Logo GNT
Actualités Tests & Guides Bons Plans
GTA 6 iPhone 17 Copilot Switch 2 Temu ChatGPT Tesla
OVH Cloud OVH Cloud
Entraide Sécurité Sécurité Virus qui peut me donner le nom de celui-ci ?

qui peut me donner le nom de celui-ci ?

36 réponses
Avatar
Antoine B
Bonjour,
Je suis infecté par quelquechose qui a ces caractéristiques :
au démarrage de windows (XP), il m'ouvre une fenetre de connexion à internet
dont l'icone
dans la barre des taches est l'icone generalement utilisée pour
l'installation d'un programme (ordi+disquettes à côté).
si j'accepte cette connection, il se connecte effectivement et tente
d'envoyer un message à l'adresse eastsidesoccer2000@yahoo.ca
Norton me scanne le départ de ce message et m'indique qu'il n'a pu etre
delivré à cause d'un quota dépassé sur le serveur mta112.mail.scd.yahoo.com.

J'y suis depuis 2 jours et j'ai essayé beaucoup de choses.
Au niveau config : NAV 2003 mis à jour TRES regulierement, XP SP1, correctif
823980
J'ai passé la nuit à comparer les effets d'infection de virus connus chez
symantec avec mes propres clés de registre.
(j'en ai meme supprimé une CTFMON.EXE dans hkey current user....\run croyant
que j'étais infecté W32.Xau@mm)
Sans parler des 3 scans complets du système + des essais du stinger de chez
Mc Affee ...

Un détail qui a son importance:
Quand je sélectionne la fenetre de connexion du virus dans le taskmanager et
que je demande le process correspondant, il me montre un svchost.exe lancé
par l'utilisateur courant.

Autre détail : si je ferme cette fenetre de connexion à 4 reprises, je peux
me connecter de façon normale

Savez-vous de quoi il s'agit ? un virus, un spy ... ?
Merci d'avance
@
Signaler un problème avec ce contenu

10 réponses

Supprimer
Cette action est irreversible, confirmez la suppression du commentaire ?
Signaler le commentaire

Veuillez sélectionner un problème

Nudité
Violence
Harcèlement
Fraude
Vente illégale
Discours haineux
Terrorisme
Autre
1 2 3 4
Avatar
Noshi
On Sat, 13 Sep 2003 16:03:28 +0200, Antoine B wrote:

j'essaye immediatement (bien que je n'aime pas trop utiliser des applis en
ligne ...)


Celle la fonctionne bien en général

Je croyais que Norton était au top ?


Il est dans le groupe de tête oui mais il avait des faiblesses pour
détecter les trojans par exemple. Donc je sais pas trop.

Qu'est-ce que tu me conseilles comme antivirus (qui ne fasse pas trop ramer
le PC) ?


Perso je te conseillerais d'en télécharger quelques uns et de les tester
chacun deux trois jours pour voir celui qui te parait le mieux adapté a ta
situation. Sinon un truc super important a faire : lire la FAQ de FCSV.

http://www.lacave.net/~jokeuse/usenet/faq-fcsv.html

Ca te donnera plein d'info sur comment te protéger.

Sinon une liste des antivirus que j'ai déjà utilisé :
Norton 2001, norton corporate, Kav, AVG

@ntoine.


--
Noshi

Avatar
Noshi
On Sat, 13 Sep 2003 16:20:51 +0200, Antoine B wrote:

l'antivirus en ligne n'a rien trouvé par contre, en le lancant Norton m'a
détecté 2 fois un "Backdoor beasty"


Ah ? Dans quel fichier ? (tu peux me l'envoyer par courrier électronique a
l'adresse : ?)

C'est quoi cet antivirus en ligne ? est-ce vraiment sur ?


Oui il est sur. C'est un peu risqué de la part d'un site web parlant de
sécurité que d'infecter les utilisateurs...

@ntoine.


a++

--
Noshi

Avatar
Antoine B
je n'ai plus le fichier car il me l'a supprimé directement ...
dans les logs d'activité j'ai 4 fois ça :
Source: C:DOCUME~1antoineLOCALS~1TempV6N03Ba02360
Click for more information about this virus : Backdoor.Beasty

à 16:07, 16:18, 16:22 et 16:23 acharné le machin ...

