Ben... un virus !

Denis95 · le 26 juin 2006

Lorsque je fais:

Tape : ping www.google.fr

Zone Alarme me demande si j'autorise ou pas l'application ping.exe sur la destibation 212.27.54.252:DNS

J'autorise, et:

"La requête PING n'a pas pu trouver l'hôte WWW.google.fr. vérifiez le nom et essayez à nouveau."

Puis sur l'adresse:

Ping 66.249.85.99

J'ai le message habituel de Zone Alarm et j'autorise.

"Envoi d'une requête 'ping' sur 66.249.85.99 avec 32 octet de données:

Réponse de 66.249.85.99: octets=32 temps=51 ms TTL=248

Réponse de 66.249.85.99: octets=32 temps=60 ms TTL=248

Réponse de 66.249.85.99: octets=32 temps=51 ms TTL=248

Réponse de 66.249.85.99: octets=32 temps=56 ms TTL=248

Statistiques Ping pour 66.249.85.99:

Paquets; envoyés = 4, reçus = 4, perdus = 0 (perte 0%)

Durée approximative des boucles en millisecondes:

Minimum = 51 ms, Maximum = 60 ms, Moyenne = 54 ms"

Pour la commande ipconfig /all:

Même blabla de zonealarme, j'autorise:

Il ne se passe rien du tout.

Voilà M'sieur.

Je suis connecté via une freebox branchée sur un port ethernet.

Désactiver le firewall ?

Celui de windows ?

Euh... Option internet, onglet sécurité, j'ai mis le curseur au niveau bas. c'est ça ??

Ben ça ne change rien.

Mais si je zappe Zone Alarm, oui je peux me connecter, je suis allé sur le forum Zebulon. Mais dans ce cas, je ne suis plus protégé.

Et il a suffit de 10 secondes pour que Norman et Ewido se déclenche pour Sality et un autre.

Alors j'ai remis zonealarm de suite.

EDIT:

je ne comprend plus rien !! Une fois ZoneAlarm remis, j'ai essayé internet, et je ne peux aller QUE sur zebulon !

Pas les autres sites, comme google....

Modifié le 26 juin 2006 par Denis95

Malekal_morte · le 26 juin 2006

OK OK OK.

Ca ressemble à un prb de DNS. Rien de très méchant.

Par contre, j'ai besoin du ipconfig /all

Je vois pas très bien pourquoi ZoneAlarm a lancé une alerte, ipconfig n'a pas besoin de se connecter.

La commande doit fonctionner, es-tu certains d'avoir bien fait :

Menu Démarrer / executer

Dans le champs, tape cmd et clic sur OK

Dans la nouvelle fenêtre, tape : ipconfig /all

il faut bien que l'orthographe soit bonne, les espaces et la barre dans le meme sens.

Voir la capture ici : http://www.coker.edu/it/documents/windows-xp-ipconfig.jpg

D'autre part, je vois que tu as du mal avec ZoneAlarm, regarde ce tutorial : http://www.malekal.com/tutorial_zonealarm.html

Notamment, lors des alertes, tu peux cocher une case pour que ZoneAlarm mémorise l'acceptation de la connexion pour un programme, comme ça la prochaine fois qu'il se connecte ZoneAlarm ne te posera plus la question.

Assure toi aussi qu'internet explorer est autorisé sur ZoneAlarm.

Enfin pour ton alerte de "Sality et autre", fais ceci :

Désactive puis réactive la restauration du système :

- Mode d'emploi Windows XP

Si tu reçois d'autres alertes, important donne le chemin complet du fichier, par exemple : c:\Windows\coincoinfaitlecanard.exe

Enfin, je pars en déplacement demain, j'essayerai de te répondre, mais je te garantis pas.

Modifié le 26 juin 2006 par Malekal_morte

Denis95 · le 27 juin 2006

Bonjour,

Je t'assure que j'ai bien fais le ipconfig /all. Car la première fois, je n'avais pas laissé d'espace et cela m'a mis une erreur. Donc j'ai bien vérifié. Mais je recommencerais.

