Virus avec svchost

[dehmani]

Salut tout le monde
Mon antivirus AVG détecte fréquantement un virus causé par le processus SVCHOST pid 956. Veuillez m'aider à fixer ce problème définitivement.
Ci-joint une image de l'alerte AVG.
http://img227.imageshack.us/my.php?image=svchotsu9.jpg

[rsv700]

dehmani,

Il s'agit de traces d'infections qui sont entre autre, dissimulées dans les points de restaurations.
Lorsque SvcHost est situé dans system32, ça c'est correct, à suivre..

Suivez la procédure de désinfection en produisant un rapport HijackThis v2.0.2 et affichez ce rapport.

Purger tous les points de restaurations de la Restauration du système
(Démarrer --> clic-droit sur Poste de travail et Propriétés..) ;
- en cochant Désactiver la Restauration du sys.. valider
- et décoché Désactiver la Restauration du sys.. valider.
Un point de restauration sera sera recréé automatiquement.

Un membre de l'équipe de désinfection viendra prendre en charge votre analyse.

[r@in | b0w]

Bonjour.

SVCHOST pid 956 indique un processus et son port rattaché (si je ne me trompe pas).

Après le scan HiJackThis, on en saura déjà plus.

Ps: @ rzsv700, cela fait très "chef" ta manière de laisser la place aux membres de l'équipe désinfection.

Même si cette "équipe" n'existe officieusement, il n'est pas nécessaire de la mettre en avant à chaque fois ni de sembler la diriger

Ps2: et pour les couleurs, ce n'est pas obligatoire non plus.
De plus, le rouge reste l'apanage de l'équipe de modération.

[rsv700]

Bah.. je trouvais ça professionnel.

_________________________________
J'avais édité ce message pour ne retenir que la prémisse de votre message précédent.
Cette ré-édition complète le message précédent et le suivant.

Soit ;

Un membre de l'équipe de désinfection viendra prendre en charge votre analyse.

il n'est pas nécessaire de la mettre en avant à chaque fois ni de sembler la diriger

Cette phrase signifiait simplement qu'un modérateur ou membre plus expérimenté prendra le relais.
Puisque mon type d'intervention dans les quelques section "Analyse/éradication d'infection.." de forum ou je participe, ne se limite généralement qu'à la réponse de première instance, soit la réponse qui suit immédiatement le message initial de l'auteur d'un sujet.
Laquelle intervention, suivant l'énoncé du problème, n'a pour but que de proposer dans la majeure partie des cas, de générer un rapport HJT et quelque fois selon le problème associé à l'énoncé, la production d'un rapport à partir d'une Recherche (option 1-) soit, avec Navilog1, Lop & CID, LopXP, SmitFraudFix...

Bref, c'est la première fois qu'un modérateur ou membre attitré à la désinfection n'apprécie pas cette locution, qui je le répète n'a pour but que de faire en sorte que l'auteur du sujet se sente pris en charge en étant bien dirigé.

Pour la règle importante, il est bien entendu que je ne cherche pas à rajouter des vermines sur la machines qui passent en désinfection ici.

Cette règle de convenance vient d'un tutoriel d'HJT.
Etait utilisée "avant édition" comme référence de base "précisément" au fait que, de ma condition de débutant+ou-intermédiaire dans ce domaine, je répondait à l'essence de cette règle puisque je ne propose jamais autre chose que la production de rapport d'analyse ou de recherche. Ce qui n'altère donc aucunement le fonctionnement du PC d'un internaute.

By the way, cet exercice "réponse de première instance" déjà en vigueur sur ce forum, est pratique pour les modérateurs ou membres attitrés à la désinfection qui sont toujours très accaparé par leurs fonctions.

J'espère que le nombre de messages postés sur ce forum permet de voir mon implication & mon application dans l'aide.

Sais pas ou vous êtes allez chercher ça ?
Quelqu'un qui a plus de 2-3000++ post est très expérimentés.

S'il vous plaît ne me prêtés pas d'intentions qui ne sont miennes.

