rootkits win32rootkit-gen

Question

Bonjour,
à chaque démarrage de mon ordinateur, deux alertes avast! qui m'indiquent que le fichier ms_unherr.dll est infecté par le rootkit win32rootkit-gen. à chaque fois je mets les fichiers en quarantaine, j'ai essayé différents logiciels censés eliminer les rootkits mais rien n'y fait les fichiers infectés sont à nouveau découverts par l'antivirus au démarrage...
quelqu'un peut il m'aider?

daffy · Answer

personne?

DeNisCoOl · Answer

salut,

ms_unherr.dll ce fichier ne correspond à aucun fichier système.
Avast ne te proposes pas de le supprimer?

- As tu essayé Malwarebytes Antimalware, il a un spectre de désinfection assez large maintenant :
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
Suivre les instructions et renvoyer un rapport.

- Ensuite envoyer un rapport Hijactkthis (suivre instructions):
https://forums.cnetfrance.fr

A+

Denis

daffy · Answer

re...
désolé de répondre si tard mais j'avais beaucoup à faire!!!
je viens d'effectuer le scan de malwarebytes' antimalware qui n'a rien décelé.

voici le log

Malwarebytes' Anti-Malware 1.33
Database version: 1656
Windows 6.0.6001 Service Pack 1

15/01/2009 22:13:41
mbam-log-2009-01-15 (22-13-41).txt

Scan type: Full Scan (C:\|)
Objects scanned: 149940
Time elapsed: 26 minute(s), 0 second(s)

Memory Processes Infected: 0
Memory Modules Infected: 0
Registry Keys Infected: 0
Registry Values Infected: 0
Registry Data Items Infected: 0
Folders Infected: 0
Files Infected: 0

Memory Processes Infected:
(No malicious items detected)

Memory Modules Infected:
(No malicious items detected)

Registry Keys Infected:
(No malicious items detected)

Registry Values Infected:
(No malicious items detected)

Registry Data Items Infected:
(No malicious items detected)

Folders Infected:
(No malicious items detected)

Files Infected:
(No malicious items detected)


Cependant, au redémarrage avast a encore détecté le fichier infecté que je supprime à chaque fois!

voici le rapport hijackthis

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 22:24:32, on 15/01/2009
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18000)
Boot mode: Normal

Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\system32	askeng.exe
C:\Windows\Explorer.EXE
C:\Program Files\Windows Defender\MSASCui.exe
C:\Program Files\Apoint\Apoint.exe
C:\Program Files\Sony\ISB Utility\ISBMgr.exe
C:\Program Files\Sony\Marketing Tools\MarketingTools.exe
C:\Program Files\Java\jre1.6.0_02\bin\jusched.exe
C:\Program Files\Alwil Software\Avast4\ashDisp.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\Windows\System32undll32.exe
C:\Program Files\Picasa2\PicasaMediaDetector.exe
C:\Program Files\WIDCOMM\Bluetooth Software\BTTray.exe
C:\Windows\System32undll32.exe
C:\Program Files\Sony\VAIO Update 3\VAIOUpdt.exe
C:\Program Files\Apoint\ApMsgFwd.exe
C:\Program Files\Apoint\Apntex.exe
C:\Program Files\Sony\Wireless Switch Setting Utility\Switcher.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.club-vaio.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
O1 - Hosts: ::1 localhost
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint\Apoint.exe
O4 - HKLM\..\Run: [ISBMgr.exe] "C:\Program Files\Sony\ISB Utility\ISBMgr.exe"
O4 - HKLM\..\Run: [MarketingTools] C:\Program Files\Sony\Marketing Tools\MarketingTools.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_02\bin\jusched.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Windows\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32
vsvc.dll,nvsvcStart
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\RunOnce: [Malwarebytes' Anti-Malware] C:\Program Files\Malwarebytes' Anti-Malware\mbamgui.exe /install /silent
O4 - HKCU\..\Run: [Picasa Media Detector] C:\Program Files\Picasa2\PicasaMediaDetector.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-21-3178511377-1602032354-3299242217-1001\..\Run: [Picasa Media Detector] C:\Program Files\Picasa2\PicasaMediaDetector.exe (User 'Tilou')
O4 - Startup: LaunchU3.exe.lnk = ?
O4 - Global Startup: BTTray.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Envoyer au périphérique &Bluetooth... - C:\Program Files\WIDCOMM\Bluetooth Software\btsendto_ie.htm
O8 - Extra context menu item: Envoyer l'&image au périphérique Bluetooth... - C:\Program Files\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Program Files\WIDCOMM\Bluetooth Software\btsendto_ie.htm
O9 - Extra 'Tools' menuitem: @btrez.dll,-12650 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Program Files\WIDCOMM\Bluetooth Software\btsendto_ie.htm
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O13 - Gopher Prefix: 
O16 - DPF: {4871A87A-BFDD-4106-8153-FFDE2BAC2967} (DLM Control) - http://dlm.tools.akamai.com/dlmanager/versions/activex/dlm-activex-2.2.4.1.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: aufaarimvhberz - Helper - c:\windows\system32\FNZMJC~1.EXE
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Service Bonjour (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Unknown owner - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe (file missing)
O23 - Service: FGBAEIX - Sysinternals - www.sysinternals.com - C:\Users\sarah\AppData\Local\Temp\FGBAEIX.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: Service de l'iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: IviRegMgr - InterVideo - C:\Program Files\Common Files\InterVideo\RegMgr\iviRegMgr.exe
O23 - Service: MSCSPTISRV - Sony Corporation - C:\Program Files\Common Files\Sony Shared\AVLib\MSCSPTISRV.exe
O23 - Service: OBB - Sysinternals - www.sysinternals.com - C:\Users\sarah\AppData\Local\Temp\OBB.exe
O23 - Service: OU - Sysinternals - www.sysinternals.com - C:\Users\sarah\AppData\Local\Temp\OU.exe
O23 - Service: PACSPTISVR - Unknown owner - C:\Program Files\Common Files\Sony Shared\AVLib\PACSPTISVR.exe
O23 - Service: SBSD Security Center Service (SBSDWSCService) - Safer Networking Ltd. - C:\Program Files\Spybot - Search & Destroy\SDWinSec.exe
O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Program Files\Common Files\Sony Shared\AVLib\SPTISRV.exe
O23 - Service: SigmaTel Audio Service (STacSV) - IDT, Inc. - C:\Windows\system32\stacsv.exe
O23 - Service: VAIO Entertainment TV Device Arbitration Service - Sony Corporation - C:\Program Files\Common Files\Sony Shared\VAIO Entertainment Platform\VzCs\VzHardwareResourceManager\VzHardwareResourceManager.exe
O23 - Service: VAIO Event Service - Sony Corporation - C:\Program Files\Sony\VAIO Event Service\VESMgr.exe
O23 - Service: VAIO Media Integrated Server (VAIOMediaPlatform-IntegratedServer-AppServer) - Sony Corporation - C:\Program Files\Sony\VAIO Media Integrated Server\VMISrv.exe
O23 - Service: VAIO Media Integrated Server (HTTP) (VAIOMediaPlatform-IntegratedServer-HTTP) - Sony Corporation - C:\Program Files\Sony\VAIO Media Integrated Server\Platform\SV_Httpd.exe
O23 - Service: VAIO Media Integrated Server (UPnP) (VAIOMediaPlatform-IntegratedServer-UPnP) - Sony Corporation - C:\Program Files\Sony\VAIO Media Integrated Server\Platform\UPnPFramework.exe
O23 - Service: VAIO Media Gateway Server (VAIOMediaPlatform-Mobile-Gateway) - Sony Corporation - C:\Program Files\Sony\VAIO Media Integrated Server\Platform\VmGateway.exe
O23 - Service: VAIO Media Content Collection (VAIOMediaPlatform-UCLS-AppServer) - Sony Corporation - C:\Program Files\Sony\VAIO Media Integrated Server\UCLS.exe
O23 - Service: VAIO Media Content Collection (HTTP) (VAIOMediaPlatform-UCLS-HTTP) - Sony Corporation - C:\Program Files\Sony\VAIO Media Integrated Server\Platform\SV_Httpd.exe
O23 - Service: VAIO Media Content Collection (UPnP) (VAIOMediaPlatform-UCLS-UPnP) - Sony Corporation - C:\Program Files\Sony\VAIO Media Integrated Server\Platform\UPnPFramework.exe
O23 - Service: VAIO Content Metadata Intelligent Analyzing Manager (VcmIAlzMgr) - Sony Corporation - C:\Program Files\Sony\VCM Intelligent Analyzing Manager\VcmIAlzMgr.exe
O23 - Service: VAIO Content Metadata XML Interface (VcmXmlIfHelper) - Sony Corporation - C:\Program Files\Common Files\Sony Shared\VcmXml\VcmXmlIfHelper.exe
O23 - Service: VAIO Entertainment UPnP Client Adapter (Vcsw) - Sony Corporation - C:\Program Files\Common Files\Sony Shared\VAIO Entertainment Platform\VCSW\VCSW.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Check Point Software Technologies LTD - C:\Windows\System32\ZoneLabs\vsmon.exe
O23 - Service: VAIO Entertainment Database Service (VzCdbSvc) - Sony Corporation - C:\Program Files\Common Files\Sony Shared\VAIO Entertainment Platform\VzCdb\VzCdbSvc.exe
O23 - Service: VAIO Entertainment File Import Service (VzFw) - Sony Corporation - C:\Program Files\Common Files\Sony Shared\VAIO Entertainment Platform\VzCdb\VzFw.exe
O23 - Service: XAudioService - Conexant Systems, Inc. - C:\Windows\system32\DRIVERS\xaudio.exe

daffy · Answer

ah ok je me réponds tout seul...
l'analyse du log hijackthis sur le site de l éditeur révèle quelques services inconnus:

