Une clé de registre qui refuse de s'emballer

jawabel · le 5 mai 2005

Salut à Tous;

Voilà, je voudrais avoir votre avis sur un élément (entrée de registre) que EasyCleaner n'arrive pas à supprimer définitivement...En fait, on croit l'avoir supprimé mais il refait surface lors d'une nlle session!

Ds un 1er temps, j'ai posté le sujet ds la rubrique "Software", cependant on m'a dit que l'élément en question pourrait être un malware du moment qu'il ne fait pas du tout parti de Windows (pour la raison qu'il ne figure pas ds les bases complètes BHO CLSID !

L'élément en question se présente comme suit:

Racine : HKEY_LOCAL_MACHINE

Clé de Registre:

Software\Microsoft\Windows\CurrentVersion\WindowsUpdate\Reporting\EventCache\WU

Valeur de chaine : CurrentCacheFile

Fichiers/réf. chemin :

C:\WINDOWS\SoftwareDistribution\EventCache\{256DF39B-7819-4448-894D-6BDAD076DB9B}.bin

Aussi, souhaiterais-je avoir votre avis là dessus, et merci d'avance;

p.s: Mon syst. est Win XP Pro sp2

megataupe · le 5 mai 2005

Bonjour Jawabel. Je n'ai rien trouvé sur la CLSID que tu indiques, voir ici :

http://castlecops.com/CLSID.html

à priori, il ne s'agit pas d'un malware mais peut être d'un script conservé dans le cache de ton navigateur (vide le cache pour vérifier).

jawabel · le 5 mai 2005

Bonjour Jawabel. Je n'ai rien trouvé sur la CLSID que tu indiques, voir ici :

http://castlecops.com/CLSID.html

à priori, il ne s'agit pas d'un malware mais peut être d'un script conservé dans le cache de ton navigateur (vide le cache pour vérifier).

498069[/snapback]

Salut megataupe;

Merci pour ta réponse,

Jusqu'à maintenant, en voulant vider mon cache internet, je vide mes deux dossiers ITF et TEMP situés ds c:\documts & setting\user\local setting.

C'est suffisant comme action ou non?

En fait je me suis tj demandé à propos du dossier "Temp" du Répertoire Windows..., fait-il parti du cache internet ou non?

Vous seriez gentil(les) de m'éclairer cette question ou de m'indiquer un lien et/ou tutorial sur le sujet.

Merci d'avance;

megataupe · le 5 mai 2005

Pour Internet Explorer, le cache se trouve dans :

le dossier Temporary Internet Files qui contient les pages Web visitées récemment.

Faire le ménage tous les 2-3 jours, voir chaque jour, avec Internet Sweepper ou un autre nettoyeur évite de voir des parasites s'incruster dans ce dossier sensible.

jawabel · le 8 mai 2005

Bonjour megataupe, bonjour tout le monde,

Voilà, je reviens pour vous informer que rien ne va plus à propos de mon problème; en effet après avoir vidé mon cache IE, et plus généralement appliqué les directives de bigbernie de la rubrique "Software" ( cf : http://forum.zebulon.fr/index.php?showtopic=65821 ) dans un premier temps, et donc pensé que le problème est résolu..., il n'en était rien de tout celà car après juste 48 heures environ, les choses sont revenues à la case de départ!: L'élément en question est réapparu de nouveau!...Mais, ce qui me trouble à vrai dire ds tt celà est le fait qu'il soit un élément étrange à Windows!! De quoi pourrait-il s'agir?...Bref, bigbernie m'a proposé HijackThis...D'où mon retour chez vous à la rubrique "Sécurité" en souhaitant trouver une issue audit problème...

Aussi, vous serais-je gré de croire en ma profonde reconnaissance pour tout ce que vous faites tj avec moi , et + généralt avec tt le monde, et donc veuillez accepter le témoignage de ma gratitude si encore une fois je sollicite votre aide ds ce présent problème...

