Resolu paranoia? rrapport HJT ...

[Cedcol]

Bonjour,

 

Avant tout, j'aimerai bien que quelqu'un m'explique s'il peut avec des mots simples ce que sont les rootkits, comment ils agissent ...

J'aimerai aussi savoir ce qu'il est nécessaire d'avoir sur son ordi en terme de sécurité et ce qu'il est bien mais facultatif. J'ai un antivirus, kaserpsky 7 (le simple), comodo firewall pro, Ccleaner pour nettoyer de temps en temps et un defragmenteur O&O.

J'ai essayé Comodo Boclean et ça ne fonctionne pas super, Jv16 pour nettoyer et là ça rame complètement pour chaque clic.

Alors, avec une utilisation simple de l'ordi, internet (firefox et opera car tous les sites ne s'ouvrent pas avec l'un ou l'autre), échange de fichier avec emule, pensez-vous que cela suffit. Moi j'ai l'impression que oui.

Dernière question : Avec comodo firewall, à chaque démarrage, Svchost et Alg demande l'autorisation pour se connecter. Je refuse car ne connais pas. j'ai chercher des explications et franchement je n'ai pas compris. Que dois-je faire avec ces deux applications?

Merci pour votre aide.

A bientôt

Cédric

Modifié le 31 octobre 2007 par Cedcol

[Zonk]

Allo Cedol

Voilà pour les rootkits

http://fr.wikipedia.org/wiki/Rootkit

kaspersky+comodo +ccleaner+ defragmenteur = pas de problème

mais j'ajouterait un anti spyware (pas 2 ou 3)avec protection résidente...comme celui ci

http://www.microsoft.com/downloads/details...A4-F7F14E605A0D

ou Spysweeper....ou avg antispyware

pour ce qui est du comodoboclean,je ne connais pas....tu parles que ton ordi va mal depuis l'utilisation de JV16?pense à restaurer la sauvegarde

Pour ce qui est de l'ouverture de sites refusés avec X ou Y navigateur ,ce point me laisse perplexe ???

je ne serais pas surpris que ta source de te ennuis vienne de Emule.....le p2p est à proscrire

pour ce qui est de svchost ca peut etre aisement un service Windows

http://windowsxp.mvps.org/svchost.htm

....mais parfois une peste......et alg,

http://www.faqxp.com/f/592.asp

normalement y a pas de problème

pense à ceci

http://telechargement.zebulon.fr/hijackthis.html

et le lien ci-bas pourrait etre utile si le rapport est louche

http://forum.zebulon.fr/index.php?showtopic=83986

@+

Modifié le 30 octobre 2007 par Zonk

[Cedcol]

Allo Cedol

Voilà pour les rootkits

http://fr.wikipedia.org/wiki/Rootkit

kaspersky+comodo +ccleaner+ defragmenteur = pas de problème

pour ce qui est du comodoboclean,je ne connais pas….tu parles que ton ordi va mal depuis l'utilisation de JV16?pense à restaurer la sauvegarde

Pour ce qui est de l'ouverture de sites refusés avec X ou Y navigateur ,ce point me laisse perplexe ???

je ne serais pas surpris que ta source de te ennuis vienne de Emule.....le p2p est à proscrire

pour ce qui est de svchost ca peut etre aisement un service Windows....mais parfois une peste......et alg,normalement y a pas de problème

@+

 

Salut

Je vais aller lire cela sur les rootkits.

Depuis que j'ai désinstallé jv16 ça roule de nouveau. Je crois que les prog Tools ne font pas bon ménage avec kaserpsky, le parefeu Pctools me faisait la même chose.

Il y a encore certains bug avec opera, c'est pour cela que j'ai firefox en dépannage. Avec over-blog ça ne passe pas avec opera.

Comment savoir ce qu'il se cache derrière Alg et Svchost?

Merci

Cédric

[Zonk]

Salut

Je vais aller lire cela sur les rootkits.

Depuis que j'ai désinstallé jv16 ça roule de nouveau. Je crois que les prog Tools ne font pas bon ménage avec kaserpsky, le parefeu Pctools me faisait la même chose.

Il y a encore certains bug avec opera, c'est pour cela que j'ai firefox en dépannage. Avec over-blog ça ne passe pas avec opera.

Comment savoir ce qu'il se cache derrière Alg et Svchost?

Merci

Cédric

Un hijackthis serait de bon recours....

édit:

http://speedweb1.free.fr/frames2.php?page=service10

http://speedweb1.free.fr/frames2.php?page=service

Modifié le 30 octobre 2007 par Zonk

[Cedcol]

Un hijackthis serait de bon recours....

