Zone Alarm bloque des accès UDP sortants Résolu/Fermé

Question

Bonjour à Toutes et à Tous,

J'ai passé tous les outils de détections possibles: ccleaner Pro, MalwareBytes Anti-malware, search the crack, ZHPgiad et ZHP cleaner, avast anti virus pro, adaware.


J'ai trouvé des sales trucs et j'ai pu les éliminer. Mais mes connexions sur le net sont perturbées et ralenties. Zone Alarm Pro me signale un accès sortant UDP sortant vers un ip qui ne me rappelle rien.


Ces sorties bloquées sont en quantité et donc interfèrent dans le traffic.


Vérification de l'ip vers laquelle ces sorties sont destinées semble atterrir sur le site "netvigator.com".

Il y a donc un "élément" dans mon pc qui génère cette demande d'accès.

Quelqu'un a t il une idée à me donner pour trouver ce sale trucs qui empoisonne mon ordi?


Voici une ligne du log de ZA:


FWOUT,2016/01/24,11:46:58 +1:00 GMT,192.168.0.2:52664,42.2.39.136:53,UDP,http://fwalerts.zonealarm.com/fwalerts/fwanalyze.jsp?V103=AcCoAAIqAieIuM0AADUAAAABAAAAAQAAAAEAAAABAAAAoYYBADAxMDIMCAIAMgANAQAoBQAAAAAAAAABAAAA//8B+ZLN01573715637739-1043,Host+Process+for+Windows+Services,svchost.exe,6.3.9600.17415,Windows+8.1+x64-6.3.9600--SMP,14.0.522.0,ExtBlockAll2,83jsnmd62v8a7utdwuju86ru6q0,2,,&CL=en&OEM=1043&SKU=1&Mode=0&Product=ZoneAlarm+Pro
42.2.39.136

A l'avance merci.


Alain

g3n-h@ckm@n · Answer

Salut apparemment tu as un proxy pourri

télécharge cet outil de diagnostique , lance le puis clique sur "Quick"

https://sd-g1.archive-host.com/membres/up/ecd939269bcc7cdfed2d2e726c22709a32db3067/bfkndtbsrbrtddtyybd/QuickDiag.exe

héberge le rapport obtenu sur https://www.cjoint.com/ puis donne le lien obtenu

(tu vas peut-être être obligé de désactiver ton antivirus pour cause de fausse détection )

algasys · Answer

Bonjour,

C'est gentil de t'occuper de mon problème.
Aujourd'hui, je n'ai pratiquement rien pu faire sur ma bécane tellement elle est ralentie.

Voici le lien 

https://www.cjoint.com/c/FACwmlCC7hh

J'ai parcouru le log, tu ne vas pas me dire que tu vas lire tout çà mot à mot!!
Cela passe dans un soft sans doute? 

Encore mille fois merci.

g3n-h@ckm@n · Answer

hello si je lis tout

=> Avast n'a pas été désactivé ( pas très grave ) -> 

AV : avast! Antivirus Enabled
AS : avast! Antivirus Enabled

je vois aussi qu'il fait parefeu , je me dis qu'il fait conflit avec zone alarm que tu devrais désinstaller car en plus de ca il a tendance à bloquer un peu n importe quoi , voire bloquer le système dans certains cas ( j'ai déjà vécu cela ;) )

=> l'outil n'a pas été lancé du bureau ( pas très grave ) -> D:\Mes telechargements\QuickDiag.exe

tu es en Belgique ?

tu as quelques petits trucs pourris sans trop de gravité , on les virera après :)

utilise malwarebytes :

Télécharge https://www.sosvirus.net/wp-content/uploads/2014/02/malwarebytes-anti-malware.jpg
Procède à l'installation de celui çi
 Décocher [b]"Activer l'essai gratuit de Malwarebytes Anti-Malware Premium"
Malwarebytes va se mettre à jour, laisse faire cette mise à jour,
Clique sur l’onglet « Paramètres » puis sur l’onglet « Détection et Protection« , Coche la case « Rechercher les Rootkits«
Clique sur l’onglet « Analyse » puis sur « Lancer l’analyse«

Une fois l'examen terminé vérifie que toutes les détections sont bien cochées, puis clique sur 
Si Malwarebytes te demande de redémarrer ton PC, clique sur "Oui",
Au redémarrage de ton PC, relance Malwarebytes
Ouvre l'onglet "Historique" puis "Journaux de l'application"
Fais un double-clic sur le dernier Scan Log en date (celui du haut)
En bas clique sur [Exporter]-> sélectionne "Fichier texte (*.txt)"
Dans l'explorateur sélectionne le bureau, nomme-le mbam.txt, clique sur [Enregistrer]
Héberge le rapport mbam.txt sur http://upload.sosvirus.net puis donne le lien obtenu.

algasys · Answer

Et l'Eau,

Ben dis donc, si tu as des ennuis pour dormir la solution est toute trouvée: tu lis les rapports. 8-))

Bon, entrons dans le vif du sujet:

1/ C'est vrai, j'ai oublié de désactiver Avast mais je l'ai fait en cours d'analyse.
2/ Non, il ne fait PAS pare feu. J'ai la version "antivirus pro" et non la "Internet Security" qui fait effectivement parefeu elle.
3/ Cela fait des années que je fonctionne avec ce couple. je n'aime pas mettre tous mes œufs dans même panier.
4/ Je n'ai pas percuté, je ne savais pas qu'il fallait démarrer depuis le bureau
5/ Oui, je suis en Belgique une fois! 8-))
6/ J'ai Malware Bytes Premium installé, de même que Ccleaner Pro 
7/ Voici le lien du rapport de MbM:

http://upload.sosvirus.net/download/0cuuol2nnjeyy3wdzy33xjncixqo1avcubys83si 

ps.: je me suis inscrit sur Sosvirus.

