Malware 'TSA' & 'Web Nexus Network'

[Thanos]

salut zaran,méga

 

Méga s'est occupé de kazaa,une bonne chose de faite!

 

concernant windows update,Firefox te demande d'ajouter un plugin additionnel pour pouvoir télécharger les

mises à jour.Le plugin installe deux fichiers qui se nomment UPD62INT.dll et npupd62.dll,tu les trouve dans le dossier C:\Program Files\Mozilla Firefox\Plugins

Est ce que tu as bien ces deux fichiers?Si oui,il suffit parfois d'éliminer ces deux fichiers puis de réinstaller le plugin depuis le site de Windizupdate.

 

Tiens moi au courant

[zaran]

Salut,

 

Le logiciel pour nettoyer Kazaa a encore trouvé 15 entrée dans le registre, qui en est débarassé maintenant.

 

Par contre, WindizUpdate, après avoir enlever les dll, puis réinstaller le plugin, toujours la même erreur!!!

[zaran]

Bonne nouvelle,

 

Je me suis connecté sur microsoft.fr, qui m'a fait des mises à jour de sécurité -les détails de celles-là suivront- et je m'y suis reconncté après redémarrage du PC comme exigé par le site pour continuer la mise à jour, la page des updates s'est ouverte avec le conseil de télécharger le SP2 -qui est en téléchargement en ce moment-.

 

Ce qui est curieux c'est la différence de taille entre la version du SP2 que j'avais téléchargé depuis un cyber-café (270Mb) et celle qui se charge actuellement (112Mo)

 

Quand le chargement sera effectué ainsi que son instalation, je donnerai des nouvelles.

 

Sais pas pourquoi le téléchargement est si lent (adsl 4,6M); en +- 10 minutes seul 10Mo se sont chargés.

 

Patience, patience...

[zaran]

Encore un fuaux espoir...

 

Toutefois quelques mises à jour ont été possibles:

 

Windows XP Outil de suppression de logiciels malveillants Windows - Novembre 2005 (KB890830) dimanche 11 décembre 2005 Site Web Windows Update

Windows XP Outil de détection de Microsoft GDI+ (KB873374) dimanche 11 décembre 2005 Site Web Windows Update

Windows XP Mise à jour de la sécurité pour Windows XP (KB835732) dimanche 11 décembre 2005 Site Web Windows Update

Windows XP 810833 : Mise à jour de la sécurité (Windows XP) dimanche 11 décembre 2005 Site Web Windows Update

Windows XP Mise à jour de sécurité cumulative pour Internet Explorer 6 (KB834707) dimanche 11 décembre 2005 Site Web Windows Update

Windows XP Mise à jour de la sécurité pour Windows XP (KB828741) dimanche 11 décembre 2005 Site Web Windows Update

Windows XP Mise à jour de la sécurité pour Windows XP (329834) dimanche 11 décembre 2005 Site Web Windows Update

Windows XP Microsoft Corporation - Sound - Creative AudioPCI (ES1370), SB PCI 64/128 (WDM) dimanche 11 décembre 2005 Site Web Windows Update

Windows XP 823559 : Mise à jour de la sécurité pour Microsoft Windows dimanche 11 décembre 2005 Site Web Windows Update

Windows XP 817606 : Mise à jour de la sécurité (Windows XP) dimanche 11 décembre 2005 Site Web Windows Update

Windows XP Q329441 : Mise à jour critique dimanche 11 décembre 2005 Site Web Windows Update

Windows XP 810577 : Mise à jour de la sécurité dimanche 11 décembre 2005 Site Web Windows Update

Windows XP 811630 : Mise à jour critique (Windows XP) dimanche 11 décembre 2005 Site Web Windows Update

Windows XP 329170 : Mise à jour de la sécurité dimanche 11 décembre 2005 Site Web Windows Update

Windows XP Q329115 : Mise à jour de la sécurité (Windows XP) dimanche 11 décembre 2005 Site Web Windows Update

Windows XP Q329390 : Mise à jour de la sécurité dimanche 11 décembre 2005 Site Web Windows Update

Windows XP Q323255 : Mise à jour de la sécurité dimanche 11 décembre 2005 Site Web Windows Update

Windows XP Q329048 : Mise à jour de la sécurité dimanche 11 décembre 2005 Site Web Windows Update

Windows XP Mise à jour pour le Service de transfert intelligent en arrière-plan (BITS) 2.0 et WinHTTP 5.1 (KB842773) dimanche 11 décembre 2005 Site Web Windows Update

 

 

Pour SP2, toujours impossible.

