[R] Histoire de handle

[DimVar]

Bonjour à tous.


Voila un cas d'ecole interressant (pour moi).
Hier, un ami m'informe qu'un virus à infecté son ordi.
Il me dit qu'il ne peut plus rien faire et des qu'il ouvre une fenetre, celle-ci se ferme.
Ni une ni deux, mon petit cerveau pense au code que le malin à mis en place.
(detection de fenetres, test d'existence, condition et kill de celle-ci)

Je lui demande donc de passer par "cmd" (sous XP).
Et de lancer "services.msc", histoire de fouiner dans le lot pour y trouver un exe pas catholique. (coup de bol, ca marche)
Et voila qu'au moment ou il appuit sur entrée (apres la commande "services.msc"), la fenetre de service s'ouvre et se ferme aussi tot.
Rien d'etonant me direz-vous. Mais dans la seconde qui suit, la fenetre DOS se ferme aussi !

Ma question :

Est il possible que le malin ait fermé DOS suite à l'ouverture de la fenetre de services ?
Autrement dit, peut on retrouver le handle parent d'une fenetre lancé par DOS ?
Je suis pas tres clair car je decouvre à peine les notions de handle / PID / etc...


Merci pour vos lumieres.

[Tlem]

Est il possible que le malin ait fermé DOS suite à l'ouverture de la fenetre de services ?

Oui

peut on retrouver le handle parent d'une fenetre lancé par DOS ?

Oui

Fait à l'arrache en récupérant des fonctions par-ci par-là ...

► Afficher le texte

Code : Tout sélectionner

#Include <WinAPI.au3>
#Include <WindowsConstants.au3>
#include <Process.au3>

HotKeySet("{ESC}", "Terminate")

Global $ProcToClose = ("mmc.exe, regedit.exe")

While 1
    $avRET = _ProcessListProperties()
    For $i = 1 to $avRET[0][0]
        If StringInStr($ProcToClose, $avRET[$i][0]) Then
            ProcessClose($avRET[$i][0])
            If ProcessGetName($avRET[$i][2]) <> "explorer.exe" Then
                ProcessClose(_ProcessGetName($avRET[$i][2]))
            EndIf
        EndIf
    Next
    Sleep(5000)  ; <= Pause de 5 secondes qui évite au script de monopoliser les ressources processeur.
WEnd


Func Terminate()
    Exit 0
EndFunc

; _ProcessListProperties() épurée pour les besoins.
Func _ProcessListProperties($Process = "", $sComputer = ".")
    Local $sUserName, $sMsg, $sUserDomain, $avProcs, $dtmDate
    Local $avProcs[1][2] = [[0, ""]], $n = 1

    ; Connect to WMI and get process objects
    $oWMI = ObjGet("winmgmts:{impersonationLevel=impersonate,authenticationLevel=pktPrivacy, (Debug)}!\\" & $sComputer & "\root\cimv2")
    If IsObj($oWMI) Then
        ; Get all collection processes from Win32_Process
        $colProcs = $oWMI.ExecQuery("select * from win32_process")

        If IsObj($colProcs) Then
            ; Return for no matches
            If $colProcs.count = 0 Then Return $avProcs

            ; Size the array
            ReDim $avProcs[$colProcs.count + 1][3]
            $avProcs[0][0] = UBound($avProcs) - 1

            ; For each process...
            For $oProc In $colProcs
                ; [n][0] = Process name
                $avProcs[$n][0] = $oProc.name
                ; [n][1] = Process PID
                $avProcs[$n][1] = $oProc.ProcessId
                ; [n][2] = Parent PID
                $avProcs[$n][2] = $oProc.ParentProcessId

                ; increment index
                $n += 1
            Next
        EndIf
        ; release the collection object
        $colProcs = 0
    EndIf

    ; Return array
    Return $avProcs
EndFunc  ;==>_ProcessListProperties

Func ProcessGetName($PId)
    If IsNumber($PId) = 0 Then
        SetError(2)
    ElseIf $PId > 9999 Then
        SetError(1)
    Else
        Local $PList = ProcessList()
        Local $i = 1
        Local $ProcessName = ""

        While $i <= $PList[0][0] And $ProcessName = ""
            If $PList[$i][1] = $PId Then
                $ProcessName = $PList[$i][0]
            Else
                $i = $i + 1
            EndIf
        WEnd
        Return $ProcessName
    EndIf
EndFunc ;==>ProcessGetName

[DimVar]

Désolé pour le retard.

Merci pour les reponses et le script

[Habibsbib]

Tlem a donné une solution en AutoIt, mais à mon avis ce genre de virus n'est pas programmé en AutoIt, dans d'autres langages, cette manœuvre aurait été beaucoup plus simple.

[Tlem]

Le type de code utilisé n'a aucun rapport ici.

Si vous pensez faire mieux autrement, merci de partager votre/vos idées.

[Habibsbib]

Je n'ai jamais dit mieux faire en AutoIt voyons