Rootkit supposé, problème de détection.

Question

Bonjour, 

Je poste sur ce forum parce que depuis 2 jours, après avoir cliqué sur un lien bien plus malveillant que je ne le pensais, mon PC ( Windows XP Familial ) subit d'importants freezes au démarrage, qui se terminent par un freeze total de la barre de tâche et du menu démarrer.
Si j'utilise les icônes affichées sur le bureau, c'est encore possible, mais à la moindre surcharge de travail, l'ordi plante totalement, et le reboot manuel est de vigueur.
J'ai DL un tas de logiciel de " rootkit remoal " sans succès, par exemple Gmer ne me donne aucune ligne en rouge. Les antivirus Avast et Antivir m'ont détecté quelques trojans ou worms, que j'ai supprimés, sans succès. D'une, ils reviennent au prochain reboot, de deux, le problème de freeze n'est pas arrangé.
Enfin, je ne sais trop à la suite de quelle manip particulière, mon PC s'est mis comme par magie à remarcher normalement, malheureusement, et je m'en doutais, au reboot suivant, tout était redevenu comme avant, buggé.
Tout cela me fait penser que j'ai affaire à un Rootkit, et j'ai grand besoin de votre aide pour le localiser, puis le *overdelete of the death of the mortal doom*

Merci d'avance pour votre compréhension, et votre génie !

(Je poste depuis le mac de mon frère)

Configuration: Mac OS X / Firefox 3.6.6

moment de grace · Answer

bonjour

peux tu poster le rapport de gmer

de plus

fais ceci pour un diagnostic complet du PC :

Télécharge ZHPDiag ( de? Nicolas coolman ). 
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html 

 Double clique sur le fichier d'installation, puis installe le avec les? paramètres par défaut ( N'oublie pas de cocher " Créer une icône sur le bureau " )
 
Lance ZHPDiag en double cliquant sur l'icône présente sur ton bureau (Clique droit -> Executer en tant qu'admin ( vista ) 

Clique sur la loupe? en haut à gauche, puis laisse l'outil scanner. 

Une fois le scan terminé, clique sur l'icône en forme de disquette et enregistre le fichier sur ton bureau. 

Rend toi sur Cjoint :? http://www.cijoint.fr/ 

Clique sur "Parcourir " dans la partie " Joindre un fichier[...] " 

Sélectionne le rapport ZHPdiag.txt qui se trouve sur ton bureau 

Clique ensuite sur "Créer le lien cjoint " et copie/colle le dans ton prochain message

Gabriel · Answer

Ok, j'vais vous donner le rapport Gmer, celui RootRepeal fait-il l'affaire aussi ?
Et un scan est-il aussi valable s'il est fait en mode sans échec ? (Ca serait une aubaine, parce que là c'est la cata TT )

Gabriel · Answer

Le rapport Gmer est lancé, mais l'vilain agent pathogène ne facilite rien, je m'excuse donc de l'attente, le scan est relativement long... Je m'occuperai du rapport ZHP immédiatement après avoir fini celui Gmer, et je vais m'efforcer de faire ça en normal =)

Gabriel · Answer

Hum ok, j'viens de blue screen, donc plus de compromis, on recommence TT
Je vous remercie de votre patience, et je vais faire ça en mode sans échec, parce que sinon je le sens mal...
Je vous remercie encore, vous ne savez pas à quel point je serais content si on arrivait à sauver willi :s

Gabriel · Answer

http://www.cijoint.fr/cjlink.php?file=cj201009/cij8bOO22Y.txt

Voilà, le scan ZHP

moment de grace · Answer

as tu d'autres rapports sans refaire les scans

antivir RootRepeal gmer

Gabriel · Answer

Oui, j'en ai quelques un antivir, dont un durant lequel 3 réponses ont été positives, j'te donne ça, j'ai également le rapport RootRepeal qui vient de se terminer, mais il est récent celui là, tu le veux ?

Gabriel · Answer

Avira AntiVir Personal
Date de création du fichier de rapport : mardi 31 août 2010  17:03

La recherche porte sur 1265407 souches de virus.