[zaran]

SP2 est installé, après le redémarrage le centre de sécurité windows me propose des recommendations, quel est la bonne attitude avec ses recommadations. Je ne touche à rien, ou certain paramètres sont à modifier?

[Jack_Burton]

Bonjour,

 

SP2 est installé, après le redémarrage le centre de sécurité windows me propose des recommendations, quel est la bonne attitude avec ses recommadations

La bonne attitude c est de laisser tomber le pitoyable parfeu du SP2 et d en installer un vrai!

 

Tu en trouveras 3 gratuits et performants dans les "consignes de sécurité" en bas pres de ma signature!

 

As tu encore des dysfonctionnements?

[Mark]

Bonjour Jack, bonjour Charles, bonjour zaran, bonjour à toutes/tous ;

 

Ben en voilà de bonnes nouvelles !

 

Juste un petit point :

Ce qui est curieux c'est la différence de taille entre la version du SP2 que j'avais téléchargé depuis un cyber-café (270Mb) et celle qui se charge actuellement (112Mo)

Normal... car ce que tu avais téléchargé auparavant était le package "réseau", qui comprend SP2 en entier. Lorsque tu te connectes au site de Windows Update, ils te font l'analyse des fichiers présents sur ta bécane, et puis ils adaptent le téléchargement en conséquence. Dans ton cas, tu avais déjà des MAJs, donc la taille du SP2 était inférieure aux 270 Megas de l'installation entière.

 

Beau travail tout l'monde

[Thanos]

salut tout le monde

 

Ca roule! merci à tous les intervenants pour ces conseils(mégataupe,Jack,QC001)!Encore quelques manipulations à faire pour sécuriser le pc,et tu seras paré!

Je reviens aux problèmes que tu rencontrais en début de discussion: TSA & Web Nexus Network apparaissent ils encore?Par ailleurs,tu peux faire le scan en ligne suivant pour voir si autre chose est détecté?:

 

-Symantec:

Choisir virus détection

[zaran]

Bonjour Charles,

 

j'ai, en mode sans échec, refait tout les tests dans l'ordre que tu me les avais demandés, il y a eu un résultat assez surprenant:

 

Antivir ne détecte rien.

 

ewido trouve ceci:

---------------------------------------------------------

ewido security suite - Rapport de scan

---------------------------------------------------------

 

+ Créé le: 23:29:00, 12/12/2005

+ Somme de contrôle: ABFB9EF7

 

+ Résultats du scan:

 

C:\Documents and Settings\zaran\Cookies\zaran@tradedoubler[1].txt -> Spyware.Cookie.Tradedoubler : Nettoyer et sauvegarder

 

 

::Fin du rapport

et le supprime.

 

Je lance a-squared qui me trouve le même malware, au même endroit, qui le supprime aussi.

 

Je lance ad-aware qui détecte encore le même malware, tjs au même endroit, et le supprime.

 

Je suis allé voir par l'explorateur, je n'ai rien trouvé. Il semble bien éliminé cette fois.

 

 

Easy cleaner nettoie et me débarrasse de toutes série d'entrées, puis de fichiers inutiles mais ne peux supprimer celui-ci

C:\Documents and Settings\zaran\Local Settings\Temp\Perflib_Perfdata_468.dat

Est-il un risque?

Je ne le trouve pas dans l'explorateur - configuré pour montré dossiers et fichiers cachés.