@ntoine

"Noshi" a écrit dans le message de news:

On Sat, 13 Sep 2003 16:20:51 +0200, Antoine B wrote:

l'antivirus en ligne n'a rien trouvé par contre, en le lancant Norton
m'a


détecté 2 fois un "Backdoor beasty"


Ah ? Dans quel fichier ? (tu peux me l'envoyer par courrier électronique a
l'adresse : ?)

C'est quoi cet antivirus en ligne ? est-ce vraiment sur ?


Oui il est sur. C'est un peu risqué de la part d'un site web parlant de
sécurité que d'infecter les utilisateurs...

@ntoine.


a++

--
Noshi



Avatar
Antoine B
malgré tous les post je n'ai toujours pas trouvé de quoi il s'agit ...
le pire c que ce truc démarre alors que je n'ai vraiement rien d'anormal
dans les clés run ...
please HELP

@ntoine.

"Antoine B" a écrit dans le message de news:
3f6310c7$0$27019$
Bonjour,
Je suis infecté par quelquechose qui a ces caractéristiques :
au démarrage de windows (XP), il m'ouvre une fenetre de connexion à
internet

dont l'icone
dans la barre des taches est l'icone generalement utilisée pour
l'installation d'un programme (ordi+disquettes à côté).
si j'accepte cette connection, il se connecte effectivement et tente
d'envoyer un message à l'adresse
Norton me scanne le départ de ce message et m'indique qu'il n'a pu etre
delivré à cause d'un quota dépassé sur le serveur
mta112.mail.scd.yahoo.com.


J'y suis depuis 2 jours et j'ai essayé beaucoup de choses.
Au niveau config : NAV 2003 mis à jour TRES regulierement, XP SP1,
correctif

823980
J'ai passé la nuit à comparer les effets d'infection de virus connus chez
symantec avec mes propres clés de registre.
(j'en ai meme supprimé une CTFMON.EXE dans hkey current user....run
croyant

que j'étais infecté )
Sans parler des 3 scans complets du système + des essais du stinger de
chez

Mc Affee ...

Un détail qui a son importance:
Quand je sélectionne la fenetre de connexion du virus dans le taskmanager
et

que je demande le process correspondant, il me montre un svchost.exe lancé
par l'utilisateur courant.

Autre détail : si je ferme cette fenetre de connexion à 4 reprises, je
peux

me connecter de façon normale

Savez-vous de quoi il s'agit ? un virus, un spy ... ?
Merci d'avance
@




Avatar
Chambord

as tu essayé une MAJ avec l'IntelligentUpdater (du jour ou d'hier) ?



Pour telecharger les MAJ du jour va sur:
http://www.symantec.com/avcenter/download/pages/FR-N95.html
choisir:
20030912-016-x86.exe Septembre 12, 2003 6.92 MB

tu telecharge dans tmp par exemple et tu lances , ta mise à jour se fera
automatiquement dans ton dossier Virus Defs

Avatar
Ascadix
De ses petits doigts agiles, Antoine B à provoqué l'apparition du message
suivant
<news:3f633ae0$0$27577$


malgré tous les post je n'ai toujours pas trouvé de quoi il s'agit ...
le pire c que ce truc démarre alors que je n'ai vraiement rien
d'anormal dans les clés run ...
please HELP




récupére ces qq softs :

http://www.sysinternals.com/ntw2k/freeware/procexp.shtml

Il te permettra de regarder les process qui tournent sur ta machine beaucoup
plus efficacement qu'avec le taskmanager et de trouver ou est planqué l'exe
qui te file cette petite icone


http://www.sysinternals.com/ntw2k/source/misc.shtml#autoruns

Pour voir un peu mieux les différents emplacements d'où un soft peu
s'autoexecuter

Ensuite, une fois que tu aura trouver le soft qui t'embete, passe-le par là:

http://www.kaspersky.com/remoteviruschk.html

Si c'est un dialer-pirate, pour autant que je m'en rende compte c'ets chez
KAV que ces bestioles sont le mieux référencés.

Tu peut aussi passer un coup de spybot sur ta machine, c'ets un bon
complément à KAV

http://security.kolla.de/
( sans oublier une maj avant de scanner )

Bonne chance


--
@+
Ascadix

Avatar
Antoine B
j'ai téléchargé les définitions non seulement au jour près mais je dirais
meme à l'heure près ...

En effet mon NAV tournait pendant le scanne de secuser ... c génant ?

La localisation du virus était 4 fois la meme mais je n'ai plus le fichier
infecté car norton l'a viré automatiquement
c'était :
Source: C:DOCUME~1antoineLOCALS~1TempV6N03Ba02360
Click for more information about this virus : Backdoor.Beasty

Mais j'ai lu la description de ce virus et les symptomes ne ressemble pas du
tout à ce que j'ai ...

@ntoine

Rappel du premier post :
================ Je suis infecté par quelquechose qui a ces caractéristiques :
au démarrage de windows (XP), il m'ouvre une fenetre de connexion à internet
dont l'icone
dans la barre des taches est l'icone generalement utilisée pour
l'installation d'un programme (ordi+disquettes à côté).
si j'accepte cette connection, il se connecte effectivement et tente
d'envoyer un message à l'adresse
Norton me scanne le départ de ce message et m'indique qu'il n'a pu etre
delivré à cause d'un quota dépassé sur le serveur mta112.mail.scd.yahoo.com.

J'y suis depuis 2 jours et j'ai essayé beaucoup de choses.
Au niveau config : NAV 2003 mis à jour TRES regulierement, XP SP1, correctif
823980
J'ai passé la nuit à comparer les effets d'infection de virus connus chez
symantec avec mes propres clés de registre.
(j'en ai meme supprimé une CTFMON.EXE dans hkey current user....run croyant
que j'étais infecté )
Sans parler des 3 scans complets du système + des essais du stinger de chez
Mc Affee ...

Un détail qui a son importance:
Quand je sélectionne la fenetre de connexion du virus dans le taskmanager et
que je demande le process correspondant, il me montre un svchost.exe lancé
par l'utilisateur courant.

Autre détail : si je ferme cette fenetre de connexion à 4 reprises, je peux
me connecter de façon normale
Avatar
Antoine B
Merci ils sont excellents ces softs ...

Toutefois, le résultat de Process Explorer pour le processus incriminé est
incompréhensible
si quelqu'un en tire quelquechose d'interressant ...



Process PID CPU Description Company Name Path User Name
System Idle Process 0 94 NT AUTHORITYSYSTEM
System 4 02 AUTORITE NTSYSTEM
smss.exe 416 00 Windows NT Session Manager Microsoft Corporation
C:WINDOWSsystem32smss.exe AUTORITE NTSYSTEM
csrss.exe 740 00 Client Server Runtime Process Microsoft Corporation
C:WINDOWSsystem32csrss.exe AUTORITE NTSYSTEM
winlogon.exe 764 00 Application d'ouverture de session Windows NT
Microsoft Corporation C:WINDOWSsystem32winlogon.exe AUTORITE NTSYSTEM
services.exe 808 00 Applications Services et Contrôleur Microsoft
Corporation C:WINDOWSsystem32services.exe AUTORITE NTSYSTEM
svchost.exe 988 00 Generic Host Process for Win32 Services Microsoft
Corporation C:WINDOWSsystem32svchost.exe AUTORITE NTSYSTEM
svchost.exe 1012 00 Generic Host Process for Win32 Services Microsoft
Corporation C:WINDOWSsystem32svchost.exe AUTORITE NTSYSTEM
svchost.exe 1080 00 Generic Host Process for Win32 Services Microsoft
Corporation C:WINDOWSsystem32svchost.exe AUTORITE NTSERVICE RÉSEAU
svchost.exe 1128 00 Generic Host Process for Win32 Services Microsoft
Corporation C:WINDOWSsystem32svchost.exe AUTORITE NTSERVICE LOCAL
spoolsv.exe 1304 00 Spooler SubSystem App Microsoft Corporation
C:WINDOWSsystem32spoolsv.exe AUTORITE NTSYSTEM
CCEVTMGR.EXE 1332 00 Event Manager Service Symantec Corporation
C:Program FilesFichiers communsSymantec SharedCCEVTMGR.EXE AUTORITE
NTSYSTEM
alg.exe 1480 00 Application Layer Gateway Service Microsoft Corporation
C:WINDOWSsystem32alg.exe AUTORITE NTSERVICE LOCAL
SAgent2.exe 1500 00 C:Program FilesFichiers
communsEPSONEBAPISAgent2.exe AUTORITE NTSYSTEM
NAVAPSVC.EXE 1544 00 Norton AntiVirus Auto-Protect Service Symantec
Corporation C:Program FilesNorton AntiVirusNAVAPSVC.EXE AUTORITE
NTSYSTEM
NPROTECT.EXE 1580 00 Norton Protection Status Symantec Corporation
C:Program FilesNorton AntiVirusAdvToolsNPROTECT.EXE AUTORITE NTSYSTEM
nvsvc32.exe 1620 00 C:WINDOWSsystem32nvsvc32.exe AUTORITE
NTSYSTEM
svchost.exe 1764 00 Generic Host Process for Win32 Services Microsoft
Corporation C:WINDOWSsystem32svchost.exe AUTORITE NTSYSTEM
lsass.exe 820 00 LSA Shell (Export Version) Microsoft Corporation
C:WINDOWSsystem32lsass.exe AUTORITE NTSYSTEM
explorer.exe 1204 00 Explorateur Windows Microsoft Corporation
C:WINDOWSexplorer.exe PCKIBOOSTantoine
CCAPP.EXE 2968 00 Common Client CC App Symantec Corporation C:Program
FilesFichiers communsSymantec SharedCCAPP.EXE PCKIBOOSTantoine
NMain.exe 2120 00 Symantec Integrator Symantec Corporation C:Program
FilesFichiers communsSymantec SharedNMain.exe PCKIBOOSTantoine
CCLGVIEW.EXE 3328 00 Common Client Log Viewer Symantec Corporation
C:Program FilesFichiers communsSymantec SharedCCLGVIEW.EXE
PCKIBOOSTantoine
rundll32.exe 3304 00 Exécuter une DLL en tant qu'application Microsoft
Corporation C:WINDOWSsystem32rundll32.exe PCKIBOOSTantoine
dslmon.exe 3384 00 ADIMON MFC Application C:Program FilesSAGEMSAGEM
800-840dslmon.exe PCKIBOOSTantoine
iexplore.exe 3468 00 Internet Explorer Microsoft Corporation C:Program
FilesInternet Exploreriexplore.exe PCKIBOOSTantoine
getright.exe 3624 00 GetRight® www.getright.com Headlight Software, Inc.
C:Program FilesGetRightgetright.exe PCKIBOOSTantoine
msimn.exe 3868 00 Outlook Express Microsoft Corporation C:Program
FilesOutlook Expressmsimn.exe PCKIBOOSTantoine
regedit.exe 1324 00 Éditeur du Registre Microsoft Corporation
C:WINDOWSregedit.exe PCKIBOOSTantoine
procexp.exe 4048 02 Sysinternals Process Explorer Sysinternals
C:Downloadsprocexpntprocexp.exe PCKIBOOSTantoine
svchost.exe 3120 00 C:WINDOWSsvchost.exe PCKIBOOSTantoine

Process: svchost.exe Pid: 3120

Type Name
Desktop Default
Directory Windows
Directory BaseNamedObjects
Directory KnownDlls
Event BaseNamedObjectsuserenv: User Profile setup event
Event BaseNamedObjectscrypt32LogoffEvent
File C:Documents and SettingsantoineLocal
SettingsHistoriqueHistory.IE5index.dat
File DeviceAfdEndpoint
File DeviceTcp
File DeviceTcp
File DeviceIp
File DeviceIp
File DeviceIp
File DeviceTcp
File
C:WINDOWSWinSxSx86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0
.10.0_x-ww_f7fb5805
File DeviceKsecDD
File DeviceNamedPipeROUTER
File DeviceNetBT_Tcpip_{F22ADCA8-7D7A-4097-8F70-78A71EBB97AB}
File DeviceUdp
File
C:WINDOWSWinSxSx86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0
.10.0_x-ww_f7fb5805
File
C:WINDOWSWinSxSx86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0
.10.0_x-ww_f7fb5805
File
C:WINDOWSWinSxSx86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0
.10.0_x-ww_f7fb5805
File C:WINDOWSsystem32msisgr.com
File C:WINDOWSmsagentmsxmxh.com
File C:Documents and Settingsantoine
File DeviceTcp
File C:Documents and SettingsantoineLocal SettingsTemporary Internet
FilesContent.IE5index.dat
File DeviceAfdAsyncSelectHlp
File C:Documents and SettingsantoineCookiesindex.dat
File DeviceAfdEndpoint
Key HKLM
Key HKLMSYSTEMControlSet001ServicesTcpipLinkage
Key HKLMSYSTEMControlSet001ServicesTcpipParameters
Key HKLMSYSTEMControlSet001ServicesNetBTParametersInterfaces
Key HKLMSYSTEMControlSet001ServicesNetBTParameters
Key HKLMSOFTWAREMicrosoftTracingRASAPI32
Key HKU
Key HKLMSYSTEMControlSet001Hardware Profiles001
Key HKLMSOFTWAREMicrosoftWindows NTCurrentVersionDrivers32
Key HKCU
Key HKCUSoftwareClasses
Key HKCUSoftwareMicrosoftWindowsCurrentVersionInternet Settings
Key HKLMSYSTEMControlSet001ServicesWinSock2ParametersProtocol_Catalog9
Key
HKLMSYSTEMControlSet001ServicesWinSock2ParametersNameSpace_Catalog5
KeyedEvent KernelObjectsCritSecOutOfMemoryEvent
Mutant BaseNamedObjectsc:!documents and settings!antoine!local
settings!historique!history.ie5!
Mutant BaseNamedObjectsWininetStartupMutex
Mutant BaseNamedObjectsWininetProxyRegistryMutex
Mutant BaseNamedObjectsRasPbFile
Mutant BaseNamedObjectsZonesCounterMutex
Mutant BaseNamedObjectsZonesCacheCounterMutex
Mutant BaseNamedObjects_!MSFTHISTORY!_
Mutant BaseNamedObjectsc:!documents and settings!antoine!local
settings!temporary internet files!content.ie5!
Mutant BaseNamedObjectsc:!documents and settings!antoine!cookies!
Section BaseNamedObjectsC:_Documents and Settings_antoine_Local
Settings_Historique_History.IE5_index.dat_655360
Section BaseNamedObjectsSENS Information Cache
Section BaseNamedObjectsC:_Documents and Settings_antoine_Local
Settings_Temporary Internet Files_Content.IE5_index.dat_2637824
Section BaseNamedObjectsC:_Documents and
Settings_antoine_Cookies_index.dat_65536
Semaphore BaseNamedObjectsshell.{210A4BA0-3AEA-1069-A2D9-08002B30309D}
Thread svchost.exe(3120): 3132
Thread svchost.exe(3120): 3172
Thread svchost.exe(3120): 3132
Thread svchost.exe(3120): 3172
Thread svchost.exe(3120): 3116
Thread svchost.exe(3120): 3172
Thread svchost.exe(3120): 3188
Thread svchost.exe(3120): 3196
Thread svchost.exe(3120): 3132
Thread svchost.exe(3120): 3116
WindowStation WindowsWindowStationsWinSta0
WindowStation WindowsWindowStationsWinSta0
Avatar
Antoine B
désolé
le listing concernant le process debute en fait ici :

Process: svchost.exe Pid: 3120

Type Name
Desktop Default
Directory Windows
Directory BaseNamedObjects
Directory KnownDlls
Event BaseNamedObjectsuserenv: User Profile setup event
Event BaseNamedObjectscrypt32LogoffEvent
File C:Documents and SettingsantoineLocal
SettingsHistoriqueHistory.IE5index.dat
File DeviceAfdEndpoint
File DeviceTcp
File DeviceTcp
File DeviceIp
File DeviceIp
File DeviceIp
File DeviceTcp
File

C:WINDOWSWinSxSx86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0

.10.0_x-ww_f7fb5805
File DeviceKsecDD
File DeviceNamedPipeROUTER
File DeviceNetBT_Tcpip_{F22ADCA8-7D7A-4097-8F70-78A71EBB97AB}
File DeviceUdp
File

C:WINDOWSWinSxSx86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0

.10.0_x-ww_f7fb5805
File

C:WINDOWSWinSxSx86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0

.10.0_x-ww_f7fb5805
File

C:WINDOWSWinSxSx86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0

.10.0_x-ww_f7fb5805
File C:WINDOWSsystem32msisgr.com
File C:WINDOWSmsagentmsxmxh.com
File C:Documents and Settingsantoine
File DeviceTcp
File C:Documents and SettingsantoineLocal SettingsTemporary Internet
FilesContent.IE5index.dat
File DeviceAfdAsyncSelectHlp
File C:Documents and SettingsantoineCookiesindex.dat
File DeviceAfdEndpoint
Key HKLM
Key HKLMSYSTEMControlSet001ServicesTcpipLinkage
Key HKLMSYSTEMControlSet001ServicesTcpipParameters
Key HKLMSYSTEMControlSet001ServicesNetBTParametersInterfaces
Key HKLMSYSTEMControlSet001ServicesNetBTParameters
Key HKLMSOFTWAREMicrosoftTracingRASAPI32
Key HKU
Key HKLMSYSTEMControlSet001Hardware Profiles001
Key HKLMSOFTWAREMicrosoftWindows NTCurrentVersionDrivers32
Key HKCU
Key HKCUSoftwareClasses
Key HKCUSoftwareMicrosoftWindowsCurrentVersionInternet Settings
Key
HKLMSYSTEMControlSet001ServicesWinSock2ParametersProtocol_Catalog9

Key
HKLMSYSTEMControlSet001ServicesWinSock2ParametersNameSpace_Catalog5
KeyedEvent KernelObjectsCritSecOutOfMemoryEvent
Mutant BaseNamedObjectsc:!documents and settings!antoine!local
settings!historique!history.ie5!
Mutant BaseNamedObjectsWininetStartupMutex
Mutant BaseNamedObjectsWininetProxyRegistryMutex
Mutant BaseNamedObjectsRasPbFile
Mutant BaseNamedObjectsZonesCounterMutex
Mutant BaseNamedObjectsZonesCacheCounterMutex
Mutant BaseNamedObjects_!MSFTHISTORY!_
Mutant BaseNamedObjectsc:!documents and settings!antoine!local
settings!temporary internet files!content.ie5!
Mutant BaseNamedObjectsc:!documents and settings!antoine!cookies!
Section BaseNamedObjectsC:_Documents and Settings_antoine_Local
Settings_Historique_History.IE5_index.dat_655360
Section BaseNamedObjectsSENS Information Cache
Section BaseNamedObjectsC:_Documents and Settings_antoine_Local
Settings_Temporary Internet Files_Content.IE5_index.dat_2637824
Section BaseNamedObjectsC:_Documents and
Settings_antoine_Cookies_index.dat_65536
Semaphore BaseNamedObjectsshell.{210A4BA0-3AEA-1069-A2D9-08002B30309D}
Thread svchost.exe(3120): 3132
Thread svchost.exe(3120): 3172
Thread svchost.exe(3120): 3132
Thread svchost.exe(3120): 3172
Thread svchost.exe(3120): 3116
Thread svchost.exe(3120): 3172
Thread svchost.exe(3120): 3188
Thread svchost.exe(3120): 3196
Thread svchost.exe(3120): 3132
Thread svchost.exe(3120): 3116
WindowStation WindowsWindowStationsWinSta0
WindowStation WindowsWindowStationsWinSta0




Avatar
joke0
Salut,

Ascadix:
Pour voir un peu mieux les différents emplacements d'où un soft
peu s'autoexecuter


http://www.lacave.net/~jokeuse/usenet/demarrage.html
(bientôt une grosse màj)

--
joke0

1 2 3 4