service XP dangeureux ?
Le
Az Sam
[Suivi sur fr.compsecurite.virus en abscence d'autres infos plus precises.]
Bonjour,
j'ai decouvert que j'avais un service XP anomral. Son nom est CBDZMCVQG.
avec pour executable :
C:\DOCUME~1\"nom-utilisateur\LOCALS~1\Temp\CBDZMCVQG.exe
Ce service est parametre en "manuel" et n'est apparement pas demarré.
J'ai vidé le temp, puis meme supprimmer et recreer le repertoire.
Parralellement,(mais est ce lie?) j'ai decouvert un repertoire C:\Documents
and Settings\All Users.WINDOWS\DRM la liste des fichiers suivante:
http://cjoint.com/?hehrCfsa1d
J'ai tente Rootkit Revealer il me donne :
HKLM\SYSTEM\ControlSet002\Services\d347prt\Cfg\0Jf40 03/07/2006 22:38 0
bytes Hidden from Windows API.
J'ai tente BlackLight, il me donne 2 fichiers du style :
c:/kjhgsdytaqnbnxpoiu
je les coches pour renommage mais au reboot suivant ils sont toujours la et
je ne les vois nulle part.
Hier je suis passe par le registe pour essayer de virer ce service :
- 2clefs ont refuse de s'effacees : "erreur d'ecriture", idem en mode sans
echec.
- 2 autres clefs on pu etre supprimees mais au reboot suivant, le service
avait disparu et etait remplace par 2 nouveaux , l'un avec un nom proche du
1er (suite de lettre) et pointant un .exe dans le meme rep et l'autre
s'appellant ZA pointant toujours vers un hypothetique ZA.exe dans le meme
rep temporaire de l'utilisateur.
-Bien entendu Avast ne voit rien
-Spybot ne voit rien non plus.
-Ewido ne voit rien que quelques cookies.
-AdAware SE ne trouve rien non plus.
-SmitFraudFix ne trouve rien non plus.
-HiJackThis 1.99.1 voit ceci :
O23 - Service: CBDZMCVQG - Unknown owner -
C:\DOCUME~1\brutus\LOCALS~1\Temp\CBDZMCVQG.exe (file missing)
tout le reste je le connais et sais l'epliquer.
+ Si je coche ce service , HiJackThis le passe en desactivé.
-Le module ADS spy de hijackthis trouve cela :
C:\Program Files\Fichiers communs\Microsoft Shared : X4DHUAHknRYfB16uJRjK
(1027 bytes)
C:\Program Files\Fichiers communs\Microsoft Shared : X4DHUAHknRYfB16uJRjK
(1027 bytes)
C:\Program Files\WindowsUpdate : RONGrmuixCxlE6Tyn9ov (891 bytes)
C:\Program Files\WindowsUpdate : XzDvHeut5hyRuFGROmPnB8ARt4 (1086 bytes)
C:\Program Files\WindowsUpdate : RONGrmuixCxlE6Tyn9ov (891 bytes)
C:\Program Files\WindowsUpdate : XzDvHeut5hyRuFGROmPnB8ARt4 (1086 bytes)
(note :Ces noms ressemblent a ceux trouve par Black Light sans pourtant etre
les memes.)
Apres suppression et reboot ils n'aparaissent plus dans ADS Spy et
BlackLight ne trouve plus rien.
Rootkit revealer annonce toujours le meme resultat (je pense que ce 347prt
c'est DaemonTools)
Par contre le service lui est toujours la (désactivé a defaut de mieux).
Je ne sais plus ou chercher.
A votre avis que puis je faire d'autre ? je n'ai guere d'elements pour faire
un recherche Internet.
Merci.
--
Cordialement,
Az Sam.
Bonjour,
j'ai decouvert que j'avais un service XP anomral. Son nom est CBDZMCVQG.
avec pour executable :
C:\DOCUME~1\"nom-utilisateur\LOCALS~1\Temp\CBDZMCVQG.exe
Ce service est parametre en "manuel" et n'est apparement pas demarré.
J'ai vidé le temp, puis meme supprimmer et recreer le repertoire.
