Ip dynamique mais statique - A cause d'un troyen

djwaves · Juillet 9, 2006, 12:36

Bonjour à tous,

Sur mon 2ème pc, j’ai viré tous les trojans & co.

Par contre, ma carte réseau, qui est une realtek m’indique toujours une adresse ip : 169.254.172.38

Pourtant, dans les propriétés, tout est fait en automatique : "attributé par le dhcp".

Et dans la base de registre, je retrouve +ieurs fois cette adresse ip dans souvent des catégories dans "ipautoconfig",…

Comment retirer cette adresse ip qui m’a certainement été mise par un toyens ou un virus…

Merci d’avance

Zimt_1_1 · Juillet 9, 2006, 12:58

Avec regedit, éfface totues les entrées qui contiennent cette adresse ip.
Windows devrait les recomposer sainement au prochain boot.

djwaves · Juillet 9, 2006, 1:03

quand tu marques : "éfface", tu veux dire le montant marqué ou effacé la clé entière ?

tks

Zimt_1_1 · Juillet 9, 2006, 2:33

oui, juste la clef

djwaves · Juillet 9, 2006, 2:44

Bon, je l’ai fait mais toute les clées sont revenues et avec les memes contenus.

Il me reste 2 troyans : LCA et SMITFAUD-C.

Si qqu’un sait m’aider ? merci à vous de votre aide

alain77310_1_1 · Juillet 9, 2006, 2:48

fait un log hijackthis

djwaves · Juillet 9, 2006, 4:24

suffit de demander, voici :

Logfile of HijackThis v1.99.1
Scan saved at 16:23:43, on 09/07/2006
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\drivers\CDAC11BA.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Trend Micro\PC-cillin 2002\Tmntsrv.exe
C:\Program Files\Trend Micro\PC-cillin 2002\PCCPFW.exe
C:\Program Files\MessengerPlus! 3\MsgPlus.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Documents and Settings\BuG\Bureau\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.be/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: eBay Toolbar Helper - {22D8E815-4A5E-4DFB-845E-AAB64207F5BD} - C:\Program Files\eBay\eBay Toolbar2\eBayTB.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: eBay Toolbar - {92085AD4-F48A-450D-BD93-B28CC7DF67CE} - C:\Program Files\eBay\eBay Toolbar2\eBayTB.dll
O4 - HKLM\…\Run: [BootSkin Startup Jobs] “C:\Program Files\Stardock\WinCustomize\BootSkin\BootSkin.exe” /StartupJobs
O4 - HKLM\…\Run: [MessengerPlus3] “C:\Program Files\MessengerPlus! 3\MsgPlus.exe”
O4 - HKLM\…\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\…\RunServices: [SystemTools] C:\WINDOWS\System32\testtestt.exe
O4 - HKCU\…\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\…\RunServices: [start extracting] spoolvse.exe
O8 - Extra context menu item: &eBay Search - res://C:\Program Files\eBay\eBay Toolbar2\eBayTb.dll/RCSearch.html
O8 - Extra context menu item: &Google Search - res://C:\Program Files\Google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: &Télécharger avec NetTransport - C:\Program Files\Xi\NetTransport 2\NTAddLink.html
O8 - Extra context menu item: Pages liées - res://C:\Program Files\Google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Pages similaires - res://C:\Program Files\Google\GoogleToolbar2.dll/cmsimilar.html
O8 - Extra context menu item: Tout t&élécharger avec NetTransport - C:\Program Files\Xi\NetTransport 2\NTAddList.html
O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://C:\Program Files\Google\GoogleToolbar2.dll/cmcache.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_06\bin\npjpi142_06.dll
O9 - Extra ‘Tools’ menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_06\bin\npjpi142_06.dll
O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Program Files\PartyGaming\PartyPoker\RunApp.exe (file missing)
O9 - Extra ‘Tools’ menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Program Files\PartyGaming\PartyPoker\RunApp.exe (file missing)
O12 - Plugin for .mov: C:\Program Files\Internet Explorer\PLUGINS\npqtplugin.dll
O12 - Plugin for .mp3: C:\Program Files\Internet Explorer\PLUGINS\npqtplugin4.dll
O12 - Plugin for .mpeg: C:\Program Files\Internet Explorer\PLUGINS\npqtplugin3.dll
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab
O16 - DPF: {30528230-99F7-4BB4-88D8-FA1D4F56A2AB} (YInstStarter Class) - http://us.dl1.yimg.com/download.yahoo.com/…nst_current.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/…b?1137798786952
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2005111…all/xscan53.cab
O16 - DPF: {85D1F3B2-2A21-11D7-97B9-0010DC2A6243} (SecureLogin class) - http://secure2.comned.com/signuptemplates/…login-devel.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe…nt.cab31267.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O16 - DPF: {AFAB176A-0D25-436A-8555-286F6D7AA388} (CRegFreezeScanModule Object) - http://www.topadwarereviews.com/files/rfscanax.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMesse…pDownloader.cab
O17 - HKLM\System\CCS\Services\Tcpip\…\{21409354-3F29-4961-AA84-DA5A8DF6A578}: NameServer = 85.255.116.121,85.255.112.69
O17 - HKLM\System\CCS\Services\Tcpip\…\{34E335B8-63F9-48E7-A2FE-F0454E484283}: NameServer = 85.255.116.121,85.255.112.69
O17 - HKLM\System\CCS\Services\Tcpip\…\{BCB6AB5B-FD6D-4907-8080-38EE006388FD}: NameServer = 85.255.116.121,85.255.112.69
O17 - HKLM\System\CCS\Services\Tcpip\…\{BCBA8AFE-749B-41C5-A714-B18298E5B06F}: NameServer = 85.255.116.121,85.255.112.69
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - “C:\PROGRA~1\MSNMES~1\msgrapp.dll” (file missing)
O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\System32\drivers\CDAC11BA.EXE
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: PC-cillin PersonalFirewall (PCCPFW) - Trend Micro Inc. - C:\Program Files\Trend Micro\PC-cillin 2002\PCCPFW.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe
O23 - Service: Trend NT Realtime Service (Tmntsrv) - Trend Micro Inc. - C:\Program Files\Trend Micro\PC-cillin 2002\Tmntsrv.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Program Files\TuneUp Utilities 2004\WinStylerThemeSvc.exe

