Problème Firewall Windows XP Sp2

Bonjour *Euthymenes* :

"Totoche" <waugh28@free.fr> a écrit dans le message de news:
42e0be73$0$22292$8fcfb975@news.wanadoo.fr...

Non j'ai regardé sur le mien ou Kerio est installé et les options ne sont
pas grisées...

Raf

Cela doit dépendre des versions de Kerio et/ou de XPSP2, car sur mon PC
c'était le cas ...

Le PC de Totoche est infecté jusqu'aux oreilles.
Voir l'analyse du log d'HJT que je lui ai donné...

Pas un problème de Kerio ou W xp mais de Pebkac.

:)
--
Claude LaFrenière [MVP] :-{ )

«My Principal Design Was To Inform, Not To Amuse Thee.»
Lemuel Gulliver, The Travels (IV:12)

Bonjour *JLdB* :

Cdlt

Ça veut dire quoi cet acronyme?

8-O <<== gros yeux avec la bouche ouverte comme un con

:)
--
Claude LaFrenière [MVP] :-{ )

«My Principal Design Was To Inform, Not To Amuse Thee.»
Lemuel Gulliver, The Travels (IV:12)

Logfile of HijackThis v1.99.1
Scan saved at 15:57:04, on 22/07/2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:WINDOWSSystem32smss.exe
C:WINDOWSsystem32winlogon.exe
C:WINDOWSsystem32services.exe
C:WINDOWSsystem32lsass.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSSystem32svchost.exe
C:WINDOWSsystem32spoolsv.exe
C:PROGRA~1GrisoftAVGFRE~1avgamsvr.exe
C:PROGRA~1GrisoftAVGFRE~1avgupsvc.exe
C:Program FilesKerioPersonal Firewallpersfw.exe
C:WINDOWSSystem32svchost.exe
C:WINDOWSExplorer.EXE
C:PROGRA~1GrisoftAVGFRE~1avgcc.exe
C:PROGRA~1GrisoftAVGFRE~1avgemc.exe
C:WINDOWSMixer.exe
C:Program FilesSAGEMSAGEM F@st 800-840dslmon.exe
C:Program FilesGoto SoftwareVade RetroVaderetro_oe.exe
C:WINDOWSSystem32svchost.exe
C:TempHijackThis.exe
C:WINDOWSsystem32NOTEPAD.EXE
C:Program FilesOutlook Expressmsimn.exe
C:Program FilesMessengermsmsgs.exe
C:WINDOWSsystem32mmc.exe

R0 - HKCUSoftwareMicrosoftInternet ExplorerMain,Start Page =
http://www.cegetel.net/
R1 - HKCUSoftwareMicrosoftWindowsCurrentVersionInternet
Settings,ProxyServer = http7.0.0.1:8080
R0 - HKCUSoftwareMicrosoftInternet ExplorerToolbar,LinksFolderName =
Liens
O4 - HKLM..Run: [nwiz] nwiz.exe /install
O4 - HKLM..Run: [AVG7_CC] C:PROGRA~1GrisoftAVGFRE~1avgcc.exe /STARTUP
O4 - HKLM..Run: [AVG7_EMC] C:PROGRA~1GrisoftAVGFRE~1avgemc.exe
O4 - HKLM..Run: [NvCplDaemon] RUNDLL32.EXE
C:WINDOWSSystem32NvCpl.dll,NvStartup
O4 - HKLM..Run: [C-Media Mixer] Mixer.exe /startup
O4 - Startup: Vade Retro pour Outlook Express.lnk = C:Program FilesGoto
SoftwareVade RetroVaderetro_oe.exe
O4 - Global Startup: DSLMON.lnk = C:Program FilesSAGEMSAGEM F@st
800-840dslmon.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} -
C:Program FilesMessengermsmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger -
{FB5F1910-F110-11d2-BB9E-00C04F795683} - C:Program
FilesMessengermsmsgs.exe
O15 - Trusted Zone: http://*.windowsupdate.com
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. -
C:PROGRA~1GrisoftAVGFRE~1avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. -
C:PROGRA~1GrisoftAVGFRE~1avgupsvc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation -
C:WINDOWSSystem32nvsvc32.exe
O23 - Service: Kerio Personal Firewall (PersFw) - Kerio Technologies -
C:Program FilesKerioPersonal Firewallpersfw.exe

Il ne reste plus que ça mais mon pare feu est toujours inacessible, je
continue...

