Un rootkit imbattable?

nicostge Messages postés 5 Date d'inscription   Statut Membre Dernière intervention   -  
nicostge Messages postés 5 Date d'inscription   Statut Membre Dernière intervention   -
Bonjour,

J'ai windows 8 sur un lenovo et depuis 2 jours... plus accès a C:\ je ne suis plus administrateur de mon ordi (acheté neuf)...

J'en déduit a travers quelques lectures que j'ai un petit rootkit qui c'est installé chez moi... je déroule les forums (pas un gros niveau)... essaye plusieurs méthode mais apparement a chaque fois le rootkit connais et part ma tentative...

1/ combofix... quand je le lance en sans echec, il me dis que ce n'est pas la bonne version
2/ roguekiller... trouve des fichiers mais quand je veux supprimé il n'as pas accès
3 / YAC... trouve rien
4 / Maleware rookiller... impossible de dezippé
5 / NPE.. pas la bonne version
6 / ZHPdiag.. pas la bonne version

Je ne sais plus... help ?

8 réponses

  1.
    Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 712
     
    Salut,

    Vu tous les trucs que tu as passé, m'étonnerait que tu sois infecté.
    Tu psychotes.

    Yac est une arnaque.

    Like the angel you are, you laugh creating a lightness in my chest,
    Your eyes they penetrate me,
    (Your answer's always 'maybe')
    That's when I got up and left
    0
  2. nicostge Messages postés 5 Date d'inscription   Statut Membre Dernière intervention  
     
    J'ai un accès refusé à C: et à tous les programmes windows... qu'est-ce que ca pourrais etre d'autre ?
    0
  3. lilidurhone Messages postés 800 Date d'inscription   Statut Contributeur sécurité Dernière intervention   3 818
     
    Hello

    Un problème de permission ...
    0
  4. Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 712
     
    Faudrait tenter une actualisation : https://www.commentcamarche.net/faq/35283-windows-8-reinstallation-du-systeme-sans-perte-de-donnees
    0

  5. Vous n’avez pas trouvé la réponse que vous recherchez ?

    Posez votre question
  6. nicostge Messages postés 5 Date d'inscription   Statut Membre Dernière intervention  
     
    Je ne sais pas si ca peut aider certains d'entre vous! Merci en tout cas de vous interresser à mon problème :

    Roguekiller dernier rapport

    RogueKiller V8.8.7 [Feb 11 2014] par Tigzy
    mail : tigzyRK<at>gmail<dot>com
    Remontees : https://forum.adlice.com/
    Site Web : https://www.luanagames.com/index.fr.html
    Blog : https://www.adlice.com/

    Systeme d'exploitation : Windows 8.1 (6.3.9600 ) 64 bits version
    Demarrage : Mode sans echec avec prise en charge reseau
    Utilisateur : Annie [Droits d'admin]
    Mode : Suppression -- Date : 02/18/2014 16:16:01
    | ARK || FAK || MBR |

