Aller au contenu

  • Pas encore inscrit ?

    Pourquoi ne pas vous inscrire ? C'est simple, rapide et gratuit.
    Pour en savoir plus, lisez Les avantages de l'inscription... et la Charte de Zébulon.
    De plus, les messages que vous postez en tant qu'invité restent invisibles tant qu'un modérateur ne les a pas validés. Inscrivez-vous, ce sera un gain de temps pour tout le monde, vous, les helpeurs et les modérateurs ! :wink:

PC infecté : demande de décryptage du log

Hyaline

Par Hyaline
dans Analyses et éradication malwares

 Partager

Messages recommandés

Hyaline Junior Member

Hyaline

Posté(e)
Posté(e)

Bonjour,

 

j'ai un serveur 2003 et j'ai une importante poussée en mémoire sur les processus spoolsv.exe et services.exe. Arrivé à une quantité trop importante, je suis obligé de redémarrer le serveur. J'ai passé HijackThis, je vous envoie le log en espérant que vous allez pouvoir m'aider, merci.

 

 

Logfile of HijackThis v1.99.1

Scan saved at 09:10:23, on 04/04/2006

Platform: Windows 2003 (WinNT 5.02.3790)

MSIE: Internet Explorer v6.00 (6.00.3790.0000)

 

Running processes:

U:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Sophos\AutoUpdate\ALsvc.exe

C:\WINDOWS\system32\Dfssvc.exe

C:\WINDOWS\System32\svchost.exe

C:\compaq\hpdiags\hpdiags.exe

C:\WINDOWS\System32\ismserv.exe

C:\WINDOWS\system32\ntfrs.exe

C:\Program Files\RDS\srscandr.exe

C:\Program Files\Sophos\Sophos Anti-Virus\SWEEPSRV.SYS

C:\WINDOWS\System32\svchost.exe

C:\Program Files\RealVNC\VNC4\WinVNC4.exe

C:\WINDOWS\system32\sysdown.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Sophos\AutoUpdate\ALMon.exe

C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

C:\WINDOWS\system32\mmc.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\taskmgr.exe

C:\WINDOWS\system32\rdpclip.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Sophos\AutoUpdate\ALMon.exe

C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\taskmgr.exe

C:\WINDOWS\system32\rdpclip.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Sophos\AutoUpdate\ALMon.exe

C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

C:\WINDOWS\system32\winlogon.exe

C:\Program Files\Corel\WordPerfect Office 2000\programs\pdxwin32.exe

C:\WINDOWS\system32\rdpclip.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Sophos\AutoUpdate\ALMon.exe

C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\rdpclip.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Sophos\AutoUpdate\ALMon.exe

C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\rdpclip.exe

C:\WINDOWS\system32\Userinit.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Sophos\AutoUpdate\ALMon.exe

C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

E:\HijackThis.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\userinit.exe

C:\WINDOWS\system32\rdpclip.exe

C:\WINDOWS\system32\Userinit.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Sophos\AutoUpdate\ALMon.exe

C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

C:\Program Files\Corel\WordPerfect Office 2000\programs\pdxwin32.exe

C:\Program Files\Corel\WordPerfect Office 2000\programs\pdxwin32.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = res://shdoclc.dll/softAdmin.htm

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\system32\blank.htm

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.hotmail.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\Userinit.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O4 - Global Startup: AutoUpdate Monitor.lnk = C:\Program Files\Sophos\AutoUpdate\ALMon.exe

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_05\bin\npjpi142_05.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_05\bin\npjpi142_05.dll

O10 - Broken Internet access because of LSP provider 'u:\windows\system32\mswsock.dll' missing

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2005111...all/xscan53.cab

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = Comeca.local

O17 - HKLM\Software\..\Telephony: DomainName = Comeca.local

O17 - HKLM\System\CCS\Services\Tcpip\..\{BE1ECB98-5787-4828-B604-048E096D083E}: NameServer = 192.168.68.250

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = Comeca.local

O17 - HKLM\System\CS1\Services\Tcpip\..\{BE1ECB98-5787-4828-B604-048E096D083E}: NameServer = 192.168.68.250

O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = Comeca.local

O17 - HKLM\System\CS2\Services\Tcpip\..\{BE1ECB98-5787-4828-B604-048E096D083E}: NameServer = 192.168.68.250

O17 - HKLM\System\CS3\Services\Tcpip\Parameters: Domain = Comeca.local

O17 - HKLM\System\CS3\Services\Tcpip\..\{BE1ECB98-5787-4828-B604-048E096D083E}: NameServer = 192.168.68.250

O18 - Protocol: hpapp - {24F45006-5BD9-41B7-9BD9-5F8921C8EBD1} - C:\Program Files\Compaq\Cpqacuxe\Bin\hpapp.dll

O23 - Service: Sophos AutoUpdate Service (ActiveLinkClient) - Unknown owner - C:\Program Files\Sophos\AutoUpdate\ALsvc.exe

O23 - Service: Avertissement (Alerter) - Unknown owner - U:\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Service de la passerelle de la couche Application (ALG) - Unknown owner - U:\WINDOWS\System32\alg.exe (file missing)