 

 

 

Revenu en mode normal, j'ai lancé HJT, voici le rapport

Logfile of HijackThis v1.99.1

Scan saved at 23:59:49, on 12/12/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Netropa\Multimedia Keyboard\nhksrv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\ewido\security suite\ewidoctrl.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\oodag.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\Program Files\Netropa\Multimedia Keyboard\MMKeybd.exe

C:\Program Files\Netropa\Multimedia Keyboard\TrayMon.exe

C:\Program Files\Thomson\SpeedTouch USB\Dragdiag.exe

C:\WINDOWS\system32\rundll32.exe

C:\Program Files\Netropa\Onscreen Display\OSD.exe

C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\AntiVir PersonalEdition Classic\AVGNT.EXE

C:\HijackThis\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O3 - Toolbar: Copernic Agent - {F2E259E8-0FC8-438C-A6E0-342DD80FA53E} - C:\Program Files\Copernic Agent\CopernicAgentExt.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [MULTIMEDIA KEYBOARD] C:\Program Files\Netropa\Multimedia Keyboard\MMKeybd.exe

O4 - HKLM\..\Run: [speedTouch USB Diagnostics] "C:\Program Files\Thomson\SpeedTouch USB\Dragdiag.exe" /icon

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe

O8 - Extra context menu item: Chercher avec Copernic Agent - res://C:\Program Files\Copernic Agent\CopernicAgentExt.rdl/INTEGRATION_MENU_SEARCHEXT

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra button: (no name) - {193B17B0-7C9F-4D5B-AEAB-8D3605EFC084} - C:\PROGRA~1\COPERN~1\COPERN~1.EXE

O9 - Extra 'Tools' menuitem: Démarrer Copernic Agent - {193B17B0-7C9F-4D5B-AEAB-8D3605EFC084} - C:\PROGRA~1\COPERN~1\COPERN~1.EXE

O9 - Extra button: Copernic Agent - {688DC797-DC11-46A7-9F1B-445F4F58CE6E} - C:\PROGRA~1\COPERN~1\COPERN~1.EXE

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1134312161245

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2005111...all/xscan53.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O23 - Service: AntiVir Scheduler (AntiVirScheduler) - H+BEDV Datentechnik GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido\security suite\ewidoctrl.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Netropa NHK Server (nhksrv) - Unknown owner - C:\Program Files\Netropa\Multimedia Keyboard\nhksrv.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\System32\oodag.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

 

Vu l'installation de SP2, il est peut-être normal qu'il y ait plus d'applications maintenant?

 

 

 

 

Depuis ce matin, le surf est lent: 6 à 9 secondes pour changer de page sur n'importe quel site, des téléchargement à 7Ko, avec des pointes à 12Ko.

 

 

 

 

Au sujet des deux logiciels intrus;

 

1- TSA a disparu,

 

2- par contre Web Nexus Network est toujours présent et réclame le téléchargement d'un logiciel pour le désinstaller (sur le site http://www.web-nexus.net/uninstall.php). Le problème, raison pour laquelle je suis venu demander de l'aide, est que Avast detectait la présence d'un trojan dans le logiciel de désinstallation. Et puis, je n'aime pas trop cela: charger un logiciel pour désintaller un autre, cela me paraît assez suspect.

 

 

 

Voici le résultat du scan de symantec:

 

C:\WINDOWS\system32\eusinap.dll is infected with Adware.QoolAid

C:\WINDOWS\system32\fkqkw.dll is infected with Adware.QoolAid

 

 

Chaque logiciel détecte de nouvel menaces.

 

 

 

Je pense n'avoir rien oublié, et encore merci pour tout ce travail fourni pour m'aider.

 

Merci à Jack Burton et à Qc001 -et à tous les participants- pour leur apport,

 

Dès que mon PC est clean clean et prêt à résister à la plupart des logiciels malveillants, je vais me plonger dans l'étude du tuto concernant HJT.