    ¤¤¤ Processus malicieux : 0 ¤¤¤

    ¤¤¤ Entrees de registre : 12 ¤¤¤
    [SCREENSVR][SUSP PATH] HKCU\[...]\Desktop : SCRNSAVE.EXE (C:\WINDOWS\system32\logon.scr [x]) -> REMPLACÉ (C:\WINDOWS\system32\logon.scr)
    [HJ INPROC][SUSP PATH] HKCR\[...]\InprocServer32 : (%systemroot%\system32\wbem\wbemess.dll [x]) -> [0x5] Accès refusé.
    [HJ INPROC][SUSP PATH] HKCR\[...]\InprocServer32 : (%SystemRoot%\system32\shell32.dll [7]) -> [0x5] Accès refusé.
    [HJ INPROC][SUSP PATH] HKCR\[...]\InprocServer32 : (%SystemRoot%\system32\shell32.dll [7]) -> [0x5] Accès refusé.
    [HJ INPROC][SUSP PATH] HKCR\[...]\InprocServer32 : (%systemroot%\system32\wbem\fastprox.dll [-]) -> [0x5] Accès refusé.
    [HJ INPROC][SUSP PATH] HKLM\[...]\InprocServer32 : (%systemroot%\system32\wbem\wbemess.dll [x]) -> [0x5] Accès refusé.
    [HJ INPROC][SUSP PATH] HKLM\[...]\InprocServer32 : (%SystemRoot%\system32\shell32.dll [7]) -> [0x5] Accès refusé.
    [HJ INPROC][SUSP PATH] HKLM\[...]\InprocServer32 : (%SystemRoot%\system32\shell32.dll [7]) -> [0x5] Accès refusé.
    [HJ INPROC][SUSP PATH] HKLM\[...]\InprocServer32 : (%systemroot%\system32\wbem\fastprox.dll [-]) -> [0x5] Accès refusé.
    [HJ DLL][SUSP PATH] HKLM\[...]\CCSet\[...]\Parameters : ServiceDll (%SystemRoot%\system32\wbem\WMIsvc.dll [x]) -> REMPLACÉ (%SystemRoot%\system32\wbem\WMIsvc.dll)
    [HJ DLL][SUSP PATH] HKLM\[...]\CS001\[...]\Parameters : ServiceDll (%SystemRoot%\system32\wbem\WMIsvc.dll [x]) -> REMPLACÉ (%SystemRoot%\system32\wbem\WMIsvc.dll)
    [HJ BROWSR][SUSP PATH] HKLM\[...]\command : ("C:\Program Files\Internet Explorer\iexplore.exe" [7]) -> REMPLACÉ ("C:\Program Files\Internet Explorer\iexplore.exe")

    ¤¤¤ Tâches planifiées : 0 ¤¤¤

    ¤¤¤ Entrées Startup : 0 ¤¤¤

    ¤¤¤ Navigateurs web : 0 ¤¤¤

    ¤¤¤ Addons navigateur : 0 ¤¤¤

    ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

    ¤¤¤ Driver : [NON CHARGE 0x0] ¤¤¤

    ¤¤¤ Ruches Externes: ¤¤¤

    ¤¤¤ Infection : ¤¤¤

    ¤¤¤ Fichier HOSTS: ¤¤¤
    --> %SystemRoot%\System32\drivers\etc\hosts

    127.0.0.1 localhost

    ¤¤¤ MBR Verif: ¤¤¤

    +++++ PhysicalDrive0: (\\.\PHYSICALDRIVE0 @ IDE) ST1000LM024 HN-M101MBB +++++
    --- User ---
    [MBR] 3d7506ca13529d21660eb7b023be2b48
    [BSP] 15bfdd66830832308057f1943db59e21 : Empty MBR Code
    Partition table:
    0 - [XXXXXX] UNKNOWN (0x00) [VISIBLE] Offset (sectors): 1 | Size: 2097151 Mo
    User = LL1 ... OK!
    User = LL2 ... OK!

    Termine : << RKreport[0]_D_02182014_161601.txt >>
    RKreport[0]_D_02182014_133243.txt;RKreport[0]_D_02182014_133403.txt;RKreport[0]_D_02182014_133455.txt
    RKreport[0]_D_02182014_161339.txt;RKreport[0]_H_02182014_133309.txt;RKreport[0]_H_02182014_161353.txt
    RKreport[0]_S_02182014_133159.txt;RKreport[0]_S_02182014_133304.txt;RKreport[0]_S_02182014_133357.txt
    RKreport[0]_S_02182014_133443.txt;RKreport[0]_S_02182014_161332.txt;RKreport[0]_S_02182014_161428.txt
    0
  7. nicostge Messages postés 5 Date d'inscription   Statut Membre Dernière intervention  
     
    Et le premier que j'ai eu... ils sont différents, si cela peut aider a la compréhension. Merci encore!
    RogueKiller V8.8.7 [Feb 11 2014] par Tigzy
    mail : tigzyRK<at>gmail<dot>com
    Remontees : https://forum.adlice.com/
    Site Web : https://www.luanagames.com/index.fr.html
    Blog : https://www.adlice.com/