édit:

http://speedweb1.free.fr/frames2.php?page=service10

http://speedweb1.free.fr/frames2.php?page=service

 

Salut

Bon, je viens de passer pas mal de temps sur tes liens et je vais être sincère, pour moi c'est super compliqué. Iñ faut passer son temps sur sa machien pour comprendre des trucs comme cela. Mais pour une demande de Svchost contrôlée par mon firewall, je ne peux pas savoir de quelle application il s'agit. Ca n'a pas l'air bien méchant ces trucs là.

Si je fais un rapport Hijackthis, je te le poste là et tu l'analyses? Sinon, je laisse tomber là, à vrai dire avant je n'avais pas Comodo pour contrôler cela et ça roulait. J'essayais de comprendre mais c'est trop compliqué.

A +, Merci

Cédric

[Zonk]

Salut

Bon, je viens de passer pas mal de temps sur tes liens et je vais être sincère, pour moi c'est super compliqué. Iñ faut passer son temps sur sa machien pour comprendre des trucs comme cela. Mais pour une demande de Svchost contrôlée par mon firewall, je ne peux pas savoir de quelle application il s'agit. Ca n'a pas l'air bien méchant ces trucs là.

Si je fais un rapport Hijackthis, je te le poste là et tu l'analyses? Sinon, je laisse tomber là, à vrai dire avant je n'avais pas Comodo pour contrôler cela et ça roulait. J'essayais de comprendre mais c'est trop compliqué.

A +, Merci

Cédric

Je peux te donner un approximatif du rapport ....qui peux être juste...mais le verdict final ne sera pas de moi.... le but est de le mettre ici pour que les experts te donne l'heure juste.....

Un pare-feu rudimentaire bien paramètré (comme celui de XP) est préférable à un pare-feu plus performant mal paramètré......

mais dit toi que ton comportement de refus était la bonne chose à faire en cas de doute ....ensuite il ne reste qu'a retourner dans le pare-feu pour faire les corrections si il y a lieu

@+

Modifié le 31 octobre 2007 par Zonk

[Falkra]

Bonjour,

 

je vais essayer de faire simple.

 

Pour résumer (inexactitudes dues au manque de développements), les techniques rootkit consistent pour un parasite à s'injecter dans le noyau de windows (le module qui fait presque tout, le coeur de l'OS) et le modifier pour se rendre invisible aux yeux du système.

 

Des fichiers et processus ne seront ainsi pas visibles dans ton explorateur, ni le gestionnaire des tâches par exemple. En ouvrant le disque dur et en parcourant les dossiers, tu ne verras pas les fichiers (même en affichant les fichiers cachés ou masqués), car le noyau de windows sera reprogrammé pour faire comme s'il n'y en avait pas. Ton explorateur windows utilise le noyau de windows pour lister des fichiers et des dossiers, en afficher le contenu, etc... donc il ne les voit pas, alors qu'ils sont bien là.

 

Un logiciel de détection de rootkits utilise ses propres routines (instructions) pour lister des fichiers, dossiers et en afficher le contenu, et cela, sans passer par le noyau de windows à aucun moment. Ce logiciel verra les fichiers infectieux, et en comparant les résultats avec ce que le noyau de windows lui renvoie (car il sait aussi passer par lui), il signalera une possible infection et débusquera les fichiers.

 

C'est un peu long, mais j'espère clair, n'hésite pas à demander des infos.

[Sacles]

Bonjour,

 

Un logiciel de détection de rootkits utilise ses propres routines (instructions) pour lister des fichiers, dossiers et en afficher le contenu, et cela, sans passer par le noyau de windows à aucun moment. Ce logiciel verra les fichiers infectieux, et en comparant les résultats avec ce que le noyau de windows lui renvoie (car il sait aussi passer par lui), il signalera une possible infection et débusquera les fichiers.

Je suppose que cela se réalise grâce à la vérification des sommes de contrôle (MD5 ou SHA) des fichiers examinés .

 

Est-ce exact?

 

Salut

[Cedcol]

Bonjour,

 

 

Je suppose que cela se réalise grâce à la vérification des sommes de contrôle (MD5 ou SHA) des fichiers examinés .

 

Est-ce exact?

 

Salut

 

Salut

Je crois avoir compris ce qu'est un rootkit et son fonctionnement. Ce qui me parait beaucoup plus compliqué c'est de savoir ce qui se cache derrière les processus svchost. Quand je dois bloquer la demande d'accés à internet et accepter. Mais c'est pas très grave, pour l'instant je refuse toutes les demandes svchost, et accepte la demande alg. puisqu'elle paraît normale.