Raf


"Claude LaFrenière" <No_InterNUT@AntiPebkac.org> a écrit dans le message de
news: rvsknuujmagj$.1wacafdyhoj9r$.dlg@40tude.net...

Bonjour *Totoche* :

*Ordinateur infecté jusqu'aux oreilles !!!*

Vérifie chacun des points relevés.

Pour virer il faut cocher la ligne correspondante dans HijackThis et faire
un "fix".
j'ai indiqué *FIX* pour chacun de ceux-ci.

Pour désactiver les autres mentionnés:
démarrer | exécuter | msconfig | onglet démarrage et décocher...

Voir aussi les informations à la fin.
Mais fix avant !!!

1) 6 svchost ?
N'aurais-tu pas des services lancés inutilement ?
C:WINDOWSsystem32svchost.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSSystem32svchost.exe
C:WINDOWSSystem32svchost.exe
C:WINDOWSSystem32svchost.exe

Les 7 "variétés" de SVCHOST (SP2):

C:WINDOWSSystem32svchost.exe -k rpcss
C:WINDOWSSystem32svchost.exe -k DCOMLaunch
C:WINDOWSSystem32svchost.exe -k netsvcs
C:WINDOWSSystem32svchost.exe -k LocalService
C:WINDOWSSystem32svchost.exe -k NetworkService
C:WINDOWSSystem32svchost.exe -k HTTPFilter
C:WINDOWSSystem32svchost.exe -k imgsvc

Ceux-là tu doit toujours les avoir...
C:WINDOWSsystem32svchost.exe -k DcomLaunch
C:WINDOWSsystem32svchost.exe -k rpcss
C:WINDOWSSystem32svchost.exe -k netsvcs

puis
C:WINDOWSsystem32svchost -k HTTPFilter
correspond au service HTTP SSL : machin de sécurité
Bonne idée de l'avoir.

C:WINDOWSsystem32svchost -k LocalService
corrrespond à des trucs tel que WebClient et autres bidules inutiles

C:WINDOWSsystem32svchost -k Network Service
correspond à des trucs de réseau ou à des trucs tel que Client DNS :
inutile.

C:WINDOWSSystem32svchost.exe -k imgsvc
correspond à Acquisition d'image Windows (WIA)

2) MSIEXEC ? Pourquoi ce truc est-il en exécution ?
Installation à compléter ? Désinstallation ?
Le service correspondant doit être en mode de démarrage manuel...
C:WINDOWSSystem32msiexec.exe

3) Quel est ce truc étrange s.v.p. ???
à désactiver ou à supprimer éventuellement...
C:Program FilesGoto SoftwareVade RetroVaderetro_oe.exe

4) Le proxy ne doit-il pas être sur le port 8080 ??? À vérifier.
Et de quel Proxy s'agit-il s.v.p. ?
R1 - HKCUSoftwareMicrosoftWindowsCurrentVersionInternet
Settings,ProxyServer = http7.0.0.1:8010

5) *FIX* Quels sont ces trucs ? Vire-les !
02 - BHO: (no name) - {D38B8208-389E-1547-B7A8-176405DD1896} - (no file)
O2 - BHO: (no name) - {D78B820F-389D-6146-B7DB-136404DF1893} - (no file)
O2 - BHO: (no name) - {E2A6B20F-15AE-5472-9AEB-234934EF35A3} - (no file)

6) 2 Bidules Nvidia : utile ou pas ? à désactiver pour voir. Si pas
d'effets négatifs : virer.
O4 - HKLM..Run: [nwiz] nwiz.exe /install
O4 - HKLM..Run: [NvCplDaemon] RUNDLL32.EXE
C:WINDOWSSystem32NvCpl.dll,NvStartup

