20080121:
win xp, compte utilisateur avec droit d'admin, sans pwd.
photos dans dossier [[http://antiguide.free.fr/images/pconinternet2]]
smyptômes: fenêtre surgissantes, appartenant au navigateur (donc différent de MF94) & activité 100%-
deux lignex suivante à balader
spywareSecure signale un risque sur MF94 http://antiguide.free.fr/images/pconinternet2/DSCN3462.JPG lien gfaux
besoin d'augmenter la memoire, sur MF94, NE PAS FAIRE, trouver le demandeur: http://antiguide.free.fr/images/pconinternet2/DSCN3464.JPG numéro erroné
propose installer spywareSecure http://antiguide.free.fr/images/pconinternet2/DSCN3516.JPG
passé Ad-Aware, a supprimé un malware de killprog (site russe auteur aussi d'un interface Windows-FTP);
laissé windows tourner (hypothèse d'un scan complet du disque)
20080122
0) le lendemain, toujours 100%, en deux mots l'activité provient de Norton, dans ses alertes on trouve qu'il répond toujours négativement à la demande de lecture du programme signalé à l'item suivant (donc un programme qui n'obtient pas l'accès à un fichier et le redemande sans fin).
00) installé analyzer, bien fonctionné, lancement par le menu démarrer/programme; captures sur le bureau dans le dossier éponyme, copiées [[http://antiguide.free.fr/images/pconinternet3 ici]] .
1) trouvé un programme inconnu sur google, du genre xyvciz.exe, à rapprocher de qizxqd.exe ou je ne sais plus quel autre (voir autres pages pconinternet)
(faudrait comparer taille et autre)
2) le programme est lancé par la clé RUN du registre, facile à supprimer le lancement3) le programme qui chatouille Norton en 0) n'est pas visible dans le dossier signalé (%appdata%), pas d'équivalent ailleurs sur le disque; pas non plus de fichier qui contienne cette chaîne de caractères. Par contre on trouve le même nom en prefetch.
autres remarques:
parmi les publicités vues, outre les malware connus et déjà vus, il y avait cette fois aussi des pub pour Alice et Boyguestelecom!
suites:
le fichier (pas trouvé) n'a donc pas été effacé! A chercher avec un boot linuxlive.
passer un autre logiciel de recherche de virus (comme clamav); ne le connait pas non plus
chercher comment l'injection se fait, norton signale des dialogues avec l'adresse 127.0.0.1, voir si il joue comme proxy
déposé deux captures par analyzer (version 3.0) dans le dossier http://antiguide.free.fr/images/pconinternet3