Bonjour,
Soucis sur le serveur d'application de ma boite, j'ai dans un premier temps diagnostiquer un virus (WORM JS/FEEBS.GEN), que j'ai nettoyé, apparemment plus aucune trace. Néanmoins, j'ai toujours un probleme avec explorer.exe.
Serveur d'application
W2K SP4 4GO Ram
Je vous passe la couche applicative !
Un point important, serveur citrix metaframe Xp SP4 (les clients se connecte comme en TSE),
Je poste deux points de log et le compte rendu Hijackthis.
Type de l'événement : Erreur
Source de l'événement : Perflib
Catégorie de l'événement : Aucun
ID de l'événement : 1015
Date : 07/02/2006
Heure : 09:38:51
Utilisateur : N/A
Ordinateur : SRVAPP
Description :
Le délai d'exécution de la fonction "PerfOS" de collecte de données de performance dans la bibliothèque "C:\WINNT\system32\perfos.dll" a expiré. Il y a peut-être un problème pour ce compteur extensible ou le service dont il tire ses informations, ou le système était peut-être très occupé au moment où l'appel a été tenté.
Type de l'événement : Informations
Source de l'événement : Winlogon
Catégorie de l'événement : Aucun
ID de l'événement : 1002
Date : 07/02/2006
Heure : 09:40:21
Utilisateur : N/A
Ordinateur : SRVAPP
Description :
L'environnement s'est arrêté de façon inattendue et Explorer.exe a redémarré.
Logfile of HijackThis v1.99.1
Scan saved at 09:38:57, on 07/02/2006
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Running processes:
C:\Documents and Settings\Administrateur\WINDOWS\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\System32\termsrv.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\System32\msdtc.exe
C:\WINNT\System32\ctxxmlss.exe
C:\WINNT\system32\Dfssvc.exe
C:\WINNT\System32\encsvc.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\System32\GAMSERV\gamscm.exe
C:\WINNT\system32\gamserv\gamdrv.exe
C:\WINNT\system32\gamserv\gamserv.exe
C:\WINNT\system32\gamserv\gamevent.exe
C:\WINNT\system32\gamserv\gamevlog.exe
C:\Program Files\Citrix\System32\Citrix\Ima\ImaSrv.exe
C:\Program Files\CA\eTrust\InoculateIT\InoRpc.exe
C:\WINNT\System32\ismserv.exe
C:\WINNT\System32\llssrv.exe
C:\WINNT\LogWatNT.exe
C:\WINNT\system32\ntfrs.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\System32\locator.exe
C:\WINNT\system32\MSTask.exe
C:\Program Files\Sysload\sldfsd\sldfsd.exe
C:\Program Files\Sysload\TaskMan\stm.exe
C:\WINNT\System32\lserver.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\Program Files\RealVNC\VNC4\WinVNC4.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\dns.exe
C:\WINNT\system32\mfcom.exe
C:\WINNT\System32\cdmsvc.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\System32\SCardSvr.exe
C:\Program Files\Citrix\Client ICA\ssonsvr.exe
C:\PROGRA~1\CA\eTrust\INOCUL~1\realmon.exe
C:\WINNT\system32\ctfmon.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\winlogon.exe
C:\Program Files\CA\eTrust\InoculateIT\InoTask.exe
C:\Program Files\CA\eTrust\InoculateIT\InoRT.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\winlogon.exe
c:\program files\internet explorer\iexplore.exe
C:\WINNT\system32\taskmgr.exe
C:\WINNT\explorer.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\winlogon.exe
E:\setup.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\rdpclip.exe
C:\Program Files\Citrix\Client ICA\ssonsvr.exe
C:\WINNT\Explorer.EXE
C:\PROGRA~1\CA\eTrust\INOCUL~1\realmon.exe
C:\WINNT\system32\ctfmon.exe
D:\Documents and Settings\Administrateur\Bureau\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINNT\System32\blank.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
F2 - REG:system.ini: UserInit=C:\WINNT\system32\userinit.exe,
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx
O4 - HKLM\..\Run: [IcaBar] icabar.exe /adminonly
O4 - HKLM\..\Run: [Realtime Monitor] C:\PROGRA~1\CA\eTrust\INOCUL~1\realmon.exe
O4 - HKCU\..\Run: [ctfmon.exe] ctfmon.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000
O10 - Broken Internet access because of LSP provider 'c:\documents and settings\administrateur\windows\system32\rnr20.dll' missing
O12 - Plugin for .pdf: C:\Program Files\Internet Explorer\PLUGINS\nppdf32.dll