Voici un rapport Hijackthis, pour Zonk ou celui qui veut y mettre le nez dedans, pour voir ce qui ne semble pas normal.

Logfile of HijackThis v1.99.1

Scan saved at 11:42:00 a.m., on 31/10/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\SYSTEM32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\RunDll32.exe

C:\WINDOWS\system32\pctspk.exe

C:\Archivos de programa\Teksonic\PVR Plus\TVR\Scheduled.exe

C:\Archivos de programa\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe

C:\ARCHIV~1\SCROLL~1\GNETMOUS.EXE

C:\Archivos de programa\Java\jre1.6.0_02\bin\jusched.exe

C:\Archivos de programa\QuickTime\qttask.exe

C:\WINDOWS\system32\oodtray.exe

C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe

C:\Archivos de programa\Comodo\Firewall\CPF.exe

C:\Archivos de programa\Archivos comunes\Ahead\lib\NMBgMonitor.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\Teksonic\TV713X\P3XRCtl.exe

C:\Archivos de programa\Webshots\WebshotsTray.exe

C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe

C:\Archivos de programa\Comodo\Firewall\cmdagent.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\WINDOWS\system32\oodag.exe

C:\Archivos de programa\Archivos comunes\Panda Software\PavShld\pavprsrv.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Hijackthis Version Française\VERSION TRADUITE ORIGINALE.EXE

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.es/0SEESES/SAOS01

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: IE7Pro - {00011268-E188-40DF-A514-835FCD78B1BF} - C:\Archivos de programa\IE7Pro\IE7Pro.dll

O2 - BHO: (no name) - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - (no file)

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: BitComet ClickCapture - {39F7E362-828A-4B5A-BCAF-5B79BFDFEA60} - C:\Archivos de programa\BitComet\tools\BitCometBHO_1.1.9.24.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.6.0_02\bin\ssv.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Ask Toolbar BHO - {F4D76F01-7896-458a-890F-E1F05C46069F} - C:\Archivos de programa\AskPBar\bar\1.bin\ASKPBAR.DLL

O3 - Toolbar: (no name) - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)

O3 - Toolbar: Ask Toolbar - {F4D76F09-7896-458a-890F-E1F05C46069F} - C:\Archivos de programa\AskPBar\bar\1.bin\ASKPBAR.DLL

O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Archivos de programa\D-Tools\daemon.exe" -lang 1033 -noicon

O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd

O4 - HKLM\..\Run: [PCTVOICE] pctspk.exe

O4 - HKLM\..\Run: [PVR Agent] C:\Archivos de programa\Teksonic\PVR Plus\TVR\Scheduled.exe

O4 - HKLM\..\Run: [DeviceDiscovery] "C:\Archivos de programa\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe"

O4 - HKLM\..\Run: [mouseElf] C:\ARCHIV~1\SCROLL~1\GNETMOUS.EXE

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\System32\NeroCheck.exe

O4 - HKLM\..\Run: [siSPower] "Rundll32.exe" SiSPower.dll,ModeAgent

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Archivos de programa\Java\jre1.6.0_02\bin\jusched.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [OODefragTray] C:\WINDOWS\system32\oodtray.exe

O4 - HKLM\..\Run: [AVP] "C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe"

O4 - HKLM\..\Run: [COMODO Firewall Pro] "C:\Archivos de programa\Comodo\Firewall\CPF.exe" /background

O4 - HKLM\..\RunServices: [auto update] windows update.exe

O4 - HKCU\..\Run: [Windows_Serivce] SERVICE.exe

O4 - HKCU\..\Run: [bgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Archivos de programa\Archivos comunes\Ahead\lib\NMBgMonitor.exe"

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - Startup: Webshots.lnk = C:\Archivos de programa\Webshots\WebshotsTray.exe

O4 - Global Startup: TV Remote Control.lnk = C:\Archivos de programa\Teksonic\TV713X\P3XRCtl.exe

O8 - Extra context menu item: &D&ownload &with BitComet - res://C:\Archivos de programa\BitComet\BitComet.exe/AddLink.htm

O8 - Extra context menu item: &D&ownload all video with BitComet - res://C:\Archivos de programa\BitComet\BitComet.exe/AddVideo.htm

O8 - Extra context menu item: &D&ownload all with BitComet - res://C:\Archivos de programa\BitComet\BitComet.exe/AddAllLink.htm

O8 - Extra context menu item: Download all by Free Download Manager - file://C:\Archivos de programa\Free Download Manager\dlall.htm

O8 - Extra context menu item: Download by Free Download Manager - file://C:\Archivos de programa\Free Download Manager\dllink.htm

