[résolu]avis sur objets cachés

Invité

Bonjour à tous,
J'ai scanné entièrement mon PC aujourd'hui, car hier soir, Antivir s'est mis à gueuler, et avait
trouvé un Trojan Crypt Pack, donc, aujourd'hui, j'ai fait un scan entier

J'aimerai avoir votre avis sur le objets cachés qu'Antivir à trouvé

Spoiler:

Ce qui est en gras, j'aimerai savoir ce que c'est exactement

Maintenant, il me détecte un SPR/Autolt.Gen, et il a mis un autre fichier en quarantaine
Il est casse-pied depuis hier
Je ne sais pas si c'est dû à une mise à jour
Merci d'avance

Invité

Salut Jawaryinti

Concernant autoit, c est un faux positif, c'est notamment avec cet outil qu'est codé USBFix, AD-R,.... Laddy, par exemple, ici présente, pourra t'en dire plus que moi ;-)

Pour les entrées du registre trouvées.... Bah j'avoue ne pas savoir ! Sache qu'avira est de plus en plus susceptible sur les entrées cachées...

Voilà (le peu) que je peux te dire.

@+

Invité

Bonsoir Juju
Je le savais qu'Autolt est un FP, Antivir est allergique aux tools, même à ZHP, il est
un peu foufou

J'ai essayé avec un fichier batch pour lire les clés, mais apparemment, on ne peut pas les
lire. C'était pour voir quelle fonction elles ont

Développeur Messages : 54 Points : 84 Réputation : 6

Bonjour

éléments de réponse :
http://forum.avira.com/wbb/index.php?page=Thread&threadID=122748
http://forum.avira.de/wbb/index.php?page=Thread&threadID=113457

Invité

Bonjour Laddy
Je te remercie pour ta réponse
Apparemment, ce sont des clés cachés par Windows, et qu'il n'ont pas l'air néfaste
Je trouve que la version 10 d'Antivir est plus embêtante

Invité

Salut

En complément de ce que disait Juju666 et Laddy, il y a de fortes chances que les entrées registre soient liées à un produit Pinnacle installé actuellement ou qui s'est mal désinstallé par le passé, rien de méchant ou de suspect dans ton cas !

Certains logiciels tout comme windows d'ailleurs, utilisent lors de la création/manipulation de clés dites 'sensibles', une petite différence entre l'API Win32 et l'API native qui n'interprètent pas de la même manière un caractère NULL ( \0 par exemple. ) contenu dans le nom d'une clé ou sous-clé.

Par exemple, imagines que tu crées une clé HKLM\SOFTWARE\jawaryinti avec un caractère null inséré entre jawa et ryinti (jawa\0ryinti) :

Pour Regedit ou des outils similaires qui utilisent l'API Win32, le caractère NULL situé après "jawa" signifiera "je suis arrivé à la fin du nom de la clé et peu importe ce qui se trouve à la suite de ce caractère"
Et donc ces outils tenteront en fait d'ouvrir une clé qui n'existe pas -> 'HKLM\SOFTWARE\jawa' provoquant une erreur :-)
On peut dire alors que la clé est "locké" à ce type d'outils, d'ou les remarques d'antivir dans le rapport.
Tandis que pour l'API native et les outils qui l'utilise, il signifiera "je suis un caractère à part entière faisant partie du nom de la clé" ce qui permettra ensuite de manipuler la clé comme n'importe qu'elle autre.

http://www.codeproject.com/KB/system/NtRegistry.aspx?msg=2078988

Bonne continuation, ++

Invité

Salut Oliver,

Eh bien, une réponde qui mérite un +1000, tellement c est bien expliqué....

@bientôt...

HEllo

il faut plussoiyer dans ces cas la Very Happy

les

sont la pour sa : Laughing

:

$^^

Invité

Bonsoir _Olivier_
Je te remercie beaucoup pour ces explications claires
J'avais un produit Pinnacle, et je l'ai désinstallé, car je ne m'en servais pas
J'ai appris quelque chose de très intéressant

Et merci à tous ceux qui m'ont répondu

Invité

Hello,

De rien Jawaryinti, d'autant plus que ta question était très intéressante.
L'essentiel à comprendre étant que ce type d'avertissement n'est pas forcément lié à des éléments infectieux, mais mérite d'être mentionné à cause de l'utilisation de cette technique par certains malwares.

Bonne continuation.

PS pour Juju666 :

Bah je n'ai fait qu'adapter la trad des infos trouvées sur codeproject.com... :-)
C'est plutôt ce site que tu devrais plussoyer pour les explications que l'on peut y trouver !

Invité

Salut Olivier,

Tu nous a interprété, ça passe mieux ainsi Wink

@+

Invité

Bonjour _Olivier_
Je confirme ce que dit Juju, c'est expliqué plus clairement, et tout le monde peut
en profiter et sauront ce que c'est
Maintenant, je sais ce que sont des clés "lockées", merci encore