[résolu] demande d'aide rapport HijackThis !?

[vincsz]

Salut,

 

J'ai désinstallé ComboFix, fais l'analyse de C:\WINDOWS\system32\winsys2.exe avec VirusTotal et installé ZoneAlarm seulement, même en éteignant et rallumant le modem, je n'arrive plus à me connecter a internet avec l'autre ordinateur ! Que pourrait-il bien se passer ?

[vincsz]

Voici le diagnostique Windows :

 

Heure de la dernière exécution du diagnostic : 01/19/09 09:35:15 Diagnostic de la passerelle

Passerelle

 

info La configuration de proxy suivante est utilisée par IE : Détecter automatiquement les paramètres :Activé Script de configuration automatique : Serveur proxy : Liste d'exceptions de proxys :

info Impossible d'obtenir les paramètres de proxy à l'aide du mécanisme de Configuration automatique du proxy

info Cet ordinateur possède l'entrée ou les entrées de passerelle suivantes : 85.26.20.1

info Cet ordinateur possède l'adresse ou les adresses IP suivantes : 85.26.23.21

info La passerelle par défaut se trouve dans le même sous-réseau que cet ordinateur

info L'entrée de passerelle par défaut est une adresse monodiffusion valide

info L'ARP a résolu l'adresse de passerelle par défaut en 1 tentative(s)

info Ping ICMP a atteint la passerelle par défaut en 1 tentative(s)

info Le port TCP 80 sur l'hôte 207.46.192.254 n'a pas été joint (code d'erreur 0x274c)

info Le port TCP 80 sur l'hôte 207.46.193.254 n'a pas été joint (code d'erreur 0x274c)

info Le port TCP 80 sur l'hôte 65.55.12.249 n'a pas été joint (code d'erreur 0x274c)

warn Impossible d'atteindre l'hôte Internet www.microsoft.com

action Réparation automatique : Renouveler l'adresse IP

action Libération de l'adresse IP actuelle...

action La libération de l'adresse IP actuelle a réussi

action Renouvellement de l'adresse IP...

action Le renouvellement de l'adresse IP actuelle a réussi

info Cet ordinateur possède l'entrée ou les entrées de passerelle suivantes : 85.26.20.1

info Cet ordinateur possède l'adresse ou les adresses IP suivantes : 85.26.23.21

info La passerelle par défaut se trouve dans le même sous-réseau que cet ordinateur

info L'entrée de passerelle par défaut est une adresse monodiffusion valide

info L'ARP a résolu l'adresse de passerelle par défaut en 1 tentative(s)

info Ping ICMP a atteint la passerelle par défaut en 1 tentative(s)

info Le port TCP 80 sur l'hôte 65.55.12.249 n'a pas été joint (code d'erreur 0x274c)

info Le port TCP 80 sur l'hôte 207.46.192.254 n'a pas été joint (code d'erreur 0x274c)

info Le port TCP 80 sur l'hôte 207.46.193.254 n'a pas été joint (code d'erreur 0x274c)

warn Impossible d'atteindre l'hôte Internet www.microsoft.com

action Réparation automatique : Rétablir la connexion réseau

action Désactivation de la carte réseau

action Activation de la carte réseau

info Activation de la carte réseau réussie

info Cet ordinateur possède l'entrée ou les entrées de passerelle suivantes : 85.26.20.1

info Cet ordinateur possède l'adresse ou les adresses IP suivantes : 85.26.23.21

info La passerelle par défaut se trouve dans le même sous-réseau que cet ordinateur

info L'entrée de passerelle par défaut est une adresse monodiffusion valide

info L'ARP a résolu l'adresse de passerelle par défaut en 1 tentative(s)

info Ping ICMP a atteint la passerelle par défaut en 1 tentative(s)

info Le port TCP 80 sur l'hôte 207.46.192.254 n'a pas été joint (code d'erreur 0x274c)

info Le port TCP 80 sur l'hôte 207.46.193.254 n'a pas été joint (code d'erreur 0x274c)

info Le port TCP 80 sur l'hôte 65.55.12.249 n'a pas été joint (code d'erreur 0x274c)

warn Impossible d'atteindre l'hôte Internet www.microsoft.com

action Réparation manuelle : Redémarrer le modem

info Cet ordinateur possède l'entrée ou les entrées de passerelle suivantes : 85.26.20.1