g3n-h@ckm@n · Answer

hello alors si c'est MBAM pro que tu as , s'il ne signale rien , c'est très certainement que c'est ZA qui part un peu en live

c'est toi qui as installé ca ? : RSSOwl , AntispamSniper for TheBat!,,TheBat!

j'ai pas retrouvé le proxy dans le log :/

Désactive ton antivirus le temps de la manipulation car OTM est détecté comme une infection à tort.
Télécharge https://www.sosvirus.net/telecharger/otm/ OTM (OldTimer) sur ton Bureau :
Double-clique sur OTM.exe afin de le lancer. (clic droit "executer en tant qu'administrateur" pour Vista/7/8 )

Copie (Ctrl+C) le texte suivant ci-dessous :
:reg   [HKU\S-1-5-21-1373608429-321133151-520906998-1001\SOFTWARE\Microsoft\Internet Explorer\SearchScopes]"DefaultScope"=""[HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes]"DefaultScope"=""[HKLM\SOFTWARE\WOW6432Node\Microsoft\Internet Explorer\SearchScopes]"DefaultScope"=""[-HKU\S-1-5-18\Software\54F3DE4E][-HKU\S-1-5-18\Software\McAfee][-HKLM\Software\WOW6432Node\McAfee][HKLM\SYSTEM\CurrentControlSet\Services\BITS]"Start"=DWORD:2:filesC:\Users\Alain\.rssowl2\HELP_YOUR_FILES.PNGC:\Users\Alain\AppData\HELP_YOUR_FILES.PNGC:\Users\Alain\Downloads\3413we4wsv.3bC:\Users\Alain\Downloads\HELP_YOUR_FILES.PNG@C:\ProgramData\Temp:04853F41@C:\ProgramData\Temp:8DAF83BD@C:\ProgramData\Temp:A104F770:commands[emptytemp]
Colle (Ctrl+V) le texte précédemment copié dans le cadre Paste Instructions for Items to be Moved.
Clique maintenant sur le bouton MoveIt!
Si un fichier ou dossier ne peut pas être supprimé immédiatement, le logiciel te demandera de redémarrer.
Accepte en cliquant sur YES.

Poste le rapport situé dans ce dossier : C:\_OTM\MovedFiles\

Le nom du rapport correspond au moment de sa création : date_heure.log

algasys · Answer

Comment va??

1/ comme je l'ai dit dans le 1er msg: ZA bloque des accès parasites. Il fonctionne donc comme il faut à 1ere vue mais çà bouffe de la bande passante et de la ressource processeur.

voici une ligne pour l'ip la plus problématique:


FWOUT,2016/01/29,11:35:02 +1:00 GMT,192.168.0.2:64658,42.2.39.136:53,UDP,http://fwalerts.zonealarm.com/fwalerts/fwanalyze.jsp?V103=AcCoAAIqAieIkvwAADUAAAABAAAAAQAAAAEAAAABAAAAoYYBADAxMDIMCAIAMgANAQBjAAAAAAAAAAABAAAA//8B+ZLN01573715637739-1043,Host+Process+for+Windows+Services,svchost.exe,6.3.9600.17415,Windows+8.1+x64-6.3.9600--SMP,14.0.522.0,ExtBlockAll2,83jsnmd62v8a7utdwuju86ru6q0,2,,&CL=en&OEM=1043&SKU=1&Mode=0&Product=ZoneAlarm+Pro

2/ Oui c'est moi qui ai installé ces softs. Thebat est un mailer.

3/Je n'ai jamais paramétré un proxy. Je suppose donc que j'ai un proxy de mon fournisseur d'accès.

4/voici le lien de OTM 

https://www.cjoint.com/c/FAEoa7sn1Th

g3n-h@ckm@n · Answer

ok Zone-Alarme fout toujours autant le bordel ! ?

algasys · Answer

Mais non! ZA n'a fait que me signaler le problème.
En fait, il y a du nouveau.
C'est svchost.exe le process qui provoque l'accès sortant litigieux. Sur ordre de qui? Et bien, je pense que je suis victime d'un ransomware. le trojan qui crée le fichier HELP_YOUR_FILES.PNG.

J'ai lu ceci:
http://nabzsoftware.com/types-of-threats/help_your_files

Je retourne sur SOS

g3n-h@ckm@n · Answer

hello tu as des fichiers de ce nom-là dans le pc ? : HELP_YOUR_FILES.PNG, HELP_YOUR_FILES.TXT, HELP_YOUR_FILES.HTM

algasys · Answer

Salut, Oui, j'ai eu 146 fichiers de ce type là avec autant de fichiers cryptés frauduleusement.
Je pense être débarrassé du ramsonware. 

Mais ce qui est le sujet de ma demande dans ce forum est "comment trouver l'élément qui provoque des tentative d'accès sortant via le protocole UDP et à l'aide de svchost en quantité telle que cela ralenti et le pc et la navigation sur le net".

A+

g3n-h@ckm@n · Answer

tu ne réponds pas à ma question , je te demande si tu as et non si tu as eu ......

algasys · Answer

Ben oui, relis le 1er paragraphe de ma réponse: j'ai eu 146 fichiers de ce type là.... etc...

Zone Alarm bloque des accès UDP sortants

12 réponses

Discussions similaires