RESOLU Prise de contrôle à distance

frefranat · le 21 août 2009

Bonjour,

je souhaiterais savoir comment vérifier si mon PC est accessible à distance à un utilisateur caché.

Je précise que j'avais installé Ultra VNC avec un compte DynDNS pour avoir une IP fixe. J'ai désinstallé aujourd'hui Ultra VNC.

Le fichier mslogon.log situé dans le dossier C:\Program Files\UltraVNC trace l'historique des connexions. Ayant eu de gros problèmes (virus) sur l'ordinateur distant avec lequel je contrôlais celui-ci, je ne me connecte depuis plus de 15 jours, mais j'ai quand même des essais de connexions du type :

19/8/2009 17:00 Invalid attempt from client 79.194.37.95

D'autre part, deux comptes invisibles ont été créés :

HelpAssistant

SUPPORT_388945a0

Est-ce que quelqu'un peut m'aider ?

Merci

Modifié le 22 août 2009 par frefranat

Pang · le 21 août 2009

Bonjour,

Ok, tu as désinstallé VNC, mais quant est-il de la redirection dyndns ?

As tu gardé l'adresse dyndns ?

Tu as un logiciel pour la correspondance dyndns ou c'est ta box (modem/routeur) qui le gère ?

Les comptes que tu cites sont des comptes tout à fait normaux pour windows.

Quel est ton système d'exploitation ?

Modifié le 21 août 2009 par Pang

frefranat · le 21 août 2009

Bonjour Pang,

j'ai gardé mon compte à DynDNS, mais j'ai supprimé les coordonnées de mon compte sur la box.

Je viens de m'apercevoir effectivement que les comptes :

HelpAssistant

SUPPORT_388945a0

étaient à nouveaux présents sur un PC que je venais de reformater sous XP pro SP2.

Ce problème réglé, j'aurais souhaité l'aide de quelqu'un pour vérifier l'intégrité du contenu du disque.

Je poste à cet effet le rapport HIJACKTHIS à interpréter.

Merci

frefranat · le 21 août 2009

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 16:24:29, on 21/08/2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16876)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Avira\AntiVir Desktop\sched.exe

C:\Program Files\Avira\AntiVir Desktop\avguard.exe

C:\Program Files\Avira\AntiVir Desktop\avgnt.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Windows Live\Messenger\msnmsgr.exe

C:\documents and settings\pc\local settings\application data\buifxles.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Documents and Settings\pc\Bureau\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://orange.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://lo.st

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)

O2 - BHO: EoRezoBHO - {64F56FC1-1272-44CD-BA6E-39723696E350} - C:\Program Files\EoRezo\EoAdv\EoRezoBHO.dll (file missing)

O2 - BHO: DealioBHO Class - {6A87B991-A31F-4130-AE72-6D0C294BF082} - C:\Program Files\Dealio\kb127\Dealio.dll (file missing)

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_06\bin\ssv.dll

O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [WOOKIT] C:\PROGRA~1\WANADOO\Shell.exe appLaunchClientZone.shl|DEFAULT=cnx|PARAM=

O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [buifxles] "c:\documents and settings\pc\local settings\application data\buifxles.exe" buifxles

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O4 - Startup: Calendrier.lnk = C:\Documents Maurice\Calendrier.WDB

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_06\bin\ssv.dll

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O14 - IERESET.INF: START_PAGE_URL=http://global.acer.com/

O15 - Trusted Zone: http://www.impots.gouv.fr

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupd...b?1208336812500

O16 - DPF: {7584C670-2274-4EFB-B00B-D6AABA6D3850} (Microsoft RDP Client Control (redist)) - https://dan-micro83/remote/msrdp.cab

O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.6.0) - http://dl8-cdn-01.sun.com/s/ESD42/JSCDL/jr...ows-i586-jc.cab

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shoc...ash/swflash.cab

O23 - Service: Avira AntiVir Planificateur (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe

O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe

--

End of file - 5466 bytes

Pang · le 21 août 2009

Il y a effectivement une petite bête genre pas méchante mais bizarre ainsi que des traces d'autres petites choses.

