rootkit detecté avec AVG Fermé

Question

Bonjour,
comme indiqué dans le titre, AVG a détecté un rootkit nommé a4wnbo2y.SYS de type hidden driver file.
Si quelqu'un a une idée sur ce genre de rootkit et si je peux le le supprimer sans risques, merci d avance.

jlpjlp · Answer

slt,


Télécharge ici :

http://images.malwareremoval.com/random/RSIT.exe

random's system information tool (RSIT) par andom/random et sauvegarde-le sur le Bureau.

Double-clique sur RSIT.exe afin de lancer RSIT.

Clique Continue à l'écran Disclaimer.

Si l'outil HijackThis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera (autorise l'accès dans ton pare-feu, si demandé) et tu devras accepter la licence.

Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront.

Poste le contenu de log.txt (<<qui sera affiché)
ainsi que de info.txt (<<qui sera réduit dans la Barre des Tâches).

NB : Les rapports sont sauvegardés dans le dossier C:\rsit

jlpjlp · Answer

c'est ici que cela se passe:

https://forums.commentcamarche.net/forum/affich-15051482-aide-analyse-rapport-hijackthis-et-diaghelp#1

blackat760 · Answer

salut jlpjlp et merci pour ta réponse rapide. Donc si je comprend bien, tu suggères que je reprenne le cheminement de la discussion que j ai eu avec electricien69 (pc de ma fille) pour résoudre mon problème (mon pc cette fois ci)??? 

Dans le doute, voici les rapports:

Logfile of random's system information tool 1.06 (written by random/random)
Run by gwen at 2009-11-05 17:23:56
Microsoft Windows XP Édition familiale Service Pack 3
System drive C: has 113 GB (76%) free of 148 GB
Total RAM: 1012 MB (32% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:24:43, on 05/11/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir Desktop\sched.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Avira\AntiVir Desktop\avguard.exe
C:\Program Files\Fichiers communs\InterVideo\RegMgr\iviRegMgr.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\PROGRA~1\LAUNCH~1\QtZgAcer.EXE
C:\Acer\Empowering Technology\eRecovery\eRAgent.exe
C:\WINDOWS\FixCamera.exe
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\WINDOWS\system32\igfxext.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\Windows Live\Contacts\wlcomm.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\Mozilla Thunderbird	hunderbird.exe
C:\Program Files\Lavasoft\Ad-Aware\AAWService.exe
C:\Documents and Settings\gwen\Bureau\RSIT.exe
C:\Documents and Settings\gwen\Mes documents\OTR\Desinfect\Hijackthis\gwen.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [AzMixerSel] C:\Program Files\Realtek\Audio\InstallShield\AzMixerSel.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [M3000Mnt] Rundll32.exe M3000Rmv.dll ,WinMainRmv /StartStillMnt
O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\QtZgAcer.EXE
O4 - HKLM\..\Run: [ProductReg] "C:\Program Files\Acer\WR_PopUp\ProductReg.exe"
O4 - HKLM\..\Run: [eRecoveryService] C:\Acer\Empowering Technology\eRecovery\eRAgent.exe
O4 - HKLM\..\Run: [FixCamera] C:\WINDOWS\FixCamera.exe
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\RunOnce: [DAEMON Tools Lite 4.35.5.0068] "C:\Program Files\DAEMON Tools Lite\DTLite.exe"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: is-3MTG9.lnk = C:\Program Files\Virus Removal Tool\is-3MTG9\startup.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: Envoyer au périphérique &Bluetooth... - C:\Program Files\Belkin\Bluetooth Software\btsendto_ie_ctx.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan_fr/scan8/oscan8.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O23 - Service: Avira AntiVir Planificateur (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Service Google Update (gupdate1c9c734c74c327a) (gupdate1c9c734c74c327a) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe
O23 - Service: Imapi Helper - Alex Feinman - C:\Program Files\Alex Feinman\ISO Recorder\ImapiHelper.exe
O23 - Service: IviRegMgr - InterVideo - C:\Program Files\Fichiers communs\InterVideo\RegMgr\iviRegMgr.exe
O23 - Service: Lavasoft Ad-Aware Service - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware\AAWService.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

jlpjlp · Answer

c'est avg ou antivir qui trouve l'infection?

_____________________


Mettre a jour java:
https://javara.fr.malavida.com/


Télécharge JavaRa.zip de Paul 'Prm753' McLain et Fred de Vries. 
Décompresse le fichier sur ton bureau (clique droit > Extraire tout.) 
Double-clique sur le répertoire JavaRa obtenu. 
Puis double-clique sur le fichier JavaRa.exe (le .exe peut ne pas s'afficher) 
Clique sur Search For Updates. 
Sélectionne Update Using jucheck.exe puis clique sur Search. 
Autorise le processus à se connecter s'il te le demande, clique sur Install et suis les instructions d'installation. Cela prendra quelques minutes. 
Quand l'installation est terminée, revient à l'écran de JavaRa et clique sur Remove Older Versions. 
Clique sur Oui pour confirmer. L'outil va travailler, clique ensuite sur Ok, puis une deuxième fois sur Ok. 
Un rapport va s'ouvrir, copie-colle le dans ta prochaine réponse. 
Note : le rapport se trouve aussi à la racine de la partition système, en général C:\ sous le nom JavaRa.log 
(c:\JavaRa.log) 
Ferme l'application. 

si cela ne fonctionne pas 

https://www.java.com/fr/download/windows_manual.jsp?locale=fr&host=www.java.com:80 

tu peux désinstaller les vieilles versions. 

