Attaque DCOM eploit avast

benoitkalman, le mardi 12 décembre 2006 à 11:57:32

Bonjour à tous ,
Suite a un virus j'ai été contraint de formater mon ordinateur. Hier j'ai reinstallé windows xp pro, mis a jour les drivers et installé l'essentiel pour la protection et la scurité (avast, kerio, spybot, adware, ccleaner, avg anti spyware).
Malgré toutes les dispositions que j'ai pris avast ne cesse de m'envoyer un message d'avertissement du type :
12.12.2006 11:45:34 DCOM Exploit attack
from 82.240.98.66:135
12.12.2006 11:45:42 DCOM Exploit attack
from 82.240.104.148:135

à peu pres toute les deux minutes. J'ai effectué des scan avec avast etc et aucun ne detecte de virus...
Vous est il possible de me dire ce qu'il ne va pas avec l'aide du scan queje viens de faire avec hijackthis s'il vousplait :

Logfile of HijackThis v1.99.1
Scan saved at 11:55:46, on 12/12/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0011)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
c:\program files\fichiers communs\logitech\lvmvfm\LVPrcSrv.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\LAUNCH~1\LManager.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Documents and Settings\Benoît\Bureau\hijackthis_hijackthis_1.99.1_anglais_17891.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [AzMixerSel] C:\Program Files\Realtek\InstallShield\AzMixerSel.exe
O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\LManager.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: Sunbelt Kerio Personal Firewall 4 (KPF4) - Sunbelt Software - C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe
O23 - Service: Logitech Process Monitor (LVPrcSrv) - Logitech - c:\program files\fichiers communs\logitech\lvmvfm\LVPrcSrv.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

En vous remerciant d'avance pour votre aide :

Benoit

Configuration: Windows XP
Firefox

Répondre à benoitkalman Signaler ce message aux modérateurs Aller au dernier message

Ce message vous semble utile, votez !
Signaler ce message aux modérateurs

salwa5, le mardi 12 décembre 2006 à 13:05:25

bonjour avast te signale une intrusion par le port 135 . tout d'abord il faut faire les mise ajour windows pour reparer les failles

si le probleme persiste active kerio et configure le correctement en bloquant le port 135 http://www.vulgarisation-informatique.com/bloquer-ports.php

a+++++

Répondre à salwa5

Ce message vous semble utile, votez !
Signaler ce message aux modérateurs

benoitkalman, le mardi 12 décembre 2006 à 13:52:34

Bonjour et merci pour cette reponse ...

Je voudrais savoir si pour autant mon ordinateur etait infecté ?

Aussi par rapport a kerio j'ai rencontré des petits problemes pour afficher certaines images dans les pages web .. comment resoudre cela .. au passage Zone alarm n'est il pas mieux comme firewall ??

encore merci:

Benoit

Répondre à benoitkalman

Ce message vous semble utile, votez !
Signaler ce message aux modérateurs

benoitkalman, le mardi 12 décembre 2006 à 13:57:29

oups j'oubliais les mises a jour de Windows se font automatiquement ...ai je donc besoin d'en telechargement une autre manuellement ? si oui ou puis je la trouver.
Par ailleurs avast me met un autre message : lsass exploit ....
Ce qui me titille c'est que à part ces erreurs j'ai pas l'impression quel'ordi ait un probleme ...

Merci bien :

Benoit

Répondre à benoitkalman

Ce message vous semble utile, votez !
Signaler ce message aux modérateurs

salwa5, le mardi 12 décembre 2006 à 14:41:12

bonjour normalement ton ordi est bien protegé tu as le sp2 installé donc je ne vois pas pourquoi avast te detecte la faille lsass exploit

peu etre que avast s'enflame pour rien ...

esque tu peu mettre le message exacte de lsass exploit stp?

concernant kerio voici un bon tutorial pour le configurer correctement

http://www.pcentraide.com/index.php?showtopic=110

a++

Répondre à salwa5

Ce message vous semble utile, votez !
Signaler ce message aux modérateurs

benoitkalman, le mardi 12 décembre 2006 à 16:51:13

voici le message qu'il me laisse avec lsass :
12.12.2006 16:12:57 LSASS Exploit (SXP) attack
from 82.240.255.123:445
12.12.2006 16:19:33 LSASS Exploit (SXP) attack
from 82.56.57.204:445

C'est grave docteur ? A priori je ne suis pas inffecté par blaster ou sasser ...j'ai fait les tests ...
Ce que je ne comprends pas c'est comment je peux avoir tant d'attack alors que ma config est casiment vierge ..