[zaran]

Encore un rapport (fait avec starter), celui des processus actifs, car j'ai constaté qu'il y en avait des nouveaux. Peut-être simplement dû au SP2. :

 

Processus,PID,"Util. mémoire",Exécutable,Priorité,"Erreurs de page","Util. mémoire (pointe)","Réserve paginée (pointe)","Réserve paginée","Réserve non paginée (pointe)","Réserve non paginée","Fichier d'échange (pointe)","Fichier d'échange"

alg.exe,1208,3.301.376,C:\WINDOWS\System32\alg.exe,"20 (Normal)",841,3.309.568,36.604,36.316,5.808,5.328,1.081.344,1.069.056

AVGNT.EXE,2708,4.870.144,"C:\Program Files\AntiVir PersonalEdition Classic\AVGNT.EXE","20 (Normal)",11.247,16.887.808,37.416,35.888,4.416,3.456,15.605.760,2.244.608

avguard.exe,2612,15.437.824,"C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe","20 (Normal)",15.153,17.371.136,19.912,19.912,7.624,5.768,16.846.848,14.901.248

csrss.exe,496,3.416.064,C:\WINDOWS\system32\csrss.exe,"20 (Normal)",4.264,5.386.240,52.828,52.336,5.984,5.312,4.898.816,1.454.080

Dragdiag.exe,1900,3.026.944,"C:\Program Files\Thomson\SpeedTouch USB\Dragdiag.exe","20 (Normal)",765,3.026.944,35.624,32.288,2.680,2.200,1.081.344,770.048

ewidoctrl.exe,1364,1.843.200,"C:\Program Files\ewido\security suite\ewidoctrl.exe","20 (Normal)",462,1.843.200,19.084,19.052,2.520,1.920,675.840,655.360

Explorer.EXE,1296,20.860.928,C:\WINDOWS\Explorer.EXE,"20 (Normal)",17.896,22.437.888,86.616,68.592,19.728,15.720,14.934.016,12.722.176

firefox.exe,2176,21.286.912,"C:\Program Files\Mozilla Firefox\firefox.exe","20 (Normal)",6.712,21.385.216,67.096,57.932,12.088,9.056,12.197.888,12.091.392

Idle,0,,,"0 (Normal)",,,,,,,,

jusched.exe,2016,1.744.896,"C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe","20 (Normal)",435,1.744.896,20.856,20.856,2.120,1.640,438.272,438.272

lsass.exe,576,5.980.160,C:\WINDOWS\system32\lsass.exe,"20 (Normal)",1.637,5.980.160,42.972,41.620,12.176,9.440,3.817.472,3.817.472

MMKeybd.exe,1848,4.009.984,"C:\Program Files\Netropa\Multimedia Keyboard\MMKeybd.exe","20 (Normal)",2.774,4.362.240,40.368,35.140,5.656,3.160,2.424.832,2.265.088

nhksrv.exe,1284,983.040,"C:\Program Files\Netropa\Multimedia Keyboard\nhksrv.exe","20 (Normal)",237,983.040,15.896,15.828,1.584,1.360,290.816,290.816

NOTEPAD.EXE,1972,3.891.200,C:\WINDOWS\system32\NOTEPAD.EXE,"20 (Normal)",992,3.891.200,39.280,35.732,3.144,2.640,2.052.096,1.130.496

nvsvc32.exe,1416,3.108.864,C:\WINDOWS\System32\nvsvc32.exe,"20 (Normal)",2.961,4.100.096,50.280,24.716,3.840,2.760,2.609.152,1.949.696

oodag.exe,1428,5.025.792,C:\WINDOWS\System32\oodag.exe,"20 (Normal)",2.057,5.029.888,33.532,30.640,34.528,33.584,3.276.800,3.260.416