O23 - Service: Gestion d'applications (AppMgmt) - Unknown owner - U:\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Audio Windows (AudioSrv) - Unknown owner - U:\WINDOWS\System32\svchost.exe (file missing)

O23 - Service: Service de transfert intelligent en arrière-plan (BITS) - Unknown owner - U:\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Explorateur d'ordinateurs (Browser) - Unknown owner - U:\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Services de cryptographie (CryptSvc) - Unknown owner - U:\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Système de fichiers distribués (Dfs) - Unknown owner - U:\WINDOWS\system32\Dfssvc.exe (file missing)

O23 - Service: Client DHCP (Dhcp) - Unknown owner - U:\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - Unknown owner - U:\WINDOWS\System32\dmadmin.exe (file missing)

O23 - Service: Gestionnaire de disque logique (dmserver) - Unknown owner - U:\WINDOWS\System32\svchost.exe (file missing)

O23 - Service: Client DNS (Dnscache) - Unknown owner - U:\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Service de rapport d'erreurs (ERSvc) - Unknown owner - U:\WINDOWS\System32\svchost.exe (file missing)

O23 - Service: Journal des événements (Eventlog) - Unknown owner - U:\WINDOWS\system32\services.exe (file missing)

O23 - Service: Aide et support (helpsvc) - Unknown owner - U:\WINDOWS\System32\svchost.exe (file missing)

O23 - Service: HP Insight Diagnostics (hpdiags) - Unknown owner - C:\compaq\hpdiags\hpdiags.exe

O23 - Service: HTTP SSL (HTTPFilter) - Unknown owner - U:\WINDOWS\System32\lsass.exe (file missing)

O23 - Service: Messagerie inter-sites (IsmServ) - Unknown owner - U:\WINDOWS\System32\ismserv.exe (file missing)

O23 - Service: Centre de distribution de clés Kerberos (kdc) - Unknown owner - U:\WINDOWS\System32\lsass.exe (file missing)

O23 - Service: Serveur (lanmanserver) - Unknown owner - U:\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Station de travail (lanmanworkstation) - Unknown owner - U:\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Enregistrement de licences (LicenseService) - Unknown owner - U:\WINDOWS\System32\llssrv.exe (file missing)

O23 - Service: Assistance TCP/IP NetBIOS (LmHosts) - Unknown owner - U:\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: MSSQLServerADHelper - Unknown owner - C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqladhlp.exe (file missing)

O23 - Service: Ouverture de session réseau (Netlogon) - Unknown owner - U:\WINDOWS\system32\lsass.exe (file missing)

O23 - Service: Connexions réseau (Netman) - Unknown owner - U:\WINDOWS\System32\svchost.exe (file missing)

O23 - Service: NLA (Network Location Awareness) (Nla) - Unknown owner - U:\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Service de réplication de fichiers (NtFrs) - Unknown owner - U:\WINDOWS\system32\ntfrs.exe (file missing)

O23 - Service: Fournisseur de la prise en charge de sécurité LM NT (NtLmSsp) - Unknown owner - U:\WINDOWS\system32\lsass.exe (file missing)

O23 - Service: Stockage amovible (NtmsSvc) - Unknown owner - U:\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Plug-and-Play (PlugPlay) - Unknown owner - U:\WINDOWS\system32\services.exe (file missing)

O23 - Service: Services IPSEC (PolicyAgent) - Unknown owner - U:\WINDOWS\system32\lsass.exe (file missing)

O23 - Service: Emplacement protégé (ProtectedStorage) - Unknown owner - U:\WINDOWS\system32\lsass.exe (file missing)

O23 - Service: Gestionnaire de connexion automatique d'accès distant (RasAuto) - Unknown owner - U:\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Gestionnaire de connexions d'accès distant (RasMan) - Unknown owner - U:\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Accès à distance au Registre (RemoteRegistry) - Unknown owner - U:\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Localisateur d'appels de procédure distante (RPC) (RpcLocator) - Unknown owner - U:\WINDOWS\system32\locator.exe (file missing)

O23 - Service: Appel de procédure distante (RPC) (RpcSs) - Unknown owner - U:\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Fournisseur d'un jeu de stratégie résultant (RSoPProv) - Unknown owner - U:\WINDOWS\system32\RSoPProv.exe (file missing)

O23 - Service: Application d'assistance de la Console d'administration spéciale (sacsvr) - Unknown owner - U:\WINDOWS\System32\svchost.exe (file missing)

O23 - Service: Gestionnaire de comptes de sécurité (SamSs) - Unknown owner - U:\WINDOWS\system32\lsass.exe (file missing)

O23 - Service: ScanRouterDriverV2 - Ricoh Co.,Ltd. - C:\Program Files\RDS\srscandr.exe

O23 - Service: Carte à puce (SCardSvr) - Unknown owner - U:\WINDOWS\System32\SCardSvr.exe (file missing)

O23 - Service: Planificateur de tâches (Schedule) - Unknown owner - U:\WINDOWS\System32\svchost.exe (file missing)

