UDP-flood : réseau bloqué

[piku]

Bonjour,

Quelqu'un peut-il m'aider ?

Mon réseau local (routeur, cable et wifi sur connexion ADSL) est régulièrement bloqué par du SYN-FLOOD ou du UDP-FLOOD en provenance d'un seul PC de

mon réseau.

L'"attaque" est violente, elle bloque tous les PC du réseau, y compris le wifi.

Cela se reproduit chaque jour ou presque, mais à des heures différentes : par exemple blocage total pendant 10 à 30 minutes, puis plus aucun prolbème

pendant plusieurs heures.

Le problème perdure depuis des mois. Evidemment, nous avons testé antivirus et anti-spyware sur le pc infecté (scan complet, etc)... sans résultat.

Il est parfois possible de limiter la difficulté en bloquant (dans le firewall) les adresses ip faisant l'objet de l'attaque. Mais la liste est déjà longue et le résultat peu concluant.

Le PC impliqué est un Dell sous win 7 (mises à jour régulières).
Un extrait du log est copié ci-dessous.

Qu'est-ce qu'il faudrait encore controler sur ce poste ? Je ne suis guère enclin à faire une réinstallation totale.

Merci d'avance,



03/15/2012 20:24:11 **UDP Flood (per Min)** 192.168.1.31, 29517->> 46.22.238.198, 56879 (from PPPoE1 Outbound)
03/15/2012 20:24:11 **UDP Flood (per Min)** 192.168.1.31, 29517->> 178.92.46.202, 61226 (from PPPoE1 Outbound)
03/15/2012 20:24:10 **UDP Flood (per Min)** 192.168.1.31, 29517->> 14.98.227.149, 22123 (from PPPoE1 Outbound)
03/15/2012 20:24:10 **UDP Flood (per Min)** 192.168.1.31, 29517->> 109.229.87.158, 13362 (from PPPoE1 Outbound)
03/15/2012 20:24:10 **UDP Flood (per Min)** 192.168.1.31, 29517->> 80.245.114.128, 40841 (from PPPoE1 Outbound)
03/15/2012 20:24:10 **UDP Flood (per Min)** 192.168.1.31, 29517->> 195.211.63.129, 23765 (from PPPoE1 Outbound)
03/15/2012 20:24:09 **UDP Flood (per Min)** 192.168.1.31, 29517->> 85.183.144.136, 49313 (from PPPoE1 Outbound)
03/15/2012 20:24:05 **UDP Flood (per Min)** 192.168.1.31, 49576->> 94.245.121.253, 3544 (from PPPoE1 Outbound)
03/15/2012 20:24:02 **UDP Flood (per Min)** 192.168.1.31, 29517->> 201.55.134.66, 1024 (from PPPoE1 Outbound)
03/15/2012 20:24:02 **UDP Flood (per Min)** 192.168.1.31, 29517->> 93.34.6.16, 53335 (from PPPoE1 Outbound)
03/15/2012 20:24:01 **UDP Flood (per Min)** 192.168.1.31, 49576->> 94.245.121.253, 3544 (from PPPoE1 Outbound)
03/15/2012 20:23:59 **UDP Flood (per Min)** 192.168.1.31, 49576->> 94.245.121.253, 3544 (from PPPoE1 Outbound)
03/15/2012 20:23:57 **UDP Flood (per Min)** 192.168.1.31, 29517->> 94.231.183.78, 62931 (from PPPoE1 Outbound)
03/15/2012 20:23:52 **SYN Flood (per Min)** 192.168.1.31, 49467->> 178.125.249.249, 30858 (from PPPoE1 Outbound)
03/15/2012 20:23:52 **SYN Flood** 192.168.1.31, 49467->> 178.125.249.249, 30858 (from PPPoE1 Outbound)
03/15/2012 20:23:49 **SYN Flood (per Min)** 192.168.1.31, 49448->> 78.163.12.145, 54032 (from PPPoE1 Outbound)
03/15/2012 20:23:49 **ICMP Redirect** 188.230.113.163->> 77.109.101.148, Type:5, Code:1 (from PPPoE1 Inbound)
03/15/2012 20:23:46 **ICMP Redirect** 188.230.113.163->> 77.109.101.148, Type:5, Code:1 (from PPPoE1 Inbound)
03/15/2012 20:22:00 sending ACK to 192.168.1.28
03/15/2012 20:22:00 sending OFFER to 192.168.1.28
03/15/2012 20:20:54 sending ACK to 192.168.1.31
03/15/2012 20:20:28 NTP Date/Time updated.
08/01/2003 00:00:26 If(PPPoE1) PPP connection ok !
08/01/2003 00:00:25 PPPoE1 get IP:XX.XXX.XXX.XXX
08/01/2003 00:00:25 PPPoE1 start PPP
08/01/2003 00:00:25 PPPoE receive PADS
08/01/2003 00:00:25 PPPoE send PADR
08/01/2003 00:00:25 PPPoE receive PADO
08/01/2003 00:00:25 PPPoE send PADI
08/01/2003 00:00:20 PPPoE send PADI
08/01/2003 00:00:20 ADSL Media Up !

[EinsteinZero]

Bonsoir

Bienvenu sur le forum

En effet ce genre de comportement laisse penser à une infection vicieuse.

or le PC est infecté par un malware, il n'y a que deux possibilités:

1> Le formatage complet avec réinstallation qui n'est visiblement pas souhaité...et de tout façon à ne faire qu'en dernier ressort

2> Tenter de voir si "on peut traquer la bête" dans la section spécialisée sécurité et virus du forum

c'est pourquoi je bascule le sujet dans le forum "sécurité et virus"

il serait souhaitable de faire alors la procédure >>Préparer sa demande d'aide de désinfection<<

à moins qu'un spécialiste "virus" ne demande avant autre chose

[piku]

Est-ce que quelqu'un a une piste pour moi ? Ou serait prêt à analyser le log ?

Merci d'avance.

[jeanmimigab]

Salut,

Ho le beau PC Zombie !

C'est un PC en réseaux perso ou entreprise ? Combien de PC sur ce réseaux ?

Prend soin de sauvegarder tous tes documents important et poste les rapports OTL

dis moi aussi si tu dispose de support de restauration en cas de pépins (DVD restauration Dell etc...) car une désinfection n'est jamais sans risques.

Tu as des doppers qui se connectent vers des IP pointant vers l'Ukraine et pas mal d'autres pays exotique, donc fais en sorte qu'il soit déconnecter "Physiquement" du web (débranches-le du réseaux ou désactives le Wifi)

et ne suis pas deux procédures de désinfections simultanés ( Cf >> TPLPC )

[piku]

Merci pour cette réponse. Je suis pour le moment une procédure décrite ailleurs... mais je reviendrai si nécessaire.