MasterCode · Juillet 9, 2006, 4:46

tu peux >>> coller ton log dans >> http://hijackthis.de/

et faire une recherche sur les exclamations en connaissance des applications jugées suspectes

certaines interrogations sont pour des applications inconnues (à la base de données hijackthis) mais ne veut pas systématiquement dire intrus, car on ne connaît pas toutes les applications et entrées crées par tous les softs .

attention (file missing) en ce qui concerne certains soft n’est pas à fixer (MSN , antivirus …)

MasterCode · Juillet 9, 2006, 5:02

déjà d’entrée de jeu >>> testtestt.exe

http://secubox.aldria.com/topic-863.html

alain77310_1_1 · Juillet 9, 2006, 5:37

:sol: hijackthis.de oui mais avec modération un robot a de la mémoire mais bon

O4 - HKLM\…\RunServices: [SystemTools] C:\WINDOWS\System32\testtestt.exe

O8 - Extra context menu item: &Télécharger avec NetTransport - C:\Program Files\Xi\NetTransport 2\NTAddLink.html

O8 - Extra context menu item: Tout t&élécharger avec NetTransport - C:\Program Files\Xi\NetTransport 2\NTAddList.html

O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Program Files\PartyGaming\PartyPoker\RunApp.exe (file missing)
O9 - Extra ‘Tools’ menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Program Files\PartyGaming\PartyPoker\RunApp.exe (file missing)

l’active x de housse call que tu pourra re télécharger lors d’un scan en ligne et qui fou souvent la merde après
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2005111…all/xscan53.cab
O16 - DPF: {85D1F3B2-2A21-11D7-97B9-0010DC2A6243} (SecureLogin class) - http://secure2.comned.com/signuptemplates/…login-devel.cab