O23 - Service: Ouverture de session secondaire (seclogon) - Unknown owner - U:\WINDOWS\System32\svchost.exe (file missing)

O23 - Service: Notification d'événement système (SENS) - Unknown owner - U:\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Détection matériel noyau (ShellHWDetection) - Unknown owner - U:\WINDOWS\System32\svchost.exe (file missing)

O23 - Service: SOption - RICOH Company Ltd. - C:\Program Files\RDS\SOption.exe

O23 - Service: Spouleur d'impression (Spooler) - Unknown owner - U:\WINDOWS\system32\spoolsv.exe (file missing)

O23 - Service: Sophos Anti-Virus (SWEEPSRV.SYS) - Sophos Plc - C:\Program Files\Sophos\Sophos Anti-Virus\SWEEPSRV.SYS

O23 - Service: Microsoft Software Shadow Copy Provider (swprv) - Unknown owner - U:\WINDOWS\System32\svchost.exe (file missing)

O23 - Service: HP ProLiant System Shutdown Service (sysdown) - Unknown owner - U:\WINDOWS\system32\sysdown.exe (file missing)

O23 - Service: Journaux et alertes de performance (SysmonLog) - Unknown owner - U:\WINDOWS\system32\smlogsvc.exe (file missing)

O23 - Service: Téléphonie (TapiSrv) - Unknown owner - U:\WINDOWS\System32\svchost.exe (file missing)

O23 - Service: Services Terminal Server (TermService) - Unknown owner - U:\WINDOWS\System32\svchost.exe (file missing)

O23 - Service: Client de suivi de lien distribué (TrkWks) - Unknown owner - U:\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Infrastructure de pilote-mode utilisateur Windows (UMWdf) - Unknown owner - C:\WINDOWS\system32\wdfmgr.exe (file missing)

O23 - Service: Gestionnaire de téléchargement (uploadmgr) - Unknown owner - U:\WINDOWS\System32\svchost.exe (file missing)

O23 - Service: Onduleur (UPS) - Unknown owner - U:\WINDOWS\System32\ups.exe (file missing)

O23 - Service: Service de disque virtuel (vds) - Unknown owner - U:\WINDOWS\System32\vds.exe (file missing)

O23 - Service: Cliché instantané de volume (VSS) - Unknown owner - U:\WINDOWS\System32\vssvc.exe (file missing)

O23 - Service: Horloge Windows (W32Time) - Unknown owner - U:\WINDOWS\System32\svchost.exe (file missing)

O23 - Service: Service de découverte automatique de Proxy Web pour les services HTTP Windows (WinHttpAutoProxySvc) - Unknown owner - U:\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Infrastructure de gestion Windows (winmgmt) - Unknown owner - U:\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: VNC Server Version 4 (WinVNC4) - Unknown owner - C:\Program Files\RealVNC\VNC4\WinVNC4.exe" -service (file missing)

O23 - Service: Service de numéro de série du lecteur multimédia portable (WmdmPmSN) - Unknown owner - U:\WINDOWS\System32\svchost.exe (file missing)

O23 - Service: Extensions du pilote WMI (Wmi) - Unknown owner - U:\WINDOWS\System32\svchost.exe (file missing)

O23 - Service: Mises à jour automatiques (wuauserv) - Unknown owner - U:\WINDOWS\system32\svchost.exe (file missing)

O23 - Service: Configuration sans fil (WZCSVC) - Unknown owner - U:\WINDOWS\System32\svchost.exe (file missing)

 

C'est un serveur TSE

 

Merci bcp

angelique Devil Member !

angelique

Posté(e)
Posté(e)

qlqs précisions de Hyaline

 

Je suis nouveau sur ce forum, j'ai vu que tu as déplacé mon sujet, désolé si j'ai créé un doublon.

Le soucis, c'est que j'ai installé 2 copieurs et que c'est un serveur TSE. A chaque impression, le service spool se ferme ou il gonfle en mémoire à tel point je suis obliger de redémarrer le serveur.

 

appliques la procédure préliminaire,lien envoyé par mp,et attend le passage d'un de nos conseillers sécurité :P

  • Tonton a modifié le titre en PC infecté : demande de décryptage du log

Rejoindre la conversation

Vous pouvez publier maintenant et vous inscrire plus tard. Si vous avez un compte, connectez-vous maintenant pour publier avec votre compte.
Remarque : votre message nécessitera l’approbation d’un modérateur avant de pouvoir être visible.

Invité
Répondre à ce sujet…

×   Collé en tant que texte enrichi.   Coller en tant que texte brut à la place

  Seulement 75 émoticônes maximum sont autorisées.

×   Votre lien a été automatiquement intégré.   Afficher plutôt comme un lien

×   Votre contenu précédent a été rétabli.   Vider l’éditeur

×   Vous ne pouvez pas directement coller des images. Envoyez-les depuis votre ordinateur ou insérez-les depuis une URL.

×
 Partager
Aller sur la liste des sujets

  • En ligne récemment   0 membre est en ligne

    • Aucun utilisateur enregistré regarde cette page.
×
×
  • Créer...