[XP] [Résolu] Urgent ! Gros problème de sécurité

[sukkoi]

Salut à tous !

Voilà, j'ai un gros soucis.

Depuis deux jour, dès que j'allume mon pc qui est relié en ethernet à ma box internet (haut débit), je vois au clignotement du voyant d'activité réseau que quelque chose se passe.

En interrogeant le firewall (Kapersky suite 2007), je vois que dans les upload, le chiffre de Mo transmis s'incrémente.

En gros, des données sont téléchargées à partir de mon pc.

J'ai passé l'ulititaire spybot qui m'a trouvé peux de menaces (que j'ai tout de même supprimé), j'ai installé internet explorer 7.0, fait les mises à jour de sécurité XP SP2....rien n'y fait !

Dès qu'en fait, le réseau internet est accessible via mon pc, quelque chose ou quelqu'un fait de l'upload sur mon pc.

Le seul moyen que j'ai trouvé pour stopper cela est de bloquer via le firewall Kapersky tous mouvement sur le réseu.

Comment voir quel processus créait ce problème sachant que kapersky à defini 40 processus dans ces règles?

De l'aide svp !

[snooky]

Regarde avec Port Explorer :( valable 30 jours )

http://www.diamondcs.com.au/portexplorer/

Tu peux également visualiser avec KIS ( clic droit , " Activité réseau " en barre de tâches )

Poste un rapport Hijackthis

[Keisch]

Vire Kaspersky !

[sukkoi]

Merci snooky, je post un rapport des ce soir si tu as le temps d'y jeter un oeil, ça serait cool.

Au fait, je le post où, dans mon sujet ?

Quant à ta réponse Keisch, je pense que t'a rien compris à mon problème.

@+

[Nitrogene]

Un simple "netstat -na" en ligne de commandes permet de voir les IP connectées à ton PC.

[sukkoi]

j'ai bien essayé cette commande "netstat -na" mais j'avoue que le résultat donné mais totalement inutile, car je ne sais comment l'exploiter.

Comment savoir quelle ip est indésirable et quel programme ou troyan utilise un port ou une IP ?

[snooky]

Regarde avec Port Explorer :( valable 30 jours )

http://www.diamondcs.com.au/portexplorer/

Plein d'infos dans le clic droit ...

Puis fait un screen si tu remarques quelque chose d'anormal ..,

[sukkoi]

Voici ma log :

Je dois dire que cela me laisse

Logfile of HijackThis v1.99.1

Scan saved at 17:47:59, on 10/08/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.5730.0011)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe

C:\WINDOWS\system32\ctfmon.exe

P:\PROGRAMMES\Lavasoft\Ad-Aware 2007\aawservice.exe

C:\WINDOWS\ATKKBService.exe

C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe

C:\Program Files\Executive Software\Diskeeper\DkService.exe

P:\PROGRAMMES\Nero 7\InCD\InCDsrv.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Fichiers communs\Ulead Systems\DVD\ULCDRSvr.exe

C:\WINDOWS\System32\wbem\wmiapsrv.exe

C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\ASUS\SmartDoctor\SmartDoctor.exe

P:\PROGRAMMES\Hijackthis Version Française\VERSION TRADUITE ORIGINALE.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Internet Explorer avec Club-Internet

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - P:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - (no file)

O3 - Toolbar: (no name) - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - (no file)

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe"

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O8 - Extra context menu item: Ajouter à Kaspersky Anti-Bannière - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\ie_banner_deny.htm

O8 - Extra context menu item: E&xport to Microsoft Excel - res://P:\PROGRA~1\OFFICE~1\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Statistiques d’Anti-Virus Internet - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\SCIEPlgn.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - P:\PROGRA~1\OFFICE~1\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O11 - Options group: [iNTERNATIONAL] International*

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupd...b?1184927781437

O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~1\KASPER~1.0\adialhk.dll

O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll

O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - P:\PROGRAMMES\Lavasoft\Ad-Aware 2007\aawservice.exe