info Cet ordinateur possède l'adresse ou les adresses IP suivantes : 85.26.23.21

info La passerelle par défaut se trouve dans le même sous-réseau que cet ordinateur

info L'entrée de passerelle par défaut est une adresse monodiffusion valide

info L'ARP a résolu l'adresse de passerelle par défaut en 1 tentative(s)

info Ping ICMP a atteint la passerelle par défaut en 1 tentative(s)

info Le port TCP 80 sur l'hôte 65.55.12.249 n'a pas été joint (code d'erreur 0x274c)

info Le port TCP 80 sur l'hôte 207.46.192.254 n'a pas été joint (code d'erreur 0x274c)

info Le port TCP 80 sur l'hôte 207.46.193.254 n'a pas été joint (code d'erreur 0x274c)

warn Impossible d'atteindre l'hôte Internet www.microsoft.com

info Patientez quelques instants jusqu'à la stabilisation du modem/routeur

action Réparation automatique : Renouveler l'adresse IP

action Libération de l'adresse IP actuelle...

action La libération de l'adresse IP actuelle a réussi

action Renouvellement de l'adresse IP...

action Le renouvellement de l'adresse IP actuelle a réussi

info Cet ordinateur possède l'entrée ou les entrées de passerelle suivantes : 85.26.20.1

info Cet ordinateur possède l'adresse ou les adresses IP suivantes : 85.26.23.21

info La passerelle par défaut se trouve dans le même sous-réseau que cet ordinateur

info L'entrée de passerelle par défaut est une adresse monodiffusion valide

info L'ARP a résolu l'adresse de passerelle par défaut en 1 tentative(s)

info Ping ICMP a atteint la passerelle par défaut en 1 tentative(s)

info Le port TCP 80 sur l'hôte 65.55.12.249 n'a pas été joint (code d'erreur 0x274c)

info Le port TCP 80 sur l'hôte 207.46.192.254 n'a pas été joint (code d'erreur 0x274c)

info Le port TCP 80 sur l'hôte 207.46.193.254 n'a pas été joint (code d'erreur 0x274c)

warn Impossible d'atteindre l'hôte Internet www.microsoft.com

info Redirection de l'utilisateur vers l'appel d'aide

info Redirection de l'utilisateur vers l'appel d'aide

 

 

 

Diagnostic de la couche IP

Table de routage IP endommagée

 

info Le itinéraire par défaut est valide

info Le itinéraire de bouclage est valide

info Le itinéraire hôte local est valide

info Le itinéraire de sous-réseau local est valide

Entrées de la mémoire cache ARP non valides

 

action La mémoire cache ARP a été vidée

 

 

 

Diagnostic de la configuration IP

Adresse IP non valide

 

info Adresse IP valide détectée : 85.26.23.21

 

 

 

Diagnostic sans fil

Sans fil - Service désactivé

 

Sans fil - SSID d'utilisateur

 

Sans fil - Premier paramétrage

 

Sans fil - Antenne éteinte

 

Sans fil - Hors de portée

 

Sans fil - Problème matériel

 

Sans fil - Utilisateur novice

 

Sans fil - Réseau ad hoc

 

Sans fil - Moins favoris

 

Sans fil - 802.1x activé

 

Sans fil - Incompatibilité de configuration

 

Sans fil - Rapport signal-bruit faible

 

 

 

 

Diagnostic WinSock

État WinSock

 

info Toutes les entrées de fournisseur de service de base sont présentes dans le catalogue Winsock.

info Les chaînes du fournisseur de service Winsock sont valides.

info L'entrée de fournisseur MSAFD Tcpip [TCP/IP] a réussi le test de communication de bouclage.

info L'entrée de fournisseur MSAFD Tcpip [uDP/IP] a réussi le test de communication de bouclage.

info L'entrée de fournisseur RSVP UDP Service Provider a réussi le test de communication de bouclage.

info L'entrée de fournisseur RSVP TCP Service Provider a réussi le test de communication de bouclage.

info La connectivité est valide pour tous les fournisseurs de service Winsock.

