A tous les dépanneurs en herbe !

green day Messages postés 26374 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   -  
 Utilisateur anonyme -
Bonjour à tous !

A toutes les personnes qui se lancent depuis quelques temps dans la désinfections, soyez la bienvenue sur CCM ! :-)

Une question, un renseignement, un doute, alors ce poste est pour vous ! tous les bénévoles de la sécurité se feront une joie de venir vous épauler !

N'hésitez pas !

Juste un conseil, éviter de prendre trop de postes à la fois ! On ne pourra pas tout suivreet ce n'est pas du tout pédagogique !

bon courage !

@+

43 réponses

raphy00 Messages postés 1092 Date d'inscription   Statut Membre Dernière intervention   9
 
Ok sur ce point.

Raphy : c'est lignes 017 correspondent au réseau internet et à la connexion de la personne, légitimes toutes

Mais bon sang, COMMENT ON FAIT POUR LE SAVOIR !!!!?
Pfiouuu..

Moi, apres recherche sur Arin, Je vois des trucs d'Amsterdam et des Ripe Connection center et blablalabla..

C'est infecté ??
C'est normal ??
Impossible de le savoir!..

Ce probleme commence serieusement a me casser les dents, Je vous remercie infiniment pour vos reponses !!!
0
green day Messages postés 26374 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   2 163
 
Au passage, je trouve ta signature un peu trop ... "présomptueuse" ... :)

0
raphy00 Messages postés 1092 Date d'inscription   Statut Membre Dernière intervention   9 > green day Messages postés 26374 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention  
 
C'est a dire ?
0
green day Messages postés 26374 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   2 163 > raphy00 Messages postés 1092 Date d'inscription   Statut Membre Dernière intervention  
 
C'est à dire qu'on a l'impression que tu donne un ordre ?! ...

ça veut dire aussi que tu tomberas de temps en temps sur des personnes qui dès qu'ils estimeront que leur pc est propre ( bien que cela ne soit pas le cas ), ne continueront pas la désinfection, car ils ne seront plus embêtés par des pages de pubs par exemple, et ne viendront même pas te dire merci ...


0
raphy00 Messages postés 1092 Date d'inscription   Statut Membre Dernière intervention   9 > green day Messages postés 26374 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention  
 
Ben moi je veux juste aider un max.
L'ennui, c'est que ces temps ci, j'ai eu des cas ou le helpé m'a dit, apres passage de malwarebytes, "le probleme est resolu, je te remercie vous etes vraiment super !".

Impossible de le ramener !

Donc j'ai decidé de mettre cette signature, pour ne pas avoir a le repeter, et pour prevenir les helpés.
C'est tout.

Cette signature fait office de prevention.
Voila quoi..

Et si qqn est d'accord avec lui, qu'il me dise ce qui ne va pas..
Ca sert a rien de se cacher derriere "<ital>Vous avez trouvé ce message utile ? Votez !
</ital>
0
green day Messages postés 26374 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   2 163 > raphy00 Messages postés 1092 Date d'inscription   Statut Membre Dernière intervention  
 
Je vois, mais dans ce cas c'est assez mal formulé !

c'est pas il, c'est elle ! :))

je comprends que parfois les "bons points" peuvent être agaçant ...

@+
0
green day Messages postés 26374 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   2 163
 
Lol ! je l'ai pourtant indiqué ici ! :))

Bon, il y a des parties que je vais reprendre, mais pas dans l'immédiat, j'attends d'avoir des remontées de votre part déjà ! :)

Lignes 017 : Modification des serveurs DNS pour permettre des redirections vers des sites malveillants.

Analyse : il faut vérifier et supprimer les Urls non souhaitées à l'aide de castelcops et du site DNSstuffs ; vous pourrez déterminer avec l'internaute si l'adresse ip lui appartient bien !



ET : c'est la façon de hijack de dire qu'il ne sait pas à quoi correspond la clé, comme le ferai ccleaner par exemple

Verni, je regarde

@+
0
raphy00 Messages postés 1092 Date d'inscription   Statut Membre Dernière intervention   9
 
Resalut,

Je ne sais pas si qqn a une idee ici :

http://www.commentcamarche.net/forum/affich 7289908 le mode sans echec ne fonctionne pas


http://www.commentcamarche.net/forum/affich 7304767 besoin d aide pour analyse highjackthis


Personellement, ceci est un mystere pour moi.
Je remercie les helpeurs qui voudront bien me preter main forte..