Pour tte fin utile, je vous présente ci-dessous mon log Hijack passé en mode normal :

Logfile of HijackThis v1.99.1

Scan saved at 16:39:53, on 08/05/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\CTSvcCDA.exe

C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe

C:\Program Files\Norton AntiVirus\navapsvc.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\UPHClean\uphclean.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\SpywareGuard\sgmain.exe

C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe

C:\Program Files\SpywareGuard\sgbhp.exe

C:\Program Files\MSN Apps\Updater\01.02.3000.1001\fr\msnappau.exe

C:\WINDOWS\system32\wscntfy.exe

E:\Programme telecharges(Fich.d'installation Surtout)\doss extract Hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.menara.ma/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn0\ycomp5_5_7_0.dll

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: SpywareGuard Download Protection - {4A368E80-174F-4872-96B5-0B27DDD11DB2} - C:\Program Files\SpywareGuard\dlprotect.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Program Files\MSN Apps\ST\01.02.3000.1002\en-xu\stmain.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll

O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\fr\msntb.dll

O2 - BHO: CNavExtBho Class - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\fr\msntb.dll

O3 - Toolbar: Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn0\ycomp5_5_7_0.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll

O4 - HKLM\..\Run: [ccRegVfy] "C:\Program Files\Fichiers communs\Symantec Shared\ccRegVfy.exe"

O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [Vruskeeper] C:\Program Files\AxBx\VirusKeeper 2005\VirusKeeper.exe

O4 - Startup: SpywareGuard.lnk = C:\Program Files\SpywareGuard\sgmain.exe

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.html

O8 - Extra context menu item: Chercher avec Copernic Agent - C:\Program Files\Copernic Agent\Web\SearchExt.htm

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Pages liées - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.html

O8 - Extra context menu item: Pages similaires - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.html

O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://c:\program files\google\GoogleToolbar2.dll/cmcache.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2\bin\npjpi142.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2\bin\npjpi142.dll

O9 - Extra button: (no name) - {193B17B0-7C9F-4D5B-AEAB-8D3605EFC084} - C:\PROGRA~1\COPERN~1\COPERN~1.EXE

O9 - Extra 'Tools' menuitem: Démarrer Copernic Agent - {193B17B0-7C9F-4D5B-AEAB-8D3605EFC084} - C:\PROGRA~1\COPERN~1\COPERN~1.EXE

O9 - Extra button: Copernic Agent - {688DC797-DC11-46A7-9F1B-445F4F58CE6E} - C:\PROGRA~1\COPERN~1\COPERN~1.EXE

O9 - Extra button: Organise-notes - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Program Files\Fichiers communs\Microsoft Shared\Encarta Researcher\EROPROJ.DLL

O9 - Extra button: (no name) - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Program Files\Fichiers communs\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=36467&clcid=0x409

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061...all/xscan53.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmesse...pdownloader.cab

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Password Validation Service (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe

O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTSvcCDA.exe

O23 - Service: Service Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:\Program Files\Norton AntiVirus\navapsvc.exe

O23 - Service: Sandra Data Service (SandraDataSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Lite 2005\RpcDataSrv.exe

O23 - Service: Sandra Service (SandraTheSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Lite 2005\RpcSandraSrv.exe

O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe

O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe

O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Program Files\TuneUp Utilities 2004\WinStylerThemeSvc.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

Merci d'avance et à +;

megataupe · le 8 mai 2005

Bonsoir jawabel. Je vais peut être te décevoir, mais il s'avère que je ne suis pas un spécialiste de la lecture d'un log Hijackthis (pour le moment s'entend, mais je compte bien apprendre). Ceci dit, il faudrait refaire ton scan Hijackthis en mode sans échec pour qu'IPL, Stonangel ou queruak (de vrais spécialistes de l'Hijack ) puissent te répondre.

jawabel · le 8 mai 2005

Bonsoir megataupe, bonsoir à tous:

Merci bq pour votre disponibilité megataupe...C'est vraiment très gentil de votre part...

Et bien, je présente donc ci-après mon log HijackThis en mode sans echec tout en espérant que l'un des spécialistes que vous m'avez indiqué arrive à se pencher sur mon cas...En effet j'estime que le titre de mon post n'est peut-être pas attirant...Mais bon, je garde l'espoir d'avoir une pte chance...Sinon je reposterais mon sujet sous un nouveau titre. voilà merci encore une fois et à très bientôt.

Par ailleurs, cher(e)s Zébulonnien(ne)s, voilà comment se présente mon log Hijack en m.sans echec:

Logfile of HijackThis v1.99.1

Scan saved at 18:50:42, on 08/05/2005