 

 

 

Diagnostic de la carte réseau

Détection de l'emplacement réseau

 

info Utilisation d'une connexion Internet à domicile

Identification de la carte réseau

 

info Connexion réseau : Nom=Connexion au réseau local, périphérique=Carte réseau Fast Ethernet PCI Realtek RTL8139 Family, type de support=Réseau local, sous-type de support=Réseau local

info Connexion réseau : Nom=voo, périphérique=Miniport WAN (PPPOE), type de support=PPPOE, sous-type de support=AUCUN

info Connexion Ethernet sélectionnée

État de la carte réseau

 

info État de la connexion réseau : Connecté

 

 

 

Diagnostic HTTP, HTTPS, FTP

Connectivité HTTP, HTTPS, FTP

 

warn FTP (passif): Erreur 12002 lors de la connexion à ftp.microsoft.com : Le délai imparti à l'opération est dépassé

warn FTP (actif): Erreur 12002 lors de la connexion à ftp.microsoft.com : Le délai imparti à l'opération est dépassé

warn HTTPS: Erreur 12029 lors de la connexion à www.passport.net : Impossible d'établir une connexion avec le serveur

error Impossible d'établir une connexion HTTP.

error Impossible d'établir une connexion HTTPS.

error Impossible d'établir une connexion FTP.

[Thanos]

salut

 

J'ai désinstallé ComboFix, fais l'analyse de C:\WINDOWS\system32\winsys2.exe avec VirusTotal et installé ZoneAlarm seulement, même en éteignant et rallumant le modem, je n'arrive plus à me connecter a internet avec l'autre ordinateur ! Que pourrait-il bien se passer ?

Que je comprenne bien: tu as deux pc en réseau et depuis que tu as installé Zone Alarm, tu ne parviens plus à connecter le second pc (pas celui qu'on vient de désinfecter donc) ?

Est ce que le problème persiste si tu désactives Zone Alarm temporairement ?

Comment est connecté l'autre pc ? en Wifi ?

 

Peux tu poster le rapport de VirusTotal ?

Modifié le 19 janvier 2009 par Thanos

[vincsz]

Ce sont deux machines indépendantes l'une de l'autre que je connecte et déconnecte à chaque fois du modem après avoir allumer et éteint celui-ci...Pour essayer d'être plus clair, nommons l'ordinateur de bureau qui était infecté et avec lequel je n'arrive plus a me connecter (en ayant configuré selon le tuto de Odsen)( effectivement la connection fonctionne quand ZoneAlarm est désactivé) : 1 et l'ordinateur avec lequel je suis connecté actuellement et sur lequel ZoneAlarm n'est pas encore installé : 2

 

Voici le rapport ViruseTotal:

 

