Win32:Roukit-Gen[Rtk]
Résolu
JeanTc
Messages postés
24
Statut
Membre
-
H3RV3 Messages postés 3661 Statut Contributeur sécurité -
H3RV3 Messages postés 3661 Statut Contributeur sécurité -
Bonjour,
J ai ete infecté par security tool et j ai apparament reussit a m en debarrasser en passant par le mode sans echec mais depuis mon antivirus avast ne fais que s emballer et m inonde d alerte de virus/vers/rookit .Je ne sais plus quoi faire pour les enlever completement si quelqu un peu m aidez je lui en serais fort reconnaissant !
J ai ete infecté par security tool et j ai apparament reussit a m en debarrasser en passant par le mode sans echec mais depuis mon antivirus avast ne fais que s emballer et m inonde d alerte de virus/vers/rookit .Je ne sais plus quoi faire pour les enlever completement si quelqu un peu m aidez je lui en serais fort reconnaissant !
16 réponses
Résumé de la discussion
Infection par Security Tool et alerts d Avast signalant des menaces persistantes obligent l'utilisateur à rechercher une désinfection complète et des solutions fiables pour repartir sur un système sain. Des solutions proposées incluent ZHPFix en mode XP/Vista/7, Ad-Remover, ZHPDiag et Malwarebytes, avec des étapes comme l'exécution en administrateur, l'injection de commandes et le nettoyage de restes de barres d'outils. Des conseils complémentaires évoquent l'analyse de fichiers suspects via VirusTotal, la collecte de rapports et le nettoyage, tout en rappelant d'évaluer les alertes antivirus pouvant détecter certains outils. En cas de doute, certaines solutions nécessitent des redémarrages et des droits administratifs, et certains outils peuvent être faussement signalés par les antivirus, ce qui nécessite une gestion temporaire des protections.
-
Salut,
On va analyser ton PC :
● Télécharge ZHPDiag_silent.exe sur ton bureau. Ceci installera ZHPDiag de Nicolas Coolman.
● Double clique sur ZHPDiag_silent.exe
● Patiente pendant le scan. Un rapport s'ouvrira à la fin.
● Héberge le rapport ZHPDiag.txt (présent sur ton bureau) sur le site ci-joint puis copie/colle le lien fourni dans ta réponse.
Note :
Si tu as des alertes de ton antivirus et/ou pare-feu, ignore-les et autorise l'outil à accéder à internet. -
Bien, on tient les coupables, la suite :
● Sous XP : Double clique sur ZHPFix présent sur ton bureau
● Sous Vista/7 : Fais un clic droit sur ZHPFix présent sur ton bureau et sélectionne "Exécuter en tant qu'administrateur"
● Clique sur l'icône représentant un H vert
● Copie puis colle le texte suivant dans le cadre jaune de ZHPFix :O4 - HKLM\..\Run: [DisableS3S4] c:\DisableS3S4.cmd (.not file.) O4 - HKLM\..\Run: [ciscoeappeapCisco] . (.Pas de propriétaire - Pas de description.) -- c:\program files\cisco\cisco peap module\sv-se\peapgtcmodule.exe O4 - HKLM\..\Run: [PEAPGTCPEAPGTC] . (.Pas de propriétaire - Pas de description.) -- c:\program files\cisco\cisco peap module\pt-br\ciscoeappeapcisco8835.exe O4 - HKLM\..\Run: [PEAPGTCModule] . (.Pas de propriétaire - Pas de description.) -- C:\Program Files\Cisco\Cisco PEAP Module\sv-SE\PEAPGTCModule.exe O4 - HKLM\..\Run: [0.7846700227662875] c:\users\admin\appdata\local\temp\0.7846700227662875.exe (.not file.) O4 - HKLM\..\RunServices: [0.7846700227662875] C:\Users\Admin\AppData\Local\Temp\0.7846700227662875.exe (.not file.) O4 - HKLM\..\RunServices: [PEAPGTCPEAPGTC] . (.Pas de propriétaire - Pas de description.) -- C:\Program Files\Cisco\Cisco PEAP Module\sv-SE\PEAPGTCModule.exe O4 - HKLM\..\RunServices: [xczisxz6xczisxz6] c:\users\admin\appdata\local\temp\0.7846700227662875.exe (.not file.) C:\Program Files\Cisco
● Clique sur le bouton Tous puis sur Nettoyer
● Copie/colle le rapport qui apparaîtra à la fin
►Aide en images
Puis, tu as des restes de Toolbars infectieuses :
Note : Les Toolbars sont généralement proposées en accompagnement d'autres logiciels à leur installation.
Quand tu installes un logiciel, prends le temps de lire les options d'installation et décoche les programmes additionnels inutiles (ne clique pas bêtement sur "suivant").
● Télécharge et enregistre le fichier sur ton bureau Ad-Remover
● Double clique sur AD-R.exe
● Au menu principal choisis l'option "Nettoyer"
● Patiente pendant que l'outil fait son travail
● Un rapport va s'ouvrir, copie/colle le dans ta réponse
▲ Le rapport est sauvegardé dans C:\Ad-report.log
Note : Ad-Remover peut être détecté à tort par certains antivirus, ignore l'alerte. -
Merci H3rv3 pour ton assistance :)
voila le rapport:
http://www.cijoint.fr/cjlink.php?file=cj201009/cijnYxHBxt.txt -
Bien, plusieurs choses.
Peux-tu me dire sur quel fichier tu as l'alerte de ton antivirus.
Est-ce toi qui as installé le programme "Cisco PEAP Module" ?
On va analyser un fichier :
● Va sur le site VirusTotal
● Clique sur le bouton "parcourir"
● Recherche le fichier présent ici ==> C:\Windows\System32\agremove.exe
● Clique sur le bouton "Send file"
● Patiente pendant le transfert du fichier
● Si un message apparaît, clique sur Reanalyse
● Copie/colle l'adresse présente dans la barre d'adresse dans ta réponse
► Aide en images -
Vous n’avez pas trouvé la réponse que vous recherchez ?
Posez votre question -
OK, analyse également ces deux fichiers sur VirusTotal :
C:\Program Files\Cisco\Cisco PEAP Module\sv-SE\PEAPGTCModule.exe
C:\Program Files\Cisco\Cisco PEAP Module\pt-BR\CiscoEapPeapCisco8835.exe -
Peux-tu essayer la manipulation en mode sans échec.
Je te remet les lignes à coller, j'ai rajouté celle oubliée :
O4 - HKLM\..\Run: [QuickTimeResourcesQuickTimeResources] . (.Pas de propriétaire - Pas de description.) -- c:\program files\quicktime\qtsystem\quicktimempeg4authoring.resources\en.lproj\quicktimeresourcesquicktimeresources7.6.71675.exe O4 - HKLM\..\Run: [DisableS3S4] c:\DisableS3S4.cmd (.not file.) O4 - HKLM\..\Run: [ciscoeappeapCisco] . (.Pas de propriétaire - Pas de description.) -- c:\program files\cisco\cisco peap module\sv-se\peapgtcmodule.exe O4 - HKLM\..\Run: [PEAPGTCPEAPGTC] . (.Pas de propriétaire - Pas de description.) -- c:\program files\cisco\cisco peap module\pt-br\ciscoeappeapcisco8835.exe O4 - HKLM\..\Run: [PEAPGTCModule] . (.Pas de propriétaire - Pas de description.) -- C:\Program Files\Cisco\Cisco PEAP Module\sv-SE\PEAPGTCModule.exe O4 - HKLM\..\Run: [0.7846700227662875] c:\users\admin\appdata\local\temp\0.7846700227662875.exe (.not file.) O4 - HKLM\..\RunServices: [0.7846700227662875] C:\Users\Admin\AppData\Local\Temp\0.7846700227662875.exe (.not file.) O4 - HKLM\..\RunServices: [PEAPGTCPEAPGTC] . (.Pas de propriétaire - Pas de description.) -- C:\Program Files\Cisco\Cisco PEAP Module\sv-SE\PEAPGTCModule.exe O4 - HKLM\..\RunServices: [xczisxz6xczisxz6] c:\users\admin\appdata\local\temp\0.7846700227662875.exe (.not file.) C:\Program Files\Cisco
-
Pas la peine de la prise en charge du réseau.
Pour savoir comment y accéder, clique sur "mode sans échec" de mon message précédent ;).
Merci de rester jusqu'à la fin de la désinfection.-
a oui en effet ><
Ha juste avant que je reboot pour passer en mode sans echec ZhpFix ma afficher une nouvelle page apres que j ai rentrer ta nouvelle commande la voici:
Rapport de ZHPFix 1.12.32 par Nicolas Coolman, Update du 25/09/2010
Fichier d'export Registre : C:\ZHPExportRegistry-27-09-2010-13-21-50.txt
Run by Admin at 27/09/2010 13:21:50
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr
========== Processus mémoire ==========
C:\Program Files\Cisco => Supprimé et mis en quarantaine
========== Valeur(s) du Registre ==========
O4 - HKLM\..\Run: [QuickTimeResourcesQuickTimeResources] . (.Pas de propriétaire - Pas de description.) -- c:\program files\quicktime\qtsystem\quicktimempeg4authoring.resources\en.lproj\quicktimeresourcesquicktimeresources7.6.71675.exe => Valeur absente
O4 - HKLM\..\Run: [DisableS3S4] c:\DisableS3S4.cmd (.not file.) => Valeur absente
O4 - HKLM\..\Run: [ciscoeappeapCisco] . (.Pas de propriétaire - Pas de description.) -- c:\program files\cisco\cisco peap module\sv-se\peapgtcmodule.exe => Valeur absente
O4 - HKLM\..\Run: [PEAPGTCPEAPGTC] . (.Pas de propriétaire - Pas de description.) -- c:\program files\cisco\cisco peap module\pt-br\ciscoeappeapcisco8835.exe => Valeur absente
O4 - HKLM\..\Run: [PEAPGTCModule] . (.Pas de propriétaire - Pas de description.) -- C:\Program Files\Cisco\Cisco PEAP Module\sv-SE\PEAPGTCModule.exe => Valeur absente
O4 - HKLM\..\Run: [0.7846700227662875] c:\users\admin\appdata\local\temp\0.7846700227662875.exe (.not file.) => Valeur absente
O4 - HKLM\..\RunServices: [0.7846700227662875] C:\Users\Admin\AppData\Local\Temp\0.7846700227662875.exe (.not file.) => Valeur absente
O4 - HKLM\..\RunServices: [PEAPGTCPEAPGTC] . (.Pas de propriétaire - Pas de description.) -- C:\Program Files\Cisco\Cisco PEAP Module\sv-SE\PEAPGTCModule.exe => Valeur absente
O4 - HKLM\..\RunServices: [xczisxz6xczisxz6] c:\users\admin\appdata\local\temp\0.7846700227662875.exe (.not file.) => Valeur absente
========== Dossier(s) ==========
c:\program files\cisco => Supprimé et mis en quarantaine
========== Fichier(s) ==========
c:\program files\quicktime\qtsystem\quicktimempeg4authoring.resources\en.lproj\quicktimeresourcesquicktimeresources7.6.71675.exe () => Fichier absent
c:\disables3s4.cmd () => Fichier absent
c:\program files\cisco\cisco peap module\sv-se\peapgtcmodule.exe () => Fichier absent
c:\program files\cisco\cisco peap module\pt-br\ciscoeappeapcisco8835.exe () => Fichier absent
c:\users\admin\appdata\local\temp\0.7846700227662875.exe () => Fichier absent
========== Récapitulatif ==========
1 : Processus mémoire
9 : Valeur(s) du Registre
1 : Dossier(s)
5 : Fichier(s)
End of the scan -
-
-
Bien, passe à la partie Ad-Remover de ce message ==> https://forums.commentcamarche.net/forum/affich-19311040-win32-roukit-gen-rtk#9
Puis refais un rapport ZHPDiag comme ceci :
● Double clique sur ZHPDiag présent sur ton bureau
● Clique sur l'icône représentant une loupe ("Lancer le diagnostic") et patiente pendant le scan
● Clique sur l'icône représentant une disquette ("Sauvegarder le fichier sous") et enregistre le rapport sur ton bureau
● Ferme ZHPDiag, héberge le rapport ZHPDiag.txt sur le site ci-joint puis copie/colle le lien fourni dans ta réponse
► Aide en images -
Bien, peux-tu encore analyser un fichier sur VirusTotal :
C:\Users\Admin\AppData\Local\Apps\2.0\4GY1JZQ2.G28\PYT3BXBN.L44\curs..tion_eee711038731a406_0004.0000_172b37d8269e5e48\CurseClient.exe -
OK, çà donne quoi les alertes de Avast ?
-
Bien, voilà la suite des opérations :
● Sous XP : Double clique sur ZHPFix présent sur ton bureau
● Sous Vista/7 : Fais un clic droit sur ZHPFix présent sur ton bureau et sélectionne "Exécuter en tant qu'administrateur"
● Clique sur l'icône représentant un H vert
● Copie puis colle le texte suivant dans le cadre jaune de ZHPFix :[HKCU\Software\AppDataLow\Toolbar] [HKCU\Software\Totem] C:\Windows\System32\rpcnetp.dll C:\Windows\System32\rpcnetp.exe
● Clique sur le bouton Tous puis sur Nettoyer
● Copie/colle le rapport qui apparaîtra à la fin
►Aide en images
Puis fais un scan complet de ton PC avec Malwarebytes après l'avoir mis à jour.-
Le rapport de ZHPFix :
Rapport de ZHPFix 1.12.32 par Nicolas Coolman, Update du 25/09/2010
Fichier d'export Registre : C:\ZHPExportRegistry-27-09-2010-14-09-55.txt
Run by Admin at 27/09/2010 14:09:55
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr
========== Processus mémoire ==========
C:\Windows\System32\rpcnetp.exe => Supprimé et mis en quarantaine
========== Module(s) mémoire ==========
C:\Windows\System32\rpcnetp.dll => Supprimé et mis en quarantaine
========== Clé(s) du Registre ==========
HKCU\Software\AppDataLow\Toolbar => Clé supprimée avec succès
HKCU\Software\Totem => Clé supprimée avec succès
========== Récapitulatif ==========
1 : Processus mémoire
1 : Module(s) mémoire
2 : Clé(s) du Registre
End of the scan -
-
-
-
-
-
Bien, on va pouvoir terminer proprement :
● Sous XP : Double clique sur ZHPFix présent sur ton bureau
● Sous Vista/7 : Fais un clic droit sur ZHPFix présent sur ton bureau et sélectionne "Exécuter en tant qu'administrateur"
● Clique sur l'icône représentant un H vert
● Copie puis colle le texte suivant dans le cadre jaune de ZHPFix :O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} Clé orpheline O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] . (.Adobe Systems Incorporated - Adobe Acrobat SpeedLauncher.) -- C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe OPT:O4 - HKLM\..\Run: [QuickTime Task] . (.Apple Inc. - QuickTime Task.) -- C:\Program Files\QuickTime\QTTask.exe OPT:O4 - HKLM\..\Run: [iTunesHelper] . (.Apple Inc. - iTunesHelper.) -- C:\Program Files\iTunes\iTunesHelper.exe
● Clique sur le bouton Tous puis sur Nettoyer
● Copie/colle le rapport qui apparaîtra à la fin
►Aide en images -
On va faire autrement, double clique sur le fichier ZHP_uninstall.exe présent sur ton bureau.
● Télécharge HijackThis.exe sur ton bureau
● Sous XP : Double clique sur HijackThis.exe
● Sous Vista/7 : Fais un clic droit et choisis exécuter en tant qu'administrateur sur HijackThis.exe
● Clique sur Do a system Scan only
● Coche les cases suivantes (si elles sont présentes) :O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} Clé orpheline O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] . (.Adobe Systems Incorporated - Adobe Acrobat SpeedLauncher.) -- C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe O4 - HKLM\..\Run: [QuickTime Task] . (.Apple Inc. - QuickTime Task.) -- C:\Program Files\QuickTime\QTTask.exe O4 - HKLM\..\Run: [iTunesHelper] . (.Apple Inc. - iTunesHelper.) -- C:\Program Files\iTunes\iTunesHelper.exe
● Clique sur Fix checked puis sur "Oui" dans la fenêtre d'avertissement
● Ferme HijackThis -
Non, c'est bon, on va supprimer les différents outils utilisés :
● Télécharge DelFix.exe sur ton Bureau
● Double clique sur DelFix.exe
● Choisis l'option 2 (Suppression) et valide avec Entrée
● Patiente pendant que l'outil travaille, un rapport va s'ouvrir, copie/colle le dans ta réponse
