Comment savoir si victime d'une backdoor ?

gael02 Messages postés 264 Date d'inscription   Statut Membre Dernière intervention   -  
^^Marie^^ Messages postés 41884 Date d'inscription   Statut Membre Dernière intervention   -
Bonjour,
J'ai mis en quarantaine un spyware dont AVG m'a dit qu'il pouvait installer une porte dérobée (backdoor) sur mon ordinateur (spyware à risque élevé).
Comment vérifier qu'une telle backdoor a été installée sur mon ordinateur ?
La neutralisation du spyware suffit-elle à fermer la porte dérobée ?
Je suis en limite de compétence et je crains l'intrusion.
Merci d'une petite aide.
Configuration: Windows XP
Opera 9.23

5 réponses

  1.
    ^^Marie^^ Messages postés 41884 Date d'inscription   Statut Membre Dernière intervention   3 280
     
    Bonjour

    Regarde ici

    http://www.malekal.com/livecam1.com_Backdoor.VanBot.dk.php

    Tiens nous au courant
    0
    1. gael02 Messages postés 264 Date d'inscription   Statut Membre Dernière intervention   18
       
      Merci pour ton lien. Très intéressant tout ça. Mais je n'ai pas pu utiliser Process Scanner, il scanne mais échoue ensuite pour communiquer avec le site (essayé sur plusieurs navigateurs et avec pare-feu OK), ce service est-il toujours disponible ?... Dommage c'est justement celui-là que je voulais utiliser. Sinon BHO Daemon m'a trouvé un spyware dangereux (style hijacker) et j'ai pu l'effacer de la base de registre. Enfin j'espère l'avoir effacé, en tout cas BHO D ne le montre plus dans la liste. En fait, il ne trouvait pas le nom du fichier lui-même, peut-être parce qu'il était déjà en quarantaine (?) avec AVG. Résultat : je ne sais pas si c'est le même, j'aurais dû tout noter, je suis pas bien malin.
      Je résume :
      1) Malware dangereux détecté par AVG.
      2) Mise en quarantaine.
      3) Un BHO trouvé par BHO Daemon.
      4) Une vérif avec SpyBot qui ne trouve rien (c'est sans doute normal : déjà en quarantaine)
      5) BHO Daemon propose l'effaçage de l'espion de la base de registre.
      6) Je dis OK
      7) Impossible ! Hé oui, SpyBot fait bien son boulot (j'avais entre temps activé le blocage d'intrusion processus, comme ça pour voir, je l'avais jamais mis (à tort). Donc il ne veut rien laisser effacer de la base, c'est logique.
      8) Je désactive le blocage résident.
      9) Et là malheureusement ça été trop vite. Le "OK pour effacer" devait être toujours en attente car la ligne du malware a disparu tout de suite du display de BHO Daemon. J'ai repassé BHO D, idem. Donc je suppose que mon malware est effacé. J'aurais voulu avoir le temps de noter...
      10) Et maintenant je vais remettre le blocage résident, SpyBot appelle ça : protection des réglages systèmes fondamentaux. Peut-être que si je l'avais mis au départ, je n'aurais pas eu ce malware.
      Voilà, voilà...
      Il n'empêche que j'aurais aimé vérifier mes processus. Connais-tu une alternative à Process Scanner ?

      Et puis j'ai toujours un problème conceptuel avec les backdoor. Un espion ouvre une porte en douce. OK. Mais est-ce qu'il reste là à tenir la porte ouverte avec sa main (disons que dans ce cas c'est une porte avec femeture à ressort) ? Ou est-ce qu'il peut partir et la porte reste ouverte ? Se faire tuer mais la porte reste toujours ouverte pour les malfaiteurs ?
      0
      1. ^^Marie^^ Messages postés 41884 Date d'inscription   Statut Membre Dernière intervention   3 280 > gael02 Messages postés 264 Date d'inscription   Statut Membre Dernière intervention  
         
        F - Hijackthis - Outil de diagnostic et réparation
        télécharge HijackThis ici:
        http://telechargement.zebulon.fr/138-hijackthis-1991.html
        Dézippe le dans un dossier prévu à cet effet.
        Par exemple C:\hijackthis < Enregistre le bien dans c : !
        Démo : (Merci a Balltrap34 pour cette réalisation)
        http://pageperso.aol.fr/balltrap34/Hijenr.gif
        Lance le puis:
        clique sur "do a system scan and save logfile" (cf démo)
        faire un copier coller du log entier sur le forum
        Démo : (Merci a Balltrap34 pour cette réalisation)
        http://pageperso.aol.fr/balltrap34/demohijack.htm

        http://www.tutoriaux-excalibur.com/hijackthis.htm


        Bon courage

        A+ -
        0
  2. gael02 Messages postés 264 Date d'inscription   Statut Membre Dernière intervention   18
     