Cordialement

Benoit:

Merci pour les tutos ;-)

Répondre à benoitkalman

Ce message vous semble utile, votez !
Signaler ce message aux modérateurs

salwa5, le mardi 12 décembre 2006 à 17:00:38

bonjour j'ai analysé l'adress ip sut ce site http://www.all-nettools.com/toolbox

12.12.2006 16:12:57 LSASS Exploit (SXP) attack
from 82.240.255.123 :445

ca donne ca :

mol92-6-82-240-255-123.fbx.proxad.net (82.240.255.123)

82.240.252.0 - 82.240.255.255
Proxad / Free SAS
Static pool (Freebox)
mol92-6 (p16)
NCC#2005090519

Administrative Contact for ProXad
Free SAS / ProXad
8, rue de la Ville L'Eveque
75008 Paris
+33 1 73 50 20 00
+33 1 73 50 25 01

Technical Contact for ProXad
Free SAS / ProXad
8, rue de la Ville L'Eveque
75008 Paris
+33 1 73 50 20 00
+33 1 73 50 25 01

aparement ca correspond a ton fai freebox donc apriori rien de grave

a++++

Répondre à salwa5

Ce message vous semble utile, votez !
Signaler ce message aux modérateurs

benoitkalman, le mardi 12 décembre 2006 à 17:03:50

OOOUUUUFFFF !! ok bien recu ... est ce que je bloque le port au passage ou pas ?

Encore re re re re mercie !

Répondre à benoitkalman

Ce message vous semble utile, votez !
Signaler ce message aux modérateurs

salwa5, le mardi 12 décembre 2006 à 17:08:18

dans un premier temp bloque le port 135 ( car c'est le port le plus utilisé par les pirates :p) si ca coupe la connexion alors debloque en suivant le meme chemin

aussi regarde dans les option d'avast si tu peu creé une exeption a cette adresse ip 82.240.255.123 qui correspond a ton fai comme ca t'aura plus d'alerte

a+++++

Répondre à salwa5

Ce message vous semble utile, votez !
Signaler ce message aux modérateurs

Pike, le mercredi 5 septembre 2007 à 20:39:20

Bonjour,
l'adresse correspondante veut dire que la personne qui posssède l'IP est un client de Free, pas que c'est Free qui utilise cette adresse...donc il y a des tentatives d'attaque sur le port 135, mais comme avast le détecte, c'est normalement bloqué...

Répondre à Pike

Ce message vous semble utile, votez !
Signaler ce message aux modérateurs

fredo, le lundi 15 octobre 2007 à 05:09:49

Exactement,

Avast ne te dis pas que ta machine est infectée, il te dit qu'une tentative d'attaque a eu lieu, pas qu'elle a réussi.
Des tentatives d'attaques, tu en aura tout le temps, que ta machine soit nouvellement installée ou pas. Certains jeunes crétins semblent s'amuser à exploiter de vieilles failles de sécurités et tentent le coup sur toutes les adresses allouées aux FAI. La solution, bien configurer son firewall et couper les services inutiles...

Répondre à fredo

Ce message vous semble utile, votez !
Signaler ce message aux modérateurs

maxxximus, le mardi 6 novembre 2007 à 12:42:36

Bonjour,

+ 1 pour Fredo

J'ai eu la même Ataque sur mon reseau depuis le 4/11/07, l'adresse IP indique que la pc qui émet cette requette ce trouve à villier sur Marne, mais avant d'arrivé sur mon poste la requette passe par Stockolme...

Si tu veux en savoir plus, tu peux faire cette requette simple et gratuite dans une console "Ms Dos" tu tapes la commande :
" Tracert" de 82.240.98.66"
syntaxe :
tracert 82.240.98.66

Laisse tourné les 30 hops pour tout voir même si tu voix des times out, tu rebondiras sur l'adresse demandé.

/!\ Très important /!\ Ne t'amuse pas à essayer cette requette, si tu te trouve dans une entreprise avec un bon reseau, ta requette sera stopé trés rapidement ...
fait cette requette sur le poste attaqué tranquilou à la maison.

Maintenant si tu veux vraiment jouer les pisteurs de hackers ... download ce soft "VisualRoute 2007" (version pro evidement)
mais attention au retour de baton sur le net tu ne sais jamais sur qui tu tombes ((x(x_(x_x)_x)x)).

Ou il te reste the U=L=T=I=M=A=T=E ~ S=O=L=U=T=I=O=N, faire du spoofing et la, ben ta plus de soucis .... mais c'est pas à la porté de tous ce genre de manip !

@++

MaxXximus ((-(-_(@^@)_-)-))

Répondre à maxxximus

Posez votre question Répondre