O23 - Service: aufaarimvhberz - Helper - c:\windows\system32\FNZMJC~1.EXE

et 

O23 - Service: FGBAEIX - Sysinternals - www.sysinternals.com - C:\Users\sarah\AppData\Local\Temp\FGBAEIX.exe

et 

O23 - Service: OBB - Sysinternals - www.sysinternals.com - C:\Users\sarah\AppData\Local\Temp\OBB.exe

et

C:\Program Files\Sony\Marketing Tools\MarketingTools.exe (tâche inconnue)


dois je supprimer ces services et si oui comment faire?

MERCI

daffy · Answer

quelqu un peut il m'aider s'il vous plait???

DeNisCoOl · Answer

salut,

Désolé je suis également occupé.
Effectivement vous avez bien vue les lignes.

En ce qui concerne cette ligne elle concerne un programme de sony semble t-il:
C:\Program Files\Sony\Marketing Tools\MarketingTools.exe


Suivre la procédure suivante.
--------------------- 
1-> Démarrer 
-> Exécuter...  Ou touche windows + R
Taper Services.msc puis valider
Rechercher dans la liste les services suivant:
Service: aufaarimvhberz

Double cliquer sur le service voulu <=== Attention il y a d’autre service valide (ne pas y  toucher)
Type de démarrage : "Manuel" 
Cliquer en bas sur "Arrêter" 
Valider les changements. 

/ ! \ Continuer la procédure même si vous ne trouvez rien / ! \

Arrêter également les services suivant:
Service: FGBAEIX
Service: OBB

----- 
2-> Ouvrir Hijackthis puis: 
-> Open the Misc Tools Section 
-> Delete an NT Service 
Taper aufaarimvhberz puis valide. 

Et recommencer avec FGBAEIX et OBB


-------------
ms_unherr.dll est infecté par le rootkit win32rootkit-gen
Avast ne proposes pas de le supprimer?


----------
Exécuter un scan Antivirus en ligne uniquement sous IExplorer.
Bitdefender http://www.bitdefender.fr/scan_fr/scan8/ie.html
Étant sous Vista suivre le tuto ici : https://kerio.probb.fr/t673-bitdefender-antivirus-en-ligne


A+


Denis

daffy · Answer

merci pour votre réponse!
j'ai pu arrêter les trois services incriminés même si aufaarimvhberz  a été assez retord (j'ai du fixer la ligne avec hijackthis car il n'était pas possible de l'arrêter avec la console services.msc: même désactivé il se remettait en automatique au redémarrage!!)
par contre aucun des trois n'a pu etre supprimé par les misc tools (service introuvable ou en exécution)

effectivement avast me propose de supprimer ms-unherr.dll, ce que je fait, mais ça ne l'empêche pas de réapparaître au redémarrage!

enfin, et c'est plutot inquiétant je ne peux effectuer le scan en ligne sous IE7 car le navigateur semble ne pas fonctionner (alors que firefox fonctionne)

à très vite j'espère!

daffy · Answer

up!!!
j'ai finalement réussi à supprimer les trois "services" avec hijackthis en mode sans échec.  cependant internet explorer ne fonctionne toujours pas... 
que me suggérez vous?

daffy · Answer

j'ai pensé à désinstaller ie7 puis à le réinstaller. cela pourrait il régler mon problème?
merci

DeNisCoOl · Answer

salut,

enfin, et c'est plutot inquiétant je ne peux effectuer le scan en ligne sous IE7 car le navigateur semble ne pas fonctionner (alors que firefox fonctionne)
Étant sous Vista avez vous bien suivi toute la procédure pour exécuter le scan en ligne Bitdefender, c'est à dire soit exécuter IE en tant qu'administrateur (clic droit souris) ou en désactivant l'UAC.
Dans les options de scan choisir d'analyser tous les fichiers.

j'ai pensé à désinstaller ie7 puis à le réinstaller. cela pourrait il régler mon problème? 
Malgré ce qu'annonce microsoft, Vista ne peut pas fonctionner sans IExplorer 7.
Je ne sais plus par contre si il y a une option réparation dans le menu Programmes et fonctionnalités qui liste tous les programmes installé.
Sinon essayer de réparer IExplorer en suivant cette procédure (cliquer sur afficher tout pour voir toute la procédure):
https://www.microsoft.com/en-us/windows/


A+

Denis

Rootkits win32rootkit-gen

10 réponses

Votre réponse

Discussions similaires

Newsletters