Chemin de fichier détourné

[Noisette]

Bonjour, les Zebs ! Long time no write, mais je suis restée fidèle au forum et me suis réjouie de son évolution. Silencieuse parce que je n'avais rien à dire, sinon adresser des félicitations à l'équipe Junior-Sécu qui a brillamment pris la relève pour soulager nos pros ... ce qui aurait donné un troll de plus, je n'ai pas osé. Et tout tournait bien sur ma bécane. Enfin je croyais ... jusqu'à ce que je lise le sujet de Spagetti&Prosciutto (showtopic=91988&st=30) et qu'il me prenne l'idée de cliquer dans Ewido sur Analyse/Processus, pour m'apercevoir que j'ai deux lignes suspectes comme lui, voyez ci-dessous 624 et 648 :

 

---------------------------------------------------------

ewido anti-malware - Rapport des processus

---------------------------------------------------------

 

+ Créé le: 18:05:22, 30/04/2006

+ Somme de contrôle: 27656CC5

 

0: System Process

4: System Process

536: \SystemRoot\System32\smss.exe

588: C:\WINDOWS\System32\alg.exe

624: \??\C:\WINDOWS\system32\csrss.exe

648: \??\C:\WINDOWS\system32\winlogon.exe

692: C:\WINDOWS\system32\services.exe

704: C:\WINDOWS\system32\lsass.exe

940: C:\WINDOWS\system32\Ati2evxx.exe

952: C:\WINDOWS\system32\svchost.exe

1012: C:\WINDOWS\system32\svchost.exe

1052: C:\WINDOWS\System32\svchost.exe

1124: C:\WINDOWS\System32\svchost.exe

1288: C:\WINDOWS\system32\spoolsv.exe

1388: C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

1400: C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

1440: C:\Program Files\ewido\security suite\ewidoctrl.exe

1468: C:\Program Files\ewido\security suite\ewidoguard.exe

1512: C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe

1560: C:\WINDOWS\system32\oodag.exe

1628: C:\WINDOWS\System32\PGPsdkServ.exe

1816: C:\Program Files\Analog Devices\SoundMAX\Smtray.exe

1820: C:\Program Files\Logitech\ImageStudio\LogiTray.exe

1860: C:\WINDOWS\System32\svchost.exe

1880: C:\Program Files\Logitech\iTouch\iTouch.exe

1888: C:\WINDOWS\system32\wfxsnt40.exe

1896: C:\Program Files\Java\jre1.5.0_02\bin\jusched.exe

1916: C:\WINDOWS\System32\wdfmgr.exe

1968: C:\WINDOWS\system32\ZoneLabs\vsmon.exe

2024: C:\WINDOWS\Explorer.EXE

2072: C:\Program Files\Fichiers communs\Logitech\QCDriver2\LVCOMS.EXE

2080: C:\WINDOWS\system32\LVComS.exe

2144: C:\WINDOWS\system32\wuauclt.exe

2168: C:\Program Files\ahead\InCD\InCD.exe

2184: C:\WINDOWS\system32\GSICON.EXE

2224: C:\WINDOWS\system32\dslagent.exe

2244: C:\WINDOWS\system32\atiptaxx.exe

2252: C:\Program Files\QuickTime\qttask.exe

2260: C:\Program Files\iTunes\iTunesHelper.exe

2284: C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

2300: C:\WINDOWS\system32\ctfmon.exe

2340: C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

2372: C:\Program Files\Nikon\PictureProject\NkbMonitor.exe

2436: C:\PROGRA~1\Webshots\webshots.scr

2476: C:\Program Files\Microsoft Office\Office10\msoffice.exe

2512: C:\Program Files\iPod\bin\iPodService.exe

2732: C:\WINDOWS\system32\msiexec.exe

3156: C:\Program Files\ewido\security suite\SecuritySuite.exe

 

Ces lignes sont confirmées par Spybot, mais n'apparaissent pas avec les \??\ dans le log HJT que je vous soumets après avoir scrupuleusement suivi la procédure de Megataupe :

 

 

Logfile of HijackThis v1.99.1

Scan saved at 16:37:34, on 30/04/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\ewido\security suite\ewidoctrl.exe

C:\Program Files\ewido\security suite\ewidoguard.exe

C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe

C:\WINDOWS\system32\oodag.exe

C:\WINDOWS\System32\PGPsdkServ.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Logitech\ImageStudio\LogiTray.exe

C:\Program Files\Logitech\iTouch\iTouch.exe

C:\WINDOWS\system32\wfxsnt40.exe

C:\Program Files\Java\jre1.5.0_02\bin\jusched.exe

C:\Program Files\Analog Devices\SoundMAX\Smtray.exe

C:\Program Files\Fichiers communs\Logitech\QCDriver2\LVCOMS.EXE

C:\Program Files\ahead\InCD\InCD.exe

C:\WINDOWS\system32\GSICON.EXE

C:\WINDOWS\system32\dslagent.exe

C:\WINDOWS\system32\atiptaxx.exe

C:\Program Files\QuickTime\qttask.exe

C:\Program Files\iTunes\iTunesHelper.exe

C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\WINDOWS\system32\ctfmon.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

C:\Program Files\iPod\bin\iPodService.exe

C:\Program Files\Microsoft Office\Office10\msoffice.exe

C:\Program Files\Nikon\PictureProject\NkbMonitor.exe

C:\PROGRA~1\Webshots\webshots.scr

C:\WINDOWS\system32\msiexec.exe

C:\Program Files\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.be/

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.be

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll

O4 - HKLM\..\Run: [LogitechImageStudioTray] C:\Program Files\Logitech\ImageStudio\LogiTray.exe

O4 - HKLM\..\Run: [zBrowser Launcher] C:\Program Files\Logitech\iTouch\iTouch.exe

O4 - HKLM\..\Run: [WinFaxAppPortStarter] wfxsnt40.exe

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_02\bin\jusched.exe

O4 - HKLM\..\Run: [storageGuard] "C:\Program Files\VERITAS Software\Update Manager\sgtray.exe" /r

O4 - HKLM\..\Run: [smapp] C:\Program Files\Analog Devices\SoundMAX\Smtray.exe

O4 - HKLM\..\Run: [LVCOMS] C:\Program Files\Fichiers communs\Logitech\QCDriver2\LVCOMS.EXE

O4 - HKLM\..\Run: [LogitechGalleryRepair] C:\Program Files\Logitech\ImageStudio\ISStart.exe

O4 - HKLM\..\Run: [inCD] C:\Program Files\ahead\InCD\InCD.exe

O4 - HKLM\..\Run: [GSICONEXE] GSICON.EXE

O4 - HKLM\..\Run: [DSLAGENTEXE] dslagent.exe USB

O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [iTunesHelper] C:\Program Files\iTunes\iTunesHelper.exe

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [LDM] \Program\BackWeb-8876480.exe

O4 - Startup: Webshots.lnk = C:\Program Files\Webshots\Launcher.exe

O4 - Global Startup: Démarrage rapide du logiciel HP Image Zone.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqthb08.exe

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Desktop Messenger\8876480\Program\LDMConf.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O4 - Global Startup: NkbMonitor.exe.lnk = C:\Program Files\Nikon\PictureProject\NkbMonitor.exe

O8 - Extra context menu item: &Traduire à partir de l'anglais - res://c:\program files\google\GoogleToolbar1.dll/cmwordtrans.html

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Pages liées - res://c:\program files\google\GoogleToolbar1.dll/cmbacklinks.html

O8 - Extra context menu item: Pages similaires - res://c:\program files\google\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: Recherche &Google - res://c:\program files\google\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://c:\program files\google\GoogleToolbar1.dll/cmcache.html

O8 - Extra context menu item: Yahoo! Dictionary - file:///C:\Program Files\Yahoo!\Common/ycdict.htm

O8 - Extra context menu item: Yahoo! Search - file:///C:\Program Files\Yahoo!\Common/ycsrch.htm

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://download.ewido.net/ewidoOnlineScan.cab

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://groups.msn.com/controls/PhotoUC/MsnPUpld.cab

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdat...b?1144871772484

O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} (HardwareDetection Control) - http://config.zebulon.fr/plugins/hardwaredetection.cab

O16 - DPF: {87AF076E-D86D-4E87-ADDD-F05804E1F150} (VirginMega DownloadManager) - https://www.virginmega.fr/DownloadManager/R...rod/DownMan.cab