    Allez hop, c'est parti :

    Logfile of Trend Micro HijackThis v2.0.2
    Scan saved at 18:11:56, on 22/08/2007
    Platform: Windows XP SP2 (WinNT 5.01.2600)
    MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
    Boot mode: Normal

    Running processes:
    C:\WINDOWS\System32\smss.exe
    C:\WINDOWS\SYSTEM32\winlogon.exe
    C:\WINDOWS\system32\services.exe
    C:\WINDOWS\system32\lsass.exe
    C:\WINDOWS\system32\Ati2evxx.exe
    C:\WINDOWS\system32\svchost.exe
    C:\WINDOWS\System32\svchost.exe
    C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
    C:\Program Files\Alwil Software\Avast4\ashServ.exe
    C:\WINDOWS\system32\spoolsv.exe
    C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
    C:\WINDOWS\System32\FTRTSVC.exe
    C:\Program Files\CDBurnerXP\NMSAccess.exe
    C:\Program Files\Micro Application\PC Anonyme\IJStealth4Svc.exe
    C:\WINDOWS\system32\svchost.exe
    C:\WINDOWS\system32\ZONELABS\vsmon.exe
    C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
    C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
    C:\WINDOWS\SYSTEM32\Ati2evxx.exe
    C:\WINDOWS\Explorer.EXE
    C:\Program Files\Efface Historique 21\EffaceHistorique.exe
    C:\WINDOWS\AGRSMMSG.exe
    C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
    C:\Program Files\Flash 32\Flash32.exe
    C:\ACER\PSM.EXE
    C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe
    C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
    C:\Program Files\BillP Studios\WinPatrol\winpatrol.exe
    C:\Program Files\Folder Lockbox\flockbox.exe
    C:\Documents and Settings\GBLG\Bureau\DONNEES\cargo\Picasa2\PicasaMediaDetector.exe
    C:\WINDOWS\system32\rundll32.exe
    C:\PROGRA~1\WANADOO\TaskBarIcon.exe
    C:\Program Files\FSL\FSL_Launcher\FSL_Launcher.exe
    C:\Program Files\WinRoll\winroll.exe
    C:\Program Files\BitTorrent\bittorrent.exe
    C:\Program Files\Microsoft AntiSpyware\gcasDtServ.exe
    C:\Program Files\Handspring\HOTSYNC.EXE
    C:\Program Files\OpenOffice.org 2.1\program\soffice.exe
    C:\Program Files\Hypno\Runner.EXE
    C:\Program Files\OpenOffice.org 2.1\program\soffice.BIN
    C:\WINDOWS\system32\wuauclt.exe
    C:\Program Files\BHODemon 2\BHODemon.exe
    C:\Program Files\Spybot - Search & Destroy\SpybotSD.exe
    C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
    C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
    C:\Program Files\FastStone MaxView\MaxView.exe
    C:\WINDOWS\system32\NOTEPAD.EXE
    C:\Program Files\Opera\Opera.exe
    C:\hijackthis\HijackThis.exe

