[ok] Foxmail veut installer un service/driver ?

Félix le Chat · Message par **Félix le Chat** » 29 mai 2006, 12:20

Bonjour,

Sous Xp sp2, ma version 5.0.6 de Foxmail (installée depuis le 24 avril 2005) est contrôlée par ProcessGuard v 3.150 full version, à la première connexion de la journée de Foxmail, j'ai un message d'alerte "foxmail.exe essaye d'installer un driver/service" dont le nom n'est pas indiqué [Mon 29 - 11:11:50 [DRIVER/SERVICE] d:\program files\foxmail\foxmail.exe [2524] Tried to install a driver/service named ] mes nouveaux et plus serrés réglages de ProcessGuard pour Foxmail [protection contre "termination" "modification" "reading" et autorisation de "read from protected applications"] bloquent cette installation, mais...

Après installation de la version 5.0.8 le problème reste entier, d'où ma question Foxmail essaye-t-il réellement d'installer un driver/service ? si oui, pourquoi faire ?

Merci d'avance pour les réponses.

ra-mon · Message par **ra-mon** » 29 mai 2006, 14:56

Salut,
quelle version exactement de foxmail, téléchargée où et avec quelle empreinte MD5...

après tout dépend de ce que ton garde du PC surveille et il serait bien qu'il soit plus prolixe...
Foxmail fait tout un tas de chose... il peut tenter de créer un raccourci en %userprofile%\sendto, il peut si tu l'a défini "courrielleur par défaut" essayer de se caser en base de registre HKEY_CLASSES_ROOT/mailto, voire et c'est peut-être plus compréhensible, tenter de se placer dans de zone d'auto-exécution systématique de la dite BdR, si tu l'as réglé pour démarrer automatiquement au démarrage de Windows... comme tous les virus aiment bien faire ça, tout bêtement, ton cyber-cerbère, miro comme il est, il va pas chercher plus loin...

sp2, look 'n' Stop, Avast, DropMyRights, Firefox avec Adblock et NoScript, Foxmail, Spybot S & D, Spyware Blaster, ProcessGuard, WinPatrol et son fidèle Scotty, PreEmpt

ben dis donc, ça fout la trouille

Félix le Chat · Message par **Félix le Chat** » 29 mai 2006, 16:28

Merci pour la réponse,

Toutes mes versions de Foxmail ont été téléchargées sur ce site http://foxmail.free.fr.

Foxmail n'est pas programmé pour s'exécuter au démarrage, tous mes programmes susceptibles de se connecter sur internet sont lancés 1 par 1 avec des droits réduits d'utilisateur contraint.

Foxmail est "par défaut" depuis qu'il est installé, donc il a déjà créé son raccourci dans "envoyer vers", de même la commande dans mailto est "D:\Program Files\FoxMail\Foxmail.exe" %1

Empreinte MD5 calculée par le programme X-rayPc de la 5.0.8 installée ce matin dans un répertoire vide, prise juste après le 1er lancement et après récupération du compte de la 5.0.6 mise de coté parès changement de nom de son répertoire : Foxmail.exe D:\Program Files\Foxmail\Foxmail.exe 3272704 e0b32a73b8854fffec1a4f45a2b95cd2 Process Undetermined
la comparaison avec l'empreinte du site Empreinte MD5 : AA8FB0599FEC5C1E4FEFEA9364917D44 est révélatrice de quelque chose, mais quoi ?... au contrôle que j'ai effectué sur la 5.0.6. qui était installée avant de télécharger la 5.0.8 les 2 empreintes étaient aussi différentes, c'est la raison pour laquelle j'ai réinstallé et upgradé en même temps.

Le log de ProcessGuard donne comme indications de l'apparition de ce problème Sun 21 - 17:16:30 [DRIVER/SERVICE] d:\program files\foxmail\foxmail.exe [1768] Tried to install a driver/service named et avant rien :

A 15 h 12 j'ai installé MBSA 1.2 de Microsoft
De 16 h 22 à 16 h 30/35, en suivant les résultats du scan MBSA j'ai téléchargé différentes mises à jour de sécurité pour IE que je n'utilise pas, mais que je mets à jour ;
A 17 h 16 j'ai relevé mes fils RSS avec le Lycos RSS Reader, ex Lektora, installé sur Firefox 1.5.0.3

... et soudain l'illumination, en analysant les logs de PG, opéra essaye aussi d'installer un service/driver, opéra [que je n'utilise pas] et foxmail sont mes programmes par défaut, donc la bestiole s'attaque à eux, d'où transfert du "par défaut" sur dreammail, que je ne compte pas utiliser et tes au prochain redémarraget.

Restent 2 problèmes :

- la bestiole et son origine ?
- les empreintes MD5, une proposition d'un autre programme pour les calculer ?

Merci encore pour les questions qui m'ont obligé à me torturer un peu les neurones

ra-mon · Message par **ra-mon** » 29 mai 2006, 17:31

la version que tu as téléchargé sur http://foxmail.free.fr/dl/install_fm50fr.exe avait bien un hachage MD5=AA8FB0599FEC5C1E4FEFEA9364917D44 qui sert à vérifier l'intégrité de l'installeur lors du téléchargement
par contre le foxmail.exe issu de cet installeur doit avoir effectivement l'empreinte exacte : E0B32A73B8854FFFEC1A4F45A2B95CD2 ce qui montre qu'il n'a pas été tripoté par un vilain petit malware...
ensuite je ne pige pas trop tes analyse de log PG mais je ne vois pas non plus l'ombre d'une bestiole...
j'espère que tous ces outils "dits de sécurité" ne vont pas te rendre paranoïaque

Félix le Chat · Message par **Félix le Chat** » 30 mai 2006, 14:46

Bonjour,

En 2 temps les réponses à toutes les questions :

1er) aux grands maux, les grands remèdes, ayant suspendu le service de restauration pour chasser la bestiole, retour arrière en remettant en service [avec la complicité d'ERUNT en mode automatique = une sauvegarde du registre par jour] le registre d'avant son appartition... enfin, tout fonctionne correctement, la bestiole semble bien morte et Foxmail n'essaye plus d'installer son driver/service.
2nd) réinstallation des programmes 1 par 1 pour trouver celui qui installe la bestiole, et le gagant est.... MBSA, qui réclame pour son fonctionnement que le service "serveur" soit activé et démarré, dès que c'est fait Foxmail essaye à nouveau d'installer son driver et pour ceux qui n'ont pas de watchdog tout se fait silencieusement.

Merci encore pour les réponses, Foxmail est un très beau programme.

ra-mon · Message par **ra-mon** » 30 mai 2006, 22:32

Foxmail essaye à nouveau d'installer son driver et pour ceux qui n'ont pas de watchdog tout se fait silencieusement.

balivernes. Foxmail n'a pas plus de driver que le zoziau du tonnerre n'a de pilote...