PC bloqué - virus Rootkit-gen

blutch76 Messages postés 2 Statut Membre -  
pimprenelle27 Messages postés 22182 Statut Contributeur sécurité -
Bonjour,

Mon PC se bloque après avoir démarrer.
Tout se passe normalement jusqu'à l'apparition du bureau.
Mais il se bloque quand les icônes de la barre de tâche apparaissent.
Ni la souris ni le clavier ne répondent alors.

J'ai eu un message d'avast avant que tout se bloque :

détection d'un virus

C:\Windows\System32 \Drivers\SjyPkt.sys
Trojan : Win32: Rootkit-gen

J'ai essayé plusieurs de le rédémarrer mais il se bloque à chaque fois

Merci pour vos conseils

Florent
Configuration: carte mère asus PH deluxe
Windows XP
Firefox 3.0.5
avast

2 réponses

  1.
    pimprenelle27 Messages postés 22182 Statut Contributeur sécurité 2 503
     
    Télécharge le fichier d'installation d'HijackThis.

    Enregistre HJTInstall.exe sur ton bureau.

    Double-clique sur HJTInstall.exe pour lancer le programme

    Par défaut, il s'installera là :
    C:\Program Files\Trend Micro\HijackThis

    Accepte la licence en cliquant sur le bouton "I Accept"

    Choisis l'option "Do a system scan and save a log file"

    Clique sur "Save log" pour enregistrer le rapport qui s'ouvrira avec le bloc-note

    Clique sur "Edition -> Sélectionner tout", puis sur "Edition -> Copier" pour copier tout le contenu du rapport

    Colle le rapport que tu viens de copier sur ce forum

    Ne fixe encore AUCUNE ligne, cela pourrait empêcher ton PC de fonctionner correctement

    Tutoriaux (ne fixe rien pour le moment !!)

    0
    1. blutch76 Messages postés 2 Statut Membre
       
      voici le rapport de hijackthis :

      Logfile of Trend Micro HijackThis v2.0.2
      Scan saved at 20:36:07, on 27/01/2009
      Platform: Windows XP SP2 (WinNT 5.01.2600)
      MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
      Boot mode: Safe mode

      Running processes:
      C:\WINDOWS\System32\smss.exe
      C:\WINDOWS\system32\winlogon.exe
      C:\WINDOWS\system32\services.exe
      C:\WINDOWS\system32\lsass.exe
      C:\WINDOWS\system32\svchost.exe
      C:\WINDOWS\system32\svchost.exe
      C:\WINDOWS\Explorer.EXE
      C:\Documents and Settings\Florent\Application Data\U3\01407371125359AA\LaunchPad.exe
      C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

      R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
      R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
      O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
      O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
      O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre6\bin\ssv.dll
      O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
      O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
      O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
      O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
      O3 - Toolbar: Copernic Desktop Search 2 - {968631B6-4729-440D-9BF4-251F5593EC9A} - C:\Program Files\Copernic Desktop Search 2\DesktopSearchBand2502.dll
      O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
      O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
      O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
      O4 - HKLM\..\Run: [Ai Quicker Help] "C:\Program Files\ASUS\ASUS DH Remote\AsRc.exe"
      O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
      O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
      O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE
      O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
      O4 - HKLM\..\Run: [REGSHAVE] C:\Program Files\REGSHAVE\REGSHAVE.EXE /AUTORUN
      O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
      O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime Alternative\QTTask.exe" -atboottime
      O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
      O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
      O4 - HKCU\..\Run: [Copernic Desktop Search 2] "C:\Program Files\Copernic Desktop Search 2\DesktopSearchService.exe" /tray
      O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
      O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
      O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
      O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
      O4 - Global Startup: ASUS WiFi-AP Solo.lnk = ?
      O4 - Global Startup: Exif Launcher 2.lnk = ?
      O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
      O4 - Global Startup: Windows XP - Classement alphabétique du menu démarrer.reg.lnk = C:\WINDOWS\regedit.exe
      O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
      O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
      O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
      O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
      O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://webscanner.kaspersky.fr/kavwebscan_unicode.cab
      O17 - HKLM\System\CCS\Services\Tcpip\..\{841D691B-1298-4AB7-8855-300FDDD250AB}: NameServer = 212.27.54.252,212.27.53.252
      O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
      O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
      O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
      O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
      O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
      O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
      O23 - Service: B's Recorder GOLD Library General Service (bgsvcgen) - B.H.A Corporation - C:\WINDOWS\system32\bgsvcgen.exe
      O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
      O23 - Service: iPod Service - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
      O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
      O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe
      O23 - Service: SbPF.Launcher - Sunbelt Software, Inc. - C:\Program Files\Sunbelt Software\Personal Firewall\SbPFLnch.exe
      O23 - Service: Sunbelt Personal Firewall 4 (SPF4) - Sunbelt Software, Inc. - C:\Program Files\Sunbelt Software\Personal Firewall\SbPFSvc.exe
      0
    2. pimprenelle27 Messages postés 22182 Statut Contributeur sécurité 2 503 > blutch76 Messages postés 2 Statut Membre
       