Antivirus Version Dernière mise à jour Résultat

a-squared 4.0.0.73 2009.01.19 -

AhnLab-V3 2009.1.15.0 2009.01.17 -

AntiVir 7.9.0.57 2009.01.18 -

Authentium 5.1.0.4 2009.01.18 -

Avast 4.8.1281.0 2009.01.18 -

AVG 8.0.0.229 2009.01.18 -

BitDefender 7.2 2009.01.19 -

CAT-QuickHeal 10.00 2009.01.19 -

ClamAV 0.94.1 2009.01.19 -

Comodo 935 2009.01.18 -

DrWeb 4.44.0.09170 2009.01.19 -

eSafe 7.0.17.0 2009.01.18 -

eTrust-Vet 31.6.6312 2009.01.17 -

F-Prot 4.4.4.56 2009.01.18 -

F-Secure 8.0.14470.0 2009.01.19 -

Fortinet 3.117.0.0 2009.01.15 -

GData 19 2009.01.19 -

Ikarus T3.1.1.45.0 2009.01.19 -

K7AntiVirus 7.10.594 2009.01.17 Trojan.Win32.Malware.1

Kaspersky 7.0.0.125 2009.01.19 -

McAfee 5499 2009.01.18 -

McAfee+Artemis 5499 2009.01.18 -

Microsoft 1.4205 2009.01.19 -

NOD32 3776 2009.01.19 -

Norman 5.93.01 2009.01.16 -

nProtect 2009.1.8.0 2009.01.19 -

Panda 9.5.1.2 2009.01.19 Trj/Agent.ISR

PCTools 4.4.2.0 2009.01.18 -

Prevx1 V2 2009.01.19 Worm

Rising 21.13.01.00 2009.01.19 -

SecureWeb-Gateway 6.7.6 2009.01.18 -

Sophos 4.37.0 2009.01.19 -

Sunbelt 3.2.1835.2 2009.01.16 -

Symantec 10 2009.01.19 -

TheHacker 6.3.1.5.223 2009.01.18 -

TrendMicro 8.700.0.1004 2009.01.19 -

VBA32 3.12.8.10 2009.01.18 -

ViRobot 2009.1.18.1564 2009.01.19 -

VirusBuster 4.5.11.0 2009.01.18 -

Information additionnelle

File size: 208896 bytes

MD5...: daee383586db76671c43a83c04e51283

SHA1..: fd2d42ae4d08c8c05fd3d83f23226ce5876f2094

SHA256: 276c9f0396e17545b99ca1142b4f2b682ca06f56325c15bc7c9bb73312d8f654

SHA512: 223f50bc67883264f99935cdc2e675b64daae5446fa9f1c4f9f95221e6f21bc1

50b93fef45633dd71b470b241d84324560be506c7cb610043da12cdda5879942

ssdeep: 3072:XRVfFvREIVQFb+W4qTb6BfyztY4fNIA4Yf4xcEQKJtcQcCkpTQ7:BxH3VQF

bb4qTbOyJfff4xcFmc5m

PEiD..: -

TrID..: File type identification

Win64 Executable Generic (54.6%)

Win32 Executable MS Visual C++ (generic) (24.0%)

Windows Screen Saver (8.3%)

Win32 Executable Generic (5.4%)

Win32 Dynamic Link Library (generic) (4.8%)

PEInfo: PE Structure information

 

( base data )

entrypointaddress.: 0x40ff14

timedatestamp.....: 0x4452df55 (Sat Apr 29 03:36:53 2006)

machinetype.......: 0x14c (I386)

 

( 5 sections )

name viradd virsiz rawdsiz ntrpy md5

.text 0x1000 0x20696 0x21000 6.63 bd377d7cb431186fd1db7f3366661b37

.rdata 0x22000 0x7cfe 0x8000 4.89 562171d06132cc61a3adc5c240a48ca4

.data 0x2a000 0x8e54 0x3000 3.11 2fd85ba7481de3b532c9cedb7ed74e53

CONST 0x33000 0x1f 0x1000 0.09 e1c91d3ead8e57dca21253f563c750c1

.rsrc 0x34000 0x48a8 0x5000 4.41 46abb0b06f7f2c3453dea7320e86064f

 

( 8 imports )

> MADCHOOK.DLL: InjectLibraryA, UninjectLibraryA

> KERNEL32.dll: SetErrorMode, HeapAlloc, HeapFree, HeapReAlloc, VirtualAlloc, RtlUnwind, GetCommandLineA, GetProcessHeap, GetStartupInfoA, RaiseException, ExitProcess, HeapSize, VirtualFree, HeapDestroy, HeapCreate, GetStdHandle, TerminateProcess, SetUnhandledExceptionFilter, IsDebuggerPresent, Sleep, FreeEnvironmentStringsA, GetEnvironmentStrings, FreeEnvironmentStringsW, GetEnvironmentStringsW, SetHandleCount, GetFileType, QueryPerformanceCounter, GetTickCount, GetSystemTimeAsFileTime, GetACP, GetConsoleCP, GetConsoleMode, LCMapStringA, LCMapStringW, GetStringTypeA, GetStringTypeW, SetStdHandle, WriteConsoleA, GetConsoleOutputCP, WriteConsoleW, GetOEMCP, GetCPInfo, CreateFileA, GetCurrentProcess, GetThreadLocale, FlushFileBuffers, SetFilePointer, WriteFile, ReadFile, GlobalFlags, WritePrivateProfileStringA, InterlockedIncrement, TlsFree, DeleteCriticalSection, LocalReAlloc, TlsSetValue, TlsAlloc, InitializeCriticalSection, GlobalHandle, GlobalReAlloc, EnterCriticalSection, TlsGetValue, LeaveCriticalSection, LocalAlloc, GlobalGetAtomNameA, GlobalFindAtomA, lstrcmpW, FreeResource, GetCurrentProcessId, GlobalAddAtomA, CloseHandle, GetCurrentThread, GetCurrentThreadId, ConvertDefaultLocale, GetModuleFileNameA, EnumResourceLanguagesA, GetLocaleInfoA, lstrcmpA, GlobalDeleteAtom, FreeLibrary, InterlockedDecrement, GetModuleFileNameW, GetModuleHandleA, GlobalFree, GlobalAlloc, GlobalLock, GlobalUnlock, FormatMessageA, LocalFree, FindResourceA, LoadResource, LockResource, SizeofResource, MulDiv, SetLastError, GetProcAddress, LoadLibraryA, lstrlenA, CompareStringA, GetVersionExA, GetVersion, GetLastError, WideCharToMultiByte, MultiByteToWideChar, InterlockedExchange, UnhandledExceptionFilter

