Trojan inconnu ?

par **krilin** » 24 Oct 2003 20:27

bonjour à tous ! voilà je vous expose mon "probleme"... il y a 2 jours un poste de mon reseau (sous win xp home, à jour) s'est mis à vouloir sortir des paquets (environ 100 connexions/minute, tellement qu'il bloquait ma connexion) à une adresse (en l'occurence dos.f-key.biz, qui demande d'ailleurs une authentification) mais mon firewall ne le permettait pas. j'ai fait une ptite recherche et je suis tombé sur un service inhabituel : dos64.exe (demarrage automatique bien sur...). depuis j'ai fait le ménage (restauration base reg, elimination du démarrage et de l'applic., tout va bien ! mais j'ai fait une recherche mais impossible de trouver quelque renseignment que ce soit, si quelqu'un avait une idée, ca serait zuper ! <IMG SRC="images/smiles/icon_find.gif"> merci, bon week <IMG SRC="images/smiles/icon_bise.gif">

par **neo_hijacker** » 24 Oct 2003 20:37

le mot key fait penser aux touches du clavier Peut etre un keylogger ? EDIT : Tu as envoyé le fichier au SARC de symantec ?

par **krilin** » 24 Oct 2003 20:41

nan comme j'ai rien trouvé (oui google est bel et bien mon ami, mais là...) je ne donnais po beaucoup de crédibilité à ma "découverte"... mais je vais finalement le faire...

par **krilin** » 24 Oct 2003 21:02

euh... je précise que j'ai fait un scan avec un mcafee à jour, et rien...

par **Rbill** » 24 Oct 2003 22:13

est ce que le dos64.exe est un programme personnel à la personne titulaire de ce poste.

par **krilin** » 24 Oct 2003 22:27

a priori non, personne ne prend l'initiative d'installer quoi que ce soit sans me demander (une consigne que j'ai d'ailleurs eu du mal a faire passer) et je n'ai pas vu de modif depuis l'install native (env. 1 mois)

par **Rbill** » 24 Oct 2003 23:12

Je trouve cela quand même bizarre de ne trouver aucune info sur cette .exe! A moins que tu sois dans une société tres convoité! Comment peux tu être certain que cela ne soit pas installé de chez toi?

par **micjack** » 24 Oct 2003 23:45

Ping sur -> dos.f-key.biz = IP [66.90.67.10] Whois sur 66.90.67.10 OrgName: FDCservers.net LLC OrgID: FDCSE Address: 141 West Jackson Blvd, Suite 1135 City: Chicago StateProv: IL PostalCode: 60604 Country: US NetRange: 66.90.64.0 - 66.90.95.255 CIDR: 66.90.64.0/19 NetName: FDCSERVERS NetHandle: NET-66-90-64-0-1 Parent: NET-66-0-0-0-0 NetType: Direct Allocation NameServer: NS3.FDCSERVERS.NET NameServer: NS4.FDCSERVERS.NET Comment: RegDate: 2003-08-18 Updated: 2003-08-18 OrgTechHandle: PKR5-ARIN OrgTechName: Kral, Petr OrgTechPhone: +1-312-933-1046 OrgTechEmail: <a href="mailto:petr@fdcservers.net">petr@fdcservers.net</a> # ARIN WHOIS database, last updated 2003-10-23 19:15 # Enter ? for additional hints on searching ARIN's WHOIS database. <IMG SRC="images/smiles/icon_biggrin.gif">

par **lipenja** » 25 Oct 2003 00:32

sur quel port,il arrive ton troien? <IMG SRC="images/smiles/icon_confused.gif">

par **lipenja** » 25 Oct 2003 01:00

micjack j' ai contolé L' IP ce n' est pas passé par chez moi car j' ai tout les logs de ZA sur mon disque depuis aout. j' ai fait un WHOIS je trouve pareil que toi. Que penser? Vérifie si tu n' as pas une infection deja installée. qu' en penses tu? <IMG SRC="images/smiles/icon_confused.gif">

par **lipenja** » 25 Oct 2003 01:15

En faisant +safety+dos 64.exe sur google je tombesur<A HREF="mailto:nibbs-log">nibbs-log</A> il parlerai apparemment de nimda. il y aurait tout le code source? <IMG SRC="images/smiles/icon_confused.gif">

par **micjack** » 25 Oct 2003 01:26

Bonsoir lipenja, tu me disait: >Vérifie si tu n' as pas une infection deja installée. qu' en penses tu? Non! je suis le dernier a me faire gaufrer <IMG SRC="images/smiles/icon_razz.gif">

par **lipenja** » 25 Oct 2003 01:27

Lundi je vai chez Afflelou, j' ai la vue qui baisse. L ' URL : <A HREF="mailto:nilab.info/resource/bbslof/nibbs220_14.html">nilab.info/resource/bbslof/nibbs220_14.html</A> je pense qu' il y a le code source? <IMG SRC="images/smiles/icon_confused.gif">

par **lipenja** » 25 Oct 2003 01:36

Non micjack excuse moi je ne parlais pas pour toi. Mais c' est vrai il doit y avoir quelque chose sur l' ordinateur de la personne qui appelle au secours. De plus l' url ne fonctionne pas. Par contre sur Google si tu fais: +safety+dos64.exe tu devrais tomber sur un forum asiatique : nibbs-loc, il y a plein de caractères asiatiques mais il ya suffisemment de caractères alphabetiques pour comprendre qu'apparemment il parlerait de Nimda, avec un code source, mais je n' en suis pas sur. <IMG SRC="images/smiles/icon_confused.gif">

par **micjack** » 25 Oct 2003 01:55

Excuse moi, mais j'ai rien trouvé avec ta concaténation <IMG SRC="images/smiles/icon_confused.gif"> Si non! "dos64.exe" a deja ete visiblement recherché <IMG SRC="images/smiles/icon_smile.gif"> meme par moi <IMG SRC="images/smiles/icon_smile.gif"> rien trouvé <IMG SRC="images/smiles/icon_cry.gif"> File nous ta recherche stp <IMG SRC="images/smiles/icon_bise.gif">

Trojan inconnu ?

Qui est en ligne ?