pc infecté par un rootkit Résolu/Fermé

Question

Bonjour, mon ordinateur est infecté par un rootkit depuis un mois : lorsque j'effectue un scan avec avast, il me trouve régulièrement un rootkit. J'ai suivi les conseils à chaque fois d'avast et j'ai supprimé les menaces. J'ai effectué des scan avec rootkit reaveler et sophos mais je ne sais pas comment interpréter les rapports. 

Je souhaiterais de l'aide pour désinfecter mon pc car seul je risquerais de faire des erreurs.  

Pour sécuriser mon pc j'ai ajouté ad-aware et spybot en complément d'avast. Le choix est-il judicieux et assure-t-il une bonne protection?

Merci d'avance pour voter aide!!

Configuration: Windows 7 / Firefox 5.0

Malekal_morte- · Answer

Salut,

Avast! détecte un rootkit dans quel fichier/élément ?

bjk72 · Answer

dans C:\Windows\ServicesProfiles\LocalService\AppData\Local\PnrpSqm\PnrpResolveSession0.sqm
c'est le rootkit qui revient le plus souvent!

bjk72 · Answer

les fichiers infectés se trouvent également dans C:\Windows\Prefetch

Malekal_morte- · Answer

C'est pas un fichier malicieux...
Il fume l'antirootkit d'Avast!.

M'enfin bon fais ça pour voir :

Passe un coup de TDSSKiller : https://forum.malekal.com/viewtopic.php?t=28637&start=
Poste le rapport ici.

ETAPE 2 :

Télécharge et installe Malwarebyte : https://www.malekal.com/tutoriel-malwarebyte-anti-malware/  
Mets le à jour, fais un scan rapide, supprime tout et poste le rapport ici.  
!!! Malwarebyte doit être à jour avant de faire le scan !!!

ETAPE 3 :

Tu peux suivre les indications de cette page pour t'aider : https://www.malekal.com/tutorial-otl/ 

* Télécharge http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/ sur ton bureau. 
(Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur) 

* Lance OTL 
* Sous Peronnalisation, copie-colle ce qu'il y a dans le cadre ci-dessous : 
netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%temp%\.exe /s
%SYSTEMDRIVE%\*.exe
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
/md5start
explorer.exe
winlogon.exe
wininit.exe
/md5stop
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
CREATERESTOREPOINT
nslookup www.google.fr /c
SAVEMBR:0
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs 
* Clique sur le bouton Analyse. 
* Quand le scan est fini, utilise le site http://pjjoint.malekal.com/ pour envoyer le rapport OTL.txt (et Extra.txt), donne le ou les liens pjjoint qui pointent vers ces rapports ici dans un nouveau message.

bjk72 · Answer

voici le rapport du premier scan tdsskiller : 

[InfectedObject]
Type: Service
Name: sptd
Type: Kernel driver (0x1)
Start: Boot (0x0)
ImagePath: System32\Drivers\sptd.sys
Suspicious states: Locked file; 

[InfectedFile]
Type: Raw image
Src: C:\Windows\system32\Drivers\sptd.sys
md5: a80cd850d69d996c832bea37e3a6aa1e

merci de bien vouloir m'aider, j'apprécie!!!!

bjk72 · Answer

voici le rapport de malwarbytes :

Malwarebytes' Anti-Malware 1.51.1.1800
www.malwarebytes.org

Version de la base de données: 7455

Windows 6.1.7600
Internet Explorer 9.0.8112.16421

13/08/2011 15:37:40
mbam-log-2011-08-13 (15-37-40).txt

Type d'examen: Examen rapide
Elément(s) analysé(s): 174835
Temps écoulé: 5 minute(s), 32 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

bjk72 · Answer

voici le fichier OTL.Txt : http://pjjoint.malekal.com/files.php?id=q6u15x10o9h13w11t14e5u10r9o10g5h11j6c11w15b126n11r5

et le fichier Extras.txt : http://pjjoint.malekal.com/files.php?id=z15z15f858j13p12x15s14d6o15n14v12d7l9h15c14i13k5l10

bjk72 · Answer

Ce qui m'a alerté c'est qu'un écran bleu apparaissait de temps en temps me disant que Windows devait fermer pour éviter des dégâts! j'ai donc pensé qu'il y avait un lien entre le soit disant rootkit et ce fameux écran bleu!!

Malekal_morte- · Answer

Les rapports sont correctes. 
Pas infecté! 

Au fait Ad-Aware et Spybot sont dépassés.

Tu as des écrans bleu régulièrement ?

Yes, no, maybe   
I don't know   
Can you repeat the question?   
You're not the boss of me now

bjk72 · Answer

Tous les 3-4 jours avant que je fasse les mises à jour de mon pc avec Windows update le 11 aout!! Les mises a jour ne semblaient plus automatiques. Les mises à jours sont désormais faites.

Concernant la sécurité, que dois-je faire?? j'ai avast +(spybot et ad aware) et je nettoie de temps en temps le pc avec ccleaner

bjk72 · Answer

J'ai fait un scan minutieux avec avast et il me trouve encore la même menace :

C:\Windows\ServicesProfiles\LocalService\AppData\Local\PnrpSqm\PnrpResolveSession0.sqm  

je ne peux pas mettre en quarantaine ce fichier
que dois-je faire? (le supprimer, le réparer,ignorer...)

j'ai également exécuté un scan complet avec malwarbytes : aucun élément infectés

Encore MERCI pour votre aide!!!!!!!

Malekal_morte- · Answer

Le fichier détecté n'est pas malicieux.

Spybot et Ad-aware sont à désinstaller, sont inefficaces.
Malwarebyte suffit.

bjk72 · Answer

Que dois-je donc faire? il me reste le choix entre :
-supprimer
-ne rien faire 
-réparer

C'est ma dernière question!!
Après votre réponse j'indiquerai que le problème est résolu!!
Merci pour tout et bonne continuation!!!

Malekal_morte- · Answer

Ne rien faire.

bjk72 · Answer

juste une dernière (pour de bon) question:

C:\Windows\Prefetch\SEARCHTERHOST.EXE-77482212.pf

C:\Windows\ServicesProfiles\LocalService\AppData\Local\PnrpSqm\PnrpResolveSession0.sqm

C:\Windows\System32\FNTCACHE.DAT

C:\Windows\Prefetch\AgAppLaunch.db

Ces 4 fichiers sont les menaces que Avast m'a détecté récemment!
Que sont exactement ces fichiers et sont ils indispensable au bon fonctionnement du pc????

Merci

Malekal_morte- · Answer

Prefetch c'est un cache pour le lancement d'application. 
Ce sont pas des executables qui sont dedans. 

Le second c'est un fichier SQL Manager - c'est aussi un cache : https://docs.microsoft.com/en-us/dotnet/framework/network-programming/pnrp-caches?redirectedfrom=MSDN 

le 3e, c'est un .dat dont un fichier Data. 

Le dernier, c'est un prefet donc mm réponse que le premier. 

Les 4 fichier que tu cites ne sont pas des executables. 
Donc Avast! fume. 

Comme c'est du cache, tu peux les supprimer mais ils vont être recréés puisque le mécanisme de cache fonctionne tjrs.

Yes, no, maybe 
I don't know 
Can you repeat the question? 
You're not the boss of me now

Pc infecté par un rootkit

16 réponses