Bonsoir,
J'ai installé un logiciel appelé tvants. Lorsque je l'ai lancé, mon antivirus KAV a détecté plusieurs fichiers infectés comme dll5.exe. Tous ces fichiers ont été supprimés.
A la suite de cela, le résident de Spybot-SD m'a détecté des tentatives d'intrusion dans winlogon.exe. Le log du résident est le suivant :
Citation :
19/08/2006 20:53:06 Autorisé(e) value "scrnsave.exe" (new data: "" ) supprimé(e) in Desktop settings!
20/08/2006 10:38:45 Autorisé(e) value "scrnsave.exe" (new data: "" ) supprimé(e) in Desktop settings!
21/08/2006 19:04:49 Autorisé(e) value "scrnsave.exe" (new data: "" ) supprimé(e) in Desktop settings!
22/08/2006 19:17:50 Autorisé(e) value "scrnsave.exe" (new data: "" ) supprimé(e) in Desktop settings!
22/08/2006 20:48:08 Refusé(e) value "Torjan Program" (new data: "C:\WINDOWS\WINLOGON.EXE" ) ajouté(e) in System Startup global entry!
22/08/2006 20:48:08 Encountered and terminated CoolWWWSearch.Leftovers in C:\WINDOWS\WINLOGON.EXE!
22/08/2006 20:48:31 Refusé(e) value "Torjan Program" (new data: "C:\WINDOWS\WINLOGON.EXE" ) ajouté(e) in System Startup global entry!
22/08/2006 20:48:33 Refusé(e) value "Shell" (new data: "Explorer.exe 1" ) modifié(e) in Winlogon!
22/08/2006 20:48:36 Refusé(e) value "intranet" (new data: "C:\WINDOWS\System32\intranet.exe" ) ajouté(e) in System Startup global entry!
22/08/2006 20:48:58 Refusé(e) value "Torjan Program" (new data: "C:\WINDOWS\WINLOGON.EXE" ) ajouté(e) in System Startup global entry!
22/08/2006 20:48:59 Encountered and terminated CoolWWWSearch.Leftovers in C:\WINDOWS\WINLOGON.EXE!
22/08/2006 20:49:09 Refusé(e) value "Torjan Program" (new data: "C:\WINDOWS\WINLOGON.EXE" ) ajouté(e) in System Startup global
|
Ces messages du résident n'arrête pas d'apparaitre à l'écran lorsque je vais sur internet, ou lorsque je lance hijack.
J'ai lancé HIJACK dont voici le log :
Citation :
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\ewido anti-malware\ewidoctrl.exe
C:\Program Files\ewido anti-malware\ewidoguard.exe
C:\Program Files\Sunbelt Software\Personal Firewall 4\kpf4ss.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\wdfmgr.exe
C:\Program Files\Sunbelt Software\Personal Firewall 4\kpf4gui.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Sunbelt Software\Personal Firewall 4\kpf4gui.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\Program Files\ADS Tech\INSTANT TV DVB-T\Scheduled.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\BricoPacks\Vista Inspirat\ObjectDock\ObjectDock.exe
C:\WINDOWS\BricoPacks\Vista Inspirat\YzShadow\YzShadow.exe
C:\WINDOWS\BricoPacks\Vista Inspirat\YzToolbar\YzToolBar.exe
C:\Program Files\AIRPLUS\D-Link AirPlus DWL-120+ Wireless USB Adapter\AIRPLUS.EXE
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\Documents and Settings\ANTOINE Stéphane\Mes documents\HijackThis.exe
C:\WINDOWS\system32\NOTEPAD.EXE
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/ig?hl=fr
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {348FE907-249E-4C65-A838-F34A193FE1D1} - (no file)
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [DTVR Agent] C:\Program Files\ADS Tech\INSTANT TV DVB-T\Scheduled.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Torjan Program] C:\WINDOWS\WINLOGON.EXE
O4 - HKLM\..\RunServices: [Torjan Program] C:\WINDOWS\WINLOGON.EXE
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - Startup: Kremlin Sentry.lnk.disabled
O4 - Startup: Stardock ObjectDock.lnk = C:\WINDOWS\BricoPacks\Vista Inspirat\ObjectDock\ObjectDock.exe
O4 - Startup: Y'z Shadow.lnk = C:\WINDOWS\BricoPacks\Vista Inspirat\YzShadow\YzShadow.exe
O4 - Startup: Y'z ToolBar.lnk = C:\WINDOWS\BricoPacks\Vista Inspirat\YzToolbar\YzToolBar.exe
O4 - Global Startup: D-Link AirPlus DWL-120+ Wireless USB Adapter.lnk.disabled
O4 - Global Startup: Kaspersky Anti-Virus Personal.lnk = C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk.disabled
O4 - Global Startup: Logitech SetPoint.lnk.disabled
O4 - Global Startup: TV Remote Control.lnk = C:\Program Files\ADS Tech\Instant TV Remote\ADSRMT.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O14 - IERESET.INF: START_PAGE_URL=http://www.google.fr/
O16 - DPF: {2B323CD9-50E3-11D3-9466-00A0C9700498} (Yahoo! Audio Conferencing) - http://us.chat1.yimg.com/us.yimg.c [...] acscom.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/window [...] 3036069015
O16 - DPF: {7D1E9C49-BD6A-11D3-87A8-009027A35D73} (Yahoo! Audio UI1) - http://chat.yahoo.com/cab/yacsui.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/bina [...] b31267.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/ [...] loader.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{FCFE07C6-B494-4142-8B28-8AE2940719CA}: NameServer = 192.168.1.1
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: polymorphreg - C:\WINDOWS\
O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido anti-malware\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Program Files\ewido anti-malware\ewidoguard.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: kavsvc - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe
O23 - Service: Sunbelt Kerio Personal Firewall 4 (KPF4) - Sunbelt Software - C:\Program Files\Sunbelt Software\Personal Firewall 4\kpf4ss.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
|
Pour information, à chaque fois que je coche et que je fixe les cases suivantes, les messages du résident continuent de s'afficher et les cases réapparaissent au démarrage de l'ordinateur :
O4 - HKLM\..\Run: [Torjan Program] C:\WINDOWS\WINLOGON.EXE
O4 - HKLM\..\RunServices: [Torjan Program] C:\WINDOWS\WINLOGON.EXE
J'ai lancé Spybot-SD pour réparer ces problèmes et voici le résultat du scan:
Citation :
--- Report generated: 2006-08-22 22:29 ---
CoolWWWSearch.Leftovers: Exécutable (Fichier, nothing done)
C:\WINDOWS\WINLOGON.EXE
True Sword: Réglages (Clé du registre, nothing done)
HKEY_LOCAL_MACHINE\SOFTWARE\Security Stronghold
Cimuz: Réglages (Valeur du registre, nothing done)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Control Panel\load\compid
Cimuz: Réglages (Valeur du registre, nothing done)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Control Panel\load\net_insll
Element: Exécutable (Fichier, nothing done)
C:\boot.exe
Jupilites: Réglages (Valeur du registre, nothing done)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ATI_VER
|
Tout a été nettoyé mais l'infection dans winlogon semble persister puisque le résident de Spybot continue de me mettre des alertes : modification du registre refusée...
En ce qui concerne la case O20 - Winlogon Notify: polymorphreg - C:\WINDOWS\ (infection plus vieille)
Je l'ai nettoyée par Hijack, Ewido, avast et spybot cette infection mais elle demeure inscrite dans hijack à croire qu'elle est tjs présente dans l'ordinateur.
Message édité par FafLleu le 24-08-2006 à 00:19:47
):