Random System Information Tool

.Logfile of random's system information tool 1.08 (written by random/random)Version de Random System Information Tool

. Run by Sayce at 2010-07-24 18:26:54Nom de l'utilisateur/date/heure

. Microsoft Windows XP Édition familiale Service Pack 3Version du système d'exploitation

. System drive C: has 31 GB (84%) free of 37 GBTaille du disque dur principal/Pourcentage de libre

. Total RAM: 495 MB (50% free)Taille de la mémoire vive/Pourcentage de libre

Regardez bien les deux dernières lignes. Ces deux lignes peuvent indiquer l'espace libre sur le disque, et la mémoire utilisée lors du scan, ces deux lignes peuvent expliquer les ralentissements.

C:\WINDOWS\tasks\AppleSoftwareUpdate.job.

Il y a donc une tâche planifiée présente au chemin indiqué apparemment créée par le logiciel de mise à jour de Apple.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{25147105-f2aa-4be2-8a71-ac68a4bfa05c}] C:\WINDOWS\system32\wpyugv.dll [2008-11-12 113664]

• La clé habituelle, à laquelle un CLSID permettant de reconnaître la Browser Helper Object est ajouté en sous-clé.

• Puis, en données, le fichier .dll de la Browser Helper Object est indiqué, suivi de la date de sa création et de sa taille. Vu le nom aléatoire de la .dll, la Browser Helper Object est infectieuse.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]

• Cette clé liste toutes les barres d'outils (toolbars en anglais), ces barres d'outils s'ajoutent aux navigateurs, et ajoutent des fonctionnalités supplémentaires. A mon sens ces barres sont la plupart du temps dénuées d'intérêt. Ces toolbars sont souvent proposées lors de l'installation de logiciels.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar\{EE5D279F-081B- 4404-994D-C6B60AAEBA6D}] - EPSON Web-To-Page - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To- Page.dll [2005-02-21 368640]

• La clé habituelle, à laquelle un CLSID permettant de reconnaître la barre d'outils est ajouté en sous-clé. Ensuite vient le nom de la barre d'outils. Puis en données, le fichier .dll de la barre d'outils : ici la barre d'outils appartient à Epson, elle est donc légitime.

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]

• Cette clé liste les logiciels se lançant via la clé «Run». Cette clé, qui permet de lancer les logiciels au démarrage, est très importante lorsque l'on sait que la majorité des infections se lancent dès le démarrage du PC.

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run] "QuickTime Task"=C:\Program Files\QuickTime\qttask.exe [2008-03-28 413696]

• En première ligne, on voit la clé Run, puis entre guillemets, la valeur mise sous l'effigie de la clé puis, à droite du «=» se trouve la donnée assignée à la valeur suivie de la date de sa création puis de sa taille.

Pour en vérifier la légitimité, on utilise le fichier - ici " qttask.exe " - ou le nom de la valeur " QuickTime Task ". N'oubliez pas de regarder la date de création : lors d'une infection les fichiers infectieux sont tous créés dans la même période.

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
Même chose que précédemment sauf que la ruche change : ici c'est "HKCU" Pas d'exemple ici mais c'est la même chose que la précédente ; seule la ruche change.

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\]
Liste les services qui se lancent lors du démarrage en mode sans échec.

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\network\]
Liste des services qui se lancent lors du démarrage en mode sans échec avec prise en charge du réseau.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\]
Liste tous les logiciels autorisés par msconfig au démarrage (visible aussi via msconfig dans la ligne de commande Exécuter).