    Systeme d'exploitation : Windows 8.1 (6.3.9600 ) 64 bits version
    Demarrage : Mode sans echec avec prise en charge reseau
    Utilisateur : Annie [Droits d'admin]
    Mode : Recherche -- Date : 02/18/2014 13:31:59
    | ARK || FAK || MBR |

    ¤¤¤ Processus malicieux : 0 ¤¤¤

    ¤¤¤ Entrees de registre : 29 ¤¤¤
    [RUN][SUSP PATH] HKLM\[...]\Run : ETDCtrl (%ProgramFiles%\Elantech\ETDCtrl.exe [x]) -> TROUVÉ
    [RUN][SUSP PATH] HKLM\[...]\Run : IgfxTray ("C:\WINDOWS\system32\igfxtray.exe" [x]) -> TROUVÉ
    [RUN][SUSP PATH] HKLM\[...]\Run : HotKeysCmds ("C:\WINDOWS\system32\hkcmd.exe" [x]) -> TROUVÉ
    [RUN][SUSP PATH] HKLM\[...]\Run : RtHDVBg_Dolby (C:\Program Files\Realtek\Audio\HDA\RAVBg64.exe /FORPCEE4 [7]) -> TROUVÉ
    [RUN][SUSP PATH] HKLM\[...]\Run : BTMTrayAgent (rundll32.exe "C:\Program Files (x86)\Intel\Bluetooth\btmshellex.dll",TrayApp [x][7][x]) -> TROUVÉ
    [RUN][SUSP PATH] HKLM\[...]\Run : OnekeyStudio (C:\Program Files\Lenovo\Onekey Theater\OnekeyStudio.exe -start [7]) -> TROUVÉ
    [RUN][SUSP PATH] HKLM\[...]\Run : Energy Management (C:\Program Files (x86)\Lenovo\Energy Management\Energy Management.exe [7]) -> TROUVÉ
    [RUN][SUSP PATH] HKLM\[...]\Run : EnergyUtility (C:\Program Files (x86)\Lenovo\Energy Management\Utility.exe [7]) -> TROUVÉ
    [RUN][SUSP PATH] HKLM\[...]\Wow6432Node\[...]\Run : YouCam Tray ("C:\Program Files (x86)\Lenovo\YouCam\YouCamTray.exe" /s [7]) -> TROUVÉ
    [RUN][SUSP PATH] HKLM\[...]\Wow6432Node\[...]\Run : RemoteControl10 ("C:\Program Files (x86)\Lenovo\PowerDVD10\PDVD10Serv.exe" [7]) -> TROUVÉ
    [RUN][SUSP PATH] HKLM\[...]\Wow6432Node\[...]\Run : APSDaemon ("C:\Program Files (x86)\Common Files\Apple\Apple Application Support\APSDaemon.exe" [7]) -> TROUVÉ
    [RUN][SUSP PATH] HKLM\[...]\Wow6432Node\[...]\Run : iTunesHelper ("C:\Program Files (x86)\iTunes\iTunesHelper.exe" [7]) -> TROUVÉ
    [RUN][SUSP PATH] HKUS\.DEFAULT\[...]\RunOnce : Application Restart #0 (C:\Program Files\Common Files\microsoft shared\ink\TabTip.exe /Crashed [7]) -> TROUVÉ
    [RUN][SUSP PATH] HKUS\S-1-5-18\[...]\RunOnce : Application Restart #0 (C:\Program Files\Common Files\microsoft shared\ink\TabTip.exe /Crashed [7]) -> TROUVÉ
    [HJ DESK][PUM] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> TROUVÉ
    [HJ DESK][PUM] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> TROUVÉ
    [SCREENSVR][SUSP PATH] HKCU\[...]\Desktop : SCRNSAVE.EXE (C:\WINDOWS\system32\Mystify.scr [-]) -> TROUVÉ
    [HJ INPROC][SUSP PATH] HKCR\[...]\InprocServer32 : (%systemroot%\system32\wbem\wbemess.dll [x]) -> TROUVÉ
    [HJ INPROC][SUSP PATH] HKCR\[...]\InprocServer32 : (%SystemRoot%\system32\shell32.dll [7]) -> TROUVÉ
    [HJ INPROC][SUSP PATH] HKCR\[...]\InprocServer32 : (%SystemRoot%\system32\shell32.dll [7]) -> TROUVÉ
    [HJ INPROC][SUSP PATH] HKCR\[...]\InprocServer32 : (%systemroot%\system32\wbem\fastprox.dll [-]) -> TROUVÉ
    [HJ INPROC][SUSP PATH] HKLM\[...]\InprocServer32 : (%systemroot%\system32\wbem\wbemess.dll [x]) -> TROUVÉ
    [HJ INPROC][SUSP PATH] HKLM\[...]\InprocServer32 : (%SystemRoot%\system32\shell32.dll [7]) -> TROUVÉ
    [HJ INPROC][SUSP PATH] HKLM\[...]\InprocServer32 : (%SystemRoot%\system32\shell32.dll [7]) -> TROUVÉ
    [HJ INPROC][SUSP PATH] HKLM\[...]\InprocServer32 : (%systemroot%\system32\wbem\fastprox.dll [-]) -> TROUVÉ
    [HJ DLL][SUSP PATH] HKLM\[...]\CCSet\[...]\Parameters : ServiceDll (%SystemRoot%\system32\wbem\WMIsvc.dll [x]) -> TROUVÉ
    [HJ DLL][SUSP PATH] HKLM\[...]\CS001\[...]\Parameters : ServiceDll (%SystemRoot%\system32\wbem\WMIsvc.dll [x]) -> TROUVÉ
    [HJ BROWSR][SUSP PATH] HKLM\[...]\command : ("c:\program files\internet explorer\iexplore.exe" [7]) -> TROUVÉ
    [APPINIT][SUSP PATH] HKLM\[...]\Windows : AppInit_DLLs (C:\WINDOWS\system32\nvinitx.dll [x]) -> TROUVÉ

    ¤¤¤ Tâches planifiées : 0 ¤¤¤

    ¤¤¤ Entrées Startup : 0 ¤¤¤

    ¤¤¤ Navigateurs web : 0 ¤¤¤

    ¤¤¤ Addons navigateur : 0 ¤¤¤

    ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

    ¤¤¤ Driver : [NON CHARGE 0x0] ¤¤¤

    ¤¤¤ Ruches Externes: ¤¤¤

    ¤¤¤ Infection : ¤¤¤

    ¤¤¤ Fichier HOSTS: ¤¤¤
    --> %SystemRoot%\System32\drivers\etc\hosts

    ¤¤¤ MBR Verif: ¤¤¤

    +++++ PhysicalDrive0: (\\.\PHYSICALDRIVE0 @ IDE) ST1000LM024 HN-M101MBB +++++
    --- User ---
    [MBR] 3d7506ca13529d21660eb7b023be2b48
    [BSP] 15bfdd66830832308057f1943db59e21 : Empty MBR Code
    Partition table:
    0 - [XXXXXX] UNKNOWN (0x00) [VISIBLE] Offset (sectors): 1 | Size: 2097151 Mo
    User = LL1 ... OK!
    User = LL2 ... OK!

    Termine : << RKreport[0]_S_02182014_133159.txt >>
    0
  8. lilidurhone Messages postés 800 Date d'inscription   Statut Contributeur sécurité Dernière intervention   3 818
     
    https://forums.commentcamarche.net/forum/affich-29729518-un-rootkit-imbattable#4
    0
    1. Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 712
       
      à mon avis, y a eu du bidouillage dans les utilisateurs et il n'est plus que dans une session avec droit restreint.
      0
  9. nicostge Messages postés 5 Date d'inscription   Statut Membre Dernière intervention  
     
    Bonjour,

    Problème de permission, ok mais que faire selon vous ? J'ai essayé depuis les 3 sessions existantes sur le PC d'accèder aux comptes utilisateurs, mais impossible...

    J'ai aussi essayer d'actualiser via les 3 sessions, impossible... je clik dessus et ca retombe sur l'écran d'accueil!

    Any other idea ?

    Merci
    0

Discussions similaires

win32 Rootkit
Mary -
plopus -

8 réponses
Virus ou rootkit, help !
antoum -
anto -

13 réponses