Impossible de supprimer Winik.sys Fermé

Question

Ayant déjà réussi a supprimer ce fichier auparavant, je viens de remettre une image de mon disque que je croyait propre et je découvre que le fichier c:\windows\system32\drivers\winik.sys (virus rootkit) est à nouveau sur mon PC. J' ai déjà supprimer avec killbox un fichier suspect dans c:\program Files avec des fichiers du style profile.dat url1.dat... mais n'arrive pas à supprimer winik.sys avec killbox selon le mode d'emploi indiquer dans le forum. Voici mon Hijack. Que peux-je faire de plus ?Merci par avanceLogfile of HijackThis v1.99.1Scan saved at 20:44:13, on 10.08.2005Platform: Windows XP SP1 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exeC:\WINDOWS\Explorer.EXEC:\WINDOWS\System32
vsvc32.exeC:\WINDOWS\system32\ZoneLabs\vsmon.exeC:\Program Files\Zone Labs\ZoneAlarm\zlclient.exeC:\Program Files\NETGEAR\WG511\Utility\WG511WLU.exeF:\UTILITAIRES\COMPUTER BILD\MOZILLA FIREFOX 0.9.1\firefox.exeF:\INTERNET\HijackThis.exeR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.bluewin.ch/index_f.htmlR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: (no name) - {0AD937E7-2F37-4873-A05E-548A67EF1D0E} - (no file)O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocxO4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exeO4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exeO4 - HKLM\..\Run: [WG511WLU] C:\Program Files\NETGEAR\WG511\Utility\WG511WLU.exe -hideO4 - Global Startup: kav.lnk = C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exeO6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions presentO6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel presentO8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000O17 - HKLM\System\CCS\Services\Tcpip\..\{42CBE8A4-CD11-4B94-8D36-BDA1A7BC2177}: NameServer = 195.186.1.108,195.186.4.109O17 - HKLM\System\CS1\Services\Tcpip\..\{42CBE8A4-CD11-4B94-8D36-BDA1A7BC2177}: NameServer = 195.186.1.108,195.186.4.109O23 - Service: kavsvc - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exeO23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32
vsvc32.exeO23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

Utilisateur anonyme · Answer

Salut,Essai ceci pour le supprimer alors (c est toi qui etait suivi par balltrap et moe?):http://www.01net.com/telecharger/windows/Utilitaire/cryptage_et_securite/fiches/23822.html Démo d’utilisation ici (merci à Balltrap34 pour cette réalisation)http://pageperso.aol.fr/balltrap34/demochaos.swfA+

nicky2 · Answer

Oui c' est bien moi et j'ai suivi leur conseils malheureusement sans résultat cette fois-ci. Je viens d'essayer l' application shredder sans résultat également. Y-a-til peut être quelquechose à supprimer dans mon hijack ?

Utilisateur anonyme · Answer

salut,tu peux pas rester sur l autre poste?Car la je sais meme pas si tu as deja fait un silent runner etc

nicky2 · Answer

Ma derniere intervention en rapport avec winik était lié à un disque que j'ai entre temps formaté et remplacé par une autre image; de ce fait le hijack est différent et la situation est différente. Le fichier suspect dans programme files (que j'ai réussi a supprimer avec Killbox) n' avait pas le meme nom mais le contenu était assez ressemblant (profil.dat, url1.dat..)Je te résume brièvement ce que j'ai fait :J' ai suivi tout le cheminement que moe31 m' avait communiqué il y a quelque temps, je me suis mis en mode sans échec et j'ai essayé de supprimer ce fichier winik.sys. Je n' ai rien fait d'autre. Y a t il autre chose a essayer. Silent runner ?!

nicky2 · Answer

Voici encore le rapport silent runner si cela peut aider"Silent Runners.vbs", revision 39, http://www.silentrunners.org/Operating System: Windows XPOutput limited to non-default values, except where indicated by "{++}"Startup items buried in registry:---------------------------------HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++}"NeroFilterCheck" = "C:\WINDOWS\system32\NeroCheck.exe" ["Ahead Software Gmbh"]"Zone Labs Client" = "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe" ["Zone Labs, LLC"]"WG511WLU" = "C:\Program Files\NETGEAR\WG511\Utility\WG511WLU.exe -hide" [" "]HKLM\Software\Microsoft\Active Setup\Installed Components\{306D6C21-C1B6-4629-986C-E59E1875B8AF}\(Default) = (no title provided)                                       \StubPath   = ""C:\WINDOWS\System32\rundll32.exe" "C:\Program Files\Messenger\msgsc.dll",ShowIconsUser" [MS]HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\"{42071714-76d4-11d1-8b24-00a0c9068ff3}" = "Extension Affichage Panorama du Panneau de configuration"  -> {CLSID}\InProcServer32\(Default) = "deskpan.dll" [file not found]"{88895560-9AA2-1069-930E-00AA0030EBC8}" = "Extension icône HyperTerminal"  -> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\System32\hticons.dll" ["Hilgraeve, Inc."]"{0006F045-0000-0000-C000-000000000046}" = "Microsoft Outlook Custom Icon Handler"  -> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Microsoft Office\Office10\OLKFSTUB.DLL" [MS]"{42042206-2D85-11D3-8CFF-005004838597}" = "Microsoft Office HTML Icon Handler"  -> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Microsoft Office\Office10\msohev.dll" [MS]HKLM\Software\Classes\*\shellex\ContextMenuHandlers\Kaspersky Anti-Virus\(Default) = "{dd230880-495a-11d1-b064-008048ec2fc5}"  -> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\shellex.dll" ["Kaspersky Lab"]HKLM\Software\Classes\Folder\shellex\ContextMenuHandlers\Kaspersky Anti-Virus\(Default) = "{dd230880-495a-11d1-b064-008048ec2fc5}"  -> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\shellex.dll" ["Kaspersky Lab"]Active Desktop and Wallpaper:-----------------------------Active Desktop is disabled at this entry:HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellStateHKCU\Control Panel\Desktop\"Wallpaper" = "C:\WINDOWS\web\wallpaper\Colline verdoyante.bmp"

Utilisateur anonyme · Answer

salut nickytu as toujour le dossier suspect dans program files ?telecharge Registry Search Toolhttp://www.billsway.com/vbspage/vbsfiles/RegSrch.ziplance le et dans la boite de dialogue, tapewinikposte le rapporta++

nicky2 · Answer

Je n'ai plus le dossier suspect mais je me rappelle que le fichier profil.dat ne contenait qu'une ligne faissant référence à un fichier .dll qui appartenait au meme dossier.Voici le rapport:REGEDIT4; RegSrch.vbs © Bill James; Registry search results for string "winik" 10.08.2005 22:19:01; NOTE: This file will be deleted when you close WordPad.; You must manually save this file to a new location if you want to refer to it again later.; (If you save the file with a .reg extension, you can use it to restore any Registry changes you make to these values.)[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WINIK][HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WINIK\0000][HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WINIK\0000]"Service"="WinIK"[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WINIK\0000]"DeviceDesc"="WinIK"[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WINIK\0000\Control][HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WINIK\0000\Control]"ActiveService"="WinIK"[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WinIK][HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WinIK]"DisplayName"="WinIK"[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WinIK\Security][HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WinIK\Enum][HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WinIK\Enum]"0"="Root\LEGACY_WINIK\0000"[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_WINIK][HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_WINIK\0000][HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_WINIK\0000]"Service"="WinIK"[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_WINIK\0000]"DeviceDesc"="WinIK"[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\WinIK][HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\WinIK]"DisplayName"="WinIK"[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\WinIK\Security][HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WINIK][HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WINIK\0000][HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WINIK\0000]"Service"="WinIK"[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WINIK\0000]"DeviceDesc"="WinIK"[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WINIK\0000\Control][HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WINIK\0000\Control]"ActiveService"="WinIK"[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinIK][HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinIK]"DisplayName"="WinIK"[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinIK\Security][HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinIK\Enum][HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinIK\Enum]"0"="Root\LEGACY_WINIK\0000"[HKEY_USERS\S-1-5-21-776561741-706699826-1343024091-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU]"a"="sc stop winik\1"[HKEY_USERS\S-1-5-21-776561741-706699826-1343024091-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU]"b"="sc delete WinIK\1"

Utilisateur anonyme · Answer

ouvre le bloc note et fais un copier coller de ce qui est en gras ci-dessous:REGEDIT4[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WINIK] [-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WinIK] [-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_WINIK] [-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\WinIK]  [-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WINIK] [-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinIK]  Puis enregistrer sous et dans: Nom du fichier, met fix.reg Type de fichier: selectionne "tous les fichiers" clic sur enregistrer ensuite double clic sur fix.reg et accepte de fusionnerensuite essaye de supprimer winik, si resiste  redemarre le pc et reessaye de le supprimer

nicky2 · Answer

Une fois de plus merci infiniment Moe31 ! Winik.sys a pu être supprimé par Kapersky après le redemarrage.Bonne soiréeNicky

Utilisateur anonyme · Answer

refais une recherche avec le prog de tout à l'heure sur winikpour voir si le service qu'il avait crée à bien disparuet poste le rapporta+

nicky2 · Answer

Voici le rapport:REGEDIT4; RegSrch.vbs © Bill James; Registry search results for string "WINIK" 10.08.2005 23:01:47; NOTE: This file will be deleted when you close WordPad.; You must manually save this file to a new location if you want to refer to it again later.; (If you save the file with a .reg extension, you can use it to restore any Registry changes you make to these values.)[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WINIK][HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WINIK\0000][HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WINIK\0000]"Service"="WinIK"[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WINIK\0000]"DeviceDesc"="WinIK"[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WINIK\0000\Control][HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WINIK\0000\Control]"ActiveService"="WinIK"[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_WINIK][HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_WINIK\0000][HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_WINIK\0000]"Service"="WinIK"[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_WINIK\0000]"DeviceDesc"="WinIK"[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\WinIK][HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\WinIK]"DisplayName"="WinIK"[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\WinIK\Security][HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WINIK][HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WINIK\0000][HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WINIK\0000]"Service"="WinIK"[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WINIK\0000]"DeviceDesc"="WinIK"[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WINIK\0000\Control][HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WINIK\0000\Control]"ActiveService"="WinIK"[HKEY_USERS\S-1-5-21-776561741-706699826-1343024091-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU]"a"="sc stop winik\1"[HKEY_USERS\S-1-5-21-776561741-706699826-1343024091-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU]"b"="sc delete WinIK\1"

Utilisateur anonyme · Answer

apparement le service et toujours actifessaye de supprimer manuellement ces cles:demarrer executer, tape regedit:ne supprime que ce qui est en gras:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WINIKHKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WinIKHKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_WINIKHKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\WinIKHKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WINIKHKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinIKensuite redemarre le pc et refais une recherche sur winik et dis moi si ces clés sont toujours là ou pasa+

nicky2 · Answer

Je n'arrive pas a effacer les repertoire legacy winik et leur sous-repertoires. Voici le rapport:REGEDIT4; RegSrch.vbs © Bill James; Registry search results for string "winik" 10.08.2005 23:33:43; NOTE: This file will be deleted when you close WordPad.; You must manually save this file to a new location if you want to refer to it again later.; (If you save the file with a .reg extension, you can use it to restore any Registry changes you make to these values.)[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WINIK][HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WINIK\0000][HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WINIK\0000]"Service"="WinIK"[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WINIK\0000]"DeviceDesc"="WinIK"[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_WINIK][HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_WINIK\0000][HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_WINIK\0000]"Service"="WinIK"[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_WINIK\0000]"DeviceDesc"="WinIK"[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WINIK][HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WINIK\0000][HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WINIK\0000]"Service"="WinIK"[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WINIK\0000]"DeviceDesc"="WinIK"[HKEY_USERS\S-1-5-21-776561741-706699826-1343024091-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU]"a"="sc stop winik\1"[HKEY_USERS\S-1-5-21-776561741-706699826-1343024091-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU]"b"="sc delete WinIK\1"

Utilisateur anonyme · Answer

quel est le message qui s'affiche ?demarre en mode sans echec et ouvre la session avec le compte administrateur et reessaye de les supprimerje dois arreter pour ce soir, je repasse demaina+

nicky2 · Answer

Impossible de les supprimer meme en mode sans echec. Le message suivant apparait: suppression de legacy-winik impossible: erreur lors de la suppression de la clé

Utilisateur anonyme · Answer

essaye de faire un clic droit sur chaques clé à supprimer > autorisation et selectionne un controle total pour ton compte et reessaye de supprimer.

balltrap34 · Answer

salut essaie comme ceciouvre le bloc note et copie colle se qui est entre les etoiles*********REGEDIT4[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WINIK] [-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_WINIK] [-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WINIK] [HKEY_USERS\S-1-5-21-776561741-706699826-1343024091-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU] "a"=-[HKEY_USERS\S-1-5-21-776561741-706699826-1343024091-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU] "b"=-********enregistre le sur ton bureau avec le nom xxx.regdans type tu met tous fichierstu double clik dessus et tu confirme

nicky2 · Answer

Bonjour à tousJ'ai réussi à changer les autorisations et à tout supprimer. Voici encore le rapport regsearch avec winik:....\ControlSet003\Enum\Root\LEGACY_WINIK" n'apparait pas via regedit. C'est OK maintenant ?Merci encore infiniment pour votre aideREGEDIT4; RegSrch.vbs © Bill James; Registry search results for string "winik" 11.08.2005 18:54:23; NOTE: This file will be deleted when you close WordPad.; You must manually save this file to a new location if you want to refer to it again later.; (If you save the file with a .reg extension, you can use it to restore any Registry changes you make to these values.)[HKEY_USERS\S-1-5-21-776561741-706699826-1343024091-1003\Software\Microsoft\Windows\CurrentVersion\Applets\Regedit]"LastKey"="Poste de travail\HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_WINIK"

Utilisateur anonyme · Answer

okcontent pour toia+

Impossible de supprimer Winik.sys

19 réponses

Discussions similaires