[RESOLU] Mal/Generic-A dans fichier SYMLCSV1.exe

[PasJ]

Bonjour,

Je cherche de l’aide concernant un problème de Trojan/Virus détecté par Spy Sweeper With Antivirus dans le fichier SYMLCSV1.exe.

Le programme me détecte un problème, lorsque j’effectue le blocage et donc la mise en Quarantaine, celui-ci me désactive mon programme Anti-Virus de chez Symantec, lorsque je contact le support de Symantec on me répond, pour le premier contact il s’agit normalement d’une infection et on me donne une série de test, tous négatif, au deuxième contact on me dit de prendre contact avec le support de Microsoft et qu’il s’agit d’un problème de chez eux.

Pour ce qui concerne le support de Webroot, pour eux il demande simplement de réinstaller la dernière version de leur programme et qui est celle déjà utilisée et donc toujours le même problème.

Pour Microsoft, la demande est en cours.

Ce pourquoi je demande de l’aide via ce site, pourriez-vous me renseigner s’il s’agit bien d’une infection ou pas, s’il s’agit simplement un problème chez Webroot ?

N.B. : Test déjà réalisé

- Désinstallation et réinstallation du programme de chez Symantec et Webroot
- Analyse avec kaspersky (RAS)
- Analyse avec NortonSecurityScan (RAS)
- Analyse avec spybotsd15 (RAS)
- Analyse avec Malwarebytes Anti-Malle (RAS)
- Windows defender (RAS)

D’avance merci pour votre aide
Pascal

[chantal11]

Bonjour,

Apparement ce fichier est un fichier de Symantec :

symlcsv1.exe - Process Information
This component is part of Symantec Shared
Component Name: symlcsv1.exe
Description of : These are the processes shared by multiple Symantec products installed in your system.
(Source http://www.fbmsoftware.com/spyware-net/ ... _exe/1156/)

Mais on va attendre l'avis de Nardino !
Tu peux quand même entamer cette procédure :

Télécharges Hijackthis de Trend Micro:
http://www.trendsecure.com/portal/en-US ... e=download
Installes-le.
Il sera dans C:\Program Files\TrendMicro\HijackThis2.0.2\HijackThis.exe
Lances-le par Do a system scan and save a logfile.
A la fin du scan, un blocnote va s'ouvrir, enregistre le sous HJT1.txt.
Puis sans le fermer :
CTRL+A pour tout sélectionner
CTRL+C pour copier
CTRL+V pour coller dans la réponse
Tu le refermes pour le moment.
Tu attends le diagnostic de Nardino.

Important : Sous Vista, clic droit sur le fichier Hijackthis.exe ou sur le raccourci, Propriétés, Onglet Compatibilité, cocher : "Exécuter ce programme en tant qu'administrateur"

@+

[PasJ]

Merci chantal11

Je vais faire la manip et j’attends le diagnostic de Nardino.

Pascal

[nardino]

Bonsoir.

Il s'agit plus que vraisemblablement d'un faux-positif de Spy Sweeper.
Donc tu ne tiens pas compte de cette détection.
Il y a peut-être une possibilité de ne pas tenir compte de ce fichier lors des prochaines analyses.
Mais comme je n'ai jamais utilisé ce programme, je n'émets qu'une hypothèse.
@+

[PasJ]

Bonsoir.

Il s'agit plus que vraisemblablement d'un faux-positif de Spy Sweeper.
Donc tu ne tiens pas compte de cette détection.
Il y a peut-être une possibilité de ne pas tenir compte de ce fichier lors des prochaines analyses.
Mais comme je n'ai jamais utilisé ce programme, je n'émets qu'une hypothèse.
@+

Bonjour Nardino

Merci pour votre réponse, je crois également qu’il s’agit d’un faux/positif, mais ce qui est bizarre, est que j’utilise le même programme sur trois pc et qu’il me le détecte sur deux pas sur le troisième (Réseau familiale), configuration et programme utilisé sur chaque pc identique.
L’autre problème est que chez Symantec via le support, il me renseigne que le fichier SYMLCSV1.exe n’est pas un fichier utilisé par leur programme.

Néanmoins, le fichier est actuellement mis en quarantaine dans le programme Webroot, donc normalement sécurisé.

Encore merci pour votre aide chantal11 et Nardino
Pascal

[nardino]

Bonsoir.
Je viens de refaire des recherches et il semble effectivement que cela soit un malware.
http://www.castlecops.com/t117097-Cant_ ... xe_is.html
Spy Sweeper l'a donc isolé.
Tu peux aussi faire confiance à la réponse de Symantec.
Pour contrôle, poste un rapport Hijackthis, comme le proposait Chantal.
@

[PasJ]

Bonsoir.
Je viens de refaire des recherches et il semble effectivement que cela soit un malware.
http://www.castlecops.com/t117097-Cant_ ... xe_is.html
Spy Sweeper l'a donc isolé.
Tu peux aussi faire confiance à la réponse de Symantec.
Pour contrôle, poste un rapport Hijackthis, comme le proposait Chantal.
@

Bonsoir.

