Un rootkit imbattable?

nicostge -  
Bonjour,

J'ai windows 8 sur un lenovo et depuis 2 jours... plus accès a C:\ je ne suis plus administrateur de mon ordi (acheté neuf)...

J'en déduit a travers quelques lectures que j'ai un petit rootkit qui c'est installé chez moi... je déroule les forums (pas un gros niveau)... essaye plusieurs méthode mais apparement a chaque fois le rootkit connais et part ma tentative...

1/ combofix... quand je le lance en sans echec, il me dis que ce n'est pas la bonne version
2/ roguekiller... trouve des fichiers mais quand je veux supprimé il n'as pas accès
3 / YAC... trouve rien
4 / Maleware rookiller... impossible de dezippé
5 / NPE.. pas la bonne version
6 / ZHPdiag.. pas la bonne version

Je ne sais plus... help ?

8 réponses

  1.  Malekal_morte- Modérateur
    Salut,

    Vu tous les trucs que tu as passé, m'étonnerait que tu sois infecté.
    Tu psychotes.

    Yac est une arnaque.

    Like the angel you are, you laugh creating a lightness in my chest,
    Your eyes they penetrate me,
    (Your answer's always 'maybe')
    That's when I got up and left
    0
    1. nicostge Auteur
      J'ai un accès refusé à C: et à tous les programmes windows... qu'est-ce que ca pourrais etre d'autre ?
      0
      1. lilidurhone Contributeur sécurité
        Hello

        Un problème de permission ...
        0
        1. Malekal_morte- Modérateur
          Faudrait tenter une actualisation : https://www.commentcamarche.net/faq/35283-windows-8-reinstallation-du-systeme-sans-perte-de-donnees
          0
          2. nicostge Auteur
            Je ne sais pas si ca peut aider certains d'entre vous! Merci en tout cas de vous interresser à mon problème :

            Roguekiller dernier rapport

            RogueKiller V8.8.7 [Feb 11 2014] par Tigzy
            mail : tigzyRK<at>gmail<dot>com
            Remontees : https://forum.adlice.com/
            Site Web : https://www.luanagames.com/index.fr.html
            Blog : https://www.adlice.com/

            Systeme d'exploitation : Windows 8.1 (6.3.9600 ) 64 bits version
            Demarrage : Mode sans echec avec prise en charge reseau
            Utilisateur : Annie [Droits d'admin]
            Mode : Suppression -- Date : 02/18/2014 16:16:01
            | ARK || FAK || MBR |

            ¤¤¤ Processus malicieux : 0 ¤¤¤

            ¤¤¤ Entrees de registre : 12 ¤¤¤
            [SCREENSVR][SUSP PATH] HKCU\[...]\Desktop : SCRNSAVE.EXE (C:\WINDOWS\system32\logon.scr [x]) -> REMPLACÉ (C:\WINDOWS\system32\logon.scr)
            [HJ INPROC][SUSP PATH] HKCR\[...]\InprocServer32 : (%systemroot%\system32\wbem\wbemess.dll [x]) -> [0x5] Accès refusé.
            [HJ INPROC][SUSP PATH] HKCR\[...]\InprocServer32 : (%SystemRoot%\system32\shell32.dll [7]) -> [0x5] Accès refusé.
            [HJ INPROC][SUSP PATH] HKCR\[...]\InprocServer32 : (%SystemRoot%\system32\shell32.dll [7]) -> [0x5] Accès refusé.
            [HJ INPROC][SUSP PATH] HKCR\[...]\InprocServer32 : (%systemroot%\system32\wbem\fastprox.dll [-]) -> [0x5] Accès refusé.
            [HJ INPROC][SUSP PATH] HKLM\[...]\InprocServer32 : (%systemroot%\system32\wbem\wbemess.dll [x]) -> [0x5] Accès refusé.
            [HJ INPROC][SUSP PATH] HKLM\[...]\InprocServer32 : (%SystemRoot%\system32\shell32.dll [7]) -> [0x5] Accès refusé.
            [HJ INPROC][SUSP PATH] HKLM\[...]\InprocServer32 : (%SystemRoot%\system32\shell32.dll [7]) -> [0x5] Accès refusé.
            [HJ INPROC][SUSP PATH] HKLM\[...]\InprocServer32 : (%systemroot%\system32\wbem\fastprox.dll [-]) -> [0x5] Accès refusé.
            [HJ DLL][SUSP PATH] HKLM\[...]\CCSet\[...]\Parameters : ServiceDll (%SystemRoot%\system32\wbem\WMIsvc.dll [x]) -> REMPLACÉ (%SystemRoot%\system32\wbem\WMIsvc.dll)
            [HJ DLL][SUSP PATH] HKLM\[...]\CS001\[...]\Parameters : ServiceDll (%SystemRoot%\system32\wbem\WMIsvc.dll [x]) -> REMPLACÉ (%SystemRoot%\system32\wbem\WMIsvc.dll)
            [HJ BROWSR][SUSP PATH] HKLM\[...]\command : ("C:\Program Files\Internet Explorer\iexplore.exe" [7]) -> REMPLACÉ ("C:\Program Files\Internet Explorer\iexplore.exe")

            ¤¤¤ Tâches planifiées : 0 ¤¤¤

            ¤¤¤ Entrées Startup : 0 ¤¤¤

            ¤¤¤ Navigateurs web : 0 ¤¤¤

            ¤¤¤ Addons navigateur : 0 ¤¤¤

            ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

            ¤¤¤ Driver : [NON CHARGE 0x0] ¤¤¤

            ¤¤¤ Ruches Externes: ¤¤¤

            ¤¤¤ Infection : ¤¤¤

            ¤¤¤ Fichier HOSTS: ¤¤¤
            --> %SystemRoot%\System32\drivers\etc\hosts

            127.0.0.1 localhost

            ¤¤¤ MBR Verif: ¤¤¤

            +++++ PhysicalDrive0: (\\.\PHYSICALDRIVE0 @ IDE) ST1000LM024 HN-M101MBB +++++
            --- User ---
            [MBR] 3d7506ca13529d21660eb7b023be2b48
            [BSP] 15bfdd66830832308057f1943db59e21 : Empty MBR Code
            Partition table:
            0 - [XXXXXX] UNKNOWN (0x00) [VISIBLE] Offset (sectors): 1 | Size: 2097151 Mo
            User = LL1 ... OK!
            User = LL2 ... OK!

            Termine : << RKreport[0]_D_02182014_161601.txt >>
            RKreport[0]_D_02182014_133243.txt;RKreport[0]_D_02182014_133403.txt;RKreport[0]_D_02182014_133455.txt
            RKreport[0]_D_02182014_161339.txt;RKreport[0]_H_02182014_133309.txt;RKreport[0]_H_02182014_161353.txt
            RKreport[0]_S_02182014_133159.txt;RKreport[0]_S_02182014_133304.txt;RKreport[0]_S_02182014_133357.txt
            RKreport[0]_S_02182014_133443.txt;RKreport[0]_S_02182014_161332.txt;RKreport[0]_S_02182014_161428.txt
            0
            1. nicostge Auteur
              Et le premier que j'ai eu... ils sont différents, si cela peut aider a la compréhension. Merci encore!
              RogueKiller V8.8.7 [Feb 11 2014] par Tigzy
              mail : tigzyRK<at>gmail<dot>com
              Remontees : https://forum.adlice.com/
              Site Web : https://www.luanagames.com/index.fr.html
              Blog : https://www.adlice.com/

              Systeme d'exploitation : Windows 8.1 (6.3.9600 ) 64 bits version
              Demarrage : Mode sans echec avec prise en charge reseau
              Utilisateur : Annie [Droits d'admin]
              Mode : Recherche -- Date : 02/18/2014 13:31:59
              | ARK || FAK || MBR |