Parralellement,(mais est ce lie?) j'ai decouvert un repertoire C:\Documents
and Settings\All Users.WINDOWS\DRM la liste des fichiers suivante:
http://cjoint.com/?hehrCfsa1d
J'ai tente Rootkit Revealer il me donne :
HKLM\SYSTEM\ControlSet002\Services\d347prt\Cfg\0Jf40 03/07/2006 22:38 0
bytes Hidden from Windows API.
J'ai tente BlackLight, il me donne 2 fichiers du style :
c:/kjhgsdytaqnbnxpoiu
je les coches pour renommage mais au reboot suivant ils sont toujours la et
je ne les vois nulle part.
Hier je suis passe par le registe pour essayer de virer ce service :
- 2clefs ont refuse de s'effacees : "erreur d'ecriture", idem en mode sans
echec.
- 2 autres clefs on pu etre supprimees mais au reboot suivant, le service
avait disparu et etait remplace par 2 nouveaux , l'un avec un nom proche du
1er (suite de lettre) et pointant un .exe dans le meme rep et l'autre
s'appellant ZA pointant toujours vers un hypothetique ZA.exe dans le meme
rep temporaire de l'utilisateur.
-Bien entendu Avast ne voit rien
-Spybot ne voit rien non plus.
-Ewido ne voit rien que quelques cookies.
-AdAware SE ne trouve rien non plus.
-SmitFraudFix ne trouve rien non plus.
-HiJackThis 1.99.1 voit ceci :
O23 - Service: CBDZMCVQG - Unknown owner -
C:\DOCUME~1\brutus\LOCALS~1\Temp\CBDZMCVQG.exe (file missing)
tout le reste je le connais et sais l'epliquer.
+ Si je coche ce service , HiJackThis le passe en desactivé.
-Le module ADS spy de hijackthis trouve cela :
C:\Program Files\Fichiers communs\Microsoft Shared : X4DHUAHknRYfB16uJRjK
(1027 bytes)
C:\Program Files\Fichiers communs\Microsoft Shared : X4DHUAHknRYfB16uJRjK
(1027 bytes)
C:\Program Files\WindowsUpdate : RONGrmuixCxlE6Tyn9ov (891 bytes)
C:\Program Files\WindowsUpdate : XzDvHeut5hyRuFGROmPnB8ARt4 (1086 bytes)
C:\Program Files\WindowsUpdate : RONGrmuixCxlE6Tyn9ov (891 bytes)
C:\Program Files\WindowsUpdate : XzDvHeut5hyRuFGROmPnB8ARt4 (1086 bytes)
(note :Ces noms ressemblent a ceux trouve par Black Light sans pourtant etre
les memes.)
Apres suppression et reboot ils n'aparaissent plus dans ADS Spy et
BlackLight ne trouve plus rien.
Rootkit revealer annonce toujours le meme resultat (je pense que ce 347prt
c'est DaemonTools)
Par contre le service lui est toujours la (désactivé a defaut de mieux).
Je ne sais plus ou chercher.
A votre avis que puis je faire d'autre ? je n'ai guere d'elements pour faire
un recherche Internet.
Merci.
--
Cordialement,
Az Sam.
Poser une question
Comme ça, sans réfléchir : passer à linux ?
:)
messages suivant:
As-tu gardé une copie du fichier histoire de la passer à l'antivirus voir le
refiler à ton éditeur préféré pour voi ce qu'il en pense ?
C'est-y pas la zone de stockage des trucs genre licences/certificats DRM ?
Traduction probable : t'as installé un Daemontool v3.x sur ton PC ..ou est
le pb ? tu l'as pas fait exprés ?
As-tu passé un bon coup de chkdsk /f sur ton DD ?
T'as pas encore regardé avec ça http://www.resplendence.com/hookanalyzer si
il te donne qq infos en plus ?
As-t uvérifié les permissions ? sinon, vérifié avec ça
http://www.sysinternals.com/Utiliti...lNull.html si c'est une blague
..comme décris sur la page en question ( j'vais pas faire un copier-coller
de tout hein ... )
Tu doit avoir une belle saloperie sur ta machine ...