> USER32.dll: UnregisterClassA, LoadCursorA, GetSysColorBrush, EndPaint, BeginPaint, ReleaseDC, GetDC, ClientToScreen, GrayStringA, DrawTextExA, DrawTextA, TabbedTextOutA, ShowWindow, SetWindowTextA, IsDialogMessageA, RegisterWindowMessageA, SendDlgItemMessageA, WinHelpA, GetCapture, GetClassLongA, GetClassNameA, SetPropA, GetPropA, RemovePropA, SetFocus, GetWindowTextA, GetForegroundWindow, GetTopWindow, GetMessagePos, MapWindowPoints, SetForegroundWindow, UpdateWindow, GetMenu, CreateWindowExA, GetClassInfoExA, GetClassInfoA, RegisterClassA, GetSysColor, AdjustWindowRectEx, CopyRect, PtInRect, GetDlgCtrlID, DefWindowProcA, CallWindowProcA, SetWindowLongA, SetWindowPos, SystemParametersInfoA, GetWindowPlacement, GetWindowRect, GetWindow, GetDesktopWindow, SetActiveWindow, CreateDialogIndirectParamA, DestroyWindow, IsWindow, GetDlgItem, GetNextDlgTabItem, EndDialog, DrawIcon, SendMessageA, GetWindowThreadProcessId, GetWindowLongA, GetLastActivePopup, IsWindowEnabled, MessageBoxA, SetCursor, SetWindowsHookExA, CallNextHookEx, GetMessageA, TranslateMessage, DispatchMessageA, GetActiveWindow, DestroyMenu, GetMessageTime, IsIconic, GetClientRect, SetTimer, KillTimer, LoadIconA, EnableWindow, GetSystemMetrics, GetSubMenu, GetMenuItemCount, GetMenuItemID, GetMenuState, UnhookWindowsHookEx, PostQuitMessage, PostMessageA, IsWindowVisible, GetKeyState, PeekMessageA, GetCursorPos, ValidateRect, SetMenuItemBitmaps, GetMenuCheckMarkDimensions, LoadBitmapA, GetFocus, GetParent, ModifyMenuA, EnableMenuItem, CheckMenuItem

> GDI32.dll: SetWindowExtEx, ScaleWindowExtEx, DeleteDC, GetStockObject, PtVisible, ScaleViewportExtEx, SetViewportExtEx, OffsetViewportOrgEx, SetViewportOrgEx, SelectObject, Escape, ExtTextOutA, TextOutA, GetDeviceCaps, DeleteObject, SetMapMode, RestoreDC, SaveDC, GetObjectA, SetBkColor, SetTextColor, GetClipBox, CreateBitmap, RectVisible

> WINSPOOL.DRV: ClosePrinter, DocumentPropertiesA, OpenPrinterA

> ADVAPI32.dll: RegQueryValueA, RegEnumKeyA, RegDeleteKeyA, RegOpenKeyA, RegOpenKeyExA, RegQueryValueExA, RegCreateKeyExA, RegSetValueExA, RegCloseKey

> SHLWAPI.dll: PathFindFileNameA, PathFindExtensionA

> OLEAUT32.dll: -, -, -

 

( 0 exports )

Prevx info: http://info.prevx.com/aboutprogramtext.asp...E25B8009378556E

[Thanos]

Re,

 

Pourquoi ne pas mettre les deux pc en réseau plutôt que de déconnecter un des deux pc à chaque fois ?