      Fait ceci et poste moi le rapport à la suite de la question êtes vous aider par quelqu'un. Merci.

      Télécharge GenProc sur ton bureau (Attention le fichier est un fichier zip)
      Dézippe le dossier, double-clique sur GenProc.bat
      En final, poste le contenu du rapport qui s'affiche.
      Comment utiliser GenProc

      Pour ceux qui ont vista, ne pas oublier de désactiver Le contrôle des comptes utilisateurs

      0
    3. blutch76 > pimprenelle27 Messages postés 22182 Statut Contributeur sécurité
       
      Bonjour,

      J'ai bien lancé GenProc
      cependant je n'ai eu aucun rapport.
      0
    4. pimprenelle27 Messages postés 22182 Statut Contributeur sécurité 2 503 > blutch76
       
      même sur le bureau?
      0
    5. blutch76 > pimprenelle27 Messages postés 22182 Statut Contributeur sécurité
       
      Bonjour,

      merci pour votre aide.
      Mon PC redémarre normalement et ne se bloque plus.
      0
  2. Utilisateur anonyme
     
    Salut,

    Au démarrage de ton pc fait :
    F8 ensuite plusieurs optiosn apparait et choisis l'options :
    Mode sans échec avec prise en charge réseau
    Ensuite tu télécharger :
    Gmer => https://www.01net.com/telecharger/windows/Utilitaire/optimiseurs_et_tests/fiches/33654.html

    Comment savoir s'il s'agit d'un Rootkit ?

    Quand Gmer trouve un Rootkit ou un fichier caché (hidden) cette ligne devient rouge.

    A la fin des lignes, vous devriez voir (si vous êtes infecté) les extensions suivantes :

    * .dat
    * .exe
    * _nav.dat
    * _navps.dat

    faire un clic droit > Delete file.

    Ensuite redémarrer ton pc normal.
    Dit moi si sa redémarrer encore ou pas.
    0
    1. blutch76
       
      Bonjour, voici le rapport de gmer

      GMER 1.0.14.14536 - http://www.gmer.net
      Rootkit scan 2009-01-28 17:57:49
      Windows 5.1.2600 Service Pack 2


      ---- System - GMER 1.0.14 ----

      SSDT a347bus.sys (Plug and Play BIOS Extension/ ) ZwEnumerateKey [0xF77E85DC]
      SSDT a347bus.sys (Plug and Play BIOS Extension/ ) ZwEnumerateValueKey [0xF77F4120]

      ---- Devices - GMER 1.0.14 ----

      Device \FileSystem\Ntfs \Ntfs 866CF260
      Device \FileSystem\Fastfat \Fat 8647D8B0

      ---- Modules - GMER 1.0.14 ----

      Module _________ F7749000-F7761000 (98304 bytes)

      ---- EOF - GMER 1.0.14 ----
      0