__________________


Télécharger OAD (Outil d'Aide au Diagnostic) < http://sosvirus.changelog.fr/OAD.exe > 
&#8594; Enregistre-le sur ton bureau 
&#8594; Lancer 'OAD.exe' en faisant un double clique sur le fichier 
&#8594; Saisir la valeur recherchée -> ' a4wnbo2y ' ( fait un copier/coller ) 
&#8594; Type de recherche : sélectionner l'option 6 puis valide [entrée] 
&#8594; OAD va maintenant rechercher le fichier. 
&#8594; Laisse-le travailler jusqu'à ce qu'il en ait terminé. 
&#8594; Suivant la taille des disques durs, cette recherche peut prendre plusieurs minutes. 

------------- Patienter. -------------- 

&#8594; Le rapport de recherche s'affichera automatiquement dès qu'il en aura terminé. 
&#8594; Faire un copier/coller de ce rapport dans ton prochain post. 


(CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller ) 

Note: Certains Antivirus peuvent émettre une alerte lors du téléchargement / utilisation > ignore

blackat760 · Answer

salut, désolé pour l absence. Voila le rapport OAD:

08/11/2009 ---- 15:35:58,57  

----------------------------------
§§§§§§ [a4wnbo2y ] §§§§§§
----------------------------------
[X] Registre
[  ] Fichier (rapide)
[  ] Fichier (disque systeme)
[X] Fichier (complete)




********************
     [Registre] 
********************

Aucune entrée détectée

*******************
     [Fichier] 
*******************



*********************
     [Même date] 
*********************

Aucun fichier créé à la même date détecté


----------------------------------
§§§§§ Fin Rapport §§§§§ 
----------------------------------

jlpjlp · Answer

C'est avg ou antivir qui trouve l'infection?


colle le rapport pour voir

blackat760 · Answer

c est bien AVG qui le trouve.....?!, ou plutôt qui le trouvait puisqu'il ne le trouve plus??? Cette fois ci, il en détecte un autre (abl8ikw1.SYS) que j'ai scanné avec OAD et dont voici le rapport:

08/11/2009 ---- 19:40:54,21  

----------------------------------
§§§§§§ [abl8ikw1] §§§§§§
----------------------------------
[X] Registre
[  ] Fichier (rapide)
[  ] Fichier (disque systeme)
[X] Fichier (complete)




********************
     [Registre] 
********************


[HKEY_LOCAL_MACHINE\HARDWARE\DEVICEMAP\Scsi\Scsi Port 2]
"Driver"="abl8ikw1"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\ACPI\PNPA000\4&5d18f2df&0]
"DeviceDesc"="ABL8IKW1 IDE Controller"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\ACPI\PNPA000\4&5d18f2df&0]
"Service"="abl8ikw1"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\ACPI\PNPA000\4&5d18f2df&0\Control]
"ActiveService"="abl8ikw1"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\abl8ikw1]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\abl8ikw1\Enum]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\abl8ikw1\Parameters]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\abl8ikw1\Parameters\PnpInterface]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\ACPI\PNPA000\4&5d18f2df&0]
"DeviceDesc"="ABL8IKW1 IDE Controller"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\ACPI\PNPA000\4&5d18f2df&0]
"Service"="abl8ikw1"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\ACPI\PNPA000\4&5d18f2df&0]
"DeviceDesc"="ABL8IKW1 IDE Controller"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\ACPI\PNPA000\4&5d18f2df&0]
"Service"="abl8ikw1"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\ACPI\PNPA000\4&5d18f2df&0\Control]
"ActiveService"="abl8ikw1"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\abl8ikw1]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\abl8ikw1\Enum]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\abl8ikw1\Parameters]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\abl8ikw1\Parameters\PnpInterface]

*******************
     [Fichier] 
*******************



*********************
     [Même date] 
*********************

Aucun fichier créé à la même date détecté


----------------------------------
§§§§§ Fin Rapport §§§§§ 
----------------------------------

Malekal_morte- · Answer

a4wnbo2y.SYS : Ca a une bonne gueule de driver utilisé par spd/Daemon Tools/Alcohol 120.
et AVG est super balaise pour le prendre pour un rk - il est un peu boulet pour ça.

Je parie que les alertes ont commencé après l'install de Daemon Tools :
2009-11-05 13:27:14 ----D---- C:\Program Files\DAEMON Tools Lite 

Voir exemple en bas là  - GMER permet de voir cela, car le driver est rattaché à SCSI. :
https://www.malekal.com/tutorial-gmer/

sujet similaire :
https://www.bleepingcomputer.com/forums/t/203985/avg-antirootkit-keeps-finding-renamed-sys-file-after-every-reboot/
https://www.clubic.com/forum/t/avg-anti-rootkit-free-a-detecte-ax2l1tri-sys-dans-systeme32drivers-que-faire/183437
https://forums.commentcamarche.net/forum/affich-4091509-avg-rootkit-detecte-hidden-driver-file-quo

jlpjlp · Answer

slt

Malekal_morte-,

merci de l'info !

blackat760 · Answer

salut malekal morte. C est tout a fait possible puisque j ai installé alcohol 120 il y a peu (désinstallé depuis) et mis a jour daemon tool pour essayer de palier a la détection que me fait antivir (sptd.SYS) et que je n ai d'ailleurs pas réussi a supprimer.
Je vais regarder tes liens de plus près, Merci

Malekal_morte- · Answer

sptd.SYS faut pas le supprimer, c'est un driver utilisé par Daemon Tools et Alcohol.

blackat760 · Answer

oui, c est vu!apres quelques visites sur differents forum....donc pas de soucis.

Rootkit detecté avec AVG

12 réponses

Discussions similaires

Newsletters