OSD.exe,1932,3.260.416,"C:\Program Files\Netropa\Onscreen Display\OSD.exe","20 (Normal)",923,3.272.704,37.632,33.296,3.560,2.720,2.105.344,2.015.232

rundll32.exe,1924,4.915.200,C:\WINDOWS\system32\rundll32.exe,"20 (Normal)",2.933,6.983.680,48.320,39.932,4.800,3.920,9.588.736,2.539.520

sched.exe,1320,3.989.504,"C:\Program Files\AntiVir PersonalEdition Classic\sched.exe","20 (Normal)",5.775,4.575.232,32.108,28.096,5.280,3.400,2.420.736,1.273.856

services.exe,564,3.891.200,C:\WINDOWS\system32\services.exe,"20 (Normal)",1.411,4.059.136,40.000,38.400,8.680,7.040,2.256.896,1.937.408

smss.exe,424,385.024,C:\WINDOWS\System32\smss.exe,"20 (Normal)",289,692.224,13.344,5.276,1.272,640,1.683.456,172.032

spoolsv.exe,1040,4.489.216,C:\WINDOWS\system32\spoolsv.exe,"20 (Normal)",1.500,4.497.408,44.080,41.144,9.104,4.952,3.371.008,3.207.168

Starter.exe,2748,9.281.536,"C:\Program Files\CodeStuff\Starter\Starter.exe","20 (Normal)",3.964,9.347.072,63.504,61.700,7.240,6.680,5.632.000,4.980.736

svchost.exe,724,4.689.920,C:\WINDOWS\system32\svchost.exe,"20 (Normal)",1.256,4.706.304,42.224,40.788,7.480,6.424,23.658.496,3.022.848

svchost.exe,784,3.874.816,C:\WINDOWS\system32\svchost.exe,"20 (Normal)",1.086,3.883.008,39.056,38.400,15.456,13.488,1.634.304,1.601.536

svchost.exe,820,27.459.584,C:\WINDOWS\System32\svchost.exe,"20 (Normal)",13.631,27.459.584,129.968,123.972,66.720,65.936,19.853.312,19.849.216

svchost.exe,896,3.043.328,C:\WINDOWS\System32\svchost.exe,"20 (Normal)",891,3.166.208,35.168,30.524,7.216,4.088,1.331.200,1.208.320

svchost.exe,952,4.329.472,C:\WINDOWS\System32\svchost.exe,"20 (Normal)",1.151,4.329.472,39.464,39.360,8.880,6.136,1.699.840,1.699.840

System,4,225.280,,"20 (Normal)",7.616,4.149.248,,,,,,

TrayMon.exe,1896,2.695.168,"C:\Program Files\Netropa\Multimedia Keyboard\TrayMon.exe","20 (Normal)",682,2.695.168,33.684,32.700,2.840,2.320,1.228.800,905.216

vsmon.exe,1564,15.224.832,C:\WINDOWS\system32\ZoneLabs\vsmon.exe,"20 (Normal)",15.715,15.286.272,61.304,54.824,11.104,7.352,13.967.360,13.778.944

wdfmgr.exe,1504,1.601.536,C:\WINDOWS\System32\wdfmgr.exe,"20 (Normal)",392,1.601.536,15.820,15.764,1.920,1.920,1.536.000,1.536.000

winlogon.exe,520,1.286.144,C:\WINDOWS\system32\winlogon.exe,"80 (High)",6.016,13.824.000,63.732,58.412,52.176,50.136,9.666.560,6.172.672

wmiprvse.exe,2488,5.812.224,C:\WINDOWS\System32\wbem\wmiprvse.exe,"20 (Normal)",1.501,5.812.224,41.172,40.940,5.440,4.880,2.965.504,2.027.520

wuauclt.exe,2080,11.567.104,C:\WINDOWS\system32\wuauclt.exe,"20 (Normal)",5.546,11.571.200,61.072,60.832,33.400,7.880,8.810.496,8.114.176

wuauclt.exe,2816,5.918.720,C:\WINDOWS\system32\wuauclt.exe,"20 (Normal)",1.491,5.918.720,47.656,46.672,7.168,6.160,5.951.488,5.861.376

zlclient.exe,1988,4.866.048,"C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe","20 (Normal)",5.160,9.261.056,60.420,58.980,6.240,5.640,6.320.128,5.365.760

 

Quelque chose d'anormal?