Laissons faire un membre de l'équipe sécurité traiter ton cas.

^^

Apollo · le 21 août 2009

Bonjour,

Particularité si vous avez Windows Vista:

Toujours lancer Navilog1 via clic-droit "exécuter en tant qu'administrateur"

******

Télécharge Navilog1 (par IL-MAFIOSO) Enregsitre-le sur ton bureau.

http://perso.orange.fr/il.mafioso/Navifix/Navilog1.exe

Ensuite double clique sur navilog1.exe pour lancer l'installation.

Une fois l'installation terminée, double-clique sur le raccourci Navilog1 présent sur le bureau.

Laisse-toi guider. Appuie sur une touche quand on te le demande.

Au menu principal, choisis 1 et valide.

< Ne fais pas le choix 2 >

Patiente le temps du scan. Il te sera peut-être demandé de redémarrer ton PC.

Laisse l'outil le faire automatiquement, sinon redémarre ton PC normalement s'il te le demande.

Patiente jusqu'au message "Scan terminé le......"

Appuie sur une touche comme demandé ; le bloc-notes va s'ouvrir.

Copie-colle l'intégralité dans ta réponse. Referme le bloc-notes.

PS : le rapport est aussi sauvegardé à la racine du disque dur C:\cleannavi.txt

-----------

OTM

Télécharge OTM de OldTimer sur ton Bureau en cliquant sur ce lien:

OTM

Double-clique sur OTM.exe pour le lancer (l'extension .exe peut ne pas apparaître)

---> sous VISTA: clic droit: exécuter en temps qu'administrateur.

Vérifie que la case Unregister Dll's and OCX's.exe soit bien cochée!

Copie l'entièreté du code ci-dessous (depuis :Processes)

:Processes

explorer.exe

:Files

C:\Program Files\EoRezo\EoAdv
C:\Program Files\EoRezo
C:\Program Files\Dealio\kb127
C:\Program Files\Dealio


:Reg

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{64F56FC1-1272-44CD-BA6E-39723696E350}]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{64F56FC1-1272-44CD-BA6E-39723696E350}]

:Commands
[purity]
[emptytemp]
[start explorer]
[reboot]

Colle ce code dans la partie jaune de OtMoveIt3 intitulée:
"Paste Instructions for Items to be Moved"
Clique sur le bouton Moveit! pour lancer le nettoyage:
Copie-colle dans ta prochaine réponse tout ce qui se trouve dans la fenêtre Results
--> Un rapport sera généré dans le dossier C:\ _OTMoveIt\MovedFiles avec la date et l'heure du passage de l'outil (mmddyyyy_hhmmss.log)
Ferme OTM en cliquant sur Exit:

Note : Si un fichier ou un dossier ne peut être supprimé directement, l'outil peut demander un redémarrage pour terminer le processus. Clique alors sur "Yes" pour accepter.

L'outil va finir son travail après le reboot -> Poste le rapport.

-----------

Ouvre le bloc-notes (Démarrer/Programmes/Accessoires/Bloc-notes) et copie-colle l'intégralité du texte contenu dans le cadre ci-dessous (sans oublier la 1ère ligne):

Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]

"Start Page"="http://www.google.fr"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\AboutURLs]

"Tabs"="res://ieframe.dll/tabswelcome.htm"

Tu enregistres le fichier sur ton bureau en le nommant CleanReg.reg et en choisissant Tous les fichiers dans le champ Type.

Double-clique sur CleanReg.reg et accepte la fusion.

Tu dois avoir un message disant que tout s'est bien passé.

>> Redémarre le PC et poste un nouveau log HijackThis.

Dis nous si tu peux maintenant changer ta page d'accueil (qui doit être maintenant positionnée sur Google.fr)

@++

frefranat · le 22 août 2009

Fix Navipromo version 4.0.1 commencé le 22/08/2009 9:03:14,26

!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!

!!! Postez ce rapport sur le forum pour le faire analyser !!!