Merci d'avance !
0
gouby Messages postés 45647 Date d'inscription   Statut Contributeur Dernière intervention   6 476
 
Bonjour

apparement, c'est ici que l'on post quand on est un noob en désinfection

Voilà, j'ai un problème compréhension sur le rapport hjt , du vrai chinois

si quelqu'un veut bien m'aider ou voir pleins de personnes 8-), ce serait cool

le lien :
http://www.commentcamarche.net/forum/affich 7295844 probleme counter strike du a trojan et worms

Merchi
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
green day Messages postés 26374 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   2 163
 
re

"noob" n'est pas une tare, c'est juste un passage obligé, une période de transite ! :)

il n'a pas posté tous les rapports demandés !

s'il peut poster le rapport de l'antivirus ce serait pas mal aussi

@+
0
gouby Messages postés 45647 Date d'inscription   Statut Contributeur Dernière intervention   6 476
 
ok, je lui demande

il vaut mieux qu'il fasse une analyse antivirus en mode sans echec ? ou pas
0
green day Messages postés 26374 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   2 163 > gouby Messages postés 45647 Date d'inscription   Statut Contributeur Dernière intervention  
 
oui, ça sera mieux !
0
gouby Messages postés 45647 Date d'inscription   Statut Contributeur Dernière intervention   6 476 > green day Messages postés 26374 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention  
 
ok, il a posté le rapport antivir

je suis censé voir quelque chose ou pas dans son rapport ?
0
green day Messages postés 26374 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   2 163
 
Le rapport est propre :

Starting master boot sector scan:
Master boot sector HD0
[INFO] No virus was found!
Master boot sector HD1
<gras>[INFO] No virus was found!

[WARNING] Le périphérique n'est pas prêt.
[INFO] Please restart the search with Administrator rights
Master boot sector HD2
[INFO] No virus was found!
[WARNING] Le périphérique n'est pas prêt.
[INFO] Please restart the search with Administrator rights
Master boot sector HD3
[INFO] No virus was found!
[WARNING] Le périphérique n'est pas prêt.
[INFO] Please restart the search with Administrator rights
Master boot sector HD4
[INFO] No virus was found!
[WARNING] Le périphérique n'est pas prêt.
[INFO] Please restart the search with Administrator rights

Start scanning boot sectors:
Boot sector 'C:\'
[INFO] No virus was found!
Boot sector 'D:\'
[INFO] No virus was found!

18186 Scanning directories
240057 Files were scanned
0 viruses and/or unwanted programs were found
0 Files were classified as suspicious:
0 files were deleted
0 files were repaired
0 files were moved to quarantine
0 files were renamed
1 Files cannot be scanned
240057 Files not concerned
1854 Archives were scanned
5 Warnings
0 Notes

un petit dernier rapport pour la route :

télécharge ceci :http://www.commentcamarche.net/telecharger/telecharger 34055379 malwarebyte s anti malware
* Installez le programme sur le bureau :
o S'il manque le fichier COMCTL32.OCX, vous pourrez le télécharger ici
* Faites les mises à jour (clic sur Mises à jour puis Recherche de mises à jour)
* Démarrez en mode sans échec
* Lancez le MalwareByte's Anti-Malware, cliquez sur Exécuter un examen complet puis Rechercher et sélectionnez tous tes disques durs
* Une fois le scan terminé, cliquez sur supprimer (si un message demande à redémarrer le PC, acceptez !)
* Un rapport sera généré, enregistrez le de manière à le retrouver

==> poste le stp !

@+
0
Utilisateur anonyme
 
L'option pour analyser les rootkit est désactivée.
Il y a 5 Warnings.

C'est normal ça ?
0
green day Messages postés 26374 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   2 163 > Utilisateur anonyme
 
Oui, c'est pas très grave ! 4 warning sur des périph et un pour un fichier système

de plus MBAM détecte un bon nombre de rootkit au cas où !
0
Utilisateur anonyme > green day Messages postés 26374 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention  
 
Ah d'accord,

Merci ;))
0
gouby Messages postés 45647 Date d'inscription   Statut Contributeur Dernière intervention   6 476
 
ok, c'est bien ce qu'il me semblait, je voyais 0 virus

donc il a rien ?

ok je post MBAM
0
green day Messages postés 26374 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   2 163
 
Selon le scan antivirus, oui, il n'y a rien, mais c'est pas parce qu'il ne voit rien qu'il n'y a rien ! ;-))

d'où la nécessité de multiplier les scans !

++
0
gouby Messages postés 45647 Date d'inscription   Statut Contributeur Dernière intervention   6 476
 
j'ai encore une question, sur son rapport hjt, il n'y a rien de suspect ?
0
green day Messages postés 26374 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   2 163
 
Non, je ne vois rien de suspect !
0
gouby Messages postés 45647 Date d'inscription   Statut Contributeur Dernière intervention   6 476
 
Bingo, il a trouvé deux fixhiers infectés

Fichier(s) infecté(s):
C:\Users\romain\Downloads\eMule\Incoming\Win RAR 3.2 + Crack\CORE10k.EXE (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Windows\System32\nvs2.inf (Adware.EGDAccess) -> Quarantined and deleted successfully.

mais les a-t-il vraiment supprimé ?
0
green day Messages postés 26374 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   2 163
 
:(

il télécharge des cracks, pas étonnant qu'il a chopé des bestioles ...

un petit coup de navilog pour voir s'il reste des trace de Adware.EGDAccess

@+
0
sKe69 Messages postés 21360 Date d'inscription   Statut Contributeur sécurité Dernière intervention   463
 
Salut,
les certificats ne sont pas supprimés par malwaresbytes donc ... ^^ donc navilog1 s'impose ...

greenette , tu es sur tous les fronts en se moment ... fais gaffes à la surchauffe ! :p

Courage ... A+++

0
anthony5151 Messages postés 10573 Date d'inscription   Statut Contributeur sécurité Dernière intervention   790
 
Bonjour à tous,

Très bonne idée ce sujet ;)


# J'aurai besoin d'aide ici : http://www.commentcamarche.net/forum/affich 7401166 spywarsecure me dit ke mon pc est infecte#dernier

Des alertes Spyware secure s'affichent, je pensais suggérer une utilisation de navilog... Mais je viens de m'apercevoir que la personne qui demande de l'aide est sous Windows 98, et je ne crois pas que Navilog fonctionne avec ce système d'exploitation ?



# Ensuite petite question pour ce sujet : http://www.commentcamarche.net/forum/affich 7298931 internet explorer enorme bug#dernier

Quand navilog trouve plein de fichiers suspects et ne les supprime pas avec l'option 2, comment les faire supprimer ? D'habitude, je propose d'utiliser la suppression manuelle en tapant le nom du fichier (option 4), mais la liste est est longue, y a-t-il un moyen plus rapide ?


Merci d'avance.
0
Utilisateur anonyme
 
Re,

Quelqu'un pourrait me donner des indications sur ces deux lignes :

O4 - HKCU\..\Policies\Explorer\Run: [NT Printing Services3] chkdskss.exe

O20 - AppInit_DLLs: oeunya.dll


Merci :)
0
raphy00 Messages postés 1092 Date d'inscription   Statut Membre Dernière intervention   9
 
Salut,


Cette sorte de 04 se trouve ici :

https://www.bleepingcomputer.com/tutorials/comment-utiliser-hijackthis/#O4Diag

Et le processus semblerait mauvais.

Pour la 020, oeunya.dll ne correspond a rien sur google, donc elle est aléatoire, donc elle est mauvaise.
https://www.google.fr/search?hl=fr&q=oeunya.dll&btnG=Rechercher&meta=&gws_rd=ssl
0
Utilisateur anonyme
 
Merci d'avoir répondu !

Donc, réparer les lignes O4 et O20 et supprimer les fichiers en mode sans échec ?
0
raphy00 Messages postés 1092 Date d'inscription   Statut Membre Dernière intervention   9 > Utilisateur anonyme
 
Re,

Je dirais oui pour la 020.( fixer + recherche en mode sans échec avec affichage des dossiers cachés )

Par contre, j'ai un doute sur la 04, je ne sais pas si elle est vraiment mauvaise...
Tout de même, c'est peut etre un service d'impression.

Demande lui s'il a programmé quelque chose qui serve a l'impression.

Je suis 95% sur qu'elle est mauvaise:

1. Il s'agit du service d'impression des versions NT ( que je n'ai jamais vu ou entendu ).
2. Il utilise un nom de processus trop ressemblant a chkdsk, on dirait un pirate...

0
Utilisateur anonyme > raphy00 Messages postés 1092 Date d'inscription   Statut Membre Dernière intervention  
 
Ok , merci ;-)
0
Utilisateur anonyme
 
Re,

Encore une petite aide :-)

Je bloque un peu sur ces lignes :


O4 - HKUS\S-1-5-20\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'Default user') 


Est ce que je dois passer UsbFix ?

Merci :)
0
Utilisateur anonyme
 
Re,

Encore une petite aide :-)

Je bloque un peu sur ces lignes :


O4 - HKUS\S-1-5-20\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'Default user') 


Un coup de pousse ?

