Impossible de supprimer un rootkit

Résolu/Fermé
janmichou - 26 mai 2011 à 00:01
 Utilisateur anonyme - 2 juin 2011 à 01:48
Bonjour,
Je suis sous XP familial, j'ai attrapé un rootkit que je n'arrive pas a supprimer malgré les lectures des forums (qui pourtant les autres fois m'ont bien aidé),j'ai sur mon PC, l'antivir AVIRA qui n'a rien repéré,j'ai fait un scan avec MBA qui ne trouve rien,sophos me trouve des unknown hidden file C:\WIND....j'en ai supprimé 72, j'ai fait un scan avec Gmer](venant de ma clé usb) qui lui ne trouve rien,par contre j'ai mis sur le bureau MBR.exe,de cette façon Gmer ne demarre pas,mais sur la cmd,j'ai fait:"%userprofile%\Bureau\mbr" -f et ça me donne :
Stealth MBR rootkit/Mebroot/Sinowal/TDL4 detector 0.4.2 by Gmer, http://www.gmer.net
Windows 5.1.2600 Disk: Hitachi_ rev.P22O -> Harddisk0\DR0 -> \Device\Scsi\nvgts1Port2Path0Target0Lun0
device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR
J'ai fait un combofix,il s'arrete en me disant qu'il y a un rootkit,et qu'il redemarre,c'est moi qui lui fait, OK il ya bien un rootkit (catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer,http://www.gmer.net "Rootkit scan 2011-05-25 15:32,Windows 5.1.2600Service Pack 2 NTFS,Recherche de processus cachés ... Recherche d'éléments en démarrage automatique cachés ... Recherche de fichiers cachés ...Scan terminé avec succès,Fichiers cachés: 0
J'ai fait un TDSS killer de Karpersky,il n'a rien trouvé.
J'ai voulu faire avec la console de recuperation un FIXmbr,mais j'ai eu peur suite a l'avertissement,j'ai alors fait un FIXboot, et j'en suis là,sans savoir si le rootkit est present,je voudrais savoir si un spécialiste peu me guider jusqu'a la réussite de l'élimination de cette "BESTIOLE"sis elle est toujours là.
Ah,j'ai été incapable de reprendre directement les 2 rapports que j'ai obtenu a l'intérieur de la cmd,je les ai recopié manuellement.
Merci par avance pour votre diligence.
A voir également:

99 réponses

j'ai fait un copier/coller, mais en enlevant la ligne sans rien entre Updater.exe et folder.
je refais en prenant ton texte tel quel ?
Attention, je suis totalement débutant en informatique !!
0
J'ai tout refait pre_scan et remis tel quel dans Pre_script

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Script ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

¤¤¤¤¤ XP | Vista | Seven - 32/64 bits ¤¤¤¤¤

Utilisateur : riera (Administrateurs)
Ordinateur : RIERA-077CFF131

Système d'exploitation : Microsoft Windows XP (32 bits)
Internet Explorer : 6.0.2900.2180
Mozilla Firefox :

Script : 20:33:50

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Fin : 20:35:37

¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤
0
Utilisateur anonyme
27 mai 2011 à 21:17
aparemment tu ne colles pas dedans ou alors tu fais "enregistrer sous..." au lien de "enregistrer" tout court
0
Non, non, j'avais vu qu'il y avait une difference, donc je le colle bien en gras et je fais bien enregistrer et pas enregistrer sous, par contre je n'arrive pas à le faire comme tu me le demandes avec ctrl + c, ça ne déclenche rien (c'est peut être normal) mais après en faisant enregistrer (c'est d'ailleurs ctrl+s) il n'y a rien, alors je fais le copier/coller classique et je mets dans le script, voilà
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Utilisateur anonyme
27 mai 2011 à 22:08
faut que tu mettes windows à jour
0
j'ai fait toutes les mises a jour, j'ai relancé winlogon (je l'avais renommé), j'ai fait ctrl avec c, j'ai lancé pre_Script (fond noir avec un parchemin), j'ai pu coller le texte avec ctrl v, je l'ai bien mis dans enregistrer et pas enregistrer sous, et j'ai été voir dans le carnet a spirale blanc Pre_script, ça me donne exactement la même chose a la différence de l'heure d'enregistrement ?
0
Utilisateur anonyme
28 mai 2011 à 00:48
en fait je crois que j'ai compris c'est à cause d'un ligne nulle j'ai corrigé cette version de pre_script devrait fonctionner

http://dl.dropbox.com/u/21363431/Pre_Script.exe
0
je l'enregistre ou je l'execute, parce que je l'avais enregistré, mais ça m'a dit que c'était déjà pris, j'ai fermé les fenêtres j'ai eu sur le script des centaines du message que je devais copier/coller, je n'arrivais pas a les supprimer,il y en avait trop, aprés impossible de lancer le dropbox,avec un double clic, je n'avais rien,et un simple clic, une fenètre s'ouvrait, mais rien, j'ai donc refait un winlogon, et là c'est bon pour être enregistré ou executé.
Si j'ai bien compris, il devrait remplacer le pre_script qui est deja en place ?
0
j'ai voulu l'enregistrer, ça me dit que ce programme est pris par une autre personne, enfin la phrase classique, il me demande de fermer les applications, je l'ai executé, j'ai donc la fenêtre de pre_script, je fais le copier/coller mais je me retrouve avec la même chose qu'avant, peut être que je devrais tout desinstaller ou redemarrer a un certain endroit avec ton programme modifié
0
Utilisateur anonyme
28 mai 2011 à 02:27
laisse tomber on va les virer autrement

Télécharge ici :OTL

enregistre le sur ton Bureau.

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...."


sur OTL.exe pour le lancer.

=> Configuration

▶Clic sur Analyse.

A la fin du scan, le Bloc-Notes va s'ouvrir avec le rapport (OTL.txt).

Ce fichier est sur ton Bureau (en général C:\Documents and settings\le_nom_de_ta_session\OTL.txt)

▶▶▶ NE LE POSTE PAS SUR LE FORUM (il est trop long)

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/

▶ Clique sur Parcourir et cherche le fichier ci-dessus.

▶ Clique sur Ouvrir.

▶ Clique sur "Cliquez ici pour déposer le fichier".

juste au niveau du bouton , en fin de chargement du fichier , Un lien de cette forme apparaitra :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

▶ Copie ce lien dans ta réponse.

▶▶ Tu feras la meme chose avec le "Extra.txt" qui logiquement sera aussi sur ton bureau.
0
Rapport OTL.Txt
http://www.cijoint.fr/cjlink.php?file=cj201105/cijVwe6NSZ.txt 


Rapport Extras.Txt
http://www.cijoint.fr/cjlink.php?file=cj201105/cijeZwhgEN.txt 

                
0
Utilisateur anonyme
28 mai 2011 à 11:18
la config n'est pas respectée recommence
0
sur le PC infecté, je ne peux plus ouvrir le site www.cijoint.fr, ça me dirige sur Online.net en me signalant : erreur interne . erreur 500.
je me suis envoyé sur mon propre mail les rapports.
http://www.cijoint.fr/cjlink.php?file=cj201105/cijhh0eUbf.txt http://www.cijoint.fr/cjlink.php?file=cj201105/cijomdnBnM.txt
Ce sit online.net avec les erreurs s'ouvre aussi sur l'autre PC quand je fais cijoint.fr mais j'ai pu tout passer
0
Utilisateur anonyme
28 mai 2011 à 13:02
c'est normal tous ces .zip dans tes documents ?
0
aprés l'infection,je n'avais plus aucun document, j'ai utilisé RECOVA 4 ou 5 fois et il m'a remonté en double ou en triple ou X10 quelques uns de mes documents (photos,courrier) et d'autres choses que j'ai commencé a virer, sinon pour remettre quelques pilotes, j'ai dezipé certains setup.
0
ok fais le tri de tout ca ou mets-les dans un dossier dédié,redemarre ton pc puis refais OTL
G3?-?@¢??@?......Concepteur de List_Kill'em...Pre_Scan....MBR_Repair....
0
>http://www.cijoint.fr/cjlink.php?file=cj201105/cij4roKuhg.txt

>http://www.cijoint.fr/cjlink.php?file=cj201105/cijomdnBnM.txt

J'avais viré de mes documents et de la corbeille 1550 lignes entre temps
0
Utilisateur anonyme
28 mai 2011 à 19:42
ici :

https://forums.commentcamarche.net/forum/affich-22197446-impossible-de-supprimer-un-rootkit?full#2

c'est quoi ce : C:\Documents and settings\... à la fin du rapport de mbr -t ?
0
Microsoft Windows XP [version 5.1.2600]
(C) Copyright 1985-2001 Microsoft Corp.

C:\Documents and Settings\riera.RIERA-077CFF131>MBR -t
'MBR' n'est pas reconnu en tant que commande interne
ou externe, un programme exécutable ou un fichier de commandes.

C:\Documents and Settings\riera.RIERA-077CFF131>

Avant je ne savais pas faire ctrl c et ctrl v et je l'avais donc recopié manuellement et c'était le C:\ Documents and Settings\riera.RIERA-077CFF131 qui se met en place a chaque fois avec le _ clignotant
Le MBR -t n'est plus reconnu maintenant ???
0
Utilisateur anonyme
29 mai 2011 à 10:47
c'est quoi la commande que tu rentres exactement ?
0