*demande avis sur message erreur*

Dans le message news:eJN6TknqFHA.2064@TK2MSFTNGP09.phx.gbl,
Daniel92 <QuelleGalere@ole6news.fr>a écrit:
http://97178.www2.ninoa.com/*********

==> Dans le doute ne pas essayer la référence indiquée
qui propose un téléchargement !

Bah, j'ai essayé, c'est plus fort que moi.

Trojan-Downloader.JS.Psyme.bi
:-)
--
Tsilefy

Dans le message news:eJN6TknqFHA.2064@TK2MSFTNGP09.phx.gbl,
Daniel92 <QuelleGalere@ole6news.fr>a écrit:

*Bonsoir*

Cette erreur d'Observateur d'événements :

Type de l'événement : Informations
Source de l'événement : ITSS
Catégorie de l'événement : Aucun
ID de l'événement : 1
Date : 26/08/2005
Heure : 08:17:02
Utilisateur : N/A
Ordinateur : NRFLWRSWSCB6BGJ
Description :
La description pour l'ID d'événement ( 1 ) dans la source (ITSS)
est introuvable. L'ordinateur local n'a peut-être pas les informations
de Registre ou les librairies requises pour afficher les messages
émanant d'un ordinateur distant. Vous pourrez peut-être utiliser
l'option /AUXSOURCE= pour récupérer cette description.
Reportez-vous aux rubriques Aide et support pour plus de détails.
Les informations suivantes font partie de l'événement :
mhtml:file://C:cust200cust.mht!http://97178.www2.ninoa.com/eied_s7.chm;
http://go.microsoft.com/fwlink?LinkIDE834.

==> Dans le doute ne pas essayer la référence indiquée
qui propose un téléchargement !


* Le résultat de la seule piste qui m'a donné un résultat :

http://koti.mbnet.fi/pattaya1/testitulokset_18082005.htm
Copyright © 2005 Nimimerkki Ad-Aware
eied_s7_165.cab X X X X Trojan-Downloader.Win32.Mediket.at

ce qui me fait aboutir sur :

http://www.viruslist.com/fr/viruses/encyclopedia?virusid‡504
Trojan-Downloader.Win32.Mediket.at
Date de détection 13 jul 2005
Comportement Trojan-Downloader, cheval de Troie téléchargeur
Pour le moment aucune description n'est disponible.

** Pas d'activité parasite détectée , les Anti-machin
locaux ne donne rien , Pas de trace dans le Registre.
Je fais l'hypothèse, si c'est bien un Trojan,
qu'il n'a pas pu s'installer correctement ?

Si vous avez des idées pour que je fasse
des vérifications complèmentaires ?

Merci par avance,
Cordialement,
:O)
Daniel.
===
Mon humble opinion de non expert et à première vue :

itss.dll est un dll de windows qui semble être partie prenante de la prise
en charge des fichiers en html compilé(lus par hh.exe). N'as- tu pas eu ce
fichier C://cust200cust.mht, qui ferait un appel à un site distant - à
l'exemple du *.chm proposé par le lien que tu donnes, qui comporte du code
vbscript profitant d'une faille d'IE pour télécharger un exécutable sur un
site distant, l'enregistrer sur le disque et le lancer
(http://vil.nai.com/vil/content/v_100749.htm). Donc, le trojan n'est pas
encore installé ni même téléchargé, seul le fichier en html compilé est
(était ?) présent, et a essayé (en vain ?) de récupérer le trojan sur le
site.
--
Tsilefy

Bonjour *Daniel92* :

*Bonsoir*

Cette erreur d'Observateur d'événements :

Type de l'événement : Informations
Source de l'événement : ITSS
Catégorie de l'événement : Aucun
ID de l'événement : 1
Date : 26/08/2005
Heure : 08:17:02
Utilisateur : N/A
Ordinateur : NRFLWRSWSCB6BGJ
Description :
La description pour l'ID d'événement ( 1 ) dans la source (ITSS)
est introuvable. L'ordinateur local n'a peut-être pas les informations
de Registre ou les librairies requises pour afficher les messages
émanant d'un ordinateur distant. Vous pourrez peut-être utiliser
l'option /AUXSOURCE= pour récupérer cette description.
Reportez-vous aux rubriques Aide et support pour plus de détails.
Les informations suivantes font partie de l'événement :
mhtml:file://C:cust200cust.mht!http://97178.www2.ninoa.com/eied_s7.chm; http://go.microsoft.com/fwlink?LinkIDE834.