    R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = https://www.orange.fr/portail
    R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://french.ircfast2.com/index.php?rvs=hompag
    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.acer.com/worldwide/selection.html
    R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Orange
    R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
    R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\WANADOO\SEARCH~1.DLL
    O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
    O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
    O2 - BHO: FDMIECookiesBHO Class - {CC59E0F9-7E43-44FA-9FAA-8377850BF205} - C:\Program Files\Free Download Manager\iefdm2.dll
    O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
    O4 - HKLM\..\Run: [Efface Historique 2.1] C:\Program Files\Efface Historique 21\EffaceHistorique.exe -s
    O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
    O4 - HKLM\..\Run: [Alaunch] C:\Windows\alaunch.exe
    O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
    O4 - HKLM\..\Run: [Flash32] c:\Program Files\Flash 32\Flash32.exe
    O4 - HKLM\..\Run: [MPS] C:\ACER\PSM.EXE
    O4 - HKLM\..\Run: [Raccourci vers la page des propriétés de High Definition Audio] HDAudPropShortcut.exe
    O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"
    O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
    O4 - HKLM\..\Run: [WinPatrol] C:\Program Files\BillP Studios\WinPatrol\winpatrol.exe
    O4 - HKLM\..\Run: [flockbox] C:\Program Files\Folder Lockbox\flockbox.exe /a
    O4 - HKLM\..\Run: [Picasa Media Detector] C:\Documents and Settings\GBLG\Bureau\DONNEES\cargo\Picasa2\PicasaMediaDetector.exe
    O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\WANADOO\Watch.exe
    O4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\WANADOO\GestMaj.exe TaskBarIcon.exe
    O4 - HKLM\..\Run: [AdslTaskBar] rundll32.exe stmctrl.dll,TaskBar
    O4 - HKLM\..\Run: [FSL Launcher] C:\Program Files\FSL\FSL_Launcher\FSL_Launcher.exe
    O4 - HKLM\..\RunOnce: [SpybotDeletingA8860] command /c del "C:\WINDOWS\SchedLgU.Txt_tobedeleted"
    O4 - HKLM\..\RunOnce: [SpybotDeletingC4305] cmd /c del "C:\WINDOWS\SchedLgU.Txt_tobedeleted"
    O4 - HKLM\..\RunOnce: [SpybotSnD] "C:\Program Files\Spybot - Search & Destroy\SpybotSD.exe" /autocheck
    O4 - HKCU\..\Run: [WinRoll] C:\Program Files\WinRoll\winroll.exe
    O4 - HKCU\..\Run: [ccleaner] "C:\Documents and Settings\GBLG\Mes documents\CCleaner\ccleaner.exe" /AUTO
    O4 - HKCU\..\Run: [WOOKIT] C:\Program Files\Wanadoo\GestMaj.exe GestionnaireInternet.exe
    O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
    O4 - HKCU\..\RunOnce: [SpybotDeletingB8736] command /c del "C:\WINDOWS\SchedLgU.Txt_tobedeleted"
    O4 - HKCU\..\RunOnce: [SpybotDeletingD3344] cmd /c del "C:\WINDOWS\SchedLgU.Txt_tobedeleted"
    O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
    O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
    O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
    O4 - HKUS\S-1-5-18\..\RunOnce: [^SetupICWDesktop] (User 'SYSTEM')
    O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
    O4 - HKUS\.DEFAULT\..\RunOnce: [^SetupICWDesktop] (User 'Default user')
    O4 - Startup: HotSync Manager.lnk = C:\Program Files\Handspring\HOTSYNC.EXE
    O4 - Startup: MRU-Blaster Scheduler.lnk = C:\Program Files\MRU-Blaster\scheduler.exe
    O4 - Startup: MRU-Blaster Silent Clean.lnk = C:\Program Files\MRU-Blaster\mrublaster.exe
    O4 - Startup: OpenOffice.org 2.1.lnk = C:\Program Files\OpenOffice.org 2.1\program\quickstart.exe
    O4 - Startup: Runner.LNK = C:\Program Files\Hypno\Runner.EXE
    O4 - Startup: BHODemon 2.0.lnk = C:\Program Files\BHODemon 2\BHODemon.exe
    O8 - Extra context menu item: Download video with Free Download Manager - file://C:\Program Files\Free Download Manager\dlfvideo.htm
    O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000
    O8 - Extra context menu item: MP: Save and Describe Image - C:\Program Files\MediaPurveyor\ImageDownloadDescribeScript.js
    O8 - Extra context menu item: MP: Save and Describe Target - C:\Program Files\MediaPurveyor\LinkDownloadDescribeScript.js
    O8 - Extra context menu item: MP: Save Image - C:\Program Files\MediaPurveyor\ImageDownloadScript.js
    O8 - Extra context menu item: MP: Save Target - C:\Program Files\MediaPurveyor\LinkDownloadScript.js
    O8 - Extra context menu item: Tout télécharger avec Free Download Manager - file://C:\Program Files\Free Download Manager\dlall.htm
    O8 - Extra context menu item: Télécharger avec Free Download Manager - file://C:\Program Files\Free Download Manager\dllink.htm
    O8 - Extra context menu item: Télécharger la sélection avec Free Download Manager - file://C:\Program Files\Free Download Manager\dlselected.htm
    O8 - Extra context menu item: Télécharger le site avec Free Download Manager - file://C:\Program Files\Free Download Manager\dlpage.htm
    O8 - Extra context menu item: Télécharger les tous avec Free Download Manager - file://C:\Program Files\Free Download Manager\dlselected.htm
    O9 - Extra button: Run WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dll
    O9 - Extra 'Tools' menuitem: Launch WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dll
    O9 - Extra button: Messager Wanadoo - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\PROGRA~1\WANADO~1\Wanadoo Messager.exe
    O9 - Extra 'Tools' menuitem: Messager Wanadoo - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\PROGRA~1\WANADO~1\Wanadoo Messager.exe
    O9 - Extra button: Orange - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - https://www.orange.fr/portail (file missing) (HKCU)
    O14 - IERESET.INF: START_PAGE_URL=https://www.acer.com/worldwide/selection.html
    O17 - HKLM\System\CCS\Services\Tcpip\..\{15C57AA2-0EC0-4687-B178-7F31DFF01BC9}: NameServer = 80.10.246.130 80.10.246.3
    O17 - HKLM\System\CS1\Services\Tcpip\..\{15C57AA2-0EC0-4687-B178-7F31DFF01BC9}: NameServer = 80.10.246.130 80.10.246.3
    O23 - Service: ADSLAutoconnect - Unknown owner - C:\Program Files\ADSL Autoconnect\ADSL Autoconnect.exe
    O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
    O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
    O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
    O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
    O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
    O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
    O23 - Service: F-Secure Gatekeeper Handler Starter - Unknown owner - C:\Program Files\Securitoo\av_fw\Anti-Virus\fsgk32st.exe (file missing)
    O23 - Service: Freenet 0.7 darknet-8888 (freenet-darknet-8888) - Unknown owner - C:\Program Files\Freenet\bin\wrapper-windows-x86-32.exe
    O23 - Service: F-Secure Windows Security Center Legacy Detection Service (Fswsclds) - Unknown owner - C:\Program Files\Securitoo\av_fw\fswsclds.exe (file missing)
    O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom - C:\WINDOWS\System32\FTRTSVC.exe
    O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
    O23 - Service: NMSAccess - Unknown owner - C:\Program Files\CDBurnerXP\NMSAccess.exe
    O23 - Service: Stealth Service Helper (StealthInjectorService) - Softwareentwicklung Remus - C:\Program Files\Micro Application\PC Anonyme\IJStealth4Svc.exe
    O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZONELABS\vsmon.exe
    O24 - Desktop Component 0: (no name) - http://dlp.cs.berkeley.edu/cgi-bin/gettile.cgi?5049161418130070&27&0
    O24 - Desktop Component 1: (no name) - http://dlp.cs.berkeley.edu/cgi-bin/gettile.cgi?5049161418130065&37&0
    0
  3. ^^Marie^^ Messages postés 41884 Date d'inscription   Statut Membre Dernière intervention   3 280
     