O8 - Extra context menu item: Download selected by Free Download Manager - file://C:\Archivos de programa\Free Download Manager\dlselected.htm

O8 - Extra context menu item: Download web site by Free Download Manager - file://C:\Archivos de programa\Free Download Manager\dlpage.htm

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Télécharger avec Star Downloader - C:\Archivos de programa\Star Downloader\sdie.htm

O9 - Extra button: IE7Pro Preferences - {0026439F-A980-4f18-8C95-4F1CBBF9C1D8} - C:\Archivos de programa\IE7Pro\IE7Pro.dll

O9 - Extra 'Tools' menuitem: IE7Pro Preferences - {0026439F-A980-4f18-8C95-4F1CBBF9C1D8} - C:\Archivos de programa\IE7Pro\IE7Pro.dll

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_02\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_02\bin\ssv.dll

O9 - Extra button: Statistiques d’Anti-Virus Internet - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus 7.0\SCIEPlgn.dll

O9 - Extra button: BitComet Search - {461CC20B-FB6E-4f16-8FE8-C29359DB100E} - C:\Archivos de programa\BitComet\tools\BitCometBHO_1.1.9.24.dll

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab

O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab31267.cab

O16 - DPF: {5F8469B4-B055-49DD-83F7-62B522420ECC} (Facebook Photo Uploader Control) - http://upload.facebook.com/controls/Facebo...otoUploader.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5co...b?1099768298078

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab31267.cab

O16 - DPF: {9600F64D-755F-11D4-A47F-0001023E6D5A} (Shutterfly Picture Upload Plugin) - http://web1.shutterfly.com/downloads/Uploader.cab

O16 - DPF: {A18962F6-E6ED-40B1-97C9-1FB36F38BFA8} (Aurigma Image Uploader 3.5 Control) - http://www.wisup.net/album-photo/wistiti/U...eUploader35.cab

O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab32846.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O20 - AppInit_DLLs: PAVWAIT.DLL

O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll

O20 - Winlogon Notify: TGBBOB - C:\WINDOWS\SYSTEM32\TGBBOBNotif.dll

O20 - Winlogon Notify: WRNotifier - WRLogonNTF.dll (file missing)

O23 - Service: Kaspersky Anti-Virus 7.0 (AVP) - Unknown owner - C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe" -r (file missing)

O23 - Service: Comodo Application Agent (CmdAgent) - COMODO - C:\Archivos de programa\Comodo\Firewall\cmdagent.exe

O23 - Service: Google Updater Service (gusvc) - Google - C:\Archivos de programa\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: hpdj - Unknown owner - C:\DOCUME~1\ADMINI~1\CONFIG~1\Temp\hpdj.exe (file missing)

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\1150\Intel 32\IDriverT.exe

O23 - Service: MSCSPTISRV - Sony Corporation - C:\Archivos de programa\Archivos comunes\Sony Shared\AVLib\MSCSPTISRV.exe

O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe

O23 - Service: PACSPTISVR - Unknown owner - C:\Archivos de programa\Archivos comunes\Sony Shared\AVLib\PACSPTISVR.exe

O23 - Service: Panda Process Protection Service (PavPrSrv) - Panda Software - C:\Archivos de programa\Archivos comunes\Panda Software\PavShld\pavprsrv.exe

O23 - Service: SonicStage Back-End Service - Sony Corporation - C:\Archivos de programa\Archivos comunes\Sony Shared\AVLib\SsBeSvc.exe

O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Archivos de programa\Archivos comunes\Sony Shared\AVLib\SPTISRV.exe

O23 - Service: SonicStage SCSI Service (SSScsiSV) - Sony Corporation - C:\Archivos de programa\Archivos comunes\Sony Shared\AVLib\SSScsiSV.exe

O23 - Service: TGB::BOB! Starter - Unknown owner - C:\WINDOWS\system32\tgbstarter.exe (file missing)

O23 - Service: CSS_Firewall (TGBBOB) - Unknown owner - C:\Archivos de programa\TheGreenBow\Personal Firewall\fwdconf.exe (file missing)

O23 - Service: Windows_Serivce - Unknown owner - C:\WINDOWS\System32\SERVICE.exe" -netsvcs (file missing)

 

 

Merci et à +

cédric

[Falkra]

Bonjour, pour SVChost, lis cet article, très bien fait : http://speedweb1.free.fr/frames2.php?page=service10

Attention HJT est ici en v 1.99.1, il vaut mieux prendre désormais la 2.0.2, et quoiqu'il arrive, il n'est pas spécialisé rootkits.