O16 - DPF: {21F49842-BFA9-11D2-A89C-00104B62BDDA} (ChartFX Internet Control) - https://www.eu-supply.com/download/CfxIEAx.cab
O16 - DPF: {26AA61A6-BE36-4A30-AEDF-9A3C91E15428} (EU-supply Filemanager Utility) - https://www.eu-supply.com/java/EUS_FileMgr/EUS.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/window [...] 2961267464
O16 - DPF: {6E5A37BF-FD42-463A-877C-4EB7002E68AE} (Housecall ActiveX 6.5) - http://us-housecall.trendmicro-eur [...] hcImpl.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537 [...] scan53.cab
O16 - DPF: {80FB6689-53AE-43B1-90A9-FADF621B90DF} (EU-Supply Digital Signature Utility) - https://www.eu-supply.com/Java/EUS_ [...] nature.cab
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Environnement d'exécution Java 1.4.1) - https://java.sun.com/products/plugi [...] s-i586.cab
O16 - DPF: {8B7C6520-204F-430A-B4F2-15C52AFF5884} (EU-supply Upload Utility) - https://www.eu-supply.com/java/EUS_UploadMgr/EUS.cab
O16 - DPF: {A996E48C-D3DC-4244-89F7-AFA33EC60679} (Settings Class) - https://www.eu-supply.com/Java/CAPICOM/fr/capicom.cab
O16 - DPF: {B51FD14F-2515-4A20-AFB1-BB1762E4B2FE} (EU-supply Analysis Utility) - https://www.eu-supply.com/Java/EUS_Analysis/EUS.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = srvctrl.smedar.fr
O17 - HKLM\System\CCS\Services\Tcpip\..\{BEAA6A7D-1F23-4CA3-A66F-64185BC00B3F}: NameServer = 192.168.13.1,194.2.0.20,194.2.0.50
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = srvctrl.smedar.fr
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: SearchList = srvctrl.smedar.fr
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = srvctrl.smedar.fr
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: SearchList = srvctrl.smedar.fr
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: SearchList = srvctrl.smedar.fr
O20 - AppInit_DLLs: mfaphook.dll
O20 - Winlogon Notify: MetaFrame - ctxnotif.dll (file missing)
O23 - Service: Avertissement (Alerter) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\services.exe (file missing)
O23 - Service: Gestion d'applications (AppMgmt) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\system32\services.exe (file missing)
O23 - Service: Service de transfert intelligent en arrière-plan (BITS) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\svchost.exe (file missing)
O23 - Service: Explorateur d'ordinateur (Browser) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\services.exe (file missing)
O23 - Service: Réseau client (CdmService) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\cdmsvc.exe (file missing)
O23 - Service: Service WMI Citrix (CitrixWMIService) - Citrix Systems, Inc. - C:\Program Files\Citrix\system32\citrix\WMI\ctxwmisvc.exe
O23 - Service: Gestionnaire de l'Album (ClipSrv) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\system32\clipsrv.exe (file missing)
O23 - Service: Citrix XML Service (CtxHttp) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\ctxxmlss.exe (file missing)
O23 - Service: Système de fichiers distribués (Dfs) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\system32\Dfssvc.exe (file missing)
O23 - Service: Client DHCP (Dhcp) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\services.exe (file missing)
O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\dmadmin.exe (file missing)
O23 - Service: Gestionnaire de disque logique (dmserver) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\services.exe (file missing)
O23 - Service: Serveur DNS (DNS) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\dns.exe (file missing)
O23 - Service: Client DNS (Dnscache) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\services.exe (file missing)
O23 - Service: Service de cryptage (Encryption Service) - Citrix Systems, Inc. - C:\WINNT\System32\encsvc.exe
O23 - Service: Journal des événements (Eventlog) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\system32\services.exe (file missing)
O23 - Service: Service de télécopie (Fax) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\system32\faxsvc.exe (file missing)
O23 - Service: Mylex Global Array Manager Server (gamscm) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\GAMSERV\gamscm.exe (file missing)
