avast a détecté un rootkit Win32:Rootkit-gen( Fermé

Question

Bonjour,

il y a trois jours avast a détecté un rootkit Win32:Rootkit-gen(Rtk)
il n'a pas pu le mettre en quarantaine, panneau de configuration on ne peut pas l'ouvrir et formatage impossible
résultat des courses l'ouverture automatique de notre fournisseur internet ne se fait plus,page msn qui ne s'ouvre plus et pour éteindre l'ordinateur il faut éteindre la tour

comme mon mari et moi ne sommes pas calés c'est la vraie galère

alors si l'un d'entre vous pouvait avoir la gentillesse de nous aider ce serait formidable d'autant plus que le langage informatique ne nous est pas familier

d'après avast ce serait sur C:\windows\system32\svchostexe

nous avons essayé avec spybot search and destroy que nous avions mais il se bloque au milieu du scan

merci d'avance

afideg · Accepted Answer

Bonjour A)- Merci pour ces nouvelles (mais déjà préconisées par Jorginho67, http://www.commentcamarche.net/forum/affich 6812931 avast a detecte un rootkit win32 rootkit gen#13 ) B)- Puisque je constate que Avast ne te sert pas à grand-chose (sinon à t'avertir qu'il a laissé infecter ton PC !!), applique ceci: 1)- Télécharger ANTIVIR sur le site de l'éditeur pour avoir la dernière version qui est celle-ci pour xp: < https://www.avira.com/en/free-antivirus-windows > et qui prend en compte la case Rootkit. TUTORIELS : < https://www.astucesinternet.com/modules/news/article.php?storyid=253 > ==> enregistre-le sur ton bureau pour y accéder facilement. - ou < http://www.malekal.com/tutorial_antivir.html > - ou < http://www.libellules.ch/tuto_antivir.php > 2)- Désinstaller AVAST: < https://www.avast.com/fr-fr/uninstall-utility > 3)- Attention, après le téléchargement, il faut se déconnecter du Net ( débrancher éventuellement le modem ) avant de lancer l'installation. - Attention : Sers-toi du tutoriel pour installer ANTIVIR, http://www.vista-xp.fr/forum/topic227.html 4)- Procédure d'utilisation: Après l'installation du programme et avant de lancer l'analyse, ... ...il faut redémarrer le PC en mode sans échec, comme ceci: < http://www.coupdepoucepc.com/modules/news/article.php?storyid=253 > Quand tu as le curseur qui clignote, tu peux avoir un temps d'ouverture du mode sans échec qui va jusqu'à 15 minutes. Il faut donc être patient. Il faut laisser aller le PC à son rythme, pour que s'installe le bureau; après quoi, tu réutilises ta souris. Choisir sa session habituelle, (pas le compte "Administrateur" ou une autre). 5)- L'analyse: - Lancer Antivir en Scan complet (analyse avancée) en faisant un click-droit sur l’icône d’Antivir dans la « barre des taches » en bas à droite (= Systray, à côté de l’horloge) puis clic sur « start Antivir » - Cliquer sur l’onglet « scanner » - Vérifier pour « RootKit search » et « Manuelle détection » (en développant avec la petite croix devant chacun d'eux) que tous les disques durs soient bien cochés, puis cliquer sur la loupe (en dessous de statut)- Une fenêtre va s’ouvrir « Luke Filewalker » - Le scan va démarrer. - Mettre tout ce qu il trouve en "quarantine" 6)- Le rapport: Une fois le scan achevé, fermer les deux fenêtres d'Antivir et sauvegarder sur le bureau le rapport qui vient d'apparaître. 7)- Redémarrer en mode normal puis poster le rapport d'Antivir (qui est sur le bureau). C)- Quant à l'usage de clés USB, lis attentivement ceci jusqu'aux commentaires compris ( fonction "Développer" ). Les infections se propageant par les supports amovibles : USB, Flash, etc. https://forum.zebulon.fr/topic/131959-infections-par-supports-amovibles/ par Gof Bon W-E également. Al.

Utilisateur anonyme · Answer

Salut ne le supprimes pas et ne le mets pas en quarantaine. C'est un faux virus.

grany03 · Answer

mon scan est réalisé mais je n'arrive pas à l'envoyer je dois être vraiment stupide

jorginho67 · Answer

Avast depuis très peu de temps voit une infection de type rootkit sur le fichier svchost.exe de windows. Il s'agit d'une erreur de détection (un faux positif), et si vous effacez ce fichier, votre OS va avoir du mal à s'en remettre.

