Trojan/worms... et la BDR

[peg-harty]

Bonjour,

Peut-être quelqu'un pourra-t-il me renseigner.

"NeverShowExt" est une instruction de la base de registre qui a une étrange particularité : elle permet de "masquer" les extensions de fichier même si, par prudence, vous avez coché "afficher les fichiers et dossiers cachés" et, bien sûr, décoché l'option "masquer les extensions des fichiers dont le type est connu".

résultat : vous ne seriez pas, à priori, pas à l'abri d'un fichier qui se présenterait sous la forme d'un bête fichier txt, ou word, ou n'importe quoi d'ailleurs et qui pourrait, conjointement, produire une autre action totalement "masquée"

exemple : "harmless.txt.shs" qui serait vu comme un bête "harmless.txt" par explorer alors que le .shs peut être un redoutable executable.

amusez-vous à ouvrir avec regedit votre bdr et faites une recherche avec "NeverShowExt" - vous allez peut-être en découvrir...

J'ai lu sur un site de sécurité

* Close all open programs
* Open the Windows Start menu
* Select "Run" and enter "regedit" to open the registry editor
* From the "Edit" menu, select "Find"
* Uncheck the "Keys" and "Data" entries under "Look at"
* Enter "NeverShowExt" in the "Find What" box and click "Find Next"
* When a value is found, right click on the value name and select "Delete"
* Press F3 to find the next occurrence of "NeverShowExt".
* Repeat the previous two steps until all occurrences of "NeverShowExt" have been deleted from the registry
* The computer will need to be rebooted for changes to take effect


ma question : si je ne coche pas, durant la recherche de regedit "clés" et "valeurs" je ne trouve aucune entrée "NeverShowExt". Par contre en cochant ces deux valeurs, j'en trouve quelques unes. Est-ce problématique ?

deuxième question : quelqu'un connait-il la fonction exacte de "shscrap.dll" ? sur le net je ne trouve que peu de renseignement exploitable,or, chaque fois que je le renomme par exemple en "olshscrap.dll" il se recrée automatiquement.

troisième question : il paraitrait qu'il suffit de mettre un nom de clé de plus de 260 caractères - puis "une clé de worm par exemple" pour que celle-ci devienne "invisible" et n'apparaisse plus, y compris dans un rapport hijackthis... ? qu'en pensez-vous. rumeur ?

[alph@]

salut,je pense que tu devrais poser ta question la http://assiste.forum.free.fr/index.php? ... 17387f7f7c ,cela est plus adapte a ton probleme

en reponse a ta deuxieme question,c'est normal que le fichier soit recreer apres ton renomage,car c'est la protection des fichiers qui fait son boulot 'windows file protection'si tu veut que cela fontionne il faut que tu renomme ou suprimme ce fichier dans 'dll cache

troisieme question ,il me semble que cela est vrai.'

[peg-harty]

Merci Alph.
effectivement, après avoir "renommé" par prudence la dll dans dll cache, et refusé que windows la "recrée" à patir du disque d'install XP, elle ne "reapparait plus".

je suis peut-être hors sujet dans ce topic, mais je me dis que nous sommes peut-être nombreux à nous poser la question de savoir si nous sommes ,ou non, sans le savoir vecteur de spam via notre connection internet. (sans parler d'autres désagréments)
Comme beaucoup de monde j'utilise un antivirus à jour, un pare-feu, spybot, lavasoft, spy sweeper (+ occasionnellement du a-squared, du Hijackthis, du CC cleaner et autres reg cleaner...) MAIS
il parait qu'il y a un énorme pourcentage de "ghost-pc" dans le réseau. Pourquoi pas le nôtre ?

En fouillant un peu on apprend qu'il y a des "failles" immenses dans XP et ca remet en cause certaines certitudes. On fait confiance aux update microsoft, à ses scans et on se croit globalement à l'abri des mésaventures sous pretexte que son logiciel annonce fièrement un "rien trouvé"...

Je comprends mieux à présent l'illogisme suivant : tout le monde "protège", désactive certains services, et pourtant certains proclament qu'un pc sur deux est backdooré (1 sur 3 pour les plus optimistes).

Je pense que beaucoup, comme moi, croyait qu'il suffisait de ne pas "ouvrir" de pièces jointes inconsidérément pour être peinard. Ben non. Il suffit d'une astuce à 1 euro pour "passer" les protections les plus courantes.

Là je pousse plus loin la curiosité et j'avoue que je suis perplexe. Un peu comme si je découvrais qu'on paye un système d'exploitation qui est une passoire. On rajoute des rustines (parfois payantes) et on ne réussit qu'à éliminer les hacker amateurs...

Depuis quelques semaines, je trouvais que mon PC était (à peine, assez imperceptiblement) plus lent que d'habitude. Aucun rapport alarmant d'aucun logiciel typique...

Grâce à process explorer j'ai isolé des dll bizarres. Un coup de google et vous tombez sur deux malheureuses occurences qui en parlent sérieusement (deux !!!!!) et qui vous annoncent que c'est une dll windows qui "regroupent" des scripts qui seront totalement opaques dans le système. Tous les autres se contentent de vous raconter que c'est une dll microsoft n° xxxxxx.
on ne sait pas exactement à quoi elles servent, ni à qui, elles sont "inutiles" et "expérimentales".

ceux qui sont à l'aise avec l'anglais peuvent apprendre plein de choses ici

http://hardforum.com/showthread.php?t=768776