Détenteur de la licence : Avira AntiVir Personal - FREE Antivirus
Numéro de série         : 0000149996-ADJIE-0000001
Plateforme              : Windows XP
Version de Windows      : (Service Pack 3)  [5.1.2600]
Mode Boot               : Démarré normalement
Identifiant             : SYSTEM
Nom de l'ordinateur     : GABRIEL

Informations de version :
BUILD.DAT               : 9.0.0.77      21698 Bytes  09/06/2010 12:01:00
AVSCAN.EXE              : 9.0.3.10     466689 Bytes  13/10/2009 10:25:46
AVSCAN.DLL              : 9.0.3.0       49409 Bytes  03/03/2009 09:21:02
LUKE.DLL                : 9.0.3.2      209665 Bytes  20/02/2009 10:35:11
LUKERES.DLL             : 9.0.2.0       13569 Bytes  03/03/2009 09:21:31
VBASE000.VDF            : 7.10.0.0   19875328 Bytes  06/11/2009 06:35:52
VBASE001.VDF            : 7.10.0.1       2048 Bytes  06/11/2009 06:35:56
VBASE002.VDF            : 7.10.0.2       2048 Bytes  06/11/2009 06:35:58
VBASE003.VDF            : 7.10.0.3       2048 Bytes  06/11/2009 06:36:02
VBASE004.VDF            : 7.10.0.4       2048 Bytes  06/11/2009 06:36:04
VBASE005.VDF            : 7.10.0.5       2048 Bytes  06/11/2009 06:36:08
VBASE006.VDF            : 7.10.0.6       2048 Bytes  06/11/2009 06:36:12
VBASE007.VDF            : 7.10.0.7       2048 Bytes  06/11/2009 06:36:16
VBASE008.VDF            : 7.10.0.8       2048 Bytes  06/11/2009 06:36:18
VBASE009.VDF            : 7.10.0.9       2048 Bytes  06/11/2009 06:36:22
VBASE010.VDF            : 7.10.0.10      2048 Bytes  06/11/2009 06:36:30
VBASE011.VDF            : 7.10.0.11      2048 Bytes  06/11/2009 06:36:34
VBASE012.VDF            : 7.10.0.12      2048 Bytes  06/11/2009 06:36:38
VBASE013.VDF            : 7.10.0.13      2048 Bytes  06/11/2009 06:36:40
VBASE014.VDF            : 7.10.0.14      2048 Bytes  06/11/2009 06:36:44
VBASE015.VDF            : 7.10.0.15      2048 Bytes  06/11/2009 06:36:46
VBASE016.VDF            : 7.10.0.16      2048 Bytes  06/11/2009 06:36:48
VBASE017.VDF            : 7.10.0.17      2048 Bytes  06/11/2009 06:36:50
VBASE018.VDF            : 7.10.0.18      2048 Bytes  06/11/2009 06:36:54
VBASE019.VDF            : 7.10.0.19      2048 Bytes  06/11/2009 06:36:56
VBASE020.VDF            : 7.10.0.20      2048 Bytes  06/11/2009 06:36:58
VBASE021.VDF            : 7.10.0.21      2048 Bytes  06/11/2009 06:37:00
VBASE022.VDF            : 7.10.0.22      2048 Bytes  06/11/2009 06:37:04
VBASE023.VDF            : 7.10.0.23      2048 Bytes  06/11/2009 06:37:06
VBASE024.VDF            : 7.10.0.24      2048 Bytes  06/11/2009 06:37:10
VBASE025.VDF            : 7.10.0.25      2048 Bytes  06/11/2009 06:37:12
VBASE026.VDF            : 7.10.0.26      2048 Bytes  06/11/2009 06:37:14
VBASE027.VDF            : 7.10.0.27      2048 Bytes  06/11/2009 06:37:16
VBASE028.VDF            : 7.10.0.28      2048 Bytes  06/11/2009 06:37:18
VBASE029.VDF            : 7.10.0.29      2048 Bytes  06/11/2009 06:37:20
VBASE030.VDF            : 7.10.0.30      2048 Bytes  06/11/2009 06:37:22
VBASE031.VDF            : 7.10.0.33      2048 Bytes  06/11/2009 06:37:24
Version du moteur       : 8.2.1.59 
AEVDF.DLL               : 8.1.1.2      106867 Bytes  08/11/2009 06:38:52
AESCRIPT.DLL            : 8.1.2.43     528764 Bytes  08/11/2009 06:38:48
AESCN.DLL               : 8.1.2.5      127346 Bytes  08/11/2009 06:38:46
AESBX.DLL               : 8.1.1.1      246132 Bytes  08/11/2009 06:38:44
AERDL.DLL               : 8.1.3.2      479604 Bytes  08/11/2009 06:38:42
AEPACK.DLL              : 8.2.0.3      422261 Bytes  08/11/2009 06:38:40
AEOFFICE.DLL            : 8.1.0.38     196987 Bytes  08/11/2009 06:38:38
AEHEUR.DLL              : 8.1.0.178   2093431 Bytes  08/11/2009 06:38:34
AEHELP.DLL              : 8.1.7.0      237940 Bytes  08/11/2009 06:38:30
AEGEN.DLL               : 8.1.1.71     364916 Bytes  08/11/2009 06:38:28
AEEMU.DLL               : 8.1.1.0      393587 Bytes  08/11/2009 06:38:26
AECORE.DLL              : 8.1.8.2      184694 Bytes  08/11/2009 06:38:24
AEBB.DLL                : 8.1.0.3       53618 Bytes  08/11/2009 06:38:20
AVWINLL.DLL             : 9.0.0.3       18177 Bytes  12/12/2008 07:47:30
AVPREF.DLL              : 9.0.3.0       44289 Bytes  26/08/2009 14:13:31
AVREP.DLL               : 8.0.0.3      155905 Bytes  20/01/2009 13:34:28
AVREG.DLL               : 9.0.0.0       36609 Bytes  07/11/2008 14:24:42
AVARKT.DLL              : 9.0.0.3      292609 Bytes  24/03/2009 14:05:22
AVEVTLOG.DLL            : 9.0.0.7      167169 Bytes  30/01/2009 09:36:37
SQLITE3.DLL             : 3.6.1.0      326401 Bytes  28/01/2009 14:03:49
SMTPLIB.DLL             : 9.2.0.25      28417 Bytes  02/02/2009 07:20:57
NETNT.DLL               : 9.0.0.0       11521 Bytes  07/11/2008 14:40:59
RCIMAGE.DLL             : 9.0.0.25    2438913 Bytes  17/06/2009 12:44:26
RCTEXT.DLL              : 9.0.73.0      88321 Bytes  02/11/2009 15:58:32