7) Relatif au commentaire # 3 ...
O4 - Startup: Vade Retro pour Outlook Express.lnk = C:Program FilesGoto
SoftwareVade RetroVaderetro_oe.exe

8) *FIX* *** VIRE CES 2 MERDES !!! ***
O16 - DPF: {00000000-0000-0000-0000-000020030000} -
http://www.advnt01.com/dialer/france_pa.exe
O16 - DPF: {00000000-0000-0000-0000-000020040000} -
http://207.234.185.217/ABoxInst_int5.exe

9) Minitel ??? ça existe encore ce machin ???
O16 - DPF: {09C21411-B9A2-4DE6-8416-4E3B58577BE0} (France Telecom MDM
ActiveX Control) - http://minitelweb.minitel.com/imin_data/ocx/MDM.cab

10) *FIX* *** VIRE CETTE MERDE !!! ***
O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} -
http://static.windupdates.com/cab/MediaAccessVerisign/ie/Bridge-c139.cab

11) *FIX* *** VIRE CETTE MERDE !!! ***
O16 - DPF: {42E1F024-ECC3-456F-B98A-4CE5ACDBF25C} (ActiveFormX Contrôle) -
https://ssl-tb.sitadelle.com/selfcare.cegetel.net/templates/static/ocx/AFAutoConfig.ocx

12) *FIX* *** VIRE CETTE MERDE !!! ***
O16 - DPF: {FC67BB52-AAB6-4282-9D51-2DAFFE73AFD0} -
http://download.spyspotter.com/spyspotter/SpSp29952.40opt/SpySpotterCabInstall.cab

13) ??? C'est quoi ce machin ??? Désactiver pour voir. Virer si
nécessaire.
O23 - Service: WIN32 (image) - Unknown owner - C:WINDOWSimage.exe (file
missing)

14) *FIX* *** VIRE CETTE MERDE !!! = Codbot-M Worm !!! ***
O23 - Service: Network DDE Client (NetDDEclnt) - Unknown owner -
C:WINDOWSSystem32netddeclnt.exe (file missing)

15) *FIX* Tu as AVG comme anti-virus : que fait ce machin Panda ? VIRE !
O23 - Service: Panda Process Protection Service (PavPrSrv) - Unknown
owner - C:Program FilesFichiers communsPanda
SoftwarePavShldpavprsrv.exe

16) *FIX* *** VIRE CETTE MERDE = w32.Randex Variant !!! ***
O23 - Service: Sound Sservice Driver (Sound Service) - Unknown owner -
C:WINDOWSSystem32cfmon.exe (file missing)


1- Fait ceci par la suite :

a)
"Mini-AV" à utiliser en mode sans échec:

TrendMicro : désactive ton AV avant de l'utiliser sinon il y aura un
false positive et il ne sera pas possible de l'utiliser.

Le "sysclean":
http://www.trendmicro.com/download/dcs.asp
+
les définitions de virus :
http://www.trendmicro.com/download/pattern.asp

Placer ces 2 trucs dans le même dossier et lancer:
la procédure est un peu longue mais le produit est fiable.

b) scan en ligne:
Anti-virus:
http://fr.trendmicro-europe.com/

2- Informations à consulter et à comprendre.

Pour la sécurité:
http://climenole.serendipia.net/archives/5-Quelques-liens-utiles-pour-la-securite-de-Windows-XP.html

Pour les services:
http://climenole.serendipia.net/archives/3-La-Configuration-des-Services-de-Windows-XP.html


3- Outils

Outils indispensables pour contrôler ce qui est lancé sur ta bécane.
Utilise-les fréquemment pour voir et connaître ton système.

Autorun de Mark Russinovich:
http://www.sysinternals.com/ntw2k/freeware/autoruns.shtml

Starter de Code Stuff:
(+ ergonomique que msconfig)
http://codestuff.mirrorz.com/

Process Explorer de Mark Russinovich:
(un gestionnaire des tâches amélioré)
http://www.sysinternals.com/ntw2k/freeware/procexp.shtml

Voilà.

