Bonjour jacko17,
Mon ordi n'est plus infecté maintenant, merci à toi et à l'équipe de vos excellents conseils.
Tu demandes pour le rapport: ça c'est le
dump mémoire du fichier opnklig.dll qui n'arrête pas de s'installer comme un service de winlogon et qui change constamment de nom.
Naturellement, quand on regarde à l'intérieur de cette DLL avec un éditeur hexadécimal, on n'y comprend rien parce que le code est crypté. Donc, pas moyen de savoir ce que fait ce virus. Sauf...
Sauf que l'auteur doit forcément décrypter son code à un moment donné pour qu'il puisse être compris par la machine et ensuite exécuté sur celle-ci.
Ce décryptage, à moins d'être un pro en crypto, peut prendre
ad vitam eternam avant d'être brisé. Moi, je n'y connaît rien en cryptage.
Mais voilà, tout à fait par chance, je suis tombée sur la commande "dump memory code for this program" ou quelque chose du genre dans l'excellent programme "Process Explorer" de SysInternals (ceux-ci ont malheureusement été acheté par Microsoft dernièrement... ils n'ont pas aimé ça chez MS, ils étaient meilleur qu'eux
)
J'obtiens donc ainsi les appels de fonctions et les chaînes de textes (ou "strings" en langage de programmation) décryptées, utilisées par la DLL malicieuse sans avoir à me casser la tête... C'est pas beau ça?
Les appels de fonctions révèlent, entres autres, que cette DLL produit des fichiers *.ini (et *.ini2), comme plusieurs d'entre nous ont pu le constater. Ce rapport révèle aussi que la DLL se connectait à un serveur, via le port 80, dont l'accès est "FORBIDDEN" pour des gens comme toi et moi... et probablement aussi à la personne qui a codé ce virus !
L'adresse du 2e serveur, elle, est plus intéressante...
M'en fin...
La question reste: quelles données ce virus a-t-il siphonnées de nos ordi infectés vers ce serveur? La réponse se trouve peut-être dans ces fichiers *.ini et *.ini2 (encore là cryptés j'imagine). Malheureusement, j'ai détruit ces fichiers.
Alors voilà... Comme je n'ai trouvé aucune autre rubrique plus appropriée sous laquelle y mettre mon "post", je l'ai inclus ici...
En tout cas, je pourrais en parler encore et encore... Mais si cela n'intéresse personne... c'est pas grave !!
ihatewindows
Dans windows,
... tout est dans l'apparence
... y a pas de moteur dans la bagnole !
(Modifié par ihatewindows le 29-01-2008 à 15:10)
19 ans.