Le cas échéant je pourrai peut-être m'élever dans ce domaine sur les couleur de votre arc-en-ciel.

Merci.

[dehmani]

Je remercie tous les experts qui s'intéressent à mon problème.
Voici le rapport de HIJACHTHIS:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:19:59, on 09/08/2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16640)
Boot mode: Normal

Running processes:
C:WINDOWSSystem32smss.exe
C:WINDOWSsystem32winlogon.exe
C:WINDOWSsystem32services.exe
C:WINDOWSsystem32lsass.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSSystem32svchost.exe
C:WINDOWSsystem32spoolsv.exe
C:WINDOWSExplorer.EXE
C:Program FilesDU MeterDUMeter.exe
C:WINDOWSsystem32RunDll32.exe
C:WINDOWSSamsungComSMMgrssmmgr.exe
C:PROGRA~1AVGAVG8avgtray.exe
C:WINDOWSsystem32ctfmon.exe
D:PROGRAMSUtilitaires\_VOLUME OSDWNVolumeOSD.exe
C:Program FilesTuneUp Utilities 2008MemOptimizer.exe
C:PROGRA~1AVGAVG8avgwdsvc.exe
C:Program FilesCyberLinkShared filesRichVideo.exe
C:WINDOWSsystem32wscntfy.exe
C:PROGRA~1AVGAVG8avgam.exe
C:PROGRA~1AVGAVG8avgrsx.exe
C:PROGRA~1AVGAVG8avgnsx.exe
C:PROGRA~1AVGAVG8avgemc.exe
C:Program FilesMozilla Firefoxfirefox.exe
D:PROGRAMSUtilitaireshijackthisHiJaTh.exe