O16 - DPF: {9FC5238F-12C4-454F-B1B5-74599A21DE47} (Webshots Photo Uploader) - http://community.webshots.com/html/WSPhotoUploader.CAB

O16 - DPF: {F58E1CEF-A068-4C15-BA5E-587CAF3EE8C6} (MSN Chat Control 4.5) - http://chat.msn.com/controls/msnchat45.cab

O16 - DPF: {FB90BA05-66E6-4C56-BCD3-D65B0F7EBA39} (Foto.com SpeedUploader 1.0 Control) - http://express.foto.com/SFUploader/SpeedUploader.cab

O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - AVIRA GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido\security suite\ewidoctrl.exe

O23 - Service: ewido security suite guard - ewido networks - C:\Program Files\ewido\security suite\ewidoguard.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: iPodService - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe

O23 - Service: PGPsdkService (PGPsdkServ) - PGP Corporation - C:\WINDOWS\System32\PGPsdkServ.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

 

Voui, je sais ... si Ipl, Tesgaz ou Megataupe passent par ici, je vais me faire remonter les bretelles et je sais pourquoi snifff ... n'ai pas encore osé faire tout ce qu'il eût fallu ...

 

Comme c'est un week-end de congé, que le brave qui s'occupera de mon log prenne son temps.

 

J'ignore depuis quand j'ai ces deux lignes, je n'ai rien constaté d'anormal dans le fonctionnement de mon PC sinon qu'il rame un peu au démarrage, ce qui n'est pas étonnant avec tout ce qui dépasse les 21 processus que Windows peut absorber, j'irai me faire maigrir après désinfection. Les derniers bidules installés sont un scanner HP (très gourmand et dont CCleaner m'efface toujours un fichier qui déclenche Windows Installer au redémarrage suivant), l'upgrade d'Acrobat de la version 6 à la version 7 (pas certaine du tout d'avoir gagné au change) et le DownloadManager de Virgin installé à contrecoeur mais seul moyen de récupérer une chanson-cadeau d'une amie ... s'il faut faire sauter, ça sautera.

 

Merci d'avance pour votre aide appréciée !

[Jack_Burton]

Bonjour,

 

pour m'apercevoir que j'ai deux lignes suspectes comme lui, voyez ci-dessous 624 et 648 :

Elles sont légitimes :

 

624: \??\C:\WINDOWS\system32\csrss.exe

Le processus csrss.exe (csrss signifiant Client/Server Runtime Subsystem) est un processus générique de Windows NT/2000/XP servant à gérer les fenêtres et les éléments graphiques de Windows.

 

648: \??\C:\WINDOWS\system32\winlogon.exe

Le processus winlogon.exe (winlogon signifiant Windows LogOn Process, en français ouverture de session Windows) est un processus générique de Windows NT/2000/XP servant à gérer l'ouverture et la fermeture des sessions. Le processus WinLogOn est également actif lors de l'ouverture de la fenêtre de sécurité Windows (appelée en appuyant simultanément sur les touches CTRL+ALT+SUPPR).

 

Référence www.commentcamarche.net

 

sinon qu'il rame un peu au démarrage, ce qui n'est pas étonnant avec tout ce qui dépasse les 21 processus que Windows peut absorber, j'irai me faire maigrir après désinfection.

On peut optimiser ton systeme . Apres c est a toi de voir car cela jouera sur le "confort"' de l utilisateur en évitant a des programmes et des services non essentiels de se lancer au démarrage, en limitant les éléments additionnels du menu contextuel et les boutons additionnels de la barre d'outils principale d'IE.

[Noisette]

Bonsoir, Jack Burton, et merci pour ta réponse !

 

Je m'étais documentée sur les processus en question avant de poster, et j'avais peur que mes sessions soient passées sous contrôle "étranger" à cause des \??\. Paranoïa ?

 

En tout cas, je suis partante pour optimiser mon système, il y a de plus en plus de processus qui tournent et de services dont je n'ai pas l'usage, mais je manque de connaissances pour savoir quoi supprimer sans faire de bêtises. Juste ma ligne OSA10 que je voudrais garder ... pour mes barres d'outils Programmes et Office, elles sont pratiques pour moi ... c'est trop ? Dois-je me transférer sur le sous-forum Optimisation ?

 

Merci encore et bonne fin de congé !