Et je confirme que Zonealarm à lancé une alerte lors de ipconfig. (ipconfig.exe)

J'ai bien compris la petite case à cocher de zonealarm qui me permet de définir ceux qui peuvent sortir et ceux qui ne peuvent pas. Ce qui est difficile c'est de savoir à qui appartient le programme ! Lorsque je vois avgdlog.exe qui demande la connexion (nom inventé) ben je ne sais pas si j'autorise ou pas.

D'ailleurs plusieurs fois, ALGS.exe a demandé à se connecter. Je peux ou pas ? c'est quoi ?

J'essaye d'être le plus précis possible dans mes écrits pour que vous puissiez connaitre exactement ce que j'ai fait. Mais je me rend compte que c'est plus brouillon que précis..

J'ai imprimé le tuto de Zonealarm pour l'avoir de manière définitive. Je l'avais lu toutefois.

Je vais faire le nécessaire pour la restauration système et à la prochaine alerte je donne le chemin de la bébète.

Pas de problème pour l'attente des réponses. Je ne suis pas prioritaire.

Denis95 · le 28 juin 2006

Bonjour,

1) J'ai re-perdu ma souris. Je ne sais pas pourquoi. Alors que la dernière fois je l'avais sans soucis.

2) je confirme pour ipconfig /all. J'ai bien saisi la commande d'éxecution. Zonealarme me demande si j'autorise ipconfig.exe à se connecter. Et que je refuse ou que j'autorise, rien ne se passe. L'écran noir ou je devrais trouver les infos ne s'affiche pas.

3) ALGS.exe a demandé à se connecter. J'ai autorisé et rien ne s'est passé. Je ne sais toujours pa ce que c'est.

4) J'ai fait le nécessaire pour la restauration système.

Je poste des rapports au cas ou il y aurait l'exoplication du blocage de la souris et du manque d'accès à internet. Winsockfix a été exécuté sur le bureau et a soi disant réparé la connexion. Ben... en fait rien du tout.

Hijackthis

Logfile of HijackThis v1.99.1

Scan saved at 19:28:30, on 27/06/2006

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Analog Devices\SoundMAX\Smtray.exe

C:\Program Files\Microsoft IntelliType Pro\type32.exe

C:\Program Files\Microsoft IntelliPoint\point32.exe

C:\WINDOWS\System32\algs.exe

C:\Norman\bin\ZLH.EXE

C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Program Files\MSN Messenger\MsnMsgr.Exe

C:\Program Files\E-Color\True Internet Color\TICIcon.exe

C:\Program Files\ewido anti-malware\ewidoctrl.exe

C:\Program Files\ewido anti-malware\ewidoguard.exe

C:\Norman\Bin\Zanda.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\Norman\Nvc\BIN\NIP.EXE

C:\Norman\Nvc\BIN\nipsvc.exe

C:\Norman\bin\NJEEVES.EXE

C:\Norman\Nvc\BIN\NVCSCHED.EXE

C:\Norman\Nvc\bin\nvcoas.exe

C:\Norman\Nvc\bin\cclaw.exe

C:\Program Files\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [smapp] C:\Program Files\Analog Devices\SoundMAX\Smtray.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [type32] "C:\Program Files\Microsoft IntelliType Pro\type32.exe"

O4 - HKLM\..\Run: [intelliPoint] "C:\Program Files\Microsoft IntelliPoint\point32.exe"

O4 - HKLM\..\Run: [Application Layer Gateway Service] C:\WINDOWS\System32\algs.exe

O4 - HKLM\..\Run: [Norman ZANDA] C:\Norman\bin\ZLH.EXE /LOAD /SPLASH

O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

O4 - Global Startup: 3Deep.lnk = C:\Program Files\E-Color\3Deep\3Deepctl.exe

O4 - Global Startup: SonnReg.lnk = C:\Program Files\E-Color\Registration\SonnReg.exe