Configuration pour la recherche actuelle :
Nom de la tâche...............................: Contrôle intégral du système
Fichier de configuration......................: C:\Program Files\Avira\AntiVir Desktop\sysscan.avp
Documentation.................................: bas
Action principale.............................: interactif
Action secondaire.............................: ignorer
Recherche sur les secteurs d'amorçage maître..: marche
Recherche sur les secteurs d'amorçage.........: marche
Secteurs d'amorçage...........................: C:, 
Recherche dans les programmes actifs..........: marche
Recherche en cours sur l'enregistrement.......: marche
Recherche de Rootkits.........................: marche
Contrôle d'intégrité de fichiers système......: arrêt
Fichier mode de recherche.....................: Tous les fichiers
Recherche sur les archives....................: marche
Limiter la profondeur de récursivité..........: 20
Archive Smart Extensions......................: marche
Heuristique de macrovirus.....................: marche
Heuristique fichier...........................: moyen

Début de la recherche : mardi 31 août 2010  17:03

La recherche d'objets cachés commence.
'56381' objets ont été contrôlés, '0' objets cachés ont été trouvés.

La recherche sur les processus démarrés commence :
Processus de recherche 'avscan.exe' - '1' module(s) sont contrôlés
Processus de recherche 'avcenter.exe' - '1' module(s) sont contrôlés
Processus de recherche 'RootRepeal.exe' - '1' module(s) sont contrôlés
Processus de recherche 'wmiprvse.exe' - '1' module(s) sont contrôlés
Processus de recherche 'alg.exe' - '1' module(s) sont contrôlés
Processus de recherche 'OraConfigRecover.exe' - '1' module(s) sont contrôlés
Processus de recherche 'ups.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'jqs.exe' - '1' module(s) sont contrôlés
Processus de recherche 'hamachi-2.exe' - '1' module(s) sont contrôlés
Processus de recherche 'GSvr.exe' - '1' module(s) sont contrôlés
Processus de recherche 'FTRTSVC.exe' - '1' module(s) sont contrôlés
Processus de recherche 'avguard.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'sched.exe' - '1' module(s) sont contrôlés
Processus de recherche 'spoolsv.exe' - '1' module(s) sont contrôlés
Processus de recherche 'CoreCom.exe' - '1' module(s) sont contrôlés
Processus de recherche 'ConnectivityManager.exe' - '1' module(s) sont contrôlés
Processus de recherche 'SystrayApp.exe' - '1' module(s) sont contrôlés
Processus de recherche 'CCC.exe' - '1' module(s) sont contrôlés
Processus de recherche 'FxSvr2.exe' - '1' module(s) sont contrôlés
Processus de recherche 'AlertModule.exe' - '1' module(s) sont contrôlés
Processus de recherche 'msmsgs.exe' - '1' module(s) sont contrôlés
Processus de recherche 'GoogleToolbarNotifier.exe' - '1' module(s) sont contrôlés
Processus de recherche 'Launcher.exe' - '1' module(s) sont contrôlés
Processus de recherche 'ctfmon.exe' - '1' module(s) sont contrôlés
Processus de recherche 'avgnt.exe' - '1' module(s) sont contrôlés
Processus de recherche 'hamachi-2-ui.exe' - '1' module(s) sont contrôlés
Processus de recherche 'AvastUI.exe' - '1' module(s) sont contrôlés
Processus de recherche 'jusched.exe' - '1' module(s) sont contrôlés
Processus de recherche 'MOM.exe' - '1' module(s) sont contrôlés
Processus de recherche 'LogiTray.exe' - '1' module(s) sont contrôlés
Processus de recherche 'LVCOMSX.EXE' - '1' module(s) sont contrôlés
Processus de recherche 'SoundMan.exe' - '1' module(s) sont contrôlés
Processus de recherche 'RTHDCPL.exe' - '1' module(s) sont contrôlés
Processus de recherche 'explorer.exe' - '1' module(s) sont contrôlés
Processus de recherche 'AvastSvc.exe' - '1' module(s) sont contrôlés
Processus de recherche 'ati2evxx.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'ati2evxx.exe' - '1' module(s) sont contrôlés
Processus de recherche 'lsass.exe' - '1' module(s) sont contrôlés
Processus de recherche 'services.exe' - '1' module(s) sont contrôlés
Processus de recherche 'winlogon.exe' - '1' module(s) sont contrôlés
Processus de recherche 'csrss.exe' - '1' module(s) sont contrôlés
Processus de recherche 'smss.exe' - '1' module(s) sont contrôlés
'50' processus ont été contrôlés avec '50' modules

La recherche sur les secteurs d'amorçage maître commence :
Secteur d'amorçage maître HD0
    [INFO]      Aucun virus trouvé !

La recherche sur les secteurs d'amorçage commence :
Secteur d'amorçage 'C:\'
    [INFO]      Aucun virus trouvé !

La recherche sur les renvois aux fichiers exécutables (registre) commence :
Le registre a été contrôlé ( '64' fichiers).


La recherche sur les fichiers sélectionnés commence :

Recherche débutant dans 'C:\'
C:\pagefile.sys
    [AVERTISSEMENT] Impossible d'ouvrir le fichier !
    [REMARQUE]  Ce fichier est un fichier système Windows.
    [REMARQUE]  Il est correct que ce fichier ne puisse pas être ouvert pour la recherche.
C:\Documents and Settings\Gab'\Local Settings\Temporary Internet Files\Content.IE5\FO6GNASQ\DuskDawn[1].themepack
  [0] Type d'archive: CAB (Microsoft)
    --> DesktopBackground\1jp-betawp5.jpg
      [AVERTISSEMENT] Aucun autre fichier n'a pu être décompressé de cette archive. L'archive est refermée.
    [AVERTISSEMENT] Aucun autre fichier n'a pu être décompressé de cette archive. L'archive est refermée.
C:\Documents and Settings\Gab'\Local Settings\Temporary Internet Files\Content.IE5\FO6GNASQ\Gears%202[1].themepack
  [0] Type d'archive: CAB (Microsoft)
    --> DesktopBackground\gears2_1.jpg
      [AVERTISSEMENT] Aucun autre fichier n'a pu être décompressé de cette archive. L'archive est refermée.
C:\Documents and Settings\Gab'\Menu Démarrer\Programmes\Démarrage\sysrda32.exe
    [RESULTAT]  Contient le cheval de Troie TR/Crypt.ULPM.Gen
    [AVERTISSEMENT] Impossible d'ouvrir le fichier !
C:\Images CD\Pack Diablo2\Pack Diablo2\Diablo 2 CD Key Generator.exe
    [RESULTAT]  Contient le modèle de détection du ver WORM/Virtool.BUY
C:\Program Files\VLC\registry.exe
    [RESULTAT]  Contient le cheval de Troie TR/Drop.Agent.dza
C:\WINDOWS\system32\drivers\sptd.sys
    [AVERTISSEMENT] Impossible d'ouvrir le fichier !

Début de la désinfection :
C:\Documents and Settings\Gab'\Menu Démarrer\Programmes\Démarrage\sysrda32.exe
    [RESULTAT]  Contient le cheval de Troie TR/Crypt.ULPM.Gen
    [AVERTISSEMENT] Erreur lors de la création d'une copie de sécurité du fichier. Le fichier n'a pas été supprimé. Code d'erreur : 26004
    [AVERTISSEMENT] Impossible de trouver le fichier source.
    [REMARQUE]  Tentative en cours d'exécuter l'action à l'aide de la bibliothèque ARK.
    [REMARQUE]  Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4cf02914.qua' !
C:\Images CD\Pack Diablo2\Pack Diablo2\Diablo 2 CD Key Generator.exe
    [RESULTAT]  Contient le modèle de détection du ver WORM/Virtool.BUY
    [REMARQUE]  Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4cde2906.qua' !
C:\Program Files\VLC\registry.exe
    [RESULTAT]  Contient le cheval de Troie TR/Drop.Agent.dza
    [REMARQUE]  Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4ce42902.qua' !


Fin de la recherche : mardi 31 août 2010  18:06
Temps nécessaire: 37:35 Minute(s)

La recherche a été effectuée intégralement

   8930 Les répertoires ont été contrôlés
 338758 Des fichiers ont été contrôlés
      3 Des virus ou programmes indésirables ont été trouvés
      0 Des fichiers ont été classés comme suspects
      0 Des fichiers ont été supprimés
      0 Des virus ou programmes indésirables ont été réparés
      3 Les fichiers ont été déplacés dans la quarantaine
      0 Les fichiers ont été renommés
      3 Impossible de contrôler des fichiers
 338752 Fichiers non infectés
   2018 Les archives ont été contrôlées
      6 Avertissements
      4 Consignes
  56381 Des objets ont été contrôlés lors du Rootkitscan
      0 Des objets cachés ont été trouvés


RAPPORT ANTIVIR avec 3 résultats positifs
Je les ai supprimés, mais ça n'a rien changé.

Gabriel · Answer

http://www.cijoint.fr/cjlink.php?file=cj201009/cij3IHDf18.txt 

En voilà un RootRepeal

Et dis moi hein, si vraiment les rapports en mode sans échec ne te sont d'aucune utilité en fin de compte, j'peux réessayer en normal, malgré les faibles chances de succès.

moment de grace · Answer

ok

commence par virer les cracks qui mettent le bazar !

en mode normal, à défaut en sans echec avec réseau

Attention, avant de commencer, lit attentivement la procédure, et imprime la

Aide à l'utilisation
https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

Télécharge ComboFix de sUBs que tu renommes GABI.exe avant de l'enregistrer sur ton Bureau :

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

/!\ Déconnecte-toi du net et <gras>DESACTIVES TOUTES LES DEFENSES, antivirus et antispyware y compris /!\ </gras>

---> Double-clique sur ComboFix.exe
Un "pop-up" va apparaître qui dit que ComboFix est utilisé à vos risques et avec aucune garantie... Clique sur oui pour accepter

SURTOUT INSTALLES LA CONSOLE DE RECUPERATION
(si il te propose de l'installer remets internet)

---> Mets-le en langue française F
Tape sur la touche 1 (Yes) pour démarrer le scan.

Ne touche à rien(souris, clavier) tant que le scan n'est pas terminé, car tu risques de planter ton PC

En fin de scan, il est possible que ComboFix ait besoin de redémarrer le PC pour finaliser la désinfection, laisse-le faire.

Une fois le scan achevé, un rapport va s'afficher : Poste son contenu

/!\ Réactive la protection en temps réel de ton antivirus et de ton antispyware avant de te reconnecter à Internet. /!\

Note : Le rapport se trouve également là : C:\ComboFix.txt

Gabriel · Answer

Ok ok, je ferai tout ça demain matin, parce que ce soir, je ne peux pas imprimer.
Donc demain matin, j'imprime cette notice, je lance la procédure et tout ce qui va avec, puis je te tiens au courant dès que possible !
Mais avant, j'ai deux trois questions à te soumettre.
Cela pose-t-il problème si je ne désactive internet qu'après que ComboFix ait installé la console de récupération ? Parce que j'ai toujours du mal à remettre l'internet après une coupure, du moins, je dois toujours bidouiller, et je pense donc que je ne pourrai pas le faire simplement quand il me le demandera pour installer cette console, et je devrai le faire manuellement après l'affichage du rapport : /
Ensuite, je ne suis pas sûr de réussir à désactiver le pare feu Windows, les deux antivirus ça devrait aller, mais le pare feu c'est une autre histoire, il faut passer par le panneau de config, et ça c'pas du tout cuit en mode normal xD
Enfin, qu'est-ce que tu appelles les " cracks " qui mettent le bazar ? Désolé, je suis un bleu en info :s

En tout cas, je te remercie mille fois de ton aide, sincèrement, tu es un moment de grâce dans un univers étranger et hostile !
Et désolé encore de ne pas pouvoir continuer ce soir, cela ne dépend plus de moi :(

Gabriel · Answer

Désolé pour le *test* que j'ai modifié, j'avais des problèmes pour poster, j'ai écrit 4 fois le message xD

Gabriel · Answer

J'ai renommé ComboFix GABI.exe après l'avoir DL et non pas avant, parce que je ne pouvais pas le faire avant, il était pré-enregistré sous son nom de base pour le DL, et je n'avais pas d'option " renommer " : /
Je l'ai donc renommé dans mon dossier de téléchargements, puis collé sur mon bureau, ce qui en soit ne change pas grand chose xD

Enfin voilà, bonne soirée et bonne nuit si tu en as une !
A demain, et encore merci !

Gabriel · Answer

http://www.cijoint.fr/cjlink.php?file=cj201009/cijbBElIBG.txt 

Voilà le rapport ComboFix ! Fait depuis le mode normal
L'installation / exécution s'est déroulée presque sans accrocs, et je suis à ton entière disposition !

moment de grace · Answer

il n'a rien trouvé

* Télécharge Defogger 
http://www.jpshortstuff.247fixes.com/Defogger.exe

 => lance le
* Une fenêtre apparait clique sur Disable
* Redémarre le PC si demandé

puis 

en mode sans echec refais gmer

/!\ Il faut impérativement désactiver tous tes logiciels de protection pour utiliser ce programme/!\ 


? Télécharge : Gmer (by Przemyslaw Gmerek) 

http://www.gmer.net/



? Dezippe gmer ,cliques sur l'onglet rootkit,lances le scan,des lignes rouges vont apparaitre. 

? Les lignes rouges indiquent la presence d'un rootkit.Postes moi le rapport gmer (cliques sur copy,puis vas dans demarrer ,puis ouvres le bloc note,vas dans edition et cliques sur coller,le rapport gmer va apparaitre,postes moi le)

Gabriel · Answer

Scan en cours, désolé c'est long :/

Gabriel · Answer

http://www.cijoint.fr/cjlink.php?file=cj201009/cijMRPRkI1.txt 

Le voilà. 
Mais je crois bien que ça n'a rien détecté non plus : / ( Pas de ligne rouge )

moment de grace · Answer

pas de rootkit à l'horizon

peux tu refaire un rapport ZHPdiag en mode normal si ca veut bien et poster le lien stp

Gabriel · Answer

Ok chef, de suite !

Gabriel · Answer

http://www.cijoint.fr/cjlink.php?file=cj201009/cijgbBNj5L.txt

Voilà le rapport ZHPDiag.

moment de grace · Answer

DESACTIVE TON ANTIVIRUS ET TON PAREFEU SI PRESENTS !!!!!(car il est detecté a tort comme infection)

Télécharge ici :List_Kill'em et enregistre le sur ton bureau

http://sd-4.archive-host.com/membres/up/829108531491024/Mes_Tools/List_Killem_Install.exe

ou

http://www.archive-host.com

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...."

sur le raccourci sur ton bureau pour lancer l'installation

Laisse coché :

 Executer List_Kill'em

une fois terminée , clic sur "terminer" et le programme se lancera seul

choisis l'option Search

 laisse travailler l'outil

il se peut qu'une boite de dialogue s'ouvre , dans ce cas clique sur "ok" ou "Agree"

à l'apparition de la fenetre blanche , c'est un peu long , c'est normal ,c'est une recherche supplementaire de fichiers cachés , le programme n'est pas bloqué.

 Poste le contenu du rapport qui s'ouvre aux 100 % du scan à l'ecran "COMPLETED"

NE LE POSTE PAS SUR LE FORUM

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/

 Clique sur Parcourir et cherche le fichier ci-dessus.

 Clique sur Ouvrir.

 Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=265368/cijSKAP5fU.txt

est ajouté dans la page.

 Copie ce lien dans ta réponse.

 Fais de même avec more.txt qui se trouve sur ton bureau

Gabriel · Answer

http://www.cijoint.fr/cjlink.php?file=cj201009/cijun73DTq.txt

Rapport Kill'em

http://www.cijoint.fr/cjlink.php?file=cj201009/cijew3g46z.txt

Fichier more

Je note que les symptômes ont disparu à la fin de ce scan, mais je n'insiniue rien de plus xD

Gabriel · Answer

Voilà plusieurs heures que l'ordinateur est sous tension sur la même session, toujours pas de rebug, ni d'alerte, j'attends tes conseils pour faire quoi que ce soit, pas envie de tout gâcher xD

moment de grace · Answer

mon collègue....

.............

Et comment expliquer la subite réparation ( très éphémère je pense ) de mon PC TT


éphémère surement car on a pas fait grand chose en fait

...............

1)

Relance List_Kill'em(soit en clic droit pour vista/7),avec le raccourci sur ton bureau. 
mais cette fois-ci : 

choisis l'option CLEAN
ton PC va redemarrer, 

laisse travailler l'outil. 

en fin de scan la fenetre se ferme , et tu as un rapport du nom de Kill'em.txt sur ton bureau , 

colle le contenu dans ta reponse

..................
2)

en normal toujours
mettre à jour MBAM
examen complet
poster le rapport

Gabriel · Answer

Ok ok, et par MBAM, de ce que j'en ai vu, tu parles de Malwarebyte Anti Malware ?

Gabriel · Answer

http://www.cijoint.fr/cjlink.php?file=cj201009/cijJ9jfvCd.txt

Voilà le rapport de cleaning Killem

Je m'occupe de DL MBAM desuite !

Gabriel · Answer

http://www.cijoint.fr/cjlink.php?file=cj201009/cijSBUNhMm.txt

Voilà le rapport MBAM

moment de grace · Answer

ok

comment ce comporte le pc ?

Gabriel · Answer

Bah là, tout va bien, j'vais reboot pour voir si ça va toujours bien, j'te dis ça dans 10 min

Gabriel · Answer

Négatif, exactement les mêmes symptômes qu'au début... 
Désespérant
J'ai 3 virus dans la quarantaine d'Antivir, des trojans, ça ne peut pas venir d'eux un tel problème non ?

Gabriel · Answer

Ça m'intrigue le fait que le PC de temps en temps au bout d'unmoment ou suite à une manip particulière se mette à marcher normalement, pour replanter au démarrage suivant, c'est vraiment louche

moment de grace · Answer

Télécharge SEAF ( de C__XX ) sur ton bureau : 

ici http://pagesperso-orange.fr/NosTools/C_XX/SEAF.exe 


* Double clique sur "SEAF.exe" ( clique droit et "Exécuter en tant qu'administrateur" pour Vista / 7 ) pour lancer l'outil. 

* Dans l'encardré blanc " Entrez ci dessous...." copie/colle ceci : 

sysrda32


* Au niveau des " options des fichiers ", fait les réglages suivant : 
> A "Calculer le checksum" , choisis : MD5 
> Coche la case devant " Info. supplémentaire ". 
> Coche la case devant " Afficher les ADS " 

* Au niveau des " options du registre " : 
> coche " chercher également dans le registre " 

( ne touche à aucun autre réglage ) 

* Clique sur " Lancer la recherche " et laisse travailler l'outil ... 
( cela peut-être plus ou moins long suivant les cas ). 

--> Une fois terminé, une fenêtre avec un log .txt va s'afficher. Enregistre ce rapport de façon à le retrouver facilement ( sur le bureau par exemple ). Sinon il sera en outre sauvegardé à la racine de ton disque dur ( ici > C:\SEAFLog.txt )

Gabriel · Answer

http://www.cijoint.fr/cjlink.php?file=cj201009/cij1llXOrq.txt

Voilà le rapport

moment de grace · Answer

/!\ ATTENTION /!\ Le script qui suit a été écrit spécialement pour Gabriel , il n'est pas transposable sur un autre ordinateur ! 

crées un sur ton bureau un nouveau fichier bloc note que tu nommeras CFScript
Copies y ce texte dedans et enregistres le

KillAll::




Registry::

[HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache]
"C:\Documents and Settings\Gab'\Menu Démarrer\Programmes\Démarrage\sysrda32.exe"=-

[HKEY_USERS\S-1-5-21-790525478-1343024091-1801674531-1004\Software\Microsoft\Windows\ShellNoRoam\MUICache]
"C:\Documents and Settings\Gab'\Menu Démarrer\Programmes\Démarrage\sysrda32.exe"=-


* Désactive tes logiciels de protection 
* Fais un glisser/déposer de ce fichier CFScript.txt sur le fichier Combofix.exe * Patiente le temps du scan. Le Bureau va disparaître à plusieurs reprises : c'est normal ! Ne touche à rien tant que le scan n'est pas terminé. 
* Une fois le scan achevé, un rapport va s'afficher: poste son contenu. 
* Si le fichier ne s'ouvre pas, il se trouve ici ? C:\ComboFix.txt

Gabriel · Answer

Voilà le compte rendu

http://www.cijoint.fr/cjlink.php?file=cj201009/cij52Vgf04.txt

J'ai effectué le scan en mode normal

moment de grace · Answer

Rends toi sur ce site : 

https://www.virustotal.com/gui/ 

Clique sur parcourir et cherche ce fichier : 


c:\windows\system32\config\systemprofile\Application Data\hngmfc.dat


Clique sur Send File. 

Un rapport va s'élaborer ligne à ligne. 

Attends la fin. Il doit comprendre la taille du fichier envoyé. 

Sauvegarde le rapport avec le bloc-note. 

Copie le dans ta réponse.

Si tu ne trouves pas le fichier alors

Affiche tous les fichiers et dossiers : 

Pour cela : 
Clique sur démarrer/panneau de configuration/option des dossiers/affichage 

Cocher afficher les dossiers cachés

Décoche la case "Masquer les fichiers protégés du système d'exploitation (recommandé)" 

Décocher masquer les extensions dont le type est connu 

Puis fais «appliquer» pour valider les changements. 

Et OK


tuto pour t'aider

http://www.bibou0007.com/scans-en-ligne-f75/tutorial-sur-virustotal-t190.htm

Gabriel · Answer

http://www.cijoint.fr/cjlink.php?file=cj201009/cijtnfubIp.txt

Le voilà
Mais c'est négatif, c'truc, selon eux, est pas méchant

moment de grace · Answer

ok

Télécharge et installe CCleaner (N'installe pas la Yahoo Toolbar) :
 https://www.commentcamarche.net/telecharger/utilitaires/5647-ccleaner/

* Lance-le.(clic droit "en tant qu'administrateur" pour Vista) Va dans Options puis Avancé et décoche la case Effacer uniquement les fichiers etc.... 
* Va dans Nettoyeur, choisis Analyse. Une fois terminé, lance le nettoyage. 
* Ensuite, choisis Registre, puis Chercher des erreurs. Une fois terminé, répare toutes les erreurs tant de fois qu il en trouve a l analyse 


puis fais un scan avec antivir voir ce qu'il en pense

Gabriel · Answer

Quand je corrige les erreurs, ça me demande si je veux créer une sauvegarde des clés du registre qui vont êtres supprimées, j'dis quoi ?

Gabriel · Answer

J'ai log la session " normale " pour lancer le nettoyage + scan aussi, et les symptômes étaient là, puis ont de nouveau disparu vers les 2/3 du scan, sans raison apparente...

Gabriel · Answer

Bah un freeze immédiat et total de la barre de tâche et du menu démarrer ( impossible de cliquer sur quoi que ce soit la dedans, la souris s'affiche " sablier " et refuse toute action ) ainsi qu'un plantage dès que je lance quoi que ce soit de trop gourmand ou trop de truc en même temps, il y a aussi un bug son, mais ça on s'en fou un peu...
Te prends plus la tête l'ami, j'vais balancer mes quelques billets pour le faire reformater par un glandeur en ville, et on en parle plus, de cette bizarrerie, là c'est trop ...

Gabriel · Answer

Je te remercie infiniment pour tout ce que tu as fait et essayé de faire pour m'aider, Moment de Grâce !
Je suis sincère, c'est grâce à des gens comme toi que les choses avancent, ou du moins restent agréables !
Si je peux faire QUOI QUE CE SOIT pour te remercier, dis le moi, sinon, et bien je te dis au revoir, peut-être à bientôt, si jamais j'ai besoin d'un dernier conseil pour parer mon ordinateur contre les futurs problèmes, après le reformatage, je posterai la demande ici ! :p

Rootkit supposé, problème de détection.

42 réponses

Votre réponse

Discussions similaires

Newsletters