets, des grands tampons utilisés par AFD. Les valeurs inférieures utilisent moins de mémoire et les valeurs supérieures peuvent améliorer les performances.
si quelqu'un peut m'aider a décodé ceci , je suis avide de comprendre.
Il parait que cela a un rapport avec kério est-ce vrai?
0
Réponse 37 / 51
zBr
 
Salut the drum master

Est-ce que tu as bien supprimé jzahsdfc.exe ?
Car Blacklight a été aveugle sur ce coup...

Petite vérification avant de voir de plus près ton problème d'écran bleu, télécharge Icesword ici:
http://mail2.ustc.edu.cn/~jfpan/download/IceSword120_en.zip
Dézippe-le sur ton bureau et lance-le.

- Dans la partie gauche de la fenêtre du programe, clic sur l'onglet "Processus"
(Si un processus est mentionné en rouge, note son chemin)
Puis clic dans le menu du haut sur "LOG"
Donne un nom au fichier log et enregistre le sur ton bureau

- Dans la partie gauche de la fenêtre du programe, clic sur l'onglet "Startup"
Puis clic dans le menu du haut sur "LOG"
Donne un nom au fichier log et enregistre le sur ton bureau

Surtout, ne fais rien d'autre avec ce programme que ce que je t'ai indiqué de faire, sinon gare au plantage :-)

Poste le contenu des deux fichiers que tu auras enregistré sur ton bureau.

Tu disais que le vidage de la memoire à généré un fichier memory.dmp de 512Mo.
C'est beaucoup pour être uploadé et analysé lol.
Vérifie ceci:
Appuie simultanément sur les touches Windows (drapeau) et Pause
Clic sur l'onglet "Avancé" et dans "Demarrage et récupération" clic sur paramètres
Dans "Ecriture des informations de débogage" selectionnes:
Image mémoire partielle (64ko)
ou
Image mémoire du noyau
et valide
Le fichier Memory.dmp devrait être beaucoup moins important à l'avenir.

Ensuite, vas dans C:\WINDOWS\Minidump
et supprime tout ce qui se trouve dans le dossier Minidump.

Redemarre ton pc et essaye de provoquer l'écran bleu (recherche des images sur google...etc)

Dès que c'est fait, reviens dans C:\WINDOWS\Minidump et zippe le fichier *.dmp
Si le zip ne dépasse pas 500ko, uploade le ici:
https://www.cjoint.com/
et met le lien pour pouvoir le récupérer.
Si le zip est plus conscéquent, uploades le ici:
http://www.sendmefile.com/

a++
0
Réponse 38 / 51
Utilisateur anonyme
 
voila bonjour zBr,
oui,je l'ai bien supprimé,
le log processus:
Process:

System Idle Process
System
C:\WINDOWS\system32\taskmgr.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\inetsrv\inetinfo.exe
C:\WINDOWS\system32\Fast.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe
C:\WINDOWS\system32\msdtc.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\WINDOWS\system32\tcpsvcs.exe
C:\WINDOWS\system32\snmp.exe
C:\Program Files\Toshiba\EMT3\tmesbs32.exe
C:\WINDOWS\system32\smss.exe
C:\Program Files\Toshiba\EMT3\TMESRV31.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\dmadmin.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\mqsvc.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\mqtgsvc.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\MSN Messenger\usnsvc.exe
C:\WINDOWS\explorer.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\Documents and Settings\Gilles\Bureau\IceSword120_en\IceSword.exe
C:\WINDOWS\system32\00THotkey.exe
C:\WINDOWS\system32\s3hotkey.exe
C:\Program Files\Toshiba\TOSHIBA Controls\TFncKy.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Internet Explorer\iexplore.exe

le log startup:
Startup:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
00THotkey
C:\WINDOWS\System32\00THotkey.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
000StTHK
000StTHK.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
S3Hotkey
s3hotkey.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
TFncKy
TFncKy.exe /Type 02

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
MsmqIntCert
regsvr32 /s mqrt.dll

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
avast!
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
KernelFaultCheck
%systemroot%\system32\dumprep 0 -k

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
SpybotSD TeaTimer
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
msnmsgr
"C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage
desktop.ini


C:\Documents and Settings\Gilles\Menu Démarrer\Programmes\Démarrage
desktop.ini


Pour le dossier minidump , il n'y avait déja rien dedans, le fichier memory.dmp est crée dans C:\Windows.Il y a un fichier memory.ini juste à coté. Là donc j'essaye de faire planter mon pc , au fait j'ai choisi : image memoire du noyau.dois-je effacé ce fichier memory.dmp dans windows avant?
0
Réponse 39 / 51
zBr
 
Salut the drum master

Pas de problème en ce qui concerne les logs d'IceSword, pas de processus cachés et le démarrage est clean aussi.

Je pense que tu peux supprimer le fichier memory.dmp, déjà ce sera 512 mo de gagné !
Au prochain écran bleu un autre devrait se recréeer nettement moins volumineux cette fois.

au fait j'ai choisi : image memoire du noyau
Très bien, on verra de combien cette option réduira la taille du fichier *.dmp.
Normalement cela devrait de façon assez conscéquante.

a+
0
Réponse 40 / 51
Regis59 Messages postés 21466 Statut Contributeur sécurité 1 322
 
Salut the drum master; salut zbr;

L'écran bleu c'est un code stop non?

a+
0
Utilisateur anonyme
 
bonjour Regis59,
je ne sais pas ce que c'est un code stop mais si tu veux dire que c'est quelquechose qui fait rebooter le pc avec un message d'erreur du style "windows a été arreter pour prevenir tout dommage a votre ordinateur" puis des adresses memoire . Alors oui , c'est ça.
0

Discussions similaires

MMS d'un numéro inconnu
Akiss72899 -
Akiss72899 -

4 réponses
A quoi sert l'application Bonjour?
patrick -
Ysis -

4 réponses
Dossiers "Album inconnu" ??
MioneA -
mr.amaranth -

9 réponses
je voudrais devenir une artiste aidez-moi
danae-life-musique -
prypiat_child -

7 réponses