OVH Cloud OVH Cloud

Fichier TFTP corrompu ?

5 réponses
Avatar
Augustin
Hello

A chacune des analyses du Poste de travail, Kaspersky signale dans
"Systeme32" les 2 fichiers :

\Systeme32\TFTP 4060 et ...TFTP 4060/PE patch, corrompus.

Or si je fais une recherche je vois bien un TFTP, mais qui semble
bien portant et pas de .../PE patch ?

Si quelqu'un pouvait me renseigner, je le remercie par avance...
--
Amical salut de A.FB

5 réponses

Avatar
JF
*Bonjour Augustin* !
news:%

| Hello
|
| A chacune des analyses du Poste de travail, Kaspersky signale dans
| "Systeme32" les 2 fichiers :
|
| Systeme32TFTP 4060 et ...TFTP 4060/PE patch, corrompus.
|
| Or si je fais une recherche je vois bien un TFTP, mais qui semble
| bien portant et pas de .../PE patch ?
|
| Si quelqu'un pouvait me renseigner, je le remercie par avance...

Je n'ai qu'un fichier TFTP ==>
C:WINDOWSsystem32tftp.exe
17 920 octets
Version 5.1.2600.0

Faire une vérification/réparation du disque.
Si le second fichier s'appelle bien "TFTP 4060/PE patch", il y a un
problème, car un slash dans un nom de fichier est illégal. C'est un procédé
couramment utilisé par les logiciels malfaisants pour se protéger.

Si Kapersky ne peut pas le mettre en quarantaine, il est sans doute
supprimable avec
www.gratilog.net/fichier1.htm#Unlocker

--
1- Salutations, Jean-François :o)
2- Index du site de PN : http://www.d2i.ch/pn/az
3- Montrez vos écrans : http://fspsa.free.fr/copiecran.htm
4- Outlook Express: Suivez vos fils avec [CTL+H]
Avatar
Jean-Claude BELLAMY
Dans le message :%,
Augustin a pris la peine d'écrire ce qui suit :
Hello

A chacune des analyses du Poste de travail, Kaspersky signale dans
"Systeme32" les 2 fichiers :

Systeme32TFTP 4060 et ...TFTP 4060/PE patch, corrompus.

Or si je fais une recherche je vois bien un TFTP, mais qui semble
bien portant et pas de .../PE patch ?

Si quelqu'un pouvait me renseigner, je le remercie par avance...


Hmmmmmm ....
Je n'aime pas çà du tout ! :-(


"TFTP.EXE" est un exécutable situé dans %systemroot%system32 (Version :
5.1.2600.0, 17920 octets), dont le nom est l'acronyme de
"Trivial File Transfer Protocol"

C'est une version "au rabais" de FTP, qui sert donc à transférer des
fichiers entre ordinateur.

Les grosses différences par rapport à FTP sont :
- TFTP est basé sur UDP (FTP est un protocole TCP)
- sert à transférer UN SEUL fichier à la fois
- ne nécessite pas d'authentification
- le n° de port est 69 (20 et 21 pour FTP)

C'est une application client/serveur, donc avec les 2 versions.
Sous XP, c'est uniquement l'appli cliente qui est fournie (TFTP.EXE)
Sous W2K ou W2K3 existe en plus l'application SERVEUR, qui est un service
(il fait partie de RIS = Remote Installation Services)

On l'utilise (pour ainsi dire) UNIQUEMENT pour des téléinstallations de
Windows (sur des PC ayant des cartes réseau bootables)
Le PC démarre (il n'a encore aucun OS installé) et boote sur la carte réseau
(protocle BOOTP)
Ce protocole, voisin de DHCP, fait une demande d'adresse IP (l'adresse d'un
serveur TFTP lui est communiqué également), puis effectue une requête de
fichier de bootstrap via TFTP. Ce fichier lui est envoyé, il est alors
chargé en mémoire et exécuté.
Ce fichier contient un programme d'installation de l'OS (W2K, XP, ..)


Mais en temps normal, le service TFTP est désactivé, pour des raisons
évidentes de sécurité.
D'ailleurs, Microsoft le préconise dans "Securing Your Network"
http://msdn.microsoft.com/library/default.asp?url=/library/en-us/dnnetsec/html/THCMCh15.asp

"Make sure that all unused services are disabled.
Also make sure that Trivial File Transfer Protocol
(TFTP) is disabled"

Certaines "cochonneriewares" utilisent TFTP pour transférer un programme
dangereux.
P.ex. c'est le cas de "BLASTER", hélas bien connu depuis 3 ans environ, qui
a pu infecter à distance n'importe quelle machine dès qu'elle se connectait
au réseau (J'ai vu personnellement une machine sous XP fraichement installée
et non patchée se faire infecter par Blaster en 30 secondes dès qu'elle fut
reliée à Internet!)
Ce virus pouvait apparaitre SANS avoir effectué le moindre téléchargement,
sans avoir ouvert la moindre pièce-jointe!

Principes :
De l'extérieur (serveurs du "pirate",...), il scanne les machines
connectées à Internet en classe C (cas de la plupart des
utilisateurs passant par un FAI) sur le port 135, et qui tournent
sous NT (NT4, W2K, XP, W2K3).
Une fois qu'il en a trouvé une, par génération d'un "buffer overflow"
dans DCOM RPC, il crée un remote shell (TCP port 4444) en
envoyant un bout de code vers cette machine et le fait exécuter,
lequel code va, depuis un serveur distant via TFTP (UDP port 69),
télécharger puis exécuter MSBLAST.EXE.

PS : Un "buffer overflow" consiste à appeler un programme
en lui transmettant en paramètres plus de données que le
programme n'a prévu. Si le programme n'a pas été prévu
pour tester la taille des données, cela va écraser en mémoire
une partie du code du programme en le remplaçant par du
code malveillant.

PPS : Microsoft a corrigé depuis cette faille de RPC.



Donc on voit le trou de sécurité causé par TFTP !!!
(A n'utiliser qu'à l'intérieur d'un LAN !)

Redonc ton fichier "TFTP 4060" , je ne le sens pas !!!!
Çà sens le virus à plein nez
A flinguer ...
Si la suppession ne peut pas se faire, vérifie le gestionnaire de tâches, il
est peut-être dedans.
(en espérant que son auteur ne soit pas suffisamment rusé pour avoir donné
un nom de service totaleemnt différent!)
Et si tu le trouves, tu le tues asn état d'âme.*
Et ensuite suppression du fichier, suppression des clefs y faisant référence
dans la BDR , ...


NB: si par suite d'une fausse manip tu viens à flinguer le VRAI fichier
"TFTP.EXE", ce n'est pas une catastrophe !
En effet, il ne sert réellement que pour une téléinstallationde l'OS depuis
un SERVEUR, ce qui est assez rare chez un particulier ! ;-)
Et au cas où tu en aurais réellement besoin, il se trouve sur le CD de
Windows.
Si "x" est la lettre du lecteur de CD , voici la commande pour le restaurer
:
expand x:i386tftp.ex_ %systemroot%system32tftp.exe


--
May the Force be with You!
La Connaissance s'accroît quand on la partage
----------------------------------------------------------
Jean-Claude BELLAMY [MVP]
http://www.bellamyjc.org ou http://jc.bellamy.free.fr

Avatar
Augustin
"Jean-Claude BELLAMY" a écrit dans le
message de news:

***/

Redonc ton fichier "TFTP 4060" , je ne le sens pas !!!!
Çà sens le virus à plein nez
A flinguer ...


Flingués sans problèmes. En fait j'avais 5 "TPTP.xxxx" plus l'exe.

Mais aucun disfonctionnement de mon système perceptible.

Au redémarrage du PC <TFTP.exe> se recrée automatiquement.

Je suppose que c'est parce qu'il est aussi présent en "cache.dll"

Comme je n'en ai pas l'emploi, pour le supprimer,
je suppose qu'il faut aussi supprimer celui du cache ?

Un grand merci JC.Bellamy. Merci aussi à JF.
--
Amical salut de A.FB

Avatar
Jean-Claude BELLAMY
Dans le message :%,
Augustin a pris la peine d'écrire ce qui suit :
"Jean-Claude BELLAMY" a écrit dans le
message de news:

***/

Redonc ton fichier "TFTP 4060" , je ne le sens pas !!!!
Çà sens le virus à plein nez
A flinguer ...


Flingués sans problèmes. En fait j'avais 5 "TPTP.xxxx" plus l'exe.
Mais aucun disfonctionnement de mon système perceptible.
Tant mieux pour toi.

Il est fort possible que le coupe-feu de X a bien fait son boulot ! ;-)


Au redémarrage du PC <TFTP.exe> se recrée automatiquement.
Je suppose que c'est parce qu'il est aussi présent en "cache.dll"
EXACT

(mais tu veux parler, je présume, de "dllcache", situé dans
%systemroot%system32 !)


Comme je n'en ai pas l'emploi, pour le supprimer,
je suppose qu'il faut aussi supprimer celui du cache ?
OUI


--
May the Force be with You!
La Connaissance s'accroît quand on la partage
----------------------------------------------------------
Jean-Claude BELLAMY [MVP]
http://www.bellamyjc.org ou http://jc.bellamy.free.fr


Avatar
Augustin
"Jean-Claude BELLAMY" a écrit dans le
message de news:%

EXACT
(mais tu veux parler, je présume, de "dllcache", situé dans
%systemroot%system32 !)


Lapsus clavieruscum ;-)

Il est aussi dans"WindowsSystem32dllcache"...

Encore merci.
--
Salut amical. A.FB