==> Dans le doute ne pas essayer la référence indiquée
qui propose un téléchargement !

* Le résultat de la seule piste qui m'a donné un résultat :

http://koti.mbnet.fi/pattaya1/testitulokset_18082005.htm
Copyright © 2005 Nimimerkki Ad-Aware
eied_s7_165.cab X X X X Trojan-Downloader.Win32.Mediket.at

ce qui me fait aboutir sur :

http://www.viruslist.com/fr/viruses/encyclopedia?virusid‡504
Trojan-Downloader.Win32.Mediket.at
Date de détection 13 jul 2005
Comportement Trojan-Downloader, cheval de Troie téléchargeur
Pour le moment aucune description n'est disponible.

** Pas d'activité parasite détectée , les Anti-machin
locaux ne donne rien , Pas de trace dans le Registre.
Je fais l'hypothèse, si c'est bien un Trojan,
qu'il n'a pas pu s'installer correctement ?

Si vous avez des idées pour que je fasse
des vérifications complèmentaires ?

Merci par avance,
Cordialement,
:O)
Daniel.
===
Pas grand chose avec Google...

Fait un scan avec HijackThis et je vais voir.
(lentement : j'ai celui de Francis à compléter et je suis au ralenti ...)

Ne serait-ce pas un truc attrapé au cours des expériences Ftp... ???

Pour ce qui est du message :

La description pour l'ID d'événement ( 1 ) dans la source (ITSS)
est introuvable. L'ordinateur local n'a peut-être pas les informations
de Registre ou les librairies requises pour afficher les messages
émanant d'un ordinateur distant. Vous pourrez peut-être utiliser
l'option /AUXSOURCE= pour récupérer cette description.

Cela se produit lorsque le programme ne possède aucune liste de messages
d'erreurs à utiliser pour les journaux .

A+

:)

--
Claude LaFrenière :-{ )
http://viadresse.com?39135017
«My Principal Design Was To Inform, Not To Amuse Thee.»
Lemuel Gulliver, The Travels (IV:12)

Bonsoir à tous :-D
Sur son post :eyaXjxnqFHA.3352@TK2MSFTNGP14.phx.gbl,
Tsilefy <rakoto.tsilefy(@ouanadoo.fr)> nous écrit:

Dans le message news:eJN6TknqFHA.2064@TK2MSFTNGP09.phx.gbl,
Daniel92 <QuelleGalere@ole6news.fr>a écrit:
http://97178.www2.ninoa.com/*********

==> Dans le doute ne pas essayer la référence indiquée
qui propose un téléchargement !

Bah, j'ai essayé, c'est plus fort que moi.

Trojan-Downloader.JS.Psyme.bi

ce qui donnerait---» si cela peut vous aider :o) en 1 ligne http://www.trendmicro.com/vinfo/virusencyclo/default2.asp?m=q&virus=JS%2EPsyme%2Ebi&alt=Psyme%2Ebi
--
« De la discussion , jaillit la lumière ...»
Cdlt@+ à tous :-D

Hello !

** Merci à tous les trois de vous être penché
sur le pb. Tsilefy et j@ckie , je suis aussi les
pistes que vous m'avez indiquées.

*Claude LaFrenière* écrit dans :
http://groups.google.com/groups?threadm=eJN6TknqFHA.2064%40TK2MSFTNGP09.phx.gbl

: Bonjour *Daniel92* :
:
: > *Bonsoir*
: >
: > Cette erreur d'Observateur d'événements :
: >
: > Type de l'événement : Informations
: > Source de l'événement : ITSS
: > Catégorie de l'événement : Aucun
: > ID de l'événement : 1
: > Date : 26/08/2005
: > Heure : 08:17:02
: > Utilisateur : N/A
: > Ordinateur : NRFLWRSWSCB6BGJ
: > Description :
: > La description pour l'ID d'événement ( 1 ) dans la source (ITSS)
: > est introuvable. L'ordinateur local n'a peut-être pas les informations
: > de Registre ou les librairies requises pour afficher les messages
: > émanant d'un ordinateur distant. Vous pourrez peut-être utiliser
: > l'option /AUXSOURCE= pour récupérer cette description.
: > Reportez-vous aux rubriques Aide et support pour plus de détails.
: > Les informations suivantes font partie de l'événement :
: > mhtml:file://C:cust200cust.mht!http://97178.www2.ninoa.com/eied_s7.chm; http://go.microsoft.com/fwlink?LinkIDE834.
: >
: > ==> Dans le doute ne pas essayer la référence indiquée
: > qui propose un téléchargement !
: >
: > * Le résultat de la seule piste qui m'a donné un résultat :
: >
: > http://koti.mbnet.fi/pattaya1/testitulokset_18082005.htm
: > Copyright © 2005 Nimimerkki Ad-Aware
: > eied_s7_165.cab X X X X Trojan-Downloader.Win32.Mediket.at
: >
: > ce qui me fait aboutir sur :
: >
: > http://www.viruslist.com/fr/viruses/encyclopedia?virusid‡504
: > Trojan-Downloader.Win32.Mediket.at
: > Date de détection 13 jul 2005
: > Comportement Trojan-Downloader, cheval de Troie téléchargeur
: > Pour le moment aucune description n'est disponible.
: >
: > ** Pas d'activité parasite détectée , les Anti-machin
: > locaux ne donnent rien , Pas de trace dans le Registre.
: > Je fais l'hypothèse, si c'est bien un Trojan,
: > qu'il n'a pas pu s'installer correctement ?
: >
: > Si vous avez des idées pour que je fasse
: > des vérifications complèmentaires ?
: >
: > Merci par avance,
: > Cordialement,
: > :O)
: > Daniel.
: > ===

: Pas grand chose avec Google...
:
: Fait un scan avec HijackThis et je vais voir.
: (lentement : j'ai celui de Francis à compléter et je suis au ralenti ...)

** N'y perds pas trop de temps, Claude, il n' y a pas grand
chose sur le Net ... Cela semble être un malware récent.

HijackThis ne m'avait rien d'indiqué d'apparent; peut-être
une dll ou un exe qui a été modifié ?

Il n'est pas sûr que "l'appelant" soit toujours présent
sur mon PC , j'étais après vérif dans mes historiques
en pleine navigation à ce moment là.

: Ne serait-ce pas un truc attrapé au cours des expériences Ftp... ???

** Impossible à savoir , j'ai fait tellement de truc depuis hier.
mais le log du FTP ne m'indique que vos deux passages.
Où alors c'est l'ouverutre du Port 21 qui provoque une
faiblesse ?


: Pour ce qui est du message :
:
: > La description pour l'ID d'événement ( 1 ) dans la source (ITSS)
: > est introuvable. L'ordinateur local n'a peut-être pas les informations
: > de Registre ou les librairies requises pour afficher les messages
: > émanant d'un ordinateur distant. Vous pourrez peut-être utiliser
: > l'option /AUXSOURCE= pour récupérer cette description.
:
: Cela se produit lorsque le programme ne possède aucune liste de messages
: d'erreurs à utiliser pour les journaux .
: :)

** Donc cela explique la deuxième partie du message.

A+
:O)
Daniel.
====

Sur son post :uSqMIwoqFHA.332@tk2msftngp13.phx.gbl,
Daniel92 <QuelleGalere@ole6news.fr> nous écrit:

** N'y perds pas trop de temps, Claude, il n' y a pas grand
chose sur le Net ... Cela semble être un malware récent.

HijackThis ne m'avait rien d'indiqué d'apparent; peut-être
une dll ou un exe qui a été modifié ?

Il n'est pas sûr que "l'appelant" soit toujours présent
sur mon PC , j'étais après vérif dans mes historiques
en pleine navigation à ce moment là.

Ne serait-ce pas un truc attrapé au cours des expériences Ftp... ???

** Impossible à savoir , j'ai fait tellement de truc depuis hier.
mais le log du FTP ne m'indique que vos deux passages.
Où alors c'est l'ouverutre du Port 21 qui provoque une
faiblesse ?

Sur l'onglet interne, il est précisé un indice important :o)

«Description:
This malicious VBScript downloads a malicious file from a certain Web site.
It saves the downloaded file as the following:
C:Windowswinini.exe *It is executed whenever a user visits a certain Web
site* ».
donc--» je pense que cela sera activé qd tu afficheras une certaine page web
= bombe à retardement splashhhhhhhhhhhh ;-(
--
« De la discussion , jaillit la lumière ...»
Cdlt@+ à tous :-D

Bonjour *Daniel92* :

** N'y perds pas trop de temps, Claude, il n' y a pas grand
chose sur le Net ... Cela semble être un malware récent.

HijackThis ne m'avait rien d'indiqué d'apparent; peut-être
une dll ou un exe qui a été modifié ?

Il n'est pas sûr que "l'appelant" soit toujours présent
sur mon PC , j'étais après vérif dans mes historiques
en pleine navigation à ce moment là.

Au cas :

TrendMicro : désactive ton AV avant de l'utiliser sinon il y aura un
false positive et il ne sera pas possible de l'utiliser.

Le "sysclean":
http://www.trendmicro.com/download/dcs.asp
+
les définitions de virus :
http://www.trendmicro.com/download/pattern.asp

Placer ces 2 trucs dans le même dossier et lancer.

: Ne serait-ce pas un truc attrapé au cours des expériences Ftp... ???

** Impossible à savoir , j'ai fait tellement de truc depuis hier.
mais le log du FTP ne m'indique que vos deux passages.
Où alors c'est l'ouverutre du Port 21 qui provoque une
faiblesse ?

Assure-toi que ton Pare-feu ne laisse rien sortir de suspect.

Probablement une fausse alerte.

Tiens-nous au courant.

Bon WE.

:)

--
Claude LaFrenière :-{ )
http://viadresse.com?39135017
«My Principal Design Was To Inform, Not To Amuse Thee.»
Lemuel Gulliver, The Travels (IV:12)

Hello ! ,

J'ai été obligé d'aller rechercher vos messages sur le
Compte news.wanadoo.fr , car ... ils n'apparaissent ... pas,
chez moi , sur le Compte msnews.microsoft.com ...


: > ... [...] ...
: > ** Impossible à savoir , j'ai fait tellement de truc depuis hier.
: > mais le log du FTP ne m'indique que vos deux passages.
: > Où alors c'est l'ouverutre du Port 21 qui provoque une
: > faiblesse ?

: Sur l'onglet interne, il est précisé un indice important :o)
: «Description:
: This malicious VBScript downloads a malicious file from a certain Web site.
: It saves the downloaded file as the following:
: C:Windowswinini.exe *It is executed whenever a user visits a certain Web
: site* ».
: donc--» je pense que cela sera activé qd tu afficheras une certaine page web
: = bombe à retardement splashhhhhhhhhhhh ;-(

** Je vais aller le surveiller celui là ... pas trouvé pour l'instant sur
mon PC . Merci pour l'info.


*Claude LaFrenière* écrit:

: Bonjour *Daniel92* :
: >
: > ** N'y perds pas trop de temps, Claude, il n' y a pas grand
: > chose sur le Net ... Cela semble être un malware récent.
: >
: > HijackThis ne m'avait rien d'indiqué d'apparent; peut-être
: > une dll ou un exe qui a été modifié ?
: >
: > Il n'est pas sûr que "l'appelant" soit toujours présent
: > sur mon PC , j'étais après vérif dans mes historiques
: > en pleine navigation à ce moment là.

: Au cas :
:
: TrendMicro : désactive ton AV avant de l'utiliser sinon il y aura un
: false positive et il ne sera pas possible de l'utiliser.
:
: Le "sysclean":
: http://www.trendmicro.com/download/dcs.asp
: +
: les définitions de virus :
: http://www.trendmicro.com/download/pattern.asp
:
: Placer ces 2 trucs dans le même dossier et lancer.

** J'essaye .

: >: Ne serait-ce pas un truc attrapé au cours des expériences Ftp... ???
: >
: > ** Impossible à savoir , j'ai fait tellement de truc depuis hier.
: > mais le log du FTP ne m'indique que vos deux passages.
: > Où alors c'est l'ouverutre du Port 21 qui provoque une
: > faiblesse ?

: Assure-toi que ton Pare-feu ne laisse rien sortir de suspect.

** Je vais réactiver le log du pare-feu de XP (SP1a) .
Actuellement je n'ai d'ouvert que :
- 62625 et 62626 (TCP) pour le Ftp de JacK
- 21 (TCP) pour le FTP .

: Probablement une fausse alerte.

** Je le pense ... et puis on en a vu tellement d'autre.
reste le risque Bombe à retardement? on verra bien.


** Je t'avoue Claude que je commence, comme toi,
... à fatiguer. Une journée d'intéressante sur les FTP
suivi de une journée-et-demie d' Analyse d'Erreurs ,
... et c'est comme cela depuis que j'ai démarré le PC ...


: Tiens-nous au courant.
: Bon WE.
: :)

** À toi z' également.

Cordialement,
:O)
Daniel.
====

Bonjour *Daniel92* :

Hello ! ,

J'ai été obligé d'aller rechercher vos messages sur le
Compte news.wanadoo.fr , car ... ils n'apparaissent ... pas,
chez moi , sur le Compte msnews.microsoft.com ...

