J'ai une machine sous Windows XP Home SP3 qui me pose problème. Son
comportement me laisse penser qu'un programme malveillant s'y trouve,
mais je ne parviens pas à trouver.
Je rentre un peu plus dans les détails. Ce qui me fait penser que cette
machine est infectée est qu'elle envoie, par "campagnes régulières", des
broadcast sur le réseau. Extrait de ma capture Wireshark :
Broadcast ARP Who has 172.16.xx.yy? Tell 172.16.123.123
ou xx.yy s'incrémente par unité. Les broadcast d'une même "campagne"
sont de l'ordre de 10 toutes les secondes.
L'anti-virus de Secuser en ligne ne trouve rien, Clamwin non plus,
Spybot non plus.
Je n'ai rien dans le menu "démarrage", rien d'anormal il me semble dans
les sections "Run" de la base de registre, rien derrière "Userinit" dans
la base de registre, ...
***********************************************
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 10:10:51, on 05/08/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal
"Michael DENIS" a écrit dans le message de news: 4a7a72c6$0$3604$
Avant la première ligne de broadcast, je n'ai pas. Mais je peux refaire car cela va recommencer. Pour le broadcast, il me fait bien toutes les ip de 172.16.0.1 à 172.16.255.254.
Pas mal de choses. Autres machines, avec autres OS ou pas, serveurs, copieurs, ...
parce qu'il peut tout simplement chercher un serveur de temps ou une imprimante.
-- Cordialement, Az Sam.
"Michael DENIS" <news-mDEL@DEL2nis.net.invalid> a écrit dans le message de news:
4a7a72c6$0$3604$426a74cc@news.free.fr...
Avant la première ligne de broadcast, je n'ai pas. Mais je peux refaire
car cela va recommencer. Pour le broadcast, il me fait bien toutes les
ip de 172.16.0.1 à 172.16.255.254.
Pas mal de choses. Autres machines, avec autres OS ou pas, serveurs,
copieurs, ...
parce qu'il peut tout simplement chercher un serveur de temps ou une imprimante.
"Michael DENIS" a écrit dans le message de news: 4a7a72c6$0$3604$
Avant la première ligne de broadcast, je n'ai pas. Mais je peux refaire car cela va recommencer. Pour le broadcast, il me fait bien toutes les ip de 172.16.0.1 à 172.16.255.254.
Pas mal de choses. Autres machines, avec autres OS ou pas, serveurs, copieurs, ...
parce qu'il peut tout simplement chercher un serveur de temps ou une imprimante.
-- Cordialement, Az Sam.
Michael DENIS
Az Sam a écrit :
parce qu'il peut tout simplement chercher un serveur de temps ou une imprimante.
Le serveur de temps est local et inscrit "en dur" par son ip dans les paramètres de Windows. Pour l'imprimante, il faut que je regarde, mais cela ne me semble pas très logique. Soit l'imprimante réseau est définie par son ip, auquel cas la machine n'a pas besoin de la rechercher, soit c'est par son nom, et dans ce cas, elle devrait simplement interroger le serveur dns.
A ce jour, les seuls comportements de ce genre que j'ai pu observer était le fait de machines clairement infectées... :-(
-- Michaël DENIS
Az Sam a écrit :
parce qu'il peut tout simplement chercher un serveur de temps ou une imprimante.
Le serveur de temps est local et inscrit "en dur" par son ip dans les
paramètres de Windows. Pour l'imprimante, il faut que je regarde, mais
cela ne me semble pas très logique. Soit l'imprimante réseau est définie
par son ip, auquel cas la machine n'a pas besoin de la rechercher, soit
c'est par son nom, et dans ce cas, elle devrait simplement interroger le
serveur dns.
A ce jour, les seuls comportements de ce genre que j'ai pu observer
était le fait de machines clairement infectées... :-(
parce qu'il peut tout simplement chercher un serveur de temps ou une imprimante.
Le serveur de temps est local et inscrit "en dur" par son ip dans les paramètres de Windows. Pour l'imprimante, il faut que je regarde, mais cela ne me semble pas très logique. Soit l'imprimante réseau est définie par son ip, auquel cas la machine n'a pas besoin de la rechercher, soit c'est par son nom, et dans ce cas, elle devrait simplement interroger le serveur dns.
A ce jour, les seuls comportements de ce genre que j'ai pu observer était le fait de machines clairement infectées... :-(
-- Michaël DENIS
Michael DENIS
Az Sam a écrit :
Si tu recherche un process caché, tu peux essayer avec Runalyzer (complement de spybot), notament l'onglet service qui te montrera aussi les drivers qui partent au boot (masques de l'API)
Bon, pour l'instant, la (trop) grande richesse des informations donnée par RunAnalyzer m'a fait reculer.
Premier lancement de Wireshark sur la machine concernée (les premières analyses ont été faites avec une machine tiers pour comprendre ce qui se passait sur le réseau) avec un minimum de chose, notamment pas de prise de contrôle. Le broadcast semble avoir commencé juste après les premiers échange avec le serveur d'inventaire. Je lance donc une seconde analyse après désinstallation complète du logiciel concerné.
Wait and see...
-- Michaël DENIS
Az Sam a écrit :
Si tu recherche un process caché, tu peux essayer avec Runalyzer (complement de
spybot), notament l'onglet service qui te montrera aussi les drivers qui partent
au boot (masques de l'API)
Bon, pour l'instant, la (trop) grande richesse des informations donnée
par RunAnalyzer m'a fait reculer.
Premier lancement de Wireshark sur la machine concernée (les premières
analyses ont été faites avec une machine tiers pour comprendre ce qui se
passait sur le réseau) avec un minimum de chose, notamment pas de prise
de contrôle. Le broadcast semble avoir commencé juste après les premiers
échange avec le serveur d'inventaire. Je lance donc une seconde analyse
après désinstallation complète du logiciel concerné.
Si tu recherche un process caché, tu peux essayer avec Runalyzer (complement de spybot), notament l'onglet service qui te montrera aussi les drivers qui partent au boot (masques de l'API)
Bon, pour l'instant, la (trop) grande richesse des informations donnée par RunAnalyzer m'a fait reculer.
Premier lancement de Wireshark sur la machine concernée (les premières analyses ont été faites avec une machine tiers pour comprendre ce qui se passait sur le réseau) avec un minimum de chose, notamment pas de prise de contrôle. Le broadcast semble avoir commencé juste après les premiers échange avec le serveur d'inventaire. Je lance donc une seconde analyse après désinstallation complète du logiciel concerné.
Wait and see...
-- Michaël DENIS
Michael DENIS
Az Sam a écrit :
Qu'y a t il eu avant ? par exemple un annoucement qui aurais declenché ces requetes arp ?
Merci pour cette idée de recherche. C'était bien là qu'il fallait chercher dans mon cas.
La réponse à mon problème est donc que la machine en question a été élue par le serveur d'inventaire pour faire de l'ipdiscover.
Merci beaucoup pour votre aide qui m'a fait gagner, je pense, pas mal de temps.
-- Michaël DENIS
Az Sam a écrit :
Qu'y a t il eu avant ? par exemple un annoucement
qui aurais declenché ces requetes arp ?
Merci pour cette idée de recherche. C'était bien là qu'il fallait
chercher dans mon cas.
La réponse à mon problème est donc que la machine en question a été élue
par le serveur d'inventaire pour faire de l'ipdiscover.
Merci beaucoup pour votre aide qui m'a fait gagner, je pense, pas mal de
temps.
Qu'y a t il eu avant ? par exemple un annoucement qui aurais declenché ces requetes arp ?
Merci pour cette idée de recherche. C'était bien là qu'il fallait chercher dans mon cas.
La réponse à mon problème est donc que la machine en question a été élue par le serveur d'inventaire pour faire de l'ipdiscover.
Merci beaucoup pour votre aide qui m'a fait gagner, je pense, pas mal de temps.
-- Michaël DENIS
Az Sam
"Michael DENIS" a écrit dans le message de news: 4a7a73ba$0$27769$
Pour les services, il n'y en a que deux : inventaire de la machine et prise de contrôle.
Alors quel serait le newsgroup adapté ? Si je m'accroche encore au newsgroups, c'est bien pour ne pas me palucher autant de forums http que de centres d'intérêts. Cette remarque m'étonne tout autant que celle de Fabien sur son supposé hors sujet... Mais bon, cela ne m'empêche pas d'apprécier vos conseils. :-)
Il n'y a pas de newsgroups de desinfection. En francais tout au moins. C'est vrai que le theme pourrait s'y preter sauf qu'une desinfection a distance demande de long logs a repetition, ce qui donne des messages de taille importante, meme en txt. Ce n'est pas ideal pour usenet où les anciens arguments de connexion bas debit ont toujours court car il en reste encore.
Vous avez trouvé le coupable, c'est ce qui compte. :-) Mon histoire d'imprimante ne me convainquait pas non plus et du coup je retiens la piste de l'inventaire ;-)
-- Cordialement, Az Sam.
"Michael DENIS" <news-mDEL@DEL2nis.net.invalid> a écrit dans le message de news:
4a7a73ba$0$27769$426a74cc@news.free.fr...
Pour les services, il n'y en a que deux : inventaire de la machine et
prise de contrôle.
Alors quel serait le newsgroup adapté ? Si je m'accroche encore au
newsgroups, c'est bien pour ne pas me palucher autant de forums http que
de centres d'intérêts. Cette remarque m'étonne tout autant que celle de
Fabien sur son supposé hors sujet... Mais bon, cela ne m'empêche pas
d'apprécier vos conseils. :-)
Il n'y a pas de newsgroups de desinfection. En francais tout au moins.
C'est vrai que le theme pourrait s'y preter sauf qu'une desinfection a distance
demande de long logs a repetition, ce qui donne des messages de taille
importante, meme en txt. Ce n'est pas ideal pour usenet où les anciens arguments
de connexion bas debit ont toujours court car il en reste encore.
Vous avez trouvé le coupable, c'est ce qui compte. :-)
Mon histoire d'imprimante ne me convainquait pas non plus et du coup je retiens
la piste de l'inventaire ;-)
"Michael DENIS" a écrit dans le message de news: 4a7a73ba$0$27769$
Pour les services, il n'y en a que deux : inventaire de la machine et prise de contrôle.
Alors quel serait le newsgroup adapté ? Si je m'accroche encore au newsgroups, c'est bien pour ne pas me palucher autant de forums http que de centres d'intérêts. Cette remarque m'étonne tout autant que celle de Fabien sur son supposé hors sujet... Mais bon, cela ne m'empêche pas d'apprécier vos conseils. :-)
Il n'y a pas de newsgroups de desinfection. En francais tout au moins. C'est vrai que le theme pourrait s'y preter sauf qu'une desinfection a distance demande de long logs a repetition, ce qui donne des messages de taille importante, meme en txt. Ce n'est pas ideal pour usenet où les anciens arguments de connexion bas debit ont toujours court car il en reste encore.
Vous avez trouvé le coupable, c'est ce qui compte. :-) Mon histoire d'imprimante ne me convainquait pas non plus et du coup je retiens la piste de l'inventaire ;-)
-- Cordialement, Az Sam.
cwpbl
Michael DENIS a écrit :
Bonjour,
J'ai une machine sous Windows XP Home SP3 qui me pose problème. Son comportement me laisse penser qu'un programme malveillant s'y trouve, mais je ne parviens pas à trouver.
Je rentre un peu plus dans les détails. Ce qui me fait penser que cette machine est infectée est qu'elle envoie, par "campagnes régulières", des broadcast sur le réseau. Extrait de ma capture Wireshark :
Broadcast ARP Who has 172.16.xx.yy? Tell 172.16.123.123
ou xx.yy s'incrémente par unité. Les broadcast d'une même "campagne" sont de l'ordre de 10 toutes les secondes.
L'anti-virus de Secuser en ligne ne trouve rien, Clamwin non plus, Spybot non plus.
Je n'ai rien dans le menu "démarrage", rien d'anormal il me semble dans les sections "Run" de la base de registre, rien derrière "Userinit" dans la base de registre, ...
*********************************************** Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 10:10:51, on 05/08/2009 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v8.00 (8.00.6001.18702) Boot mode: Normal
Si quelqu'un avait une idée, soit pour m'aider dans mes recherches, soit sur la solution :-), je lui serais bien reconnaissant.
Kido/Conficker ? Que donne l'execution du kk.exe disponible à http://support.kaspersky.com/faq/?qid 8279973 ?
D'avance merci.
Michael DENIS a écrit :
Bonjour,
J'ai une machine sous Windows XP Home SP3 qui me pose problème. Son
comportement me laisse penser qu'un programme malveillant s'y trouve,
mais je ne parviens pas à trouver.
Je rentre un peu plus dans les détails. Ce qui me fait penser que cette
machine est infectée est qu'elle envoie, par "campagnes régulières", des
broadcast sur le réseau. Extrait de ma capture Wireshark :
Broadcast ARP Who has 172.16.xx.yy? Tell 172.16.123.123
ou xx.yy s'incrémente par unité. Les broadcast d'une même "campagne"
sont de l'ordre de 10 toutes les secondes.
L'anti-virus de Secuser en ligne ne trouve rien, Clamwin non plus,
Spybot non plus.
Je n'ai rien dans le menu "démarrage", rien d'anormal il me semble dans
les sections "Run" de la base de registre, rien derrière "Userinit" dans
la base de registre, ...
***********************************************
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 10:10:51, on 05/08/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal
J'ai une machine sous Windows XP Home SP3 qui me pose problème. Son comportement me laisse penser qu'un programme malveillant s'y trouve, mais je ne parviens pas à trouver.
Je rentre un peu plus dans les détails. Ce qui me fait penser que cette machine est infectée est qu'elle envoie, par "campagnes régulières", des broadcast sur le réseau. Extrait de ma capture Wireshark :
Broadcast ARP Who has 172.16.xx.yy? Tell 172.16.123.123
ou xx.yy s'incrémente par unité. Les broadcast d'une même "campagne" sont de l'ordre de 10 toutes les secondes.
L'anti-virus de Secuser en ligne ne trouve rien, Clamwin non plus, Spybot non plus.
Je n'ai rien dans le menu "démarrage", rien d'anormal il me semble dans les sections "Run" de la base de registre, rien derrière "Userinit" dans la base de registre, ...
*********************************************** Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 10:10:51, on 05/08/2009 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v8.00 (8.00.6001.18702) Boot mode: Normal
Si quelqu'un avait une idée, soit pour m'aider dans mes recherches, soit sur la solution :-), je lui serais bien reconnaissant.
Kido/Conficker ? Que donne l'execution du kk.exe disponible à http://support.kaspersky.com/faq/?qid 8279973 ?
D'avance merci.
Ludo
> Alors quel serait le newsgroup adapté ?
Celui-ci pardi, ne te laisse pas intimidé...
;o)
En ce moment, ce sont les congés et c'est plus calme c'est clair mais tu trouveras tes réponses ici, ou du moins les liens vers les réponses. Tu auras toujours des grincheux pour te dire "ce n'est pas le bon ng"...
Pour ma part, la sécurité informatique, avec mes potes à tendance un peu "je clique sur tout ce qui bouge", avec les retours de divers ng et forum, je conserve cela dans un coin : http://inforadio.free.fr/articles.php?lng=fr&pgX
C'est un peu "sopo" à lire à première vue... Mais dans le pire des cas, tu trouveras le site de Malekal que j'ai placé en raccourci également vu que, pour le moment, cela reste une bonne aide, même si certains "helpers" te donnent des solutions sans te dire comment ils ont fait pour trouver la solution alors que souvent, c'est très simple...
Tu connais le proverbe : Au royaume des aveugles, les borgnes sont rois...
J'aime bien rendre la vue, même si quelque part, je me prive d'une source de revenu potentiel vu ma profession...
;o)
Cordialement, Ludovic.
>
Alors quel serait le newsgroup adapté ?
Celui-ci pardi, ne te laisse pas intimidé...
;o)
En ce moment, ce sont les congés et c'est
plus calme c'est clair mais tu trouveras tes
réponses ici, ou du moins les liens vers les
réponses. Tu auras toujours des grincheux
pour te dire "ce n'est pas le bon ng"...
Pour ma part, la sécurité informatique, avec
mes potes à tendance un peu "je clique sur
tout ce qui bouge", avec les retours de divers
ng et forum, je conserve cela dans un coin :
http://inforadio.free.fr/articles.php?lng=fr&pgX
C'est un peu "sopo" à lire à première vue...
Mais dans le pire des cas, tu trouveras le
site de Malekal que j'ai placé en raccourci
également vu que, pour le moment, cela
reste une bonne aide, même si certains
"helpers" te donnent des solutions sans
te dire comment ils ont fait pour trouver
la solution alors que souvent, c'est très
simple...
Tu connais le proverbe : Au royaume des
aveugles, les borgnes sont rois...
J'aime bien rendre la vue, même si quelque
part, je me prive d'une source de revenu
potentiel vu ma profession...
En ce moment, ce sont les congés et c'est plus calme c'est clair mais tu trouveras tes réponses ici, ou du moins les liens vers les réponses. Tu auras toujours des grincheux pour te dire "ce n'est pas le bon ng"...
Pour ma part, la sécurité informatique, avec mes potes à tendance un peu "je clique sur tout ce qui bouge", avec les retours de divers ng et forum, je conserve cela dans un coin : http://inforadio.free.fr/articles.php?lng=fr&pgX
C'est un peu "sopo" à lire à première vue... Mais dans le pire des cas, tu trouveras le site de Malekal que j'ai placé en raccourci également vu que, pour le moment, cela reste une bonne aide, même si certains "helpers" te donnent des solutions sans te dire comment ils ont fait pour trouver la solution alors que souvent, c'est très simple...
Tu connais le proverbe : Au royaume des aveugles, les borgnes sont rois...
J'aime bien rendre la vue, même si quelque part, je me prive d'une source de revenu potentiel vu ma profession...
;o)
Cordialement, Ludovic.
Depassage
Ludo wrote:
Alors quel serait le newsgroup adapté ?
Celui-ci pardi, ne te laisse pas intimidé...
;o)
fr.comp.securite.virus n'a pas vocation à recevoir des logs
Il y a des sites adaptés pour cela, et ce, pour une bonne raison.
Cela évite de tomber sur des pseudo analystes de ton genre et qui appliquent des méthodes ésotériques au petit bonheur la chance, espérant que l'une d'elles solutionnera le problème.
En ce moment, ce sont les congés et c'est plus calme c'est clair mais tu trouveras tes réponses ici, ou du moins les liens
ton lien tu veux dire
vers les réponses. Tu auras toujours des grincheux pour te dire "ce n'est pas le bon ng"...
Il suffit de lire la charte
(...) snip du lien du ludo
C'est un peu "sopo" à lire à première vue...
Pas seulement
Mais dans le pire des cas, tu trouveras le site de Malekal que j'ai placé en raccourci
A travers la page de ton site ?
Le lien direct est préférable et nettement plus lisible
également vu que, pour le moment, cela reste une bonne aide, même si certains "helpers" te donnent des solutions sans te dire comment ils ont fait pour trouver la solution alors que souvent, c'est très simple...
Et on se demande pourquoi les rings de désinfection n'ont pas choisi le grand ludo....
Tu connais le proverbe : Au royaume des aveugles, les borgnes sont rois...
J'aime bien rendre la vue, même si quelque part, je me prive d'une source de revenu potentiel vu ma profession...
;o)
Cordialement, Ludovic.
Ludo wrote:
Alors quel serait le newsgroup adapté ?
Celui-ci pardi, ne te laisse pas intimidé...
;o)
fr.comp.securite.virus n'a pas vocation à recevoir des logs
Il y a des sites adaptés pour cela, et ce, pour une bonne raison.
Cela évite de tomber sur des pseudo analystes de ton genre et qui
appliquent des méthodes ésotériques au petit bonheur la chance,
espérant que l'une d'elles solutionnera le problème.
En ce moment, ce sont les congés et c'est
plus calme c'est clair mais tu trouveras tes
réponses ici, ou du moins les liens
ton lien tu veux dire
vers les
réponses. Tu auras toujours des grincheux
pour te dire "ce n'est pas le bon ng"...
Il suffit de lire la charte
(...) snip du lien du ludo
C'est un peu "sopo" à lire à première vue...
Pas seulement
Mais dans le pire des cas, tu trouveras le
site de Malekal que j'ai placé en raccourci
A travers la page de ton site ?
Le lien direct est préférable et nettement plus lisible
également vu que, pour le moment, cela
reste une bonne aide, même si certains
"helpers" te donnent des solutions sans
te dire comment ils ont fait pour trouver
la solution alors que souvent, c'est très
simple...
Et on se demande pourquoi les rings de désinfection n'ont pas choisi le
grand ludo....
fr.comp.securite.virus n'a pas vocation à recevoir des logs
Il y a des sites adaptés pour cela, et ce, pour une bonne raison.
Cela évite de tomber sur des pseudo analystes de ton genre et qui appliquent des méthodes ésotériques au petit bonheur la chance, espérant que l'une d'elles solutionnera le problème.
En ce moment, ce sont les congés et c'est plus calme c'est clair mais tu trouveras tes réponses ici, ou du moins les liens
ton lien tu veux dire
vers les réponses. Tu auras toujours des grincheux pour te dire "ce n'est pas le bon ng"...
Il suffit de lire la charte
(...) snip du lien du ludo
C'est un peu "sopo" à lire à première vue...
Pas seulement
Mais dans le pire des cas, tu trouveras le site de Malekal que j'ai placé en raccourci
A travers la page de ton site ?
Le lien direct est préférable et nettement plus lisible
également vu que, pour le moment, cela reste une bonne aide, même si certains "helpers" te donnent des solutions sans te dire comment ils ont fait pour trouver la solution alors que souvent, c'est très simple...
Et on se demande pourquoi les rings de désinfection n'ont pas choisi le grand ludo....