Avast affiche ces informations :
Sign of "Win32:Rootkit-gen[Rtk]" has been found in "C:\windows\system32\svchost.exe" file.

N'effacez pas le fichier. Faites ignorer et mettez à jour Avast régulièrement jusqu'à ce qu'il ne détecte plus rien de nocif dans ce fichier.

https://forum.zebulon.fr/topic/145797-faux-positif-davast-win32rootkit-genrtk-sur-svchostexe/

Fais une Mise a jour d'Avast avant de faire le scan

http://www.avast.com/fre/update_avast_4_vps.html

nina · Answer

Bonjour
Si par malchance  vous avez déjà effacé ou mis en quarantaine svchost, avast propose un fix pour réparer.
La procédure est indiquée par avast sur cette page.
https://support.avast.com/avast_maintenance_page?startURL=%2Findex.php%3F_m%3Dknowledgebase%26_a%3Dviewarticle%26kbarticleid%3D307

afideg · Answer

Salut Joe et respectueuses salutations

Ce qui m'interroge dans ce topic, c'est que le log AVAST prétend avoir supprimé SVCHOST.EXE

Si tel est réellement le cas, il faudrait lancer cette procédure préconisée par AVAST:
https://support.avast.com/avast_maintenance_page?startURL=%2Findex.php%3F_m%3Dknowledgebase%26_a%3Dviewarticle%26kbarticleid%3D307

En effet, le log stipule:
« Fichier supprimé avec succès... 
C;\WINDOWS\SYSTEM32\svchost [L] Win 32 Rootkit-gen [Rtk] (0) 
Durant la suppression du fichier, l'erreur suivante s'est produite:le fichier spécifié est en lecture uniquement 
Durant la suppression du fichier,l'erreur suivante s'est produite: le fichier spécifié est en lecture seulement 
Fichiers infectés:2  » 

Deux questions:
1)- L'écriture n'est pas la même "svchost.exe" (chez AVAST) et "svchost [L]" (dans le log)
2)- "le fichier spécifié est en lecture uniquement" ==> donc, a-t-il été supprimé ?
Note: le log ajoute qu'il y aurait 2 fichiers  "svchost [L]" infectés.  ??

Bonne soirée à tous
Amicalement
Al.

jorginho67 · Answer

Bonsoir Al' ;-)) Ravi de te relire... A mon humble avis, je vois cette possibilité : L'écriture n'est pas la même "svchost.exe" (chez AVAST) et "svchost [L]" (dans le log) L'exe ( légitime ) a été supprimé, peut etre pour ça que le scan ne voie que svchost ( en lecture seulement ) d'ou la nécéssité de reparer avec l'utilitaire. gras>Fichiers infectés:2 C:\Program Files\DefenzaSupdate.dat\IRZip.Imd [E] L'archive est protégée par mot de passe (42056) Fichier supmprié avec succès... => 1 et L'exe de svchost => 2 Je me trompe peut etre... Mais bon, le correctif a été posté a 20 h 17, apparament, toujours pas éffectué... @mitiés Jo.

afideg · Answer

Re,

Merci Joe pour ta réponse.
Ce n'est évidemment pas aisé de déchiffrer le log AVAST (surtout quand on ne le possède pas ==> et pour cause!).  ;)


Je voudrais seulement revenir sur ceci:
C:\Program Files\DefenzaSupdate.dat\IRZip.Imd [E] L'archive est protégée par mot de passe (42056) 
Cela me fait penser, par analogie, à la mention "verrouillé/ignoré" chez Kasperky  ==> un fichier verrouillé ne peut être "supprimé". (quoique, chez Kaspersky, "verrouillé" doit s'agir de fichiers "system"; je crois ---> ce qui est différent de fichiers "protégés par MdP").
Que tout cela est bien obscur.

J'aimerais des précisions d'un expert Avast.


Bonne nuit
Al.

jorginho67 · Answer

Re !

(surtout quand on ne le possède pas ==> et pour cause!). ;)    ;-)))

C'est clair ;-p

Je ne connais pas avast mais j'ai trouvé une éventuelle explication de Régis59 ici pour ceci :
L'archive est protégée par mot de passe (42056) 

http://www.commentcamarche.net/forum/affich 4817495 avast ne peut scanner#5

Soit le fichier est vérouiller par un mot de passe, soit c est un fichier qui ne peut etre scanné car en cours d'utilisation....

Voilou...

@+

afideg · Answer

OK
Je glisse cela dans mes tablