Supprimer un .exe de rootkit

Résolu

Utilisateur anonyme -
Utilisateur anonyme - 1 juil. 2010 à 14:14

Bonjour à tous !

Voilà, j'ai un petit soucis dans l'entreprise dans laquelle je travail : il y a un virus >_<.

Bon, il est identifié, il s'agit de ph.exe qui se trouve à la racine de c et des support amovibles. Jusque là ca va ^^.
Je tente de le virer avec avast (antivirus de la boite ... ) : ca me prévient du virus, demande de redémarrer pour le virer, redémarrage, scan complet avant accès windows et re windows, il est toujours là >_<.

Enfin bon, je lance cmd,

del /a ph.exe

depuis la racine : j'ai pas les droits ... tant pis,

cacls ph.exe /g user:f

, ca se passe apparemment bien, re

del /a ph.exe

eeeettttt ... toujours pas les droits T_T. enfin bon, je me dis donc qu'il y a un processus qui utilise ce petit .exe pour m'empêcher de le virer et c'est là que ca coince, je ne trouve pas ...

Donc ma question est la suivante : connaissez-vous le moyen des voir les processus rataché à un .exe ?

merci d'avance ! naga

Afficher la suite

4 réponses

Réponse 1 / 4
i am toto Messages postés 672 Date d'inscription Statut Membre Dernière intervention 45

Vous utilisé avast au boulot !!!!

Enfin ,passont , Si c'est sous vista , il faut lancer le cmd (ou .cmd ou .bat) en administrateur.
Aprés , vous pouvez toujours essayer de le virée a la main.
0
Réponse 2 / 4
Utilisateur anonyme

oy !
ouai on est sous avast (d'où mes "..." ^_^) mais pas tous les postes, seulement postes nomades (samsung q1) enfin passons =)

Et bien en fait je suis sous xp donc pas besoin de lancer en admin, mais je pense que c'est juste un processus rattaché à ce .exe qui m'empêche de le virer, mais je sais pas comment pouvoir identifier ce processus >_<
0
1. Utilisateur anonyme
  
  Salut
  
  Comme c'est une entreprise ce n'est peut-être pas facile mais si vous utilisez Avast Pro 4.8, c'est obsolète et à remplacer par Avast 5.0, s'il est disponible en version Pro.
  
  Avast 4.8 est une passoire avec de gros trous...
  
  P.s: j'ai déplacé ta question dans le forum Virus/Sécurité, c'est plus approprié à ton problème.
  
  0
2. Utilisateur anonyme
  
  nous sommes bien sous avast 4.8 en pro, mais je ne peux pas y toucher actuellement (en fait, il faut réfléchir comme si il n'y avait pas d'antiV, comme tous les postes n'ont pas le même ^^)
  
  0
Réponse 3 / 4
Utilisateur anonyme

j'ai dl un petit utilitaire (sysprot) qui permet un peu de voir tout ca, je tiens au courant sur le truc !
0
Réponse 4 / 4
Utilisateur anonyme

Hello ,

Télécharge UsbFix sur ton bureau

Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d avoir été infectés sans les ouvrir

# Double clic sur UsbFix.exe présent sur ton bureau.

# Choisi Suppression

# Laisse travailler l outil.

# Ensuite post le rapport UsbFix.txt qui apparaîtra.

# Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque. (C:\UsbFix.txt)

(CTRL+A Pour tout sélectionner, CTRL+C pour copier et CTRL+V pour coller)

Tuto : https://www.malekal.com/usbfix-supprimer-virus-usb/
Tuto : http://pagesperso-orange.fr/NosTools/usbfix.html
0
1. Utilisateur anonyme
  
  salut !
  Bon, niquel, ca a supprimé le .exe , mais le soucis c'est que tout les postes du réseau sont infectés ... donc à moins de me trimballer sur 95 postes avec ma petite clef usb ...
  
  en fait, maintenant c'est plus simple, il me faut le code de la méthode de suppression de l'outils xD
  
  merci de ton aide, voila le rapport :
  
  ############################## | UsbFix 7.015 | [Suppression]
  
  Utilisateur: USER (Administrateur) # USERQ1_17 [ ]
  Mis à jour le 01/07/10 par El Desaparecido / C_XX
  Lancé à 14:04:11 | 01/07/2010
  Site Web: http://pagesperso-orange.fr/NosTools/index.html
  Contact: FindyKill.Contact@gmail.com
  
  CPU: Genuine Intel(R) processor 800MHz
  Microsoft Windows XP Professionnel (5.1.2600 32-Bit) # Service Pack 3
  Internet Explorer 6.0.2900.5512
  
  Pare-feu Windows: Désactivé /!\
  Antivirus: avast! antivirus 4.8.1201 [VPS 080625-0] 4.8.1201 [Enabled | (!) Outdated]
  RAM -> 1014 Mo
  C:\ (%systemdrive%) -> Disque fixe # 51 Go (42 Go libre(s) - 82%) [] # NTFS
  D:\ -> Disque amovible # 992 Mo (406 Mo libre(s) - 41%) [P SAUSSEY] # FAT32
  
  ################## | Éléments infectieux |
  
  Supprimé! C:\DOCUME~1\USER\LOCALS~1\Temp\cvasds0.dll
  Supprimé! C:\DOCUME~1\USER\LOCALS~1\Temp\herss.exe
  Supprimé! C:\ph.exe
  Supprimé! C:\Autorun.inf
  Supprimé! D:\Autorun.inf
  Supprimé! D:\ph.exe
  
  ################## | Registre |
  
  Supprimé! HKLM\Software\Policies\Microsoft\Windows NT\SystemRestore|DisableConfig
  Supprimé! HKLM\Software\Policies\Microsoft\Windows NT\SystemRestore|DisableSR
  Supprimé! HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoChangeStartMenu
  Supprimé! HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoFind
  Supprimé! HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoFolderOptions
  Supprimé! HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoHardwareTab
  Supprimé! HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoRecentDocsHistory
  Supprimé! HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoRecentDocsMenu
  Supprimé! HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoRun
  Supprimé! HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoTrayContextMenu
  Supprimé! HKCU\Software\Microsoft\Windows\CurrentVersion\Run|cdoosoft
  
  ################## | Mountpoints2 |
  
  ################## | Listing |
  
  [25/06/2008 - 19:16:01 | A | 0] C:\AUTOEXEC.BAT
  [25/06/2008 - 19:05:55 | SH | 212] C:\boot.ini
  [29/06/2010 - 14:18:43 | A | 57278464] C:\boot.iso
  [05/08/2004 - 14:00:00 | RASH | 4952] C:\Bootfont.bin
  [25/06/2008 - 19:16:01 | A | 0] C:\CONFIG.SYS
  [25/06/2008 - 19:24:26 | D ] C:\Documents and Settings
  [09/10/2009 - 09:32:08 | D ] C:\Duotech
  [25/06/2008 - 19:33:12 | D ] C:\Intel
  [25/06/2008 - 19:16:01 | RASH | 0] C:\IO.SYS
  [25/06/2008 - 19:16:01 | RASH | 0] C:\MSDOS.SYS
  [05/08/2004 - 14:00:00 | RASH | 47564] C:\NTDETECT.COM
  [25/06/2008 - 20:25:00 | RASH | 252240] C:\ntldr
  [01/07/2010 - 13:58:23 | ASH | 1598029824] C:\pagefile.sys
  [29/06/2010 - 14:48:26 | RD ] C:\Program Files
  [01/07/2010 - 14:08:42 | SHD ] C:\RECYCLER
  [09/10/2009 - 09:31:29 | D ] C:\Satelix
  [25/06/2008 - 19:51:30 | A | 86] C:\Setup.log
  [12/08/2008 - 11:32:59 | SHD ] C:\System Volume Information
  [01/07/2010 - 14:08:42 | D ] C:\UsbFix
  [01/07/2010 - 14:08:51 | A | 1989] C:\UsbFix.txt
  [01/07/2010 - 13:58:54 | D ] C:\WINDOWS
  [01/07/2010 - 12:22:24 | D ] D:\9 - Satelix FDV sur les postes nomades
  [01/07/2010 - 12:24:02 | D ] D:\Camera_323.7.313.13
  [01/07/2010 - 12:24:06 | D ] D:\Satelix
  [01/07/2010 - 12:25:16 | D ] D:\TSP_4.3.6.3104
  [13/05/2009 - 13:35:30 | A | 84672440] D:\avg_ipw_stf_g7_85_336a1515.exe
  [20/03/2010 - 14:01:30 | A | 30991480] D:\avira_antivir_personal_fr.exe
  [29/06/2010 - 14:45:34 | A | 6814659] D:\cdbxp_setup_4.3.2.2212.exe
  [01/07/2010 - 08:31:22 | A | 25600] D:\compterendu300610.doc
  [29/06/2010 - 09:23:14 | A | 79] D:\confSatelix.bat
  [28/06/2010 - 11:17:30 | A | 1373616] D:\mcafee_rmv.exe
  [28/06/2010 - 16:11:24 | A | 11085] D:\SatelixConfig.xml
  [29/06/2010 - 08:43:08 | A | 11034] D:\SatelixConfig_rep23.xml
  [01/07/2010 - 13:21:00 | A | 51] D:\ph.bat
  [01/07/2010 - 14:02:22 | D ] D:\outils
  
  ################## | Vaccin |
  
  C:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
  D:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
  
  ################## | Upload |
  
  Veuillez envoyer le fichier: C:\UsbFix_Upload_Me_ARCADESQ1_17.zip
  https://www.ionos.fr/?affiliate_id=77097
  Merci de votre contribution.
  
  ################## | E.O.F |
  
  0

Supprimer un .exe de rootkit

4 réponses

Discussions similaires

Newsletters