O4 - Global Startup: True Internet Color Icon.lnk = C:\Program Files\E-Color\True Internet Color\TICIcon.exe

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/english/kavwebscan_unicode.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/microsoftupdat...b?1149887603275

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdat...b?1149887578306

O16 - DPF: {7F8C8173-AD80-4807-AA75-5672F22B4582} (ICSScanner Class) - http://download.zonelabs.com/bin/promotion...canner37870.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido anti-malware\ewidoctrl.exe

O23 - Service: ewido security suite guard - ewido networks - C:\Program Files\ewido anti-malware\ewidoguard.exe

O23 - Service: Norman API-hooking helper (NipSvc) - Unknown owner - C:\Norman\Nvc\BIN\nipsvc.exe

O23 - Service: Norman NJeeves - Unknown owner - C:\Norman\bin\NJEEVES.EXE

O23 - Service: Norman ZANDA - Unknown owner - C:\Norman\Bin\Zanda.exe

O23 - Service: Network DRV (NTDRV) - Unknown owner - C:\WINDOWS\system32\netdrvr.exe (file missing)

O23 - Service: Norman Virus Control on-access component (nvcoas) - Norman ASA - C:\Norman\Nvc\bin\nvcoas.exe

O23 - Service: Norman Virus Control Scheduler (NVCScheduler) - Norman Data Defense Systems - C:\Norman\Nvc\BIN\NVCSCHED.EXE

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

et smitfraudix

SmitFraudFix v2.62

Rapport fait à 22:11:17,18, 27/06/2006

Executé à partir de C:\Program Files\SmitfraudFix\SmitfraudFix

OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT

Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» Avant SmitFraudFix

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri

Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus

»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés

»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» Suppression Fichiers Temporaires

»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre

Nettoyage terminé.

»»»»»»»»»»»»»»»»»»»»»»»» Après SmitFraudFix

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri

Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Fin

Voilà. j'attend vos conseils. J'ai l'impression d'être un irréductible du virus. Pas cool.

Merci d'avance.

Malekal_morte · le 29 juin 2006

Désinstalle ewido

sur HijackThis, coche cette ligne :

O4 - HKLM\..\Run: [Application Layer Gateway Service] C:\WINDOWS\System32\algs.exe

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

--> clic sur fix checked

Supprime le fichier : C:\WINDOWS\System32\algs.exe

Si tu n'y parviens pas, fais le en mode sans échec.

Tu te connectes avec quoi Freebox ? Livebox ? un modem ?

Quel est ton fournisseur d'accès ?

Essaye ipconfig tout court sans le /all

Denis95 · le 30 juin 2006

Bonjour,

Je suis connecté via une freebox branchée sur un port ethernet.

Je fais tout ça et je te tiens au jus.

Merci.

Denis95 · le 30 juin 2006

Ewido est bien désinstallé.

ALGS.exe est bien supprimé en mode sans échec.

Ma souris remarche. Décidément, celle là, c'est le Da vinci code à elle toute seule !!

le dernier rapport Hijackthis:

Logfile of HijackThis v1.99.1

Scan saved at 21:29:56, on 30/06/2006

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Analog Devices\SoundMAX\Smtray.exe

C:\Program Files\Microsoft IntelliType Pro\type32.exe

C:\Program Files\Microsoft IntelliPoint\point32.exe

C:\Norman\bin\ZLH.EXE

C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Program Files\E-Color\True Internet Color\TICIcon.exe

C:\Norman\Bin\Zanda.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\Norman\Nvc\BIN\NIP.EXE

C:\Norman\bin\NJEEVES.EXE

C:\Norman\Nvc\BIN\nipsvc.exe

C:\Norman\Nvc\BIN\NVCSCHED.EXE

C:\Norman\Nvc\bin\nvcoas.exe

C:\Norman\Nvc\bin\cclaw.exe

C:\WINDOWS\system32\notepad.exe

C:\Norman\bin\niu.exe

C:\Program Files\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll