rootkit WINIK Résolu

Question

bonjour à tous,

voilà mon pb : kaspersky a trouvé un virus sur mon ordi qu'il n'a pas réussi à enlever !
Il dit qu'il se trouve dans c:/windows/system32/drivers/winik.sys et qu'il s'appelle : rootkit.win32.agent.q

J'ai regardé sur le forum pour pouvoir le virer et j'ai trouvé des posts à ce sujet mais je n'ai pas pu le virer pour autant.

j'a réussi à virer les clés suivantes :
hkey_local_machine/system/controlset001/enum/root/legacy-winik
hkey_local_machine/system/controlset003/enum/root/legacy-winik
hkey_local_machine/system/controlset003/services/winik
le tout en changeant les autorisations
mais par contre je n'arrive pas à virer :
hkey_local_machine/system/controlset001/services/winik
quand je vais pour changer les autorisations il met 5 noms d'utilisateurs ou de groupes :
1) Administrateurs(piou/administrateurs)
2) bb(piou/bb)
3) CREATEUR PROPRIETAIRE
4) SYSTEM
5) Utilisateurs(piou/utilisateurs)
J'ai mis tout le monde en controle total mais quand je clique sur appliquer il me décoche systematiquement le controe total de CREATEUR PROPRIETAIRE
et au final je ne peux pas supprimer le dossier !
Il y a certainement un moyen de le supprimer mais j'ai peur de faire une connerie.

et il y en a peut être d'autres à supprimer, je ne sais pas !!!
rapport de regedit avec mot winik :
REGEDIT4
; RegSrch.vbs © Bill James

; Registry search results for string "winik" 21/01/2006 09:52:25

; NOTE: This file will be deleted when you close WordPad.
; You must manually save this file to a new location if you want to refer to it again later.
; (If you save the file with a .reg extension, you can use it to restore any Registry changes you make to these values.)

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\virus]
"DisplayName"="WinIK"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\virus\Enum]
"0"="Root\\LEGACY_WINIK\\0000"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WinIK]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WinIK]
"DisplayName"="WinIK"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WinIK\Security]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WinIK\Enum]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WinIK\Enum]
"0"="Root\\LEGACY_WINIK\\0000"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\virus]
"DisplayName"="WinIK"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\virus\Enum]
"0"="Root\\LEGACY_WINIK\\0000"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinIK]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinIK]
"DisplayName"="WinIK"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinIK\Security]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinIK\Enum]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinIK\Enum]
"0"="Root\\LEGACY_WINIK\\0000"

[HKEY_USERS\S-1-5-21-2915903831-3137500025-2304659736-1005\Software\Microsoft\Windows\CurrentVersion\Applets\Regedit]
"LastKey"="Poste de travail\\HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\WinIK\\Enum"

Merci d'avance pour votre aide !

Afficher la suite

Utilisateur anonyme · Answer

salut piou

winik est une vrai saleté à virer.

telecharge hijackthis:
http://www.merijn.org/files/hijackthis.zip
Dezippe le dans un dossier prévu a cet effet.
lance le puis:
clic sur "Do a system scan and save logfile" et pas autre chose
Le bloc note va s'ouvrir, copie tout le contenu et colle le ici a la suite de ton message.
Si tu as du mal, regarde ceci:
http://pageperso.aol.fr/balltrap34/demohijack.htm

a+

piou · Answer

voici le rapport :Logfile of HijackThis v1.99.1Scan saved at 11:08:55, on 21/01/2006Platform: Windows XP SP2 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\WINDOWS\Explorer.EXEC:\PROGRAM FILES\AVPERSONAL\AVGUARD.EXEC:\Program Files\AVPersonal\AVWUPSRV.EXEC:\Program Files\Ahead\InCD\InCDsrv.exeC:\WINDOWS\SOUNDMAN.EXEC:\Program Files\D-Tools\daemon.exeC:\Program Files\Fichiers communs\Real\Update_OBealsched.exeC:\Program Files\Ahead\InCD\InCD.exeC:\Program Files\AVPersonal\AVSCHED32.EXEC:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9BE.EXEC:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9BE.EXEC:\Program Files\AVPersonal\AVGNT.EXEC:\Program Files\DU Meter\DUMeter.exeC:\WINDOWS\system32\ctfmon.exeC:\WINDOWS\system32\RUNDLL32.EXEC:\Program Files\Digital Image\Monitor.exeC:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\wkcalrem.exeC:\Program Files\Microsoft Office\Office\OSA.EXEC:\WINDOWS\System32
vsvc32.exeC:\WINDOWS\System32\svchost.exeC:\PROGRA~1\MOZILL~1\FIREFOX.EXEC:\WINDOWSegedit.exeC:\Documents and Settings\bb\Bureau\hijackthis\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.free.fr/search/R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://home.free.fr/R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://home.free.fr/R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://home.free.fr/R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dllO2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dllO4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXEO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartupO4 - HKLM\..\Run: [nwiz] nwiz.exe /installO4 - HKLM\..\Run: [408AD030] C:\WINDOWS\System32\408AD030.exeO4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033 -lockO4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe" -osbootO4 - HKLM\..\Run: [InCD] C:\Program Files\Ahead\InCD\InCD.exeO4 - HKLM\..\Run: [kdif] C:\WINDOWS\kdif.exeO4 - HKLM\..\Run: [eUFGQs1w] C:\PROGRA~1\wpqrprwp\GcQDAoBL.exeO4 - HKLM\..\Run: [Daily Weather Forecast] C:\Program Files\Daily Weather Forecast\weather.exeO4 - HKLM\..\Run: [AVSCHED32] C:\Program Files\AVPersonal\AVSCHED32.EXE /minO4 - HKLM\..\Run: [\NOM-3BB918B8198\EPSON Stylus CX3600 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9BE.EXE /P44 "\NOM-3BB918B8198\EPSON Stylus CX3600 Series" /O6 "USB001" /M "Stylus CX3600"O4 - HKLM\..\Run: [Auto EPSON Stylus CX3600 Series sur NOM-3BB918B8198] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9BE.EXE /P51 "Auto EPSON Stylus CX3600 Series sur NOM-3BB918B8198" /O26 "\NOM-3BB918B8198\EPSONSty" /M "Stylus CX3600"O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottimeO4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exeO4 - HKLM\..\Run: [AVGCtrl] "C:\Program Files\AVPersonal\AVGNT.EXE" /minO4 - HKLM\..\Run: [DU Meter] C:\Program Files\DU Meter\DUMeter.exeO4 - HKLM\..\Run: [KAVPersonal50] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe" /minimizeO4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exeO4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /backgroundO4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInitO4 - Startup: Démarrage d'Office.lnk = C:\Program Files\Microsoft Office\Office\OSA.EXEO4 - Startup: PowerReg Scheduler V3.exeO4 - Global Startup: Digital Image Monitor.lnk = ?O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXEO4 - Global Startup: Rappels du Calendrier Microsoft Works.lnk = ?O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dllO9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dllO9 - Extra button: AIM - {AC9E2541-2814-11d5-BC6D-00B0D0A1DE45} - C:\Program Files\AIM95\aim.exeO9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exeO9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exeO14 - IERESET.INF: START_PAGE_URL=http://home.free.fr/O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/downloads/kws/kavwebscan_unicode.cabO16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cabO16 - DPF: {EFB22865-F3BC-4309-ADFA-C8E078A7F762} (SysWebTelecomInt Class) - http://www.sponsoradulto.com/fr/SysWebTelecom.cabO23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\PROGRAM FILES\AVPERSONAL\AVGUARD.EXEO23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exeO23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXEO23 - Service: InCD File System Service (InCDsrv) - Unknown owner - C:\Program Files\Ahead\InCD\InCDsrv.exeO23 - Service: kavsvc - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exeO23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32
vsvc32.exe

Utilisateur anonyme · Answer

ok, commence par faire analyser ces deux fichiers ici:
http://www.virustotal.com/xhtml/virustotal_en.html

C:\WINDOWS\kdif.exe
C:\WINDOWS\System32\408AD030.exe

et poste le résultat ici.

ensuite, va dans C:\Program Files\wpqrprwp
à l'interieur, ouvre avec le bloc note le fichier profile.dat
copie et colle ici le contenu ici.

a+

piou · Answer

Merci bcp pour ton aide !

mais j'ai un problème :
je ne trouve pas les dossiers kdif.exe et 408ado30.exe

pourtant les dossiers cachés sont visibles !!! j'ai fait une recherche de dossiers nommés kdif et il n'a rien trouvé non plus

il fo qd meme que je fasse la deuxieme partie avec le wpqrprwp ou pas ?

Utilisateur anonyme · Answer

oui, fait la deuxième partie.

Tu as rendu visible les fichiers systeme aussi ?
Sinon quand tu vas sur le lien pour analyser les fichier et que tu clic sur parcourir copie et colle directement le chemin complet du fichier dans la boite de dialogue, sans le rechercher :
C:\WINDOWS\kdif.exe
C:\WINDOWS\System32\408AD030.exe

piou · Answer

pour la deuxième partie : 	H   \ P r o g r a m   F i l e s \ w p q r p r w p \ G c Q D A o B L . d l l H   \ P r o g r a m   F i l e s \ w p q r p r w p \ G c Q D A o B L . e x e H   \ P r o g r a m   F i l e s \ w p q r p r w p \ L B o A D Q c G . e x e @   \ P r o g r a m   F i l e s \ w p q r p r w p \ c n m l . e x e F   \ P r o g r a m   F i l e s \ w p q r p r w p \ p r o f i l e . d a t F   \ W I N D O W S \ s y s t e m 3 2 \ d r i v e r s \ W i n I K . s y s    \ R E G I S T R Y \ M A C H I N E \ S O F T W A R E \ M i c r o s o f t \ W i n d o w s \ C u r r e n t V e r s i o n \ R u n \ e U F G Q s 1 w r   \ R E G I S T R Y \ M A C H I N E \ S y s t e m \ C u r r e n t C o n t r o l S e t \ S e r v i c e s \ w i n i k j   \ R E G I S T R Y \ M A C H I N E \ S y s t e m \ C o n t r o l S e t 0 0 1 \ S e r v i c e s \ w i n i k pour le premier : j'ai fait comme tu m'as dit (copier coller) et il m'idique que le fichier est introuvablesinon j'ai decocher l'option masquer les fichiers systemes... mais je ne le trouve toujours pas !

Utilisateur anonyme · Answer

Telecharge: Pocket Killbox ici
http://www.downloads.subratam.org/KillBox.exe
l'aide détaillé de la manip en video ici:
http://pageperso.aol.fr/balltrap34/killbox.htm (voir methode bloc note).

Redémarre en mode sans échec
Redemarre le pc, laisse passer l'écran du bios, puis tapote sur la touche F8 avant qu'apparaisse l'écran de chargement de windows.
Choisis le mode sans échec dans les options et valide avec entrée.

Rend visible les fichiers cachés et systeme
panneau de configuration > options des dossiers > onglet affichage
Cocher la case devant " afficher les fichiers et dossiers cachés "
Décocher la case devant " masquer les extentions des fichiers dont le type est connu"
Décocher la case devant " masquer les fichiers protégés du système"
clic sur [Appliquer] puis sur [ok] pour valider

/!\ Ne pas oublier une fois le nettoyage terminé de faire l'inverse pour recacher les fichiers.

_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_

Lance hijackthis et clic sur [Do a system scan only]
cocher la case au début des lignes suivantes:

O4 - HKLM\..\Run: [408AD030] C:\WINDOWS\System32\408AD030.exe
O4 - HKLM\..\Run: [kdif] C:\WINDOWS\kdif.exe
O4 - HKLM\..\Run: [eUFGQs1w] C:\PROGRA~1\wpqrprwp\GcQDAoBL.exe
O4 - HKLM\..\Run: [Daily Weather Forecast] C:\Program Files\Daily Weather Forecast\weather.exe
O16 - DPF: {EFB22865-F3BC-4309-ADFA-C8E078A7F762} (SysWebTelecomInt Class) - hllp://www.sponsoradulto.com/fr/SysWebTelecom.cab

valider en cliquant sur le bouton [Fix checked]

-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_

Recherche et supprime ces fichiers ou dossiers:

C:\Program Files\Daily Weather Forecast

-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_

Ensuite, tres important:

:: Supprimer les fichiers temporaires, susceptibles de contenir des virus ou spywares ::

Vider tout le contenu des dossiers Temp :

ils se trouvent ici:
* C:\Documents and Settings\ton compte\Local Settings\Temp
* C:\Documents and Settings\tous les autres comptes\Local Settings\Temp
* C:\Temp
* C:\Windows\Temp

Vider le contenu du dossier Prefetch :

il se trouve ici:
* C:\WINDOWS\Prefetch <= supprimer tout ce qui se trouve à l'intérieur, sauf le fichier layout.ini

Vider le cache de tous tes navigateurs et supprimer les cookies:

Pour Internet Explorer:
* Panneau de configuration >> Options internet >> Onglet "Général"
- Clic sur [supprimer les cookies]
- Clic sur [Supprimer les fichiers] et coche la case "Supprimer tout le contenu hors connexion"
Valide avec ok

-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_

ouvre le bloc note et copie et colle la liste des fichiers à supprimer ci-dessous
une fois fait, enregistre le à un endroit ou tu pourras le retrouver facilement (sur le bureau par exemple).

C:\Program Files\wpqrprwp\GcQDAoBL.dll
C:\Program Files\wpqrprwp\GcQDAoBL.exe
C:\Program Files\wpqrprwp\LBoADQcG.exe 
C:\Program Files\wpqrprwp\cnml.exe
C:\Program Files\wpqrprwp\profile.dat 
C:\Program Files\wpqrprwp\WinIK.sys
C:\WINDOWS\kdif.exe 
C:\WINDOWS\System32\408AD030.exe 
C:\WINDOWS\System32\drivers\winik.sys

1/ lance killbox.exe
2/ ouvre le fichier txt qui contient la liste des fichiers à supprimer, clic sur edition dans le menu du haut et clic sur "selectionner tout"
3/ clic une seconde fois sur "edition" et clic sur "copier"
4/ referme le bloc note.
5/ Dans killbox, selectionne "Delete on Reboot"
6/ Dans le menu du haut clic sur File, puis sur paste from clipboard
(tu devrais voir apparaitre la liste des fichier qu'il va supprimer)
7/ clic sur le rond rouge
8/ une fenetre va apparaitre pour confirmation clic sur OUI
9/ une seconde fenetre te demande si tu veux redemarrer clic sur OUI

Si le pc ne redemarre pas automatiquement ou si killbox t'envois ce message:
"Pending file Rename Operations Registry Data has been Removed by External Process"
ignore le et redemarre le pc normallement

Une fois revenu en mode normal, supprime le dossier C:\Program Files\wpqrprwp, et ensuite reposte un rapport hijackthis.

Télécharge Registry Search Tool, ici
http://www.billsway.com/vbspage/vbsfiles/RegSrch.zip
Dezippe le (clic droit dessus > extraire tout)
lance RegSrch.vbs, et si ton antivirus te le demande autorise le script.
Dans la fenetre du programme tape winik
et valide avec ok
attend un peu et le bloc note va s'ouvrir, copie et colle le rapport ici.

a+

piou · Answer

j'ai tout fait comme tu m'as dit (d'ailleurs bravo pour les explications)il y a quand même un souci car quand j'ai copier coller la liste du bloc note dans killbox ce dernier ne gardait que 3 dossiers :le 5eme (...)cnml.exele 6eme (...)profile.datet le dernier (...)drivers/winik.sysVoici le rapport hijackthis :Logfile of HijackThis v1.99.1Scan saved at 13:12:40, on 21/01/2006Platform: Windows XP SP2 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\WINDOWS\Explorer.EXEC:\WINDOWS\SOUNDMAN.EXEC:\Program Files\D-Tools\daemon.exeC:\Program Files\Fichiers communs\Real\Update_OBealsched.exeC:\Program Files\Ahead\InCD\InCD.exeC:\Program Files\AVPersonal\AVSCHED32.EXEC:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9BE.EXEC:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9BE.EXEC:\Program Files\AVPersonal\AVGNT.EXEC:\Program Files\DU Meter\DUMeter.exeC:\WINDOWS\system32\ctfmon.exeC:\WINDOWS\system32\RUNDLL32.EXEC:\Program Files\Digital Image\Monitor.exeC:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\wkcalrem.exeC:\Program Files\Microsoft Office\Office\OSA.EXEC:\PROGRAM FILES\AVPERSONAL\AVGUARD.EXEC:\Program Files\AVPersonal\AVWUPSRV.EXEC:\Program Files\Ahead\InCD\InCDsrv.exeC:\WINDOWS\System32
vsvc32.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\wuauclt.exeC:\Documents and Settings\bb\Bureau\hijackthis\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.free.fr/search/R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://home.free.fr/R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://home.free.fr/R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://home.free.fr/R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dllO2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dllO4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXEO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartupO4 - HKLM\..\Run: [nwiz] nwiz.exe /installO4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033 -lockO4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe" -osbootO4 - HKLM\..\Run: [InCD] C:\Program Files\Ahead\InCD\InCD.exeO4 - HKLM\..\Run: [AVSCHED32] C:\Program Files\AVPersonal\AVSCHED32.EXE /minO4 - HKLM\..\Run: [\NOM-3BB918B8198\EPSON Stylus CX3600 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9BE.EXE /P44 "\NOM-3BB918B8198\EPSON Stylus CX3600 Series" /O6 "USB001" /M "Stylus CX3600"O4 - HKLM\..\Run: [Auto EPSON Stylus CX3600 Series sur NOM-3BB918B8198] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9BE.EXE /P51 "Auto EPSON Stylus CX3600 Series sur NOM-3BB918B8198" /O26 "\NOM-3BB918B8198\EPSONSty" /M "Stylus CX3600"O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottimeO4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exeO4 - HKLM\..\Run: [AVGCtrl] "C:\Program Files\AVPersonal\AVGNT.EXE" /minO4 - HKLM\..\Run: [DU Meter] C:\Program Files\DU Meter\DUMeter.exeO4 - HKLM\..\Run: [KAVPersonal50] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe" /minimizeO4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exeO4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /backgroundO4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInitO4 - Startup: Démarrage d'Office.lnk = C:\Program Files\Microsoft Office\Office\OSA.EXEO4 - Startup: PowerReg Scheduler V3.exeO4 - Global Startup: Digital Image Monitor.lnk = ?O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXEO4 - Global Startup: Rappels du Calendrier Microsoft Works.lnk = ?O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dllO9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dllO9 - Extra button: AIM - {AC9E2541-2814-11d5-BC6D-00B0D0A1DE45} - C:\Program Files\AIM95\aim.exeO9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exeO9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exeO14 - IERESET.INF: START_PAGE_URL=http://home.free.fr/O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/downloads/kws/kavwebscan_unicode.cabO16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cabO23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\PROGRAM FILES\AVPERSONAL\AVGUARD.EXEO23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exeO23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXEO23 - Service: InCD File System Service (InCDsrv) - Unknown owner - C:\Program Files\Ahead\InCD\InCDsrv.exeO23 - Service: kavsvc - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exeO23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32
vsvc32.exevoici le rapport de regestry search tool :REGEDIT4; RegSrch.vbs © Bill James; Registry search results for string "winik" 21/01/2006 13:18:23; NOTE: This file will be deleted when you close WordPad.; You must manually save this file to a new location if you want to refer to it again later.; (If you save the file with a .reg extension, you can use it to restore any Registry changes you make to these values.)[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\virus]"DisplayName"="WinIK"[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\virus\Enum]"0"="Root\LEGACY_WINIK\0000"[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WinIK][HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WinIK]"DisplayName"="WinIK"[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WinIK\Security][HKEY_USERS\S-1-5-21-2915903831-3137500025-2304659736-1005\Software\Microsoft\Windows\CurrentVersion\Applets\Regedit]"LastKey"="Poste de travail\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinIK"cette m...e est tjs là snif !!!!!

Utilisateur anonyme · Answer

est ce que le fichier winik.sys est toujours là, ou est ce qu'il ne reste que les entrées dans le registre ?

piou · Answer

alors le fichier :c:\windows\system32\drivers\winik.sys existe tjs malheureusement !

Utilisateur anonyme · Answer

Télécharge ce prog:
http://cjoint.com/?bvn4oj6tb6
dezippe le sur ton bureau.
dans le dossier du prog lance winik.bat

ensuite lance killbox:
- coche: delete on reboot
- Dans "Full Path of File to Delete"
copie et colle:

c:\windows\system32\drivers\winik.sys

- clic sur la croix blanche dans le rond rouge
- une fenetre va apparaitre pour confirmation clic sur oui
- une seconde fenetre te demande si tu veux redemarrer clic sur oui

Laisse le pc redemarrer et après reposte un log hijackthis+un log de regsrch.vbs
et dis moi si winik est toujours là.

edit:
désactive la restauration systeme avant.

piou · Answer

alors hijackthis donne ceci :Logfile of HijackThis v1.99.1Scan saved at 14:43:47, on 21/01/2006Platform: Windows XP SP2 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\WINDOWS\Explorer.EXEC:\PROGRAM FILES\AVPERSONAL\AVGUARD.EXEC:\Program Files\AVPersonal\AVWUPSRV.EXEC:\Program Files\Ahead\InCD\InCDsrv.exeC:\WINDOWS\System32
vsvc32.exeC:\WINDOWS\SOUNDMAN.EXEC:\Program Files\D-Tools\daemon.exeC:\Program Files\Fichiers communs\Real\Update_OBealsched.exeC:\Program Files\Ahead\InCD\InCD.exeC:\Program Files\AVPersonal\AVSCHED32.EXEC:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9BE.EXEC:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9BE.EXEC:\Program Files\AVPersonal\AVGNT.EXEC:\Program Files\DU Meter\DUMeter.exeC:\WINDOWS\system32\ctfmon.exeC:\WINDOWS\system32\RUNDLL32.EXEC:\Program Files\Digital Image\Monitor.exeC:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\wkcalrem.exeC:\Program Files\Microsoft Office\Office\OSA.EXEC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\wuauclt.exeC:\Program Files\Mozilla Firefox\firefox.exeC:\Documents and Settings\bb\Bureau\hijackthis\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.free.fr/search/R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://home.free.fr/R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://home.free.fr/R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://home.free.fr/R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dllO2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dllO4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXEO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartupO4 - HKLM\..\Run: [nwiz] nwiz.exe /installO4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033 -lockO4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe" -osbootO4 - HKLM\..\Run: [InCD] C:\Program Files\Ahead\InCD\InCD.exeO4 - HKLM\..\Run: [AVSCHED32] C:\Program Files\AVPersonal\AVSCHED32.EXE /minO4 - HKLM\..\Run: [\NOM-3BB918B8198\EPSON Stylus CX3600 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9BE.EXE /P44 "\NOM-3BB918B8198\EPSON Stylus CX3600 Series" /O6 "USB001" /M "Stylus CX3600"O4 - HKLM\..\Run: [Auto EPSON Stylus CX3600 Series sur NOM-3BB918B8198] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9BE.EXE /P51 "Auto EPSON Stylus CX3600 Series sur NOM-3BB918B8198" /O26 "\NOM-3BB918B8198\EPSONSty" /M "Stylus CX3600"O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottimeO4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exeO4 - HKLM\..\Run: [AVGCtrl] "C:\Program Files\AVPersonal\AVGNT.EXE" /minO4 - HKLM\..\Run: [DU Meter] C:\Program Files\DU Meter\DUMeter.exeO4 - HKLM\..