Trojan a répétition

[hue]

bonjour,

 

J'ai en permanence des trojans ou virus. Le rapport semble-t-il normal ou faut-il supprimer qq chose ?

Merci de votre aide.

 

Logfile of HijackThis v1.99.1

Scan saved at 11:03:49 AM, on 12/14/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\ibmpmsvc.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\Program Files\ewido anti-spyware 4.0\guard.exe

C:\WINDOWS\System32\QCONSVC.EXE

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\tlntsvr.exe

C:\WINDOWS\system32\TpKmpSVC.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Vietkey2000\VKNT.EXE

C:\Program Files\Microsoft Office\Office\WINWORD.EXE

C:\Program Files\Yahoo!\Messenger\YPager.exe

F:\hijackthis\HijackThis.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\Program Files\Copernic Agent\CopernicAgentExt.rdl/INTEGRATION_BAND_SEARCHBAR_HTML

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.7255.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R3 - URLSearchHook: (no name) - {BE89472C-B803-4D1D-9A9A-0A63660E0FE3} - C:\PROGRA~1\COPERN~1\COPERN~1.DLL

R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn1\yt.dll

O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn1\yt.dll

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: (no name) - {64F56FC1-1272-44CD-BA6E-39723696E350} - (no file)

O3 - Toolbar: Copernic Agent - {F2E259E8-0FC8-438C-A6E0-342DD80FA53E} - C:\Program Files\Copernic Agent\CopernicAgentExt.dll

O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn1\yt.dll

O4 - HKLM\..\Run: [HPLJ Config] C:\Program Files\Hewlett-Packard\hp LaserJet 1150_1300\SetConfig.exe -c Direct -p DOT4_001 -pn "hp LaserJet 1150 PCL 5e" -n 0 -l 1033 -sl 120000

O4 - HKLM\..\Run: [Vietkey] C:\Program Files\Vietkey2000\VKNT.EXE

O8 - Extra context menu item: &WordWeb... - res://C:\WINDOWS\wweb32.dll/lookup.html

O8 - Extra context menu item: Chercher avec Copernic Agent - res://C:\Program Files\Copernic Agent\CopernicAgentExt.rdl/INTEGRATION_MENU_SEARCHEXT

O8 - Extra context menu item: Subscribe in default RSS reader - C:\Documents and Settings\datide\Application Data\RssBandit\iecontext_subscribefeed.htm

O8 - Extra context menu item: Télécharger en utilisant Download &Express - C:\Program Files\Download Express\Add_Url.htm

O9 - Extra button: (no name) - {193B17B0-7C9F-4D5B-AEAB-8D3605EFC084} - C:\PROGRA~1\COPERN~1\COPERN~1.EXE

O9 - Extra 'Tools' menuitem: Démarrer Copernic Agent - {193B17B0-7C9F-4D5B-AEAB-8D3605EFC084} - C:\PROGRA~1\COPERN~1\COPERN~1.EXE

O9 - Extra button: Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\Program Files\Yahoo!\Messenger\yhexbmesfr.dll

O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\Program Files\Yahoo!\Messenger\yhexbmesfr.dll

O9 - Extra button: Copernic Agent - {688DC797-DC11-46A7-9F1B-445F4F58CE6E} - C:\PROGRA~1\COPERN~1\COPERN~1.EXE

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?LinkID=39204

O16 - DPF: {2B323CD9-50E3-11D3-9466-00A0C9700498} (Yahoo! Audio Conferencing) - http://us.chat1.yimg.com/us.yimg.com/i/cha...v45/yacscom.cab

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2005111...all/xscan53.cab

O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.cab

O16 - DPF: {7D1E9C49-BD6A-11D3-87A8-009027A35D73} (Yahoo! Audio UI1) - http://chat.yahoo.com/cab/yacsui.cab