Voici le résultat :
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:27:26, on 21/05/2008
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18000)
Boot mode: Normal

Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\system32\taskeng.exe
C:\Windows\Explorer.EXE
C:\Program Files\Windows Defender\MSASCui.exe
C:\Windows\RtHDVCpl.exe
C:\Program Files\Packard Bell\FIJI\ABoard.exe
C:\Program Files\Lexmark 3400 Series\ezprint.exe
C:\Program Files\Common Files\Roxio Shared\9.0\SharedCOM\RoxWatchTray9.exe
C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
C:\Program Files\Webroot\Spy Sweeper\SpySweeperUI.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Windows\ehome\ehtray.exe
C:\Program Files\Common Files\InstallShield\UpdateService\ISUSPM.exe
C:\Program Files\Webroot\Washer\wwDisp.exe
C:\Program Files\Hercules\WiFi Station\WiFiStation.exe
C:\Windows\ehome\ehmsas.exe
C:\Windows\system32\wbem\unsecapp.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\Common Files\Roxio Shared\9.0\SharedCOM\CPSHelpRunner.exe
C:\Program Files\Internet Explorer\ieuser.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Users\Joseph\Downloads\HiJackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://format.packardbell.com/cgi-bin/r ... ey=IESTART
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
R3 - URLSearchHook: (no name) - {0579B4B6-0293-4d73-B02D-5EBB0BA0F0A2} - C:\Program Files\AskSBar\SrchAstt\1.bin\A2SRCHAS.DLL
O1 - Hosts: ::1 localhost
O2 - BHO: Ask Search Assistant BHO - {0579B4B1-0293-4d73-B02D-5EBB0BA0F0A2} - C:\Program Files\AskSBar\SrchAstt\1.bin\A2SRCHAS.DLL
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: NCO 2.0 IE BHO - {602ADB0E-4AFF-4217-8AA1-95DAC4DFA408} - C:\Program Files\Common Files\Symantec Shared\coShared\Browser\2.6\coIEPlg.dll
O2 - BHO: Symantec Intrusion Prevention - {6D53EC84-6AAE-4787-AEEE-F4628F01010C} - C:\PROGRA~1\COMMON~1\SYMANT~1\IDS\IPSBHO.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar3.dll
O2 - BHO: Browser Address Error Redirector - {CA6319C0-31B7-401E-A518-A07C3DB8F777} - C:\Program Files\Google\Google_BAE\BAE.dll
O2 - BHO: Ask Toolbar BHO - {F0D4B231-DA4B-4daf-81E4-DFEE4931A4AA} - C:\Program Files\AskSBar\bar\1.bin\ASKSBAR.DLL
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar3.dll
O3 - Toolbar: Show Norton Toolbar - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - C:\Program Files\Common Files\Symantec Shared\coShared\Browser\2.6\CoIEPlg.dll
O3 - Toolbar: Ask Toolbar - {F0D4B239-DA4B-4daf-81E4-DFEE4931A4AA} - C:\Program Files\AskSBar\bar\1.bin\ASKSBAR.DLL
O4 - HKLM\..\Run: [Windows Defender] "C:\Program Files\Windows Defender\MSASCui.exe" -hide
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [ACTIVBOARD] "C:\Program Files\Packard Bell\FIJI\aboard.exe"
O4 - HKLM\..\Run: [EzPrint] "C:\Program Files\Lexmark 3400 Series\ezprint.exe"
O4 - HKLM\..\Run: [LXCYCATS] rundll32 C:\Windows\system32\spool\DRIVERS\W32X86\3\LXCYtime.dll,_RunDLLEntry@16
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [osCheck] "C:\Program Files\Norton 360\osCheck.exe"
O4 - HKLM\..\Run: [RoxWatchTray] "C:\Program Files\Common Files\Roxio Shared\9.0\SharedCOM\RoxWatchTray9.exe"
O4 - HKLM\..\Run: [SpySweeper] "C:\Program Files\Webroot\Spy Sweeper\SpySweeperUI.exe" /startintray
O4 - HKCU\..\Run: [Sidebar] "C:\Program Files\Windows Sidebar\sidebar.exe" /autoRun
O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe
O4 - HKCU\..\Run: [ISUSPM] "C:\Program Files\Common Files\InstallShield\UpdateService\ISUSPM.exe" -scheduler
O4 - HKCU\..\Run: [Window Washer] "C:\Program Files\Webroot\Washer\wwDisp.exe"
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: WiFi Station.lnk = C:\Program Files\Hercules\WiFi Station\WiFiStation.exe
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O13 - Gopher Prefix:
O15 - Trusted Zone: http://security.symantec.com
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://fpdownload.macromedia.com/get/f ... wflash.cab
O20 - AppInit_DLLs: C:\PROGRA~1\Google\GOOGLE~2\GOEC62~1.DLL
O23 - Service: Ati External Event Utility - ATI Technologies Inc. - C:\Windows\system32\Ati2evxx.exe
O23 - Service: Planificateur LiveUpdate automatique (Automatic LiveUpdate Scheduler) - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\AluSchedulerSvc.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: COM Host (comHost) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\VAScanner\comHost.exe
O23 - Service: GoogleDesktopManager - Google - C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\LuComServer_3_4.EXE
O23 - Service: LiveUpdate Notice - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: lxcy_device - - C:\Windows\system32\lxcycoms.exe
O23 - Service: lxda_device - - C:\Windows\system32\lxdacoms.exe
O23 - Service: RoxMediaDB9 - Sonic Solutions - C:\Program Files\Common Files\Roxio Shared\9.0\SharedCOM\RoxMediaDB9.exe
O23 - Service: Roxio Hard Drive Watcher 9 (RoxWatch9) - Sonic Solutions - C:\Program Files\Common Files\Roxio Shared\9.0\SharedCOM\RoxWatch9.exe
O23 - Service: Steam Client Service - Valve Corporation - C:\Program Files\Common Files\Steam\SteamService.exe
O23 - Service: stllssvr - MicroVision Development, Inc. - C:\Program Files\Common Files\SureThing Shared\stllssvr.exe
O23 - Service: Symantec Core LC - Unknown owner - C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcsvc.exe
O23 - Service: Moteur Webroot Spy Sweeper (WebrootSpySweeperService) - Webroot Software, Inc. - C:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe
O23 - Service: Window Washer Engine (wwEngineSvc) - Webroot Software, Inc. - C:\Program Files\Webroot\Washer\WasherSvc.exe
O23 - Service: X10 Device Network Service (x10nets) - X10 - C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe

--
End of file - 8818 bytes

J'espère qu'il n'y a rien de grave.
D'avance Merci Nardino

Pascal

[nardino]

Bonsoir.

Rien de grave en effet.
Je te conseille de désinstaller ASK Toolbar que tu as du installer avec un programme comme Néro.
Tu vas dans Panneau de configuration, Programmes et fonctionnalités et tu désinstalles cette barre qui sert plus l'éditeur que toi.
Pour le fichier tu le renommes en lui ajoutant .old à la fin (SYMLCSV1.exe.old) et si tout fonctionne bien d'ici quelque temps tu le supprimeras purement et simplement.
@+

[PasJ]

Bonsoir.

Rien de grave en effet.
Je te conseille de désinstaller ASK Toolbar que tu as du installer avec un programme comme Néro.
Tu vas dans Panneau de configuration, Programmes et fonctionnalités et tu désinstalles cette barre qui sert plus l'éditeur que toi.
Pour le fichier tu le renommes en lui ajoutant .old à la fin (SYMLCSV1.exe.old) et si tout fonctionne bien d'ici quelque temps tu le supprimeras purement et simplement.
@+

Bonjour,

Suppression réalisée de ASK Toolbar, mais pour ce qui est du fichier SYMLCSV1.exe, il est difficile à trouver, car il s’agit d’un fichier qui arrive aléatoirement dans le temps, mais uniquement au moment de l’utilisation de Norton et de plus qui arrive toujours dans un répertoire Utilisateur/…/AppDatta/Temp, donc parfois supprimé lors du nettoyage du PC ou supprimé automatiquement après un certain temps.

Je me demande s’il ne s’agit réellement pas d’un Faux/Positif, le programme Webroot ne le détecte pas comme un malware bien définit, mais il le prend comme un générique, donc il ne sait pas réellement s’il s’agit ou non d’un malware/Trojan.

Je vais continuer à chercher une solution et la posterait sur le site, s’il en existe une.

Salutations,
Pascal

[nardino]

Bonjour.
Merci de nous informer si tu trouves du nouveau.
Contacte Symantec et explique leur bien le problème.
@+

[PasJ]

Bonjour.
Merci de nous informer si tu trouves du nouveau.
Contacte Symantec et explique leur bien le problème.
@+

Bien le bonjour,

Plus de trace du fichier SYMLCSV1.exe depuis deux jours, problème sûrement résolu par une mise à jour du programme Spy Sweeper par sont concepteur ou par la désinstallation et la réinstallation du programme de Symantec (Norton) et/ou de sa mise à jour également par sont concepteur.

Conseille également du support de Symantec est l'utilisation d'un programme nommé Norton AntiBot (Utilisé actuellement version d'essai 15 jours, mais ne détecte rien pour l'instant) et l'utilisation de leur système de scan en ligne via http://security.symantec.com/sscv6/defa ... id=toolbox


Donc pour l'instant plus de problème, mais je reste sur mes garde.

Encore merci à chantal11 et nardino

Pascal.