Outil exécuté depuis C:\Program Files\navilog1

Mise à jour le 18.07.2009 à 11h00 par IL-MAFIOSO

Microsoft Windows XP Édition familiale ( v5.1.2600 ) Service Pack 3

X86-based PC ( Uniprocessor Free : AMD Athlon XP 2600+ )

BIOS : Phoenix - AwardBIOS v6.00PG

USER : pc ( Administrator )

BOOT : Normal boot

Antivirus : AntiVir Desktop 9.0.1.32 (Activated)

A:\ (USB)

C:\ (Local Disk) - FAT32 - Total:74 Go (Free:60 Go)

D:\ (CD or DVD)

E:\ (CD or DVD)

F:\ (USB)

G:\ (USB)

Recherche executée en mode normal

Nettoyage exécuté au redémarrage de l'ordinateur

C:\WINDOWS\prefetch\buifxles*.pf supprimé !

C:\Documents and Settings\pc\locals~1\applic~1\buifxles.exe supprimé !

C:\Documents and Settings\pc\locals~1\applic~1\buifxles.dat supprimé !

C:\Documents and Settings\pc\locals~1\applic~1\buifxles_nav.dat supprimé !

C:\Documents and Settings\pc\locals~1\applic~1\buifxles_navps.dat supprimé !

Nettoyage contenu C:\WINDOWS\Temp effectué !

Nettoyage contenu C:\Documents and Settings\pc\locals~1\Temp effectué !

*** Sauvegarde du Registre vers dossier Safebackup ***

sauvegarde du Registre réalisée avec succès !

*** Nettoyage Registre ***

Nettoyage Registre Ok

*** Scan terminé 22/08/2009 9:11:27,98 ***

frefranat · le 22 août 2009

All processes killed

========== PROCESSES ==========

No active process named explorer.exe was found!

========== FILES ==========

File/Folder C:\Program Files\EoRezo\EoAdv not found.

File/Folder C:\Program Files\EoRezo not found.

File/Folder C:\Program Files\Dealio\kb127 not found.

File/Folder C:\Program Files\Dealio not found.

========== REGISTRY ==========

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{64F56FC1-1272-44CD-BA6E-39723696E350}\ deleted successfully.

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{64F56FC1-1272-44CD-BA6E-39723696E350}\ not found.

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{64F56FC1-1272-44CD-BA6E-39723696E350}\ deleted successfully.

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{64F56FC1-1272-44CD-BA6E-39723696E350}\ not found.

========== COMMANDS ==========

[EMPTYTEMP]

User: Default User

->Temp folder emptied: 21177514 bytes

->Temporary Internet Files folder emptied: 33170 bytes

User: All Users

User: NetworkService

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 2105080 bytes

User: LocalService

->Temp folder emptied: 66016 bytes

File delete failed. C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat scheduled to be deleted on reboot.

->Temporary Internet Files folder emptied: 2791940 bytes

User: pc

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 84461370 bytes

->Java cache emptied: 33445173 bytes

->FireFox cache emptied: 65332992 bytes

%systemdrive% .tmp files removed: 0 bytes

C:\WINDOWS\msdownld.tmp folder deleted successfully.

%systemroot% .tmp files removed: 58371 bytes

%systemroot%\System32 .tmp files removed: 3690496 bytes

Windows Temp folder emptied: 0 bytes

RecycleBin emptied: 25348 bytes

Total Files Cleaned = 203,31 mb

OTM by OldTimer - Version 3.0.0.6 log created on 08222009_100247

frefranat · le 22 août 2009

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 10:24:57, on 22/08/2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16876)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Avira\AntiVir Desktop\sched.exe

C:\Program Files\Avira\AntiVir Desktop\avguard.exe

C:\Program Files\Avira\AntiVir Desktop\avgnt.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Windows Live\Messenger\msnmsgr.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\PROGRA~1\HEWLET~1\HPSHAR~1\hpgs2wnf.exe

C:\Documents and Settings\pc\Bureau\Documents Frederic\Securite\Hijackthis\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.orange.fr/