Voir ici >> http://www.informatique-facile.net/dossier...p?id_dossier=23

 

Si le pc parvient à se connecter à internet lorsque tu désactives Zone Alarm, ça veut donc dire que c'est un problème de configuration du parefeu. Est ce que tu parviens à mettre Malwarebytes' Anti-Malware à jour par ex ?

 

Tu vois l'icône de ZA dans le barre des tâches à droite? double-clique dessus > le programme se lance : sélectionne le menu Contrôle des programmes (à gauche) > à droite tu peux voir tous les programmes qui ont accès (ou pas) à internet > dans la liste qui s'affiche, repère les programmes qui ne parviennent pas à se connecter (Internet Explorer ou Firefox par ex) > pour Internet Explorer, repère le dans la liste des programmes > sous la colonne Accès, fais un clic avec le bouton gauche de la souris sur l'élément et sélectionne "Autoriser" (une encoche verte apparait) > , fait de même pour Internet et pour Sécurisé. pour la colonne serveur, sélectionne "Demander"

Recommence l'opération pour les autres programmes.

Ca ressemble à ca >>

 

 

Pour plus de détail, et des explications en image, n'oublie pas de consulter ce tutoriel dont je t'avais donné le lien >> http://securite-facile.ovh.org/zonealarm.php#applications

Ca ne prend que quelques minutes et c'est concis et facile, n'hésite pas!!

 

vincsz, pour ce qui concerne le fichier C:\WINDOWS\system32\winsys2.exe , j'aimerais que tu le recherches et que tu passes le curseur de la souris dessus: des infos devraient s'afficher dans une bulle > confirme moi qu'il appartient bien à NVidia stp! Pourquoi j'insiste avec ce fichier ? parce que ca peut être un fichier légitime appartenant à NVidia mais ca peut aussi être une infection qui usurpe son nom!

 

Dis moi ce qu'il en est stp pour le parefeu et le fichier en question

[vincsz]

Yep,

 

Voilà le contenu de l'info bulle et des propriétés pour C:\WINDOWS\system32\winsys2.exe :DOT Application

Version du fichier 1.0.0.2

204Ko

Copyright©2003

Je pense effectivement, par rapport a la date de création, que celà vient bien de la carte graphique !

 

Je parviens a faire la mise MAJ de Malware uniquement aves Zonealarm désactivé !!!

et le message obtenu après lancement de Firefox et configuration de Zonealarm comme tu me l'as décrites est :

 

Délai d'attente dépassé

Le serveur à l'adresse bl104w.blu104.mail.live.com met trop de temps à répondre.

Le navigateur a attendu trop longtemps lors de la connexion au site et a arrêté d'attendre une réponse.

 

* Le serveur est peut-être en surcharge ou est temporairement en panne ? Réessayez plus tard.

* D'autres sites sont aussi inaccessibles ? Vérifiez la connexion au réseau de votre ordinateur.

* Votre ordinateur ou votre réseau est-il protégé par un pare-feu ou un proxy ? Des paramètres incorrects peuvent interférer avec la navigation sur le Web.

* Vous avez toujours des problèmes ? Consultez votre administrateur réseau ou votre fournisseur d'accès à Internet pour obtenir de l'aide.

[Thanos]

vincsz, est ce qu'il te serait possible de faire une capture d'écran de ta configuration "Contrôle des programmes" ? ca ressemble à ca >>

(tiré du tutoriel d'odSen)

Une aide pour savoir comment faire si besoin est >> http://www.vista-xp.fr/forum/topic146.html

Ca me permettrait d'y voir plus clair

[vincsz]

Salut , voici la capture:

 

http://www.servimg.com/image_preview.php?i=10&u=12493476[/img]

[Thanos]

salut vincsz

 

J'aimerai que tu tentes un réglage du parefeu comme ceci >>

 

Repère Generic Host Process dans la liste des programmes, et configure le comme dans la capture que j'ai posté, à savoir sélectionne "Demander" pour la partie Serveur (Internet et Sécurisé).

Dis moi si ca change quelque chose pour le surf.

 

Par ailleurs, assure toi bien que c'est ton adresse ip qui figure sous la colonne Adresse Ip/Site >>

 

[vincsz]

Salut,

Vraiment, rien n'y fait, j'crois que je vais installer un autre logiciel....