R1 - HKCUSoftwareMicrosoftInternet ExplorerMain,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLMSoftwareMicrosoftInternet ExplorerMain,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLMSoftwareMicrosoftInternet ExplorerSearch,SearchAssistant =
R0 - HKLMSoftwareMicrosoftInternet ExplorerSearch,CustomizeSearch =
R1 - HKCUSoftwareMicrosoftWindowsCurrentVersionInternet Settings,ProxyServer = socks=
R0 - HKCUSoftwareMicrosoftInternet ExplorerToolbar,LinksFolderName = Liens
O2 - BHO: IDM Helper - {0055C089-8582-441B-A0BF-17B458C2A3A8} - C:Program FilesInternet Download ManagerIDMIECC.dll
O2 - BHO: BitComet ClickCapture - {39F7E362-828A-4B5A-BCAF-5B79BFDFEA60} - C:Program FilesBitComet oolsBitCometBHO_1.2.6.26.dll
O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:Program FilesAVGAVG8avgssie.dll
O2 - BHO: Catcher Class - {ADECBED6-0366-4377-A739-E69DFBA04663} - C:Program FilesMoyeaFLV DownloaderMoyeaCth.dll
O4 - HKLM..Run: [IMJPMIG8.1] "C:WINDOWSIMEimjp8_1IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM..Run: [Adobe Reader Speed Launcher] "C:Program FilesAdobeReader 8.0ReaderReader_sl.exe"
O4 - HKLM..Run: [DU Meter] C:Program FilesDU MeterDUMeter.exe
O4 - HKLM..Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM..Run: [Samsung Common SM] "C:WINDOWSSamsungComSMMgrssmmgr.exe" /autorun
O4 - HKLM..Run: [AVG8_TRAY] C:PROGRA~1AVGAVG8avgtray.exe
O4 - HKCU..Run: [CTFMON.EXE] C:WINDOWSsystem32ctfmon.exe
O4 - HKCU..Run: [WNVolumeOSD] "D:PROGRAMSUtilitaires\_VOLUME OSDWNVolumeOSD.exe"
O4 - HKCU..Run: [TuneUp MemOptimizer] "C:Program FilesTuneUp Utilities 2008MemOptimizer.exe" autostart
O4 - HKUSS-1-5-19..Run: [CTFMON.EXE] C:WINDOWSsystem32CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUSS-1-5-20..Run: [CTFMON.EXE] C:WINDOWSsystem32CTFMON.EXE (User 'SERVICE RESEAU')
O4 - HKUSS-1-5-18..Run: [CTFMON.EXE] C:WINDOWSsystem32CTFMON.EXE (User 'SYSTEM')
O4 - HKUSS-1-5-18..RunOnce: [tscuninstall] %systemroot%system32 scupgrd.exe (User 'SYSTEM')
O4 - HKUS.DEFAULT..Run: [CTFMON.EXE] C:WINDOWSsystem32CTFMON.EXE (User 'Default user')
O4 - HKUS.DEFAULT..RunOnce: [tscuninstall] %systemroot%system32 scupgrd.exe (User 'Default user')
O8 - Extra context menu item: &D&ownload &with BitComet - res://C:Program FilesBitCometBitComet.exe/AddLink.htm
O8 - Extra context menu item: &D&ownload all video with BitComet - res://C:Program FilesBitCometBitComet.exe/AddVideo.htm
O8 - Extra context menu item: &D&ownload all with BitComet - res://C:Program FilesBitCometBitComet.exe/AddAllLink.htm
O8 - Extra context menu item: Download all links with IDM - C:Program FilesInternet Download ManagerIEGetAll.htm
O8 - Extra context menu item: Download FLV video content with IDM - C:Program FilesInternet Download ManagerIEGetVL.htm
O8 - Extra context menu item: Download with IDM - C:Program FilesInternet Download ManagerIEExt.htm
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:PROGRA~1MICROS~2OFFICE11EXCEL.EXE/3000
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:PROGRA~1MICROS~2OFFICE11REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:WINDOWSNetwork Diagnosticxpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:WINDOWSNetwork Diagnosticxpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:Program FilesMessengermsmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:Program FilesMessengermsmsgs.exe
O16 - DPF: {56762DEC-6B0D-4AB4-A8AD-989993B5D08B} (OnlineScanner Control) - http://www.eset.eu/buxus/docs/OnlineScanner.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windows ... 8249289796
O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:Program FilesAVGAVG8avgpp.dll
O20 - AppInit_DLLs: avgrsstx.dll
O23 - Service: AVG8 E-mail Scanner (avg8emc) - AVG Technologies CZ, s.r.o. - C:PROGRA~1AVGAVG8avgemc.exe
O23 - Service: AVG8 WatchDog (avg8wd) - AVG Technologies CZ, s.r.o. - C:PROGRA~1AVGAVG8avgwdsvc.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:Program FilesCyberLinkShared filesRichVideo.exe
O23 - Service: TuneUp Drive Defrag Service (TuneUp.Defrag) - TuneUp Software GmbH - C:WINDOWSSystem32TuneUpDefragService.exe

--
End of file - 6209 bytes

[r@in | b0w]

Re.

@ rsv700: je n'ai pas tout suivi à tout plaidoyer.

Une seule chose à retenir cependant, tu veux aider et c'est une des choses possibles sur ce forum.

Par contre, il n'y a pas d'expert en désinfection, seulement certaines personnes qui y sont plus que d'autres.

Pour la règle importante, il est bien entendu que je ne cherche pas à rajouter des vermines sur la machines qui passent en désinfection ici.

Mais là, c'est juste une histoire de confiance.
J'espère que le nombre de messages postés sur ce forum permet de voir mon implication & mon application dans l'aide.

Sur ces bonnes paroles et après une petite édition de ta part qui est tout à ton honneur, on attaque la désinfection.

Ps: par contre, pour les couleurs, c'est vraiment une habitude, le rouge reste pour l'équipe de modération.

_ Par rapport au log HiJackThis, rien de méchant...

_ Tu as effectué la purge des points de restauration?
Si non, fais-le.

Puis lances une analyse antivirus avec AVG et postes-nous le rapport généré si une menace est trouvée.

[dehmani]

Problème réglé.
MERCI A TOUS.

[r@in | b0w]

Bonjour.

Problème réglé.

Tu pourrais nous dire de quelle manière, que cela serve aux prochains.
Merci.