O23 - Service: ATK Keyboard Service (ATKKeyboardService) - ASUSTeK COMPUTER INC. - C:\WINDOWS\ATKKBService.exe

O23 - Service: Kaspersky Internet Security 7.0 (AVP) - Unknown owner - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe" -r (file missing)

O23 - Service: Diskeeper - Executive Software International, Inc. - C:\Program Files\Executive Software\Diskeeper\DkService.exe

O23 - Service: Google Updater Service (gusvc) - Unknown owner - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe (file missing)

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: InCD Helper (InCDsrv) - Nero AG - P:\PROGRAMMES\Nero 7\InCD\InCDsrv.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Program Files\Fichiers communs\Ulead Systems\DVD\ULCDRSvr.exe

Quand à l'utilisation de http://www.diamondcs.com.au/portexplorer/, je l'ai fait mais j'avoue que je ne sais pas trop ce que je dois chercher !

Un p'tit coup de pouce please !

@+

[snooky]

Si tu as des Mo qui sortent de ton pc , ça se voit non dans Port Explorer ?

Désinstalle Spybot et Ad-Aware !

Montre nous avec un screen ton problème .

[Nitrogene]

j'ai bien essayé cette commande "netstat -na" mais j'avoue que le résultat donné mais totalement inutile, car je ne sais comment l'exploiter.

Comment savoir quelle ip est indésirable et quel programme ou troyan utilise un port ou une IP ?

Avec netstat tu vois les IP qui sont connectés à ta machine donc tu lances cette commande en ayant le minimum de truc ouvert (pas de IE, pas de messenger, etc...). Tu vas voir quelques IP qu'il te suffiras de bloquer depuis ton firewall pour savoir laquelle télécharge depuis ton PC.

[Manix80]

salut

vu que tu vient de formaté bah reformate encore un coup et regarde avec quelle log que tu installe ya de l'upload

[snooky]

Oulah ... faut arrêter là . Il n'y a rien du tout ...

Qu'il nous montre ce qui lui fait tellement peur d'abord .

Parano , quand tu nous tiens ...

[Krapace]

http://www.open-files.com/SEEm-Ekinx-Inxppect-de-Al.html

Tu verra quelle quantitées de données est emises et par quel logiciels.

[snooky]

Dans ma signature également

[Krapace]

Mais heuuuuuuu Je voulait donner le lien moi meme

[chattanooga]

mo ije pense que tu psychote, il n'y a personne qui te "vole" des données...

ce n'est pas parce que le voyant de ton modem clignote, et que kaspersky dit qu'il y a des données envoyées, que quelqu'un te vole des données....

si le voyant clignote, c'est tout a fait normal.

ça me le fait aussi, méme quand mon pc est eteint. (on volerait mes données méme pc eteint ?)

ce voyant montre une activité, et il y a des données qui transitent, méme pc eteint.

(par exemple, les requete ping entrant, mais qui n'aboutissent pas...)

il ne faut pas trop regarder la télé, on ne vole pas les données aussi facilement que tu le dit.

edit: tu devrait installer bandwidth monitor

un logiciel qui permet de voir la bande passante utilisé.

si tu ne fait rien avec ton pc, ou juste du web, et que tu voit une activité en upload.... là je suis d'accord avec toi, on te vole des données.

[snooky]

Je vous recommande (bis) de tester Port Explorer

[sukkoi]

Ouai...........je prend bien note de toutes vos remarques et conseils mais vous serez bien d'accord avec moi que lorsque qu'aucuns processus installé par moi même sur mon PC ne fait de download, il n'y à pas de raison qu'il y ait de l'upload sur celui-ci ( avec voyant réseau qui clignote à fond sans arrêt et DD qui travail !)

Quoi qu'il en soit, Kaperskt semblait buter sur un fichier dans le PGM "internet explorer".

Tout cela s'est fini par un bon formatage complet !

merci à tous !

[snooky]

Puis tu reviens dans ce topic pour nous dire ...