Tiens-nous au courant.

:)
--
Claude LaFrenière [MVP] :-{ )

«My Principal Design Was To Inform, Not To Amuse Thee.»
Lemuel Gulliver, The Travels (IV:12)

Bonjour *Totoche* :

Il ne reste plus que ça mais mon pare feu est toujours inacessible, je
continue...

Ben oui... avec autant de cochoneries installées sur ton PC rien
d'étonnant... Tout cela a dû faire des dégats...

Désinstalle kerio et réinstalle. Hors connection S.v.p.

Si c'est kerio 2.1.5 tout est là:
Kerio 2.1.5
http://kerio215.free.fr/


N'oublie pas de consulter les liens que je t'ai donné en particulier à
propos du "Safe-Hex" ...

:)
--
Claude LaFrenière [MVP] :-{ )

«My Principal Design Was To Inform, Not To Amuse Thee.»
Lemuel Gulliver, The Travels (IV:12)

Bonjour *Totoche* :

C'est quoi ces bidules ???

C:Program FilesGoto SoftwareVade RetroVaderetro_oe.exe

Malware ou inutile...

O4 - HKLM..Run: [C-Media Mixer] Mixer.exe /startup

Et ça ?

O4 - Startup: Vade Retro pour Outlook Express.lnk = C:Program FilesGoto
SoftwareVade RetroVaderetro_oe.exe

Si tu ne sais pas ce que ça fait cela ne doit pas t'être bien utile...
Désactive et vire au besoin...

:)

voir l'autre post pour le pare-feu.
--
Claude LaFrenière [MVP] :-{ )

«My Principal Design Was To Inform, Not To Amuse Thee.»
Lemuel Gulliver, The Travels (IV:12)

Bon bin pour ce firewall grisé on n'aura pas réussi à trouver le truc mais
je vais laisser kerio.
J'avais peur que mon pote ne sache pas trop s'en servir mais ça devrait
aller avec le fichier francisé et le lien qui va bien (moi ça fait quelques
années que je m'en sers en anglais).
Je pense que le bousin est revenu a un niveau acceptable de sécurité et avec
ce gros nettoyage ça devrait le faire.
Encore un gros merci à tous et surtout à Claude LaFrenière pour son aide
précieuse et ses petits liens qui vont bien ;o)

Raf


"Totoche" <waugh28@free.fr> a écrit dans le message de news:
42dfef67$0$21630$8fcfb975@news.wanadoo.fr...

Bonjour,

Un petit problème parmis tant d'autres...

Un ami avait son PC donnat des signes évidents de lenteur
Après vérification, sous SP1 et pas de firewall et une becane truffée de
spy et de processus actifs téléchargeurs de troyens , j'en ai ch... pour
tout virer mais ayé du moins en apparence...
J'en profite pour lui installer la SP2 et là j'ai un problème lors de
l'activation du Firewall il me dit que le service n'est pas démarré
j'essaye de le démarrer manuellement mais rien à faire.
De plus les options "activer" et "desactiver" de la fenêtre "pare feu
windows" onglet "général" sont grisées donc je ne peux pas l'activer.
Comment faire ?

Merci d'avance,

Raf
Quand XP me fait des misères, je me remets un coup sous Windows 3.1, ça me
calme tout de suite ^_^

Bonjour *Totoche* :

Bon bin pour ce firewall grisé on n'aura pas réussi à trouver le truc mais
je vais laisser kerio.
J'avais peur que mon pote ne sache pas trop s'en servir mais ça devrait
aller avec le fichier francisé et le lien qui va bien (moi ça fait quelques
années que je m'en sers en anglais).
Je pense que le bousin est revenu a un niveau acceptable de sécurité et avec
ce gros nettoyage ça devrait le faire.
Encore un gros merci à tous et surtout à Claude LaFrenière pour son aide
précieuse et ses petits liens qui vont bien ;o)

:)


--
Claude LaFrenière [MVP] :-{ )

«My Principal Design Was To Inform, Not To Amuse Thee.»
Lemuel Gulliver, The Travels (IV:12)