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\]
Liste des programmes du dossier démarrage «C:\Documents and Settings\NOMDESESSION\Menu Démarrer\Programmes\Démarrage». Sous XP et sous Vista, «C:\Users\NOMDESESSION». Ce dossier de démarrage permet de lancer un fichier .lnk (raccourci), qui à son tour lance le .exe dont il est le raccourci.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\ Winlogon\Notify\]
Liste des fichiers se lançant dès l'ouverture de session.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\Notify\vtUklijg]

.La première ligne est la clé listée, c'est-à-dire HKLM/../Notify suivie de «vtUklijg» en sous-clé.
.Puis en deuxième ligne, la donnée assignée à la clé. Ici la clé/donnée est infectieuse. Vous remarquerez qu'il n'y a pas de date entre les crochets, ce qui signifie souvent, mais pas systématiquement, que la clé est orpheline, c'est-à-dire que la donnée n'existe pas et qu'en conséquence, la clé ne renvoie vers rien.
Mais le fait que les crochets soient vides peut être dû à un mauvais accès au fichier ou autre.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ ShellServiceObjectDelayLoad]
Liste des fichiers lancés par Explorer.exe.

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\ System]
Liste des restrictions/stratégies de sécurité. Ces restrictions peuvent être utilisées par les administrateurs dans certains lieux de travail pour empêcher l'accès à certaines options du PC mais elles sont aussi souvent utilisées par les malwares pour empêcher l'accès à la BDR ou au gestionnaire de tâches.

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System] "dontdisplaylastusername"=1

• La première ligne correspond à la clé.

• La deuxième ligne correspond à une restriction nommée "dontdisplaylastusername" qui a pour but de déterminer si le nom du dernier utilisateur doit être conservé pour la prochaine ouverture de la session. Comme vous le voyez, elle a pour donnée "1", le plus souvent (pas systématiquement).

• Lorsque les restrictions ont pour donnée "1" elles sont actives et lorsqu'elles ont pour donnée «0», elles sont inactives.

• La troisième ligne correspond à une restriction nommée "legalnoticecaption". Cette fois, la restriction n'a pas de donnée (souvent les données vides sont les données par défaut).

Ici, les deux restrictions ne sont pas dangereuses mais celle-ci "DisableTaskMgr" permet de désactiver le gestionnaire des tâches et empêche l'utilisateur d'y accéder. Ceci permet à l'infection d'empêcher l'utilisateur de regarder les processus lancés et donc de vérifier si le PC est infecté.

En conclusion, comme vous le voyez, les restrictions peuvent être intéressantes à utiliser pour les malwares.

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\ explorer]
Comme la précédente, seule la dernière sous-clé change. Ici c'est "explorer" au lieu de "system"

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\explorer]
Comme la précédente, seule la ruche change : ici c'est "HKCU".

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\ parameters\firewallpolicy\standardprofile\authorizedapplications\list]
Liste les applications autorisées par le firewall de Micosoft. En effet, les applications doivent demander l'accès au Net au firewall de Microsoft (s'il est le firewall du PC) et donc, les malwares sont souvent présents dans cette clé du fait qu'ils ont souvent besoin d'avoir un accès au Net.

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\ firewallpolicy\domainprofile\authorizedapplications\list] ''C:\Program Files\Windows Live\Messenger\msnmsgr.exe"="C:\Program Files\Windows Live\Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger"

Cette ligne signifie donc que le logiciel MSN a le droit d'accéder à Internet. En effet la première ligne correspond à la clé d'autorisation à l'accès au Net ; les autres montrent quels fichiers auront accès au Net.

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\ mountpoints2\]
Cette clé permet de voir quel périphérique a été connecté au PC et de déceler une infection par support amovible.
Cette clé est très importante !

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\ {410476de-2cf3-11dd-9a4d-001d926d047f}]
shell\AutoRun\command - E:\RavMon.exe
shell\explore\command - E:\RavMon.exe -e
shell\open\command - E:\RavMon.exe

• Le CLSID attaché à notre clé de départ est un identifiant propre à chaque support amovible.

• La deuxième ligne correspond au fichier Autorun du support amovible. Le fichier Autorun permet de lancer automatiquement la clé lorsqu'on la branche au PC. C'est via ce fichier que les infections par supports amovibles se propagent.

Ici le fichier s'appelle «RavMon.exe»; une simple recherche sur le Net permettra de déterminer qu'il est infectieux.