O16 - DPF: {AFAB176A-0D25-436A-8555-286F6D7AA388} (CRegFreezeScanModule Object) - http://www.topadwarereviews.com/files/rfscanax.cab

ca aussis si tu ne sais pas a quoi ca correspnd
O17 - HKLM\System\CCS\Services\Tcpip\…\{21409354-3F29-4961-AA84-DA5A8DF6A578}: NameServer = 85.255.116.121,85.255.112.69

après le ménage tu fais une mise a jour de IE IMPORTANT

MasterCode · Juillet 9, 2006, 6:05

Moha je sais!!! …

Country: Belarus

http://i.infoplease.com/images/mbelarus.gif

Inhoster, Poltavskij Shliax 24, Kharkiv, 61000, Ukraine

alain77310_1_1 · Juillet 9, 2006, 6:08

oui ok j’ai été trop fainiant pour chercher :sol:

MasterCode · Juillet 9, 2006, 6:09

:lol: >>> >> :super:

alain77310_1_1 · Juillet 9, 2006, 6:16

tu en est ou djwaves tu fais la sieste ou on t’a planté :pt1cable:

MasterCode · Juillet 9, 2006, 6:25

il ne sait plus koi dire !!!! au vue du resultat des courses >> tout sur un plateau.
ou il a du prendre le premier train pour Belarus >>>>> http://www.f-service.com/~atlantique/index/Screenshots/anim/rire1.gif
:MDR j’en pleure :’( de rire

alain77310_1_1 · Juillet 9, 2006, 6:36

bon moi je vais me restaurer

démarer=>aide et support =>restoration system :pt1cable: :pt1cable:

:@+ :super:

djwaves · Juillet 9, 2006, 7:28

Kikou à vous,

Qu’est-ce que j’ai été impressionné de voir où se trouve cette ip !!!

C’est vrai, j’ai été faire un tour mais comme y avait déjà plus de pc là-bas, je me suis dit que la mafia avait déjà piqué le pc

bon, bref, j’ai déjà été faire le ménage avec le site mais tjrs le prob de cette foutue adresse ip.

Je voudrais bien faire une mise à jour IE (ou autre) mais sans le net, je ne sais pas comment faire…

J’ai déjà passé spybot et adware away, sans compter bien sûr kapersky pour les virus… mais tjrs pas de connexion :’( :’(

Que faire que faire ?? merciiiiiiiiiiiii

MasterCode · Juillet 10, 2006, 3:38

:hello: à toi l’Ucrairien de Belaroussie >> tite blague pour nous mettre de bonne humeur.

post un nouveau log après avoir fixé les entrées (post alain77310) pour voir ce qui est resté

testtestt.exe est un service donc en premier il te faut l’arreter puis le desactiver pour enfin le supprimer l’as-tu fait ???

Executer services.msc pour arreter et desactiver le service en question ensuite
Passe par hijackthis :" Misc Tools Section"=> "Delete an NT service" et tu rentres le nom du service à supprimer

desactive la restauration de systeme et passe un coup de CCleaner (derniere version ) >> http://www.clubic.com/telecharger-fiche144…p-cleaner-.html

ensuite rebooter le systeme tu vas dans le panneaux des connexions et sur l’icone de connexion tu fais Reparer , ce que tu peux faire aussi; sur l’icone de ta connexion aller dans propriétés TCP/IP et mettre tout en AUtomatique.

ta connexion est cablé USB ou Ethernet ? >>(excuse je viens de voir poste 1; carte réseau) et avec quel modem ? voir aussi du coté firewall si t’en possede un quel est il ?

autre solution c’est desinstaller tout les composants de ta couche réseau et les réinstaller >>> ne pas faire de reboot seulement accepter le reboot quand tout reinstallé

l’IP : 169.254.172.38 appartient à:

OrgName: Internet Assigned Numbers Authority
OrgID: IANA
Address: 4676 Admiralty Way, Suite 330
City: Marina del Rey
StateProv: CA
PostalCode: 90292-6695
Country: US

bigre; c’est pire que la guerre froide, tu parles d’un espion , espionné >>> :heink:

alain77310_1_1 · Juillet 10, 2006, 4:42

comme a dit mastercode un log pour voire les merdes qui peuvent rester

MasterCode · Juillet 11, 2006, 2:54

après avoir fait le clean si t’as toujours pas de connexion :

netsh int ip reset %systemdrive%\resettcp.log pour remettre à zéro la couche TCP/IP

et

2) netsh winsock reset catalog (SP2) nettoie les LSP et les reconfigure par défaut

La commande ipconfig /flushdns permet de vider et de réinitialiser le contenu du cache de résolution client DNS