▲ Le rapport est sauvegardé dans C:\DelFixSuppr.txt
Tu peux supprimer DelFix.exe-
voila le rapport :
Rapport DelFix v4.1
Mis à jour le 25/09/10 à 13h par Xplode
Lancé le 27/09/2010 à 18h00 et 45 seconde(s)
Utilisateur : Admin - PC-DE-ADMIN
Système d'exploitation : Windows Vista (TM) Home Premium - 32 bits
Internet Explorer : v8.0.6001.18943
Mode de démarrage : Normal
Option [Suppression]
~~~~~~ C:\ ~~~~~~
~~~~~~ C:\Windows ~~~~~~
~~~~~~ C:\Windows\System32 ~~~~~~
~~~~~~ C:\Program Files ~~~~~~
Dossier Supprimé : C:\Program Files\Ad-Remover
~~~~~~ C:\Users\Admin ~~~~~~
~~~~~~ C:\Users\Admin\Desktop ~~~~~~
Fichier Supprimé : C:\Users\Admin\Desktop\AD-R.lnk
Fichier Supprimé : C:\Users\Admin\Desktop\HijackThis.exe
~~~~~~ C:\Users\Public\Desktop ~~~~~~
~~~~~~ C:\ProgramData\Microsoft\Windows\Start Menu\Programs ~~~~~~
~~~~~~ C:\Users\Admin\Downloads ~~~~~~
~~~~~~ Registre ~~~~~~
Clé Supprimée : HKLM\Software\TrendMicro
Clé Supprimée : HKCU\SOFTWARE\Ad-Remover
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\Ad-Remover
########## EOF - "C:\DelFixSuppr.txt" - [1065 octets] ########## -
-
-
Ferme le rapport de DelFix, il se fermera tout seul, sinon redémarre ton PC.
Supprime le dossier backup présent sur ton bureau.
Puis :
Nettoyage des fichiers temporaires et de la base de registre :
● Télécharge Ccleaner
● Lance l'installation en double cliquant sur le fichier téléchargé
● Laisse les options par défaut lors de l'installation
● Lance Ccleaner
● Clique sur le bouton Nettoyer et clique sur OK dans la fenêtre d'avertissement
● Clique sur l'onglet Registre
● Clique sur le bouton Chercher les erreurs
● Clique sur le bouton Corriger les erreurs sélectionnées
● Refais la recherche d'erreurs jusqu'à ce qu'il n'en trouve plus
Suppression des points de restauration :
● Clique sur Démarrer
● Clique droit sur Ordinateur
● Clique sur Propriétés
● Clique sur Protection du système (à gauche)
● Décoche tous les disques durs
● Clique sur Appliquer
● Clique sur le bouton Désactiver la restauration système
● Clique sur OK
Création d'un nouveau point de restauration :
● Clique sur Démarrer
● Clique droit sur Ordinateur
● Clique sur Propriétés
● Clique sur Protection du système (à gauche)
● Recoche tous les disques durs
● Clique sur Appliquer
● Clique sur le bouton Créer
● Entre une description
● Clique sur le bouton OK dans la fenêtre de confirmation
● Clique sur Fermer -
D'accord, on passe aux mises à jour :
Java :
● Télécharge JavaRa.zip
● Décompresse le fichier sur ton bureau (clique droit > Extraire tout.)
● Double-clique sur le répertoire JavaRa obtenu.
● Puis double-clique sur le fichier JavaRa.exe (le .exe peut ne pas s'afficher)
● Clique sur Search For Updates.
● Sélectionne Update Using jucheck.exe puis clique sur Search.
● Autorise le processus à se connecter s'il te le demande, clique sur Install et suis les instructions d'installation. Cela prendra quelques minutes.
● Quand l'installation est terminée, revient à l'écran de JavaRa et clique sur Remove Older Versions.
● Clique sur Oui pour confirmer. L'outil va travailler, clique ensuite sur Ok, puis une deuxième fois sur Ok.
● Un rapport va s'ouvrir, copie-colle le dans ta prochaine réponse.
* Note : le rapport se trouve aussi là : ( C:\JavaRa.log )
● Ferme l'application
Acrobat Reader :
● Lance Acrobat Reader
● Va dans le menu Aide puis clique sur Rechercher les mises à jour
● Clique sur Télécharger et installer les mises à jour et laisse les mises s'installer