\Run: [KAVPersonal50] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe" /minimizeO4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exeO4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /backgroundO4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInitO4 - Startup: Démarrage d'Office.lnk = C:\Program Files\Microsoft Office\Office\OSA.EXEO4 - Startup: PowerReg Scheduler V3.exeO4 - Global Startup: Digital Image Monitor.lnk = ?O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXEO4 - Global Startup: Rappels du Calendrier Microsoft Works.lnk = ?O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dllO9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dllO9 - Extra button: AIM - {AC9E2541-2814-11d5-BC6D-00B0D0A1DE45} - C:\Program Files\AIM95\aim.exeO9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exeO9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exeO14 - IERESET.INF: START_PAGE_URL=http://home.free.fr/O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/downloads/kws/kavwebscan_unicode.cabO16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cabO23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\PROGRAM FILES\AVPERSONAL\AVGUARD.EXEO23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exeO23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXEO23 - Service: InCD File System Service (InCDsrv) - Unknown owner - C:\Program Files\Ahead\InCD\InCDsrv.exeO23 - Service: kavsvc - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exeO23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32
vsvc32.exelog regsrch :REGEDIT4; RegSrch.vbs © Bill James; Registry search results for string "winik" 21/01/2006 14:45:07; NOTE: This file will be deleted when you close WordPad.; You must manually save this file to a new location if you want to refer to it again later.; (If you save the file with a .reg extension, you can use it to restore any Registry changes you make to these values.)[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WinIK][HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WinIK]"DisplayName"="WinIK"[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WinIK\Security][HKEY_USERS\S-1-5-21-2915903831-3137500025-2304659736-1005\Software\Microsoft\Search Assistant\ACMru\5603]"000"="winik"[HKEY_USERS\S-1-5-21-2915903831-3137500025-2304659736-1005\Software\Microsoft\Windows\CurrentVersion\Applets\Regedit]"LastKey"="Poste de travail\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinIK"[HKEY_USERS\S-1-5-21-2915903831-3137500025-2304659736-1005\Software\Microsoft\Windows\ShellNoRoam\MUICache]"C:\Documents and Settings\bb\Bureau\winikfix\RegPol.exe"="RegPol"[HKEY_USERS\S-1-5-21-2915903831-3137500025-2304659736-1005\Software\Microsoft\Windows\ShellNoRoam\MUICache]"C:\Documents and Settings\bb\Local Settings\Temp\winik.bat"="winik"[HKEY_USERS\S-1-5-21-2915903831-3137500025-2304659736-1005\Software\Microsoft\Windows\ShellNoRoam\MUICache]"C:\Documents and Settings\bb\Bureau\winikfix\winik.bat"="winik"[HKEY_USERS\S-1-5-21-2915903831-3137500025-2304659736-1005\Software\Nico Mak Computing\WinZip\filemenu]"filemenu15"="C:\Documents and Settings\bb\Bureau\bvn4oj6tb6_winikfix.zip"Le dossier : c:\windows\system32\drivers\winik.sys n'existe plus !!!!c fini c parti ?

Utilisateur anonyme · Answer

il te reste cette clé à supprimer pour que tout soit ok

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WinIK

Cette fois je crois que tu devrais pouvoir la virer manuellement en modifiant les autorisations.
Les autres clés, n'étant pas liés au virus.
Dis moi si tu as pu la supprimer.

a+

piou · Answer

oui j'ai pu supprimer la clé sans souciMERCI MERCI ET MERCI ENCORE

piou · Answer

oui j'ai pu supprimer la clé sans souciMERCI MERCI ET MERCI ENCORE

Utilisateur anonyme · Answer

Lol, content pour toi !!

Pense à réactiver la restauration systeme et créer un nouveau point de sauvegarde au cas ou.
Supprime aussi le dossier C:\!KillBox
C'est un dossier de backup crée par le prog killbox, inutile de le conserver et si tu as un peu de temps refais un scan av en ligne ici:
http://webscanner.kaspersky.fr/
une fois les maj telechargés, clic sur suivant
clic sur paramètres d'analyse et vérifie que "étendu" soit coché.

a+

Rootkit WINIK

16 réponses

Votre réponse

Discussions similaires

Newsletters