O16 - DPF: {B9191F79-5613-4C76-AA2A-398534BB8999} - http://us.dl1.yimg.com/download.yahoo.com/...utocomplete.cab

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Program Files\Common Files\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)

O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Program Files\ewido anti-spyware 4.0\guard.exe

O23 - Service: IBM PM Service (IBMPMSVC) - Unknown owner - C:\WINDOWS\System32\ibmpmsvc.exe

O23 - Service: BitDefender Desktop Update Service (LIVESRV) - Unknown owner - C:\Program Files\Common Files\Softwin\BitDefender Update Service\livesrv.exe" /service (file missing)

O23 - Service: QoS Service (NHLscA) - Unknown owner - C:\WINDOWS\SYSTEM32\RUNDLL.EXE (file missing)

O23 - Service: PLSRemote Service (PLSRemoteSvc) - Unknown owner - C:\WINDOWS\SYSTEM32\PLSRemote.exe (file missing)

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe

O23 - Service: QCONSVC - Unknown owner - C:\WINDOWS\System32\QCONSVC.EXE

O23 - Service: IBM KCU Service (TpKmpSVC) - Unknown owner - C:\WINDOWS\system32\TpKmpSVC.exe

O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - C:\Program Files\Softwin\BitDefender10\vsserv.exe" /service (file missing)

O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Program Files\Common Files\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)

[Mark]

Rebonjour hue

 

Je viens de poster dans l'autre discussion que tu as amorcée, qui est un doublon. Je te demande donc de demeurer dans cette discussion-ci jusqu'à résolution du problème, s'il te plait Inscris-la en bookmark juste pour bien te retrouver.

 

Ok... J'aime pas un truc que je vois dans ton log, donc je te pose une petite question : y-a-t-il une surveillance volontaire sur ce portable ? Par "surveillance", j'entends un programme commercial du genre keylogger... Ces programmes commerciaux sont très peu connus et peu répandus, alors je pourrais me tromper et le keylogger pourrait être présent suite à une infection aléatoire...

 

Es-tu le proprio du portable ? Y-a-t-il d'autres utilisateurs ?

 

De toute façon, y aura du nettoyage à faire... et je dois te dire qu'il y a porte dérobée, commerciale ou non, et que tes données perso/privées sont compromises...

 

J'aimerais que tu me parles de symptômes également.

 

@+

[hue]

Rebonjour hue

 

Je viens de poster dans l'autre discussion que tu as amorcée, qui est un doublon. Je te demande donc de demeurer dans cette discussion-ci jusqu'à résolution du problème, s'il te plait Inscris-la en bookmark juste pour bien te retrouver.

 

Ok... J'aime pas un truc que je vois dans ton log, donc je te pose une petite question : y-a-t-il une surveillance volontaire sur ce portable ? Par "surveillance", j'entends un programme commercial du genre keylogger... Ces programmes commerciaux sont très peu connus et peu répandus, alors je pourrais me tromper et le keylogger pourrait être présent suite à une infection aléatoire...

 

Es-tu le proprio du portable ? Y-a-t-il d'autres utilisateurs ?

 

De toute façon, y aura du nettoyage à faire... et je dois te dire qu'il y a porte dérobée, commerciale ou non, et que tes données perso/privées sont compromises...

 

J'aimerais que tu me parles de symptômes également.

 

@+

[hue]

Bonjour,

 

Tu as raison mais en fait, il s'agit de deux ordis. Ce post-ci est le mien et l'autre est celui de ma collaboratrice. Pour le mien, je suis en réseau avec un vingtaine d'ordis et je me ramasse à chaque fois des trojans, keylogger ou virus. J'ai déjà eu des attaques avec une dizaine de virus trouvés. J'utilise ewido et avast. Lavasoft aussi de temps en temps.

 

Phil

 

 

 

Rebonjour hue

 

Je viens de poster dans l'autre discussion que tu as amorcée, qui est un doublon. Je te demande donc de demeurer dans cette discussion-ci jusqu'à résolution du problème, s'il te plait Inscris-la en bookmark juste pour bien te retrouver.

 

Ok... J'aime pas un truc que je vois dans ton log, donc je te pose une petite question : y-a-t-il une surveillance volontaire sur ce portable ? Par "surveillance", j'entends un programme commercial du genre keylogger... Ces programmes commerciaux sont très peu connus et peu répandus, alors je pourrais me tromper et le keylogger pourrait être présent suite à une infection aléatoire...

 

Es-tu le proprio du portable ? Y-a-t-il d'autres utilisateurs ?

 

De toute façon, y aura du nettoyage à faire... et je dois te dire qu'il y a porte dérobée, commerciale ou non, et que tes données perso/privées sont compromises...

 

J'aimerais que tu me parles de symptômes également.

 

@+

[Mark]

Bonsoir hue, et merci pur les précisions. J'avais regardé rapidement, et il s'agit bien de deux PCs distincts. Il y a quelque chose de similaire dans les deux (le keylogger), alors je n'avais pas attention au reste.

 

Bon, sur celui-ci, il n'y a pas un prog louche mais deux ; en regardant celui de ta collègue, il ne fait aucun doute que les ordis sur ce réseau sont surveillés étroitement.

 

Droit au but, pour ton portable :

 

C:\Program Files\Vietkey2000\VKNT.EXE

 

Ceci est un keylogger, et je crois que quelqu'un l'a installé physiquement (donc pas par une infection). Il y a peu d'infos sur ce prog, mais ça me rappelle ceci :

http://www.agentland.fr/Download/Intelligent_Agent/2183.html

 

Ta collègue a également ce prog... Les scanneurs anti-spy bondissent sur celui-ci, légal ou non.

-------------------------------------

 

Et ceci :

 

O23 - Service: PLSRemote Service (PLSRemoteSvc) - Unknown owner - C:\WINDOWS\SYSTEM32\PLSRemote.exe (file missing)

 

...qui est un prog d'administration à distance. Quelqu'un peut prendre le control total du portable, et surveiller tout en temps réel. Ta collègue ne l'a pas celui-là...

 

Avant de poursuivre, je vais te demander de faire une enquête auprès de l'administrateur du réseau, car si tu vires des progs sans vérifier, ça pourrait vite devenir délicat.. S'il n'a pas installé PLSRemote ; on le virera. S'il ne sait rien au sujet de Perfect Keylogger ; on vire ! Je déteste ces trucs...

 

Je pourrai t'aider pour l'autre ordi.

 

J'attends ta confirmation pour ces progs..

 

@+

Modifié le 14 décembre 2006 par Qc001

[hue]

[bonjour,

 

Merci de ces précisions. En fait, je vis au Vietnam et c'est pourquoi j'utilise C:\Program Files\Vietkey2000\VKNT.EXE pour avoir les caractères vietnamien sur mon clavier. Pas de soucis de ce côté. Pour le deuxième problème, c'est plus gênant. Il est très difficile d'avoir une info via l'administrateur réseau (tu entends bien au niveau local (les 20 PC entre-eux et non pas au niveau du serveur national). En fonction de ta réponse, je vais m'informer.

 

Merci

 

 

 

 

 

quote name='Qc001' date='jeudi 14 décembre 2006 à 19h12' post='883696']

Bonsoir hue, et merci pur les précisions. J'avais regardé rapidement, et il s'agit bien de deux PCs distincts. Il y a quelque chose de similaire dans les deux (le keylogger), alors je n'avais pas attention au reste.

 

Bon, sur celui-ci, il n'y a pas un prog louche mais deux ; en regardant celui de ta collègue, il ne fait aucun doute que les ordis sur ce réseau sont surveillés étroitement.