O23 - Service: GEARSecurity - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\GEARSec.exe (file missing)
O23 - Service: IMA (Independent Management Architecture) (IMAService) - Citrix Systems, Inc. - C:\Program Files\Citrix\System32\Citrix\Ima\ImaSrv.exe
O23 - Service: eTrust InoculateIT RPC Server (InoRPC) - Computer Associates International, Inc. - C:\Program Files\CA\eTrust\InoculateIT\InoRpc.exe
O23 - Service: eTrust InoculateIT Realtime Server (InoRT) - Computer Associates International, Inc. - C:\Program Files\CA\eTrust\InoculateIT\InoRT.exe
O23 - Service: eTrust InoculateIT Job Server (InoTask) - Computer Associates International, Inc. - C:\Program Files\CA\eTrust\InoculateIT\InoTask.exe
O23 - Service: Messagerie inter-sites (IsmServ) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\ismserv.exe (file missing)
O23 - Service: Centre de distribution de clés Kerberos (kdc) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\lsass.exe (file missing)
O23 - Service: Serveur (lanmanserver) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\services.exe (file missing)
O23 - Service: Station de travail (lanmanworkstation) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\services.exe (file missing)
O23 - Service: Service d'enregistrement de licences (LicenseService) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\llssrv.exe (file missing)
O23 - Service: Service d'application d'assistance TCP/IP NetBIOS (LmHosts) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\services.exe (file missing)
O23 - Service: Event Log Watch (LogWatch) - Unknown owner - C:\WINNT\LogWatNT.exe
O23 - Service: Affichage des messages (Messenger) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\services.exe (file missing)
O23 - Service: Serveur COM MetaFrame (MFCom) - Citrix Systems, Inc. - C:\WINNT\system32\mfcom.exe
O23 - Service: DDE réseau (NetDDE) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\system32\netdde.exe (file missing)
O23 - Service: DSDM DDE réseau (NetDDEdsdm) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\system32\netdde.exe (file missing)
O23 - Service: Ouverture de session réseau (Netlogon) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\lsass.exe (file missing)
O23 - Service: Connexions réseau (Netman) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\svchost.exe (file missing)
O23 - Service: Service de réplication de fichiers (NtFrs) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\system32\ntfrs.exe (file missing)
O23 - Service: Fournisseur de la prise en charge de sécurité LM NT (NtLmSsp) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\lsass.exe (file missing)
O23 - Service: Médias amovibles (NtmsSvc) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\svchost.exe (file missing)
O23 - Service: Plug-and-Play (PlugPlay) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\system32\services.exe (file missing)
O23 - Service: Agent de stratégie IPSEC (PolicyAgent) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\lsass.exe (file missing)
O23 - Service: Emplacement protégé (ProtectedStorage) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\system32\services.exe (file missing)
O23 - Service: Gestionnaire de connexion automatique d'accès distant (RasAuto) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\svchost.exe (file missing)
O23 - Service: Gestionnaire de connexions d'accès distant (RasMan) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\svchost.exe (file missing)
O23 - Service: Routage et accès distant (RemoteAccess) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\svchost.exe (file missing)
O23 - Service: Service d'accès à distance au Registre (RemoteRegistry) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\system32\regsvc.exe (file missing)
O23 - Service: Localisateur d'appels de procédure distante (RPC) (RpcLocator) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\locator.exe (file missing)
O23 - Service: Appel de procédure distante (RPC) (RpcSs) - Unknown owner - C:\Documents.exe (file missing)