Récupére SYSCLEAN chez Trendmicro et scan avec , en mode sans echec.
As-t uregardé en mode sans echec ? parceque si tu commence àpenser RootKit
...insiste pas en mode normal, tu vera rien, passe en mdoe sans echec ou
mieux, boot avec un CD genre Bart-PE ou démonte ton disque et met-le dans un
autre PC "propre" , pas la peine d'insister à scanner de l'intérieur un
systeme sérieusement compromis.
Connais pos
Il voit pas grand chose lui à part les cookies ...
Connais po
Repére un maximum de nom /localisations de fichiers, et scan ton disque
depuis un autre systeme ( tu boot sur un CD ou tu met ton DD dans un boitier
USB que tu colle sur un PC sain.
là, tu aura plus de chance de voir un peu ce qui ce passe dedans sans que
la/les saloperies te fassent tourner en bourique en restant actif et en
détournant tes softs de controle.
non, quand je suis alle dans le rep je n'ai rien trouve, en Mode Sans Echec
non plus.
oui je pense, maus comme ce service ressamble a un rootkit, je m'interroge.
Je ne sais pas qui a cree ce rep DRM, je n'ecoute pas de musique, peut etre
un jeu....
oui ca ca me semble ok. :-)
je connais pas, je vais voir ca.
J'ai essayer en admin et en mse dans le registre pour le nettoyer.
sans doute, et en meme temps elle fonctionne tres bien..
ok je vais essaye. J'ai passe un scan en ligne de Kaspersky (4h50 !), rien
machine clean dit il.
oui j'ai fait en mse avec les applis qui le permettent . Blacklight par
exemple refuse.. (Rootkit revealer aussi je crois)
j'ai un systeme de secours, clean sur une autre partition d'un autre disque.
les fichiers n'apparaissent pas plus, et depuis la je ne peux entrer dans le
registre du systeme1 donc pas moyen de virer le service.
ben j'ai tout dit, j'ai pas encore d'autres infos que ces noms de fichiers
tarabiscotes.
Bon je vais essayer les 3 trucs que tu me proposes deja.
Merci :-)
--
Cordialement,
Az Sam.
je reviens sur tout cela.
Avec sysclean, rien trouve (plus rapide que Kasper quand meme (3h30, ouf)
RegDellNull me trouve 2 clef avec un "* "que Rootkit analyser me trouvait
deja:
HKLMSOFTWAREAPSoftCustomDMIScope1.00.006*õÜv 01/09/2005 21:21 0 bytes
Key name contains embedded nulls (*)
HKLMSOFTWAREMicrosoftWindowsCurrentVersionSystem* 30/10/2005 08:37 0
bytes Key name contains embedded nulls (*)
je ne pense pas y toucher. Dmiscope est un programme que j'ai installe
la clef windows, dans le doute je m'abstiens. :-/
Si quelqu'un peut me confirmer a quoi elle sert ou a quoi elle ne sert pas
.. :-)
Par contre avec RootKit Hook Analyser j'ai trouver un module qui est charge,
il a une adresse memoire, et une taille mais pas de nom.
pour le voir je l'ai renomme "ckoi" : http://cjoint.com/?hfqMPlj3oU
Malheureusement le renomage dans l'appli ne renomme pas en realite le
fichier. Donc je ne le trouve pas.
Sinon, concernant le service CBDZMCVQG et les clefs de registre, j'ai
utilise la fonction "supprimmer un service NT" de HJT et tout a disparu.
Mais du coup je n'ai rien identifie de precis, il reste peut etre des
cochonneries quelque part.
Si je peux trouver qui est ce driver sans nom qui est charge des le
demarrage, ce sera deja pas mal.
--
Cordialement,
Az Sam.
messages suivant:
OK
Si t'es sur de ton copier-coller, il n'y a pas de sous-clef "system" dans
la clef suivante sur un XP standard..
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion
Là, je sêche ...
Jette un coup d'oeuil avec Autoruns de SysInternals ..mais sans trop
d'espoir toutefois.
--
@+
Ascadix
adresse @mail valide, mais ajoutez "sesame" dans l'objet pour que ça arrive.