Merci :)
0
^^Marie^^ Messages postés 114059 Date d'inscription   Statut Membre Dernière intervention   3 279
 
Salut

nlsf >> version Xp non officielle

++
0
Utilisateur anonyme > ^^Marie^^ Messages postés 114059 Date d'inscription   Statut Membre Dernière intervention  
 
Ok, merci.
0
cbauf Messages postés 4299 Date d'inscription   Statut Contributeur Dernière intervention   786
 
Salutations et respect,

Voila, j'ai répondu sur un topic

http://www.commentcamarche.net/forum/affich 10009496 virus plus d icone sur le bureau

le membres poste un Log HJT
(moi j'y connait rien) mais ;

pour voir je le passe par un bots

http://hijackthis.de/index.php?langselect=french

et je me dis :

1° tune helper pas terrible

****************************************
je lui donnerais comme conseil de

1° déposer le log MBAM
et
de renommer le dossier hitjackthis..........doit-il le faire a l'enregistrement ?
(voir même l'exécutable en P.Ex ccm.exe ?)
et de le renvoyer
-----------------------------------------
Le bots
"Souvenez-vous que Hijackthis doit être exécuté dans son propre dossier. C'est seulement s'il est exécuté dans un dossier réservé, qu'il créera des sauvegardes! Tool, mit dem sie dieses Logfile erzeugt haben. Das Programm sollte so angelegt sein ! C:\Programme\HijackThis\HijackThis.exe
-----------------------------------------


?????????????????????????????????????????????????
Il me semble pourtant avoir lu dans un topic
que dans certains cas il fallait renommer le dossier ??

Les-quels [ cas ]

*****************************************
"Ces 2 lignes peuvent cochées car inutiles"

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunesHelper.exe"

******************************************
ais-je tort ? ;)

Merci d'éclairer un débutant plein de venin !

et je m'explique sans doute trés mal
0
jorginho67 Messages postés 14716 Date d'inscription   Statut Contributeur sécurité Dernière intervention   1 169
 
Salut !

Attention !
Il est particulièrement déconseillé d'utiliser le robot de lecture HijackThis de, si on ne sait pas analyser les résultats.
De plus celui ci n'est plus mis à jour depuis quelques temps déjà et n'est donc plus fiable...
Ne jamais se fier aveuglément aux résultats donnés par ce type de robot.

?????????????????????????????????????????????????
Il me semble pourtant avoir lu dans un topic
que dans certains cas il fallait renommer le dossier ??

Les-quels [ cas ]


Pour déceler la présence de Vundo ( si tu ne vois ni de lignes 02 ni de 020 sur le log HJT )

Mais, c'est une longue histoire...

Le bots
"Souvenez-vous que Hijackthis doit être exécuté dans son propre dossier. C'est seulement s'il est exécuté dans un dossier réservé, qu'il créera des sauvegardes!


Tant qu'il n'est pas dans un dossier ( ou sous dossier ) TEMP , c'est bon.

Juste, que si c'est le cas, certains outils suppriment les fichiers Temporaires, et dans ce cas, plus de back up.


"Ces 2 lignes peuvent cochées car inutiles"

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

Légitime => http://www.castlecops.com/tk32132-HTC_DLL_htc_8_1_0178_00_dll_htc_8_1_0168_00_dll_htc_8_1_01_00_dll.html

Une vielle clé, pouvant être nettoyée avec CCleaner...

O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunesHelper.exe"

Ici, on la donne comme légitime...
https://www.bleepingcomputer.com/startups/iTunesHelper.exe-2349.html

Fixer une ligne ne veux pas dire supprimer, mais désactiver un exe...

En cas d'exe infectieux, il faut le supprimer avec l'outil adéquat, manuellement, ou, uniquement en cas ultime, a coup de massue ;-))
0
cbauf Messages postés 4299 Date d'inscription   Statut Contributeur Dernière intervention   786
 
Merci de ta tes réponses

je m'abstiendrais de répondre au topic n'ayant pas la capacité

j'ai bien compris qu'un robot ... faut faire gaffe ! c'était juste pour me faire une idée

je continue a essayé de comprendre de loin [arrière-plan]
(bien trop peur de dire des c.. bêtises ;)

et comme le dis ta signature ça sent... ◄:-)
0
raphy00 Messages postés 1092 Date d'inscription   Statut Membre Dernière intervention   9
 
Salut,

Comme beaucoup, j'ai commence par ca :

https://www.bleepingcomputer.com/tutorials/comment-utiliser-hijackthis/

Bonne lecture !

@+
0
gouby Messages postés 45647 Date d'inscription   Statut Contributeur Dernière intervention   6 476
 
salut

elle est sympa cette aide, mais ca doit prendre beaucoup de temps pour tout comprendre, et de la patiente aussi

0
raphy00 Messages postés 1092 Date d'inscription   Statut Membre Dernière intervention   9
 
En tout cas, elle est tres bien.

Et puis, la desinfection ne s'apprend pas en un jour hein !.. ;)
0