Virus Rootkit.Agent.H Résolu

Question

Bonjour, 

j'ai fais une analyse de mon pc car je supposais la présence de virus dessus, j'avais du nez car Malware anti malware a détecté et supprimé un fichier infecté avec "Rootkit.Agent.H". En parallèle j'ai fais une analyse avec AVPTool qui lui n'a rien trouvé et Spybot qui lui a détecté "WhenU.FunPlayer" qu'il a semble t'il supprimé...
J'aimerai savoir si mon pc est bien nettoyé. Voici mon rapport Hijackthis :

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 08:49:41, on 27/10/2010
Platform: Windows Vista SP2 (WinNT 6.00.1906)
MSIE: Internet Explorer v8.00 (8.00.6001.18975)
Boot mode: Normal

Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Windows\system32	askeng.exe
C:\Program Files\ASUS\ASUS Live Update\ALU.exe
C:\Program Files\Windows Defender\MSASCui.exe
C:\Program Files\Intel\Intel Matrix Storage Manager\IAAnotif.exe
C:\Windows\RtHDVCpl.exe
C:\Program Files\ASUS\ATK Media\DMedia.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\Microsoft IntelliPoint\ipoint.exe
C:\Program Files\Alwil Software\Avast4\ashDisp.exe
C:\Program Files\Canon\Canon IJ Network Scan Utility\CNMNSUT.EXE
C:\Program Files\Common Files\Java\Java Update\jusched.exe
C:\Program Files\DivX\DivX Update\DivXUpdate.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Windows\ehome\ehtray.exe
C:\Program Files\RocketDock\RocketDock.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Windows\ehome\ehmsas.exe
C:\Windows\system32\wbem\unsecapp.exe
C:\Users\utilisateur\Trucs\HiJackThis\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Windows Live ID Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [IAAnotif] "C:\Program Files\Intel\Intel Matrix Storage Manager\Iaanotif.exe"
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [ATKMEDIA] C:\Program Files\ASUS\ATK Media\DMEDIA.EXE
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [IntelliPoint] "C:\Program Files\Microsoft IntelliPoint\ipoint.exe"
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [IJNetworkScanUtility] C:\Program Files\Canon\Canon IJ Network Scan Utility\CNMNSUT.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Common Files\Java\Java Update\jusched.exe"
O4 - HKLM\..\Run: [DivXUpdate] "C:\Program Files\DivX\DivX Update\DivXUpdate.exe" /CHECKNOW
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe
O4 - HKCU\..\Run: [RocketDock] "C:\Program Files\RocketDock\RocketDock.exe"
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [Google Update] "C:\Users\utilisateur\AppData\Local\Google\Update\GoogleUpdate.exe" /c
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')
O13 - Gopher Prefix: 
O18 - Protocol: wlpg - {E43EF6CD-A37A-4A9B-9E6F-83F89B8E6324} - C:\Program Files\Windows Live\Photo Gallery\AlbumDownloadProtocolHandler.dll
O23 - Service: ASLDR Service (ASLDRService) - Unknown owner - C:\Program Files\ATK Hotkey\ASLDRSrv.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: ATKGFNEX Service (ATKGFNEXSrv) - Unknown owner - C:\Program Files\ATKGFNEX\GFNEXSrv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: Service Google Update (gupdate1ca56fa9b5131bf) (gupdate1ca56fa9b5131bf) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe
O23 - Service: Intel(R) Matrix Storage Event Monitor (IAANTMON) - Intel Corporation - C:\Program Files\Intel\Intel Matrix Storage Manager\Iaantmon.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: InCD Helper (InCDsrv) - Nero AG - C:\Program Files\Nero\Nero 7\InCD\InCDsrv.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe
O23 - Service: NBService - Nero AG - C:\Program Files\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Ahead\Lib\NMIndexingService.exe
O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32
vvsvc.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: SBSD Security Center Service (SBSDWSCService) - Safer Networking Ltd. - C:\Program Files\Spybot - Search & Destroy\SDWinSec.exe
O23 - Service: spmgr - Unknown owner - C:\Program Files\ASUS\NB Probe\SPM\spmgr.exe
O23 - Service: @%SystemRoot%\System32\TuneUpDefragService.exe,-1 (TuneUp.Defrag) - TuneUp Software GmbH - C:\Windows\System32\TuneUpDefragService.exe

jlpjlp · Answer

slt

tu as le rapport de malwarebyte svp ?

pour mieux voir les infections:


Télécharge ZHPDiag ( de Nicolas coolman ).
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html


(outil de diagnostic)

Double clique sur le fichier d'installation, puis installe le avec les paramètres par défaut ( N'oublie pas de cocher " Créer une icône sur le bureau " )

Lance ZHPDiag en double cliquant sur l'icône présente sur ton bureau (Clique droit -> Executer en tant qu'admin ( vista )

Clique sur la loupe en haut à gauche, puis laisse l'outil scanner.

Une fois le scan terminé, clique sur l'icône en forme de disquette et enregistre le fichier sur ton bureau.

Rend toi sur Cjoint : http://www.cijoint.fr/

Clique sur "Parcourir " dans la partie " Joindre un fichier[...] "

Sélectionne le rapport ZHPdiag.txt qui se trouve sur ton bureau

Clique ensuite sur "Cliquez ici pour déposer le fichier " et copie/colle le lien dans ton prochain message




puis  passe à la version 5 d'avast <= ici

Vlados · Answer

Salut et merci pour ta réponse rapide !

Voici le rapport malwarebytes tout d'abord :


Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4951

Windows 6.0.6002 Service Pack 2 (Safe Mode)
Internet Explorer 8.0.6001.18975

26/10/2010 18:51:07
mbam-log-2010-10-26 (18-51-07).txt

Type d'examen: Examen complet (C:\|D:\|)
Elément(s) analysé(s): 324949
Temps écoulé: 3 heure(s), 36 minute(s), 48 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Windows\System32\drivers\68242911.sys (Rootkit.Agent.H) -> Quarantined and deleted successfully.




Et voilà le lien pour le rapport ZHPdiag :

http://www.cijoint.fr/cjlink.php?file=cj201010/cijQ3RqqTG.txt


Voilà !

jlpjlp · Answer

ok

vire spybot qui est dépassé d'autant que tu as malwarebyte et windows defender

puis


    *  Télécharger UsbFix (d' El desaparecido & C_XX) sur le Bureau.
http://www.teamxscript.org/usbfixTelechargement.html
    * Important : brancher les sources de données externes au PC (clé USB, disque dur externe, carte SD, etc...) sans les ouvrir.
    * Double-cliquer sur le programme UsbFix.exe sur le Bureau, l'installation se fera automatiquement.
    * /!\ Désactiver la garde de l'antivirus pour éviter tout conflit lors de l'utilisation de l'outil.
    * Cliquer sur le bouton Recherche.
    * Laisser travailler l'outil.
    * Poster le rapport UsbFix.txt obtenu si vous avez créé un sujet sur le forum Virus/Sécurité.
    * Note : le rapport UsbFix.txt est sauvegardé à la racine du disque (C:\UsbFix.txt).

Vlados · Answer

Hop voilà le rapport, cependant l'élément infectieux trouvé est présent sur le "CD-rom" présent dans le disque dur, or si je tente de le supprimer (si il s'avère que c'est vraiment un "virus") USBfix plante (j'ai déjà essayé de le supprimer lors d'une utilisation ultérieure d'USBfix) surement à cause de la protection... Bref, je ne sais pas trop :


############################## | UsbFix 7.034 | [Recherche]

Utilisateur: Nicolas (Administrateur) # PC-DE-NICOLAS [ASUSTeK Computer Inc. F3Sc]
Mis à jour le 25/10/10 par El Desaparecido / C_XX
Lancé à 10:27:51 | 27/10/2010
Site Web: http://www.teamxscript.org
Contact: eldesaparecido@teamxscript.org

CPU: Intel(R) Core(TM)2 Duo CPU T7100 @ 1.80GHz
CPU 2: Intel(R) Core(TM)2 Duo CPU T7100 @ 1.80GHz
Microsoft® Windows Vista(TM) Édition Familiale Premium  (6.0.6002 32-Bit) # Service Pack 2
Internet Explorer 8.0.6001.18975

Pare-feu Windows: Activé
Antivirus: avast! antivirus 4.7.892 [VPS 91104-1] 4.7.892 [Enabled | Updated]
RAM -> 2046 Mo 
C:\ (%systemdrive%) -> Disque fixe # 75 Go (25 Go libre(s) - 34%) [VistaOS] # NTFS
D:\ -> Disque fixe # 68 Go (32 Go libre(s) - 47%) [DATA] # NTFS
E:\ -> CD-ROM
F:\ -> Disque amovible # 4 Go (325 Mo libre(s) - 9%) [TARDIS] # FAT32
G:\ -> CD-ROM
H:\ -> Disque amovible # 98 Mo (97 Mo libre(s) - 99%) [PUBLICZONE] # FAT32
I:\ -> Disque fixe # 931 Go (839 Go libre(s) - 90%) [Journal of Impossible Things] # NTFS

################## | Éléments infectieux |


Présent! G:\Autorun.inf

################## | Registre |


################## | Mountpoints2 |


################## | Vaccin |

C:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
D:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
H:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)

################## | E.O.F |

jlpjlp · Answer

*  Lancez ZHPFix depuis le raccourci du Bureau (en mode administrateur si Vista/W7) ou depuis ZhpDiag qui contient le raccourci vers ZhpFix dans un icône situé en haut,
    * Cliquez sur le bouton MBRfix situé dans la partie droite de l'écran (encadré en rouge sur l'image),
    * Cliquez sur 'Non' au message qui s'affiche à l'écran,
    * Laissez travailler l'outil,
    * A la fin du traitement, un rapport s'affiche
    * Copiez ce rapport si cela vous l'a été demandé sur le forum
    * Redémarrez le pc pour prendre en compte les modifications 

____________________


Téléchargez DelFix (d'Xplode) sur votre bureau.

Lancez le puis sélectionnez  [Suppression]

Copiez/collez le contenu du rapport qui s'ouvrira dans votre sujet si vous vous faites aider sur un forum.

Vous pouvez également lancer l'option [Désinstallation] 

Note : Les rapports sont également enregistrés à la racine du disque dur ( C:\DelFixSearch.txt pour l'option recherche et C:\DelFixSuppr.txt pour l'option suppression ) 

_______________________


pour vérifier le pc colle le rapport d'un antivirus en ligne comme kaspersky ou panda ou nod 32 ou bitdefender

a plus

Vlados · Answer

Hop,
voilà les rapports demandés :
-ZHP fix :


Rapport de ZHPFix 1.12.3211 par Nicolas Coolman, Update du 14/10/2010
Fichier d'export Registre : 
Run by Nicolas at 27/10/2010 11:17:48
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Master Boot Record ==========
Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys acpi.sys hal.dll iaStor.sys 
kernel: MBR read successfully
user & kernel MBR OK 
 
Resultat après le fix :
Master Boot Record non infecté


========== Récapitulatif ==========
                          1 : Master Boot Record


End of the scan


-Delfix : 

Rapport DelFix v6.0 - 27/10/2010 à 11:26,39
Mis à jour le 22/10/10 à 13h30 par Xplode
Système d'exploitation : Windows Vista (TM) Home Premium (32 bits) [version 6.0.6002] Service Pack 2
Navigateur : Google Chrome  [Navigateur par défaut]
Processeur : Intel(R) Core(TM)2 Duo CPU     T7100  @ 1.80GHz
Mémoire vive totale : 1,99 Go
Nom d'utilisateur : Nicolas - PC-DE-NICOLAS (Administrateur)
Exécuté depuis : C:\Users\Nicolas\Desktop\DelFix.exe


~~~~~~ Dossier(s) ~~~~~~

Supprimé : C:\USBFix
Supprimé : C:\Program Files\ZHPDiag
Supprimé : C:\Program Files	rend micro
Supprimé : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ZHP

~~~~~~ Fichier(s) ~~~~~~

Supprimé : C:\UsbFix.txt
Supprimé : C:\UsbFix_Upload_Me_PC-de-Nicolas.zip
Supprimé : C:\Users\Nicolas\Desktop\UsbFix.exe
Supprimé : C:\Users\Nicolas\Desktop\ZHPDiag.exe
Supprimé : C:\Users\Nicolas\Desktop\ZHPDiag.txt
Supprimé : C:\Users\Nicolas\Desktop\ZHPFixReport.txt
Supprimé : C:\Users\Public\Desktop\ZHPDiag.lnk
Supprimé : C:\Users\Public\Desktop\ZHPFix.lnk
Supprimé : C:\Users\Public\Desktop\MBRCheck.lnk

~~~~~~ Registre ~~~~~~

Clé Supprimée : HKLM\Software\TrendMicro
Clé Supprimée : HKCU\SOFTWARE\USBFix
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\USBFix
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\ZHPDiag_is1

########## EOF - "C:\DelFixSuppr.txt" - [1491 octets] ##########


-Scan en ligne (Panda) :


;***********************************************************************************************************************************************************************************
ANALYSIS: 2010-10-27 13:21:33
PROTECTIONS: 1
MALWARE: 3
SUSPECTS: 2
;***********************************************************************************************************************************************************************************
PROTECTIONS
Description                                  Version                       Active    Updated
;===================================================================================================================================================================================
avast! antivirus                                                           Yes       Yes
;===================================================================================================================================================================================
MALWARE
Id        Description                        Type                Active    Severity  Disinfectable  Disinfected Location
;===================================================================================================================================================================================
00168090  Cookie/Serving-sys                 TrackingCookie      No        0         Yes            No           c:\users
icolas\appdataoaming\microsoft\windows\cookies
icolas@serving-sys[1].txt
00168093  Cookie/Serving-sys                 TrackingCookie      No        0         Yes            No           c:\users
icolas\appdataoaming\microsoft\windows\cookies
icolas@bs.serving-sys[2].txt
00273339  Cookie/Smartadserver               TrackingCookie      No        0         Yes            No           c:\users
icolas\appdataoaming\microsoft\windows\cookies
icolas@smartadserver[1].txt
;===================================================================================================================================================================================
SUSPECTS
Sent      Location
;===================================================================================================================================================================================
No        c:\$recycle.bin\s-1-5-21-3286134355-3843471270-2135633584-1000\$r3b58jz.exe
No        c:\users
icolas\appdata\local\google\chrome\user data\default\cache\f_000138
;===================================================================================================================================================================================
VULNERABILITIES
Id        Severity       Description
;===================================================================================================================================================================================
;===================================================================================================================================================================================

jlpjlp · Answer

ok c'est bon pour toi

Vlados · Answer

Merci bien bonne continuation !!!

Virus Rootkit.Agent.H

8 réponses

Discussions similaires

Newsletters