[LOGICIEL] Connexion mysterieuse

[powerpill]

Bonjour a tous.

Voilà mon problème. Je suis sous Windows XP Pro. Lorsque j'execute proport, il m'indique que ma carte réseau (127.0.0.1) se connecte vers "download.aaa1screensavers.com". Le firewall Kapersky ne voit rien. Zone Alarm non plus. J'ai verifié le contenu du fichier HOST (je l'ai même vidé de son contenu) rien n'y fait. Autre détail,lorsque je regarde les process via kapersky anti hacker, je vois lsa shell (export version).

Etonnant car je ne vois n'y ce process sous msconfig ni avec system mechanic pro ...

En fouillant sur le net, je vois k'on parlait du virus Sasser. Heureusement je ne suis pas infecté. Par securité j'installe les correctifs micro$oft mais ce fameux lsa shell (export version) apparait toujours avec kapersky.

Est ce normal ??

Comment me debarrasser de cette connexion intempestive vers le site download.aaa1screensavers.com ?

[zoto]

Salut

vire tous tes cookies et autre fichier temporaires

Ensuite passe un coup d'ad-ware

Enfin apprend a te servir des comptes sur ton xp-pro, ça limite les droits et la casse en meme temps

Ce n'est pas une solution miracle mais ça aides

a+

[-rem-]

vas voir dans le forum logiciel il y a de quoi faire, je t'y envoie directement... A mon avis, on va te conseiller hijackthis...

[Pipotron]

SpyBot et son copain SpyBlaster

[snooky]

Poste un rapport Hijackthis.

[powerpill]

J'ai déja fait ts les scans possiblel et inimaginables.

Les comptes c ok (invité desactivé).

HijackThis aussi (le log a été déja analyser ailleurs).

Ts à été fait dans les règles de l'art. C pour ça ke g posté ici...

je trouve pas !!!!!!!!!!!!

[snooky]

Poste un rapport hilackthis ICI

[powerpill]

voila le contenu du log hijack this pour snooky :

Logfile of HijackThis v1.99.0

Scan saved at 17:15:05, on 4/02/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\System32\CTSvcCDA.EXE

C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro 5\kavmm.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\System32\MsPMSPSv.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Analog Devices\SoundMAX\SMax4PNP.exe

C:\Program Files\Analog Devices\SoundMAX\Smax4.exe

C:\Program Files\ATI Technologies\ATI.ACE\cli.exe

C:\Program Files\Alcatel\SpeedTouch USB\Dragdiag.exe

C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro 5\kav.exe

C:\Program Files\ATI Technologies\ATI.ACE\CLI.exe

C:\Program Files\Kaspersky Lab\Kaspersky Anti-Hacker\KAVPF.exe

C:\Program Files\Pinnacle\Shared Files\Programs\Scheduler\PCLEScheduler.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\PROGRA~1\IZArc\IZArc.exe

C:\DOCUME~1\Inkey$\LOCALS~1\Temp\ARC31\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [CXMon] "C:\Program Files\Hewlett-Packard\PhotoSmart\Photo Imaging\Hpi_Monitor.exe"

O4 - HKLM\..\Run: [soundMAXPnP] C:\Program Files\Analog Devices\SoundMAX\SMax4PNP.exe

O4 - HKLM\..\Run: [soundMAX] "C:\Program Files\Analog Devices\SoundMAX\Smax4.exe" /tray

O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [speedTouch USB Diagnostics] "C:\Program Files\Alcatel\SpeedTouch USB\Dragdiag.exe" /icon

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [KAV50] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro 5\kav.exe" -run -n PersonalPro -v 5.0.0.0

O4 - HKCU\..\Run: [steam] F:\Program Files\Valve\Steam\\Steam.exe -silent

O4 - Startup: Alcatel Speedtouch Connection.lnk = C:\Program Files\Alcatel\SpeedTouch USB\STDialUp.exe

O4 - Global Startup: ATI CATALYST System Tray.lnk = C:\Program Files\ATI Technologies\ATI.ACE\CLI.exe

O4 - Global Startup: Kaspersky Anti-Hacker.lnk = C:\Program Files\Kaspersky Lab\Kaspersky Anti-Hacker\KAVPF.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O4 - Global Startup: Pinnacle Scheduler.lnk = ?

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a936.g.akamai.net/7/936/537/0000000...all/xscan53.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{13426F20-BB98-45F1-9166-2EB5A2E238A5}: NameServer = 195.238.2.22 195.238.2.21

O17 - HKLM\System\CS1\Services\Tcpip\..\{13426F20-BB98-45F1-9166-2EB5A2E238A5}: NameServer = 195.238.2.22 195.238.2.21

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\System32\CTSvcCDA.EXE

O23 - Service: Service d'administration du Gestionnaire de disque logique - Unknown - C:\WINDOWS\System32\dmadmin.exe

O23 - Service: Journal des événements - Unknown - C:\WINDOWS\system32\services.exe

O23 - Service: Service COM de gravage de CD IMAPI - Unknown - C:\WINDOWS\System32\imapi.exe

O23 - Service: KLBLMain - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro 5\kavmm.exe

O23 - Service: Partage de Bureau à distance NetMeeting - Unknown - C:\WINDOWS\System32\mnmsrvc.exe

O23 - Service: DDE réseau - Unknown - C:\WINDOWS\system32\netdde.exe

O23 - Service: DSDM DDE réseau - Unknown - C:\WINDOWS\system32\netdde.exe

O23 - Service: Plug-and-Play - Unknown - C:\WINDOWS\system32\services.exe

O23 - Service: Gestionnaire de session d'aide sur le Bureau à distance - Unknown - C:\WINDOWS\system32\sessmgr.exe

O23 - Service: Prise en charge des cartes à puces - Unknown - C:\WINDOWS\System32\SCardSvr.exe

O23 - Service: Carte à puce - Unknown - C:\WINDOWS\System32\SCardSvr.exe

O23 - Service: SoundMAX Agent Service - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

O23 - Service: Journaux et alertes de performance - Unknown - C:\WINDOWS\system32\smlogsvc.exe

O23 - Service: Cliché instantané de volume - Unknown - C:\WINDOWS\System32\vssvc.exe

O23 - Service: Carte de performance WMI - Unknown - C:\WINDOWS\System32\wbem\wmiapsrv.exe

[snooky]

Salut ,

ton rapport est clean.

Tu peux néanmoins fixer ces inutiles :

O4 - HKLM\..\Run: [CXMon] "C:\Program Files\Hewlett-Packard\PhotoSmart\Photo Imaging\Hpi_Monitor.exe"

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [speedTouch USB Diagnostics] "C:\Program Files\Alcatel\SpeedTouch USB\Dragdiag.exe" /icon

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O4 - Global Startup: Pinnacle Scheduler.lnk = ?

Passe ccleaner et spysweeper ( cf.ma signature )

Spysweeper a-t'il détecté queque chose ? ( aaa1screensavers.com ou autres... )

Tu n'aurais pas d'écran de veille de ce nom ?

Sinon , pour bloquer , il suffit de créer une règle dans ton firewall et y rentrer l'adresse ip ( 66.194.163.93 ) du site en question.

PS :

*On peut voir un screenshot de ce fameux message de connection ?

* La dernière version de Kaspersky antivirus est la 5.0.227 , non ?

[snooky]

Si spysweeper ne trouve rien , teste en fixant ces deux lignes "ATI" avec hijackthis ( tu pourras les remettre ensuite )

O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime

O4 - Global Startup: ATI CATALYST System Tray.lnk = C:\Program Files\ATI Technologies\ATI.ACE\CLI.exe

Reboot et teste.

Si pas de changement , fais pareil avec SoundMax , puis Steam.

[snooky]

Puis , si toujours pas ok , va là :http://aaa1screensavers.com/

...puis Uninstall.

( spysweeper conseillé après ! )

Puis " étoffe " ton fichier HOSTS en visitant cette page : http://forums.maddoktor2.com/index.php?showtopic=545

...AAA1Screensavers.com en fait partie.