              ¤¤¤ Processus malicieux : 0 ¤¤¤

              ¤¤¤ Entrees de registre : 29 ¤¤¤
              [RUN][SUSP PATH] HKLM\[...]\Run : ETDCtrl (%ProgramFiles%\Elantech\ETDCtrl.exe [x]) -> TROUVÉ
              [RUN][SUSP PATH] HKLM\[...]\Run : IgfxTray ("C:\WINDOWS\system32\igfxtray.exe" [x]) -> TROUVÉ
              [RUN][SUSP PATH] HKLM\[...]\Run : HotKeysCmds ("C:\WINDOWS\system32\hkcmd.exe" [x]) -> TROUVÉ
              [RUN][SUSP PATH] HKLM\[...]\Run : RtHDVBg_Dolby (C:\Program Files\Realtek\Audio\HDA\RAVBg64.exe /FORPCEE4 [7]) -> TROUVÉ
              [RUN][SUSP PATH] HKLM\[...]\Run : BTMTrayAgent (rundll32.exe "C:\Program Files (x86)\Intel\Bluetooth\btmshellex.dll",TrayApp [x][7][x]) -> TROUVÉ
              [RUN][SUSP PATH] HKLM\[...]\Run : OnekeyStudio (C:\Program Files\Lenovo\Onekey Theater\OnekeyStudio.exe -start [7]) -> TROUVÉ
              [RUN][SUSP PATH] HKLM\[...]\Run : Energy Management (C:\Program Files (x86)\Lenovo\Energy Management\Energy Management.exe [7]) -> TROUVÉ
              [RUN][SUSP PATH] HKLM\[...]\Run : EnergyUtility (C:\Program Files (x86)\Lenovo\Energy Management\Utility.exe [7]) -> TROUVÉ
              [RUN][SUSP PATH] HKLM\[...]\Wow6432Node\[...]\Run : YouCam Tray ("C:\Program Files (x86)\Lenovo\YouCam\YouCamTray.exe" /s [7]) -> TROUVÉ
              [RUN][SUSP PATH] HKLM\[...]\Wow6432Node\[...]\Run : RemoteControl10 ("C:\Program Files (x86)\Lenovo\PowerDVD10\PDVD10Serv.exe" [7]) -> TROUVÉ
              [RUN][SUSP PATH] HKLM\[...]\Wow6432Node\[...]\Run : APSDaemon ("C:\Program Files (x86)\Common Files\Apple\Apple Application Support\APSDaemon.exe" [7]) -> TROUVÉ
              [RUN][SUSP PATH] HKLM\[...]\Wow6432Node\[...]\Run : iTunesHelper ("C:\Program Files (x86)\iTunes\iTunesHelper.exe" [7]) -> TROUVÉ
              [RUN][SUSP PATH] HKUS\.DEFAULT\[...]\RunOnce : Application Restart #0 (C:\Program Files\Common Files\microsoft shared\ink\TabTip.exe /Crashed [7]) -> TROUVÉ
              [RUN][SUSP PATH] HKUS\S-1-5-18\[...]\RunOnce : Application Restart #0 (C:\Program Files\Common Files\microsoft shared\ink\TabTip.exe /Crashed [7]) -> TROUVÉ
              [HJ DESK][PUM] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> TROUVÉ
              [HJ DESK][PUM] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> TROUVÉ
              [SCREENSVR][SUSP PATH] HKCU\[...]\Desktop : SCRNSAVE.EXE (C:\WINDOWS\system32\Mystify.scr [-]) -> TROUVÉ
              [HJ INPROC][SUSP PATH] HKCR\[...]\InprocServer32 : (%systemroot%\system32\wbem\wbemess.dll [x]) -> TROUVÉ
              [HJ INPROC][SUSP PATH] HKCR\[...]\InprocServer32 : (%SystemRoot%\system32\shell32.dll [7]) -> TROUVÉ
              [HJ INPROC][SUSP PATH] HKCR\[...]\InprocServer32 : (%SystemRoot%\system32\shell32.dll [7]) -> TROUVÉ
              [HJ INPROC][SUSP PATH] HKCR\[...]\InprocServer32 : (%systemroot%\system32\wbem\fastprox.dll [-]) -> TROUVÉ
              [HJ INPROC][SUSP PATH] HKLM\[...]\InprocServer32 : (%systemroot%\system32\wbem\wbemess.dll [x]) -> TROUVÉ
              [HJ INPROC][SUSP PATH] HKLM\[...]\InprocServer32 : (%SystemRoot%\system32\shell32.dll [7]) -> TROUVÉ
              [HJ INPROC][SUSP PATH] HKLM\[...]\InprocServer32 : (%SystemRoot%\system32\shell32.dll [7]) -> TROUVÉ
              [HJ INPROC][SUSP PATH] HKLM\[...]\InprocServer32 : (%systemroot%\system32\wbem\fastprox.dll [-]) -> TROUVÉ
              [HJ DLL][SUSP PATH] HKLM\[...]\CCSet\[...]\Parameters : ServiceDll (%SystemRoot%\system32\wbem\WMIsvc.dll [x]) -> TROUVÉ
              [HJ DLL][SUSP PATH] HKLM\[...]\CS001\[...]\Parameters : ServiceDll (%SystemRoot%\system32\wbem\WMIsvc.dll [x]) -> TROUVÉ
              [HJ BROWSR][SUSP PATH] HKLM\[...]\command : ("c:\program files\internet explorer\iexplore.exe" [7]) -> TROUVÉ
              [APPINIT][SUSP PATH] HKLM\[...]\Windows : AppInit_DLLs (C:\WINDOWS\system32\nvinitx.dll [x]) -> TROUVÉ

              ¤¤¤ Tâches planifiées : 0 ¤¤¤

              ¤¤¤ Entrées Startup : 0 ¤¤¤

              ¤¤¤ Navigateurs web : 0 ¤¤¤

              ¤¤¤ Addons navigateur : 0 ¤¤¤

              ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

              ¤¤¤ Driver : [NON CHARGE 0x0] ¤¤¤

              ¤¤¤ Ruches Externes: ¤¤¤

              ¤¤¤ Infection : ¤¤¤

              ¤¤¤ Fichier HOSTS: ¤¤¤
              --> %SystemRoot%\System32\drivers\etc\hosts

              ¤¤¤ MBR Verif: ¤¤¤

              +++++ PhysicalDrive0: (\\.\PHYSICALDRIVE0 @ IDE) ST1000LM024 HN-M101MBB +++++
              --- User ---
              [MBR] 3d7506ca13529d21660eb7b023be2b48
              [BSP] 15bfdd66830832308057f1943db59e21 : Empty MBR Code
              Partition table:
              0 - [XXXXXX] UNKNOWN (0x00) [VISIBLE] Offset (sectors): 1 | Size: 2097151 Mo
              User = LL1 ... OK!
              User = LL2 ... OK!

              Termine : << RKreport[0]_S_02182014_133159.txt >>
              0
              1. lilidurhone Contributeur sécurité
                https://forums.commentcamarche.net/forum/affich-29729518-un-rootkit-imbattable#4
                0
                1. Malekal_morte- Modérateur
                  à mon avis, y a eu du bidouillage dans les utilisateurs et il n'est plus que dans une session avec droit restreint.
                  0
              2. nicostge Auteur
                Bonjour,

                Problème de permission, ok mais que faire selon vous ? J'ai essayé depuis les 3 sessions existantes sur le PC d'accèder aux comptes utilisateurs, mais impossible...

                J'ai aussi essayer d'actualiser via les 3 sessions, impossible... je clik dessus et ca retombe sur l'écran d'accueil!

                Any other idea ?

                Merci
                0

                Discussions similaires

                win32 Rootkit
                Mary

                8 réponses
                Virus ou rootkit, help !
                antoum

                13 réponses