    Re

    C - Ccleaner :
    (nettoyeur de registre, cookies+temps+tempos+prefetch+historique+etc.)
    * Télécharge CCleaner.
    https://www.pcastuces.com/logitheque/ccleaner.htm
    Installe le dans un répertoire dédié.
    Décoche pendant l'installation
    --- les deux cases "Ajouter l'option ... "
    --- Contrôler les mises à jour
    --- Ajouter la Barre d'Outils Yahoo! CCleaner
    * Lance Ccleaner pour un nettoyage complet.
    Tutorial ici:
    https://kerio.probb.fr/t242-tuto-ccleaner-v-2
    https://www.malekal.com/tutoriel-ccleaner/
    ET
    http://perso.orange.fr/jesses/Docs/Logiciels/CCleaner.htm

    D – Ewido – AVG
    AVG Anti-Spyware :
    https://www.avg.com/en-ww/free-antivirus-download
    Tu l'installes.
    Lance AVG Anti-Spyware et clique sur le bouton Mise à jour.
    Patiente!
    Lance AVG Anti-Spyware
    Clique sur le bouton Analyse (de la barre d'outils)
    Puis sur l'onglets Comment réagir, clique sur Actions recommandées.
    Reviens à l'onglet Analyse. Clique sur Analyse complète du système.
    /!\ Si un fichier est infecté en fin d'analyse /!\
    choisis l'option " Appliquer toutes les actions " en bas.
    Clique sur "Enregistrer le rapport" puis sur "Enregistrer le rapport sous"
    Enregistre ce fichier texte sur ton bureau.
    Copie/colle le rapport
    0
  4. gael02 Messages postés 264 Date d'inscription   Statut Membre Dernière intervention   18
     
    C'est fait.
    Plus rien à signaler.
    Problème résolu.
    Merci.
    0

  5. Vous n’avez pas trouvé la réponse que vous recherchez ?

    Posez votre question
  6. ^^Marie^^ Messages postés 41884 Date d'inscription   Statut Membre Dernière intervention   3 280
     
    Tu l'as résolu comment ??
    0

Discussions similaires

AVIS SUR LINKEO
DO93leraincy -
tanteelise -

5 réponses
Arnaques linkeo a fuir
Zoltan75 -
brucine -

7 réponses
Victime de sextortion
Gt -
Nattoux -

2 réponses
Arnaque linkeo
Zou971 -
CallCenterLinkeoileMaurice -

3 réponses
comment supprimer backdoor
romi -
MrGames -

13 réponses