O23 - Service: QoS RSVP (RSVP) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\rsvp.exe (file missing)
O23 - Service: Gestionnaire de comptes de sécurité (SamSs) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\system32\lsass.exe (file missing)
O23 - Service: Sandra Data Service (SandraDataSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Lite 2005.SR2a\RpcDataSrv.exe
O23 - Service: Sandra Service (SandraTheSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Lite 2005.SR2a\RpcSandraSrv.exe
O23 - Service: Prise en charge des cartes à puces (SCardDrv) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\SCardSvr.exe (file missing)
O23 - Service: Carte à puce (SCardSvr) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\SCardSvr.exe (file missing)
O23 - Service: Planificateur de tâches (Schedule) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\system32\MSTask.exe (file missing)
O23 - Service: Service d'exécution par délégation (seclogon) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\system32\services.exe (file missing)
O23 - Service: Notification d'événement système (SENS) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\system32\svchost.exe (file missing)
O23 - Service: Spouleur d'impression (Spooler) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\system32\spoolsv.exe (file missing)
O23 - Service: Sysload Collector - Unknown owner - C:\Program Files\Sysload\sldrmd\sldrmd.exe
O23 - Service: Sysload ERM Web - Unknown owner - C:\Program Files\Sysload\Console\Serm\WebServer\SldWeb.exe
O23 - Service: Sysload FileServer - Unknown owner - C:\Program Files\Sysload\sldfsd\sldfsd.exe
O23 - Service: Sysload LogAnalyzer - Unknown owner - C:\Program Files\Sysload\sldlogd\sldlogd.exe
O23 - Service: Sysload ScriptMonitor - Unknown owner - C:\Program Files\Sysload\sldsmd\sldsmd.exe
O23 - Service: Sysload Task Manager - Unknown owner - C:\Program Files\Sysload\TaskMan\stm.exe
O23 - Service: Journaux et alertes de performance (SysmonLog) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\system32\smlogsvc.exe (file missing)
O23 - Service: Téléphonie (TapiSrv) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\svchost.exe (file missing)
O23 - Service: Services Terminal Server (TermService) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\termsrv.exe (file missing)
O23 - Service: Gestionnaire de licences des services Terminal Server (TermServLicensing) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\lserver.exe (file missing)
O23 - Service: Telnet (TlntSvr) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\system32\tlntsvr.exe (file missing)
O23 - Service: Serveur de suivi de lien distribué (TrkSvr) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\system32\services.exe (file missing)
O23 - Service: Client de suivi de lien distribué (TrkWks) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\system32\services.exe (file missing)
O23 - Service: Onduleur (UPS) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\ups.exe (file missing)
O23 - Service: Gestionnaire d'utilitaires (UtilMan) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\UtilMan.exe (file missing)
O23 - Service: V2i Protector - PowerQuest Corporation - C:\Program Files\PowerQuest\V2i Protector 2.0\Agent\PQV2iSvc.exe
O23 - Service: Horloge Windows (W32Time) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\services.exe (file missing)
O23 - Service: Infrastructure de gestion Windows (WinMgmt) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\WBEM\WinMgmt.exe (file missing)
O23 - Service: VNC Server Version 4 (WinVNC4) - Unknown owner - C:\Program Files\RealVNC\VNC4\WinVNC4.exe" -service (file missing)
O23 - Service: Extensions du pilote WMI (Wmi) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\system32\Services.exe (file missing)
O23 - Service: Mises à jour automatiques (wuauserv) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\system32\svchost.exe (file missing)
O23 - Service: Configuration sans fil (WZCSVC) - Unknown owner - C:\Documents and Settings\Administrateur\WINDOWS\System32\svchost.exe (file missing)
Vous remarquerez Unknown Owner présent très souvent.
Merci de vos réponses.