 

Droit au but, pour ton portable :

 

C:\Program Files\Vietkey2000\VKNT.EXE

 

Ceci est un keylogger, et je crois que quelqu'un l'a installé physiquement (donc pas par une infection). Il y a peu d'infos sur ce prog, mais ça me rappelle ceci :

http://www.agentland.fr/Download/Intelligent_Agent/2183.html

 

Ta collègue a également ce prog... Les scanneurs anti-spy bondissent sur celui-ci, légal ou non.

-------------------------------------

 

Et ceci :

 

O23 - Service: PLSRemote Service (PLSRemoteSvc) - Unknown owner - C:\WINDOWS\SYSTEM32\PLSRemote.exe (file missing)

 

...qui est un prog d'administration à distance. Quelqu'un peut prendre le control total du portable, et surveiller tout en temps réel. Ta collègue ne l'a pas celui-là...

 

Avant de poursuivre, je vais te demander de faire une enquête auprès de l'administrateur du réseau, car si tu vires des progs sans vérifier, ça pourrait vite devenir délicat.. S'il n'a pas installé PLSRemote ; on le virera. S'il ne sait rien au sujet de Perfect Keylogger ; on vire ! Je déteste ces trucs...

 

Je pourrai t'aider pour l'autre ordi.

 

J'attends ta confirmation pour ces progs..

 

@+

[Mark]

Salut hue

 

Merci pour la confirmation sur Vietkey2000. La seule info trouvée que j'étais capable de lire (sur des sites non Vietnamiens) pointait vers un keylogger, quoique le chemin du fichier était bien différent. Avec les keyloggers commerciaux, les codeurs changent souvent les filepaths afin d'éviter la détection de leur produit, alors j'en suis venu à une conclusion qui était fausse dans ce cas-ci. C'est une bonne nouvelle par contre...

 

Ok, pour PLSRemote : demande à l'administrateur niveau local. Ce programme est jugé "haut risque" car peut facilement permettre une prise de contrôle malsaine lorsqu'installé par un hacker... Je te laisse ce lien pour lecture :

 

http://www.castlecops.com/o23list-921.html

 

..d'où l'importance de savoir qui a installé ce truc.

 

J'attends donc ta réponse avant de poursuivre.

 

À bientôt !

[hue]

Bonjour,

 

Alors voilà, comme ce n'est pas mon pays, c'est un peu délicat de demander si la personne responsable du réseau a installé ce programme. A coup sûr, elle me dira non même si ce n'est pas le cas. Peut-on supprimer et si cela affecte mon ordi le remettre par la suite ? Pour le keylogger, quel est le risque de le supprimer ? Je ne pense pas que cela soit vital pour l'ordi ?

 

Merci de ta réponse

[Mark]

Salut hue ;

 

Le programme PLSRemote peut être utilisé par ton administrateur réseau. Il peut également être installé et utilisé par un pirate, d'où l'importance de savoir si l'administrateur l'a installé lui-même...

 

Tu pourrais simplement dire à l'administrateur que tu as repéré un programme d'adminstration à distance sur ton portable et que tu veux simplement vérifier s'il est légitime... Pas nécessaire de mentionner que tu es inquiet ou que tu crains d'être sous surveillance... Ou bien demande à des collègues s'ils sont au courant d'une telle pratique avec cet administrateur.

 

Je n'oserais pas te le faire virer avant confirmation, car ce ne serait pas "éthique" de ma part, et je ne voudrais pas te causer des soucis au boulot. Mais si tu veux le virer sans vérifier, je te dirai comment !

===================

 

Pour ce qui est du "keylogger" : je ne suis pas certain de quel keylogger... Tu m'as confirmé que VietKey2000 est légitime, alors on le laisse. PLSRemote est un programme qui peut tout surveiller, effectivement... C'est bien de lui dont tu me parles ?

 

J'aimerais également savoir si tu as des problèmes avec le portable, ou bien des détections d'infection par ton antivirus ou autres scanneurs.

 

Merci, et à bientôt