:> ... [...] ...
:> ** Impossible à savoir , j'ai fait tellement de truc depuis hier.
:> mais le log du FTP ne m'indique que vos deux passages.
:> Où alors c'est l'ouverutre du Port 21 qui provoque une
:> faiblesse ?

: Sur l'onglet interne, il est précisé un indice important :o)
: «Description:
: This malicious VBScript downloads a malicious file from a certain Web site.
: It saves the downloaded file as the following:
: C:Windowswinini.exe *It is executed whenever a user visits a certain Web
: site* ».
: donc--» je pense que cela sera activé qd tu afficheras une certaine page web
: = bombe à retardement splashhhhhhhhhhhh ;-(

** Je vais aller le surveiller celui là ... pas trouvé pour l'instant sur
mon PC . Merci pour l'info.

*Claude LaFrenière* écrit:

: Bonjour *Daniel92* :
:>
:> ** N'y perds pas trop de temps, Claude, il n' y a pas grand
:> chose sur le Net ... Cela semble être un malware récent.
:>
:> HijackThis ne m'avait rien d'indiqué d'apparent; peut-être
:> une dll ou un exe qui a été modifié ?
:>
:> Il n'est pas sûr que "l'appelant" soit toujours présent
:> sur mon PC , j'étais après vérif dans mes historiques
:> en pleine navigation à ce moment là.

: Au cas :
:
: TrendMicro : désactive ton AV avant de l'utiliser sinon il y aura un
: false positive et il ne sera pas possible de l'utiliser.
:
: Le "sysclean":
: http://www.trendmicro.com/download/dcs.asp
: +
: les définitions de virus :
: http://www.trendmicro.com/download/pattern.asp
:
: Placer ces 2 trucs dans le même dossier et lancer.

** J'essaye .

:>: Ne serait-ce pas un truc attrapé au cours des expériences Ftp... ???
:>
:> ** Impossible à savoir , j'ai fait tellement de truc depuis hier.
:> mais le log du FTP ne m'indique que vos deux passages.
:> Où alors c'est l'ouverutre du Port 21 qui provoque une
:> faiblesse ?

: Assure-toi que ton Pare-feu ne laisse rien sortir de suspect.

** Je vais réactiver le log du pare-feu de XP (SP1a) .
Actuellement je n'ai d'ouvert que :
- 62625 et 62626 (TCP) pour le Ftp de JacK
- 21 (TCP) pour le FTP .

: Probablement une fausse alerte.

** Je le pense ... et puis on en a vu tellement d'autre.
reste le risque Bombe à retardement? on verra bien.

** Je t'avoue Claude que je commence, comme toi,
... à fatiguer. Une journée d'intéressante sur les FTP
suivi de une journée-et-demie d' Analyse d'Erreurs ,
... et c'est comme cela depuis que j'ai démarré le PC ...

: Tiens-nous au courant.
: Bon WE.
: :)

** À toi z' également.

Cordialement,
:O)
Daniel.
===
Tu n'est pas le seul .

Voir là:
http://groups.google.ca/group/microsoft.public.fr.windowsxp/browse_frm/thread/1ff2b074aad46300/bf8a7c04145980e2?hl=fr#bf8a7c04145980e2
http://groups.google.ca/group/microsoft.public.fr.windowsxp/browse_frm/thread/ae5c95ac655e61fa/08dac11919001d89?hl=fr#08dac11919001d89

Si le problème se pose entre mon PC et le serveur de news MS
et
si le problème ne se pose pas entre mon PC et le serveur de news de mon FAI
et
pour les mêmes posts
alors le problème est du côté du serveur de news de MS...
or c'est le cas
donc les serveurs de news de MS sont :

Même pas capables de traiter les requêtes du protocole NNTP correctement.

Quod Erat Demonstratum.

:)
--
Claude LaFrenière :-{ )
http://viadresse.com?39135017
«My Principal Design Was To Inform, Not To Amuse Thee.»
Lemuel Gulliver, The Travels (IV:12)

: Quod Erat Demonstratum.
: :)

** Je pense que je vais aussi laisser tomber l'analyse et
la remonté de bug ... j'y perds trop de temps, voir ici :
http://groups.google.com/groups?threadm=uccupCiqFHA.3060%40TK2MSFTNGP09.phx.gbl


Cordialement,
:O)
Daniel.
====