• La troisième ligne correspond à l'ouverture du support amovible par clic droit / Explorer.

• La quatrième ligne correspond à l'ouverture de support amovible par double-clic gauche.

On en déduit donc que ces supports amovibles sont infectés. Il faudra, par conséquent, lors de la désinfection les brancher au PC afin de les nettoyer.

2008-11-12 20:38:26 ----RSH---- C:\WINDOWS\SVCHOST.EXE

• "2008-11-12 20:38:26" Date et heure de la création du fichier.
• "RSH" Indique que c'est un fichier système en lecture seule et caché.
• "C:\WINDOWS\SVCHOST.EXE" indique le chemin du fichier créé, c'est-à-dire svchost.exe.

R2 AntiVirSchedulerService;Avira AntiVir Planificateur; C:\Program Files\Avira\AntiVir Desktop\sched.exe [2009-05-13 108289]

I-F-2. Explications▲

La première ligne correspond au logiciel de mise à jour de Apple et indique le fichier exécutable utilisé pour mettre à jour Apple. Ce fichier est un fichier appartenant à Windows permettant de mettre à jour les logiciels fournis avec Windows.
La deuxième ligne nous montre que le logiciel Avast est installé sur le PC. Elle nous montre aussi que le fichier «aswRunDll.exe» lance le fichier "aswRunDll.exe". Il arrive souvent que vous ayez ce genre de ligne dans les rapports HijackThis : un premier fichier légitime qui en lance un second entre « » qui lui est parfois illégitime .
En conséquence de quoi, lors de la désinfection, si elle est manuelle, ne supprimer que le second fichier.

127.0.0.1 localhost
127.0.0.1 mpa.one.microsoft.com
127.0.0.1 rad.msn.com

La première ligne, indique que l'adresse du PC est «127.0.0.1». C'est toujours la même pour tous les PC. Cette adresse est, comme indiqué à côté, l'adresse locale.
La deuxième ligne, indique que l'accès au site « mpa.one.microsoft.com» est bloqué, en effet l'adresse IP « 127.0.0.1» correspond à l'ordinateur.
La troisième ligne, indique que l'accès au site «rad.msn.com» est bloqué, en effet l'adresse IP « 127.0.0.1» correspond à l'ordinateur.

AV: AntiVir Desktop (outdated)

Cette ligne nous montre que l'antivirus du PC, - ici Avira AntiVir - n'est pas à jour et donc que le PC court un risque.

. Type de l'événement : Erreur"Type d'événement survenu" ici Erreur, niveau maximum de gravité.

. Source de l'événement : Windows Update Agent"Application à l'origine de l'erreur"

. Catégorie de l'événement : Synchronisation logicielle"Niveau de gravité définie par la source de l'erreur"

. ID de l'événement : 16"Numéro permettant d'identifier le type de l'événement"

. Date : 26/07/2010"Date à laquelle s'est produite l'erreur"

. Heure : 18:07:42"Heure à laquelle s'est produite l'erreur"

. Utilisateur : N/A"Utilisateur qui est à l'origine de l'événement"

. Ordinateur : SAYCE-PC"Nom du PC sur lequel le problème s'est produit"

. Description : Connexion impossible, Windows ne parvient pas à se connecter au service Mises à jour automatiques et ne peut donc pas procéder au téléchargement et à l'installation des mises à jour définies par la planification. Windows continuera d'essayer d'établir la connexion." Description de l'événement"

Ceci est une alerte présente dans le journal des événements.

"ComSpec"=%SystemRoot%\system32\cmd.exe "TEMP"=%SystemRoot%\TEMP

La première ligne signifie que «% ComSpec%» remplace le chemin «C:\WINDOWS\system32\cmd.exe» (En effet, «%SystemRoot%» pointe vers «C:\WINDOWS».
La deuxième ligne montre que la variable «%TEMP%» pointe vers «C:\WINDOWS\TEMP». Cette variable est très utile. En effet, lors d'une désinfection si l'on a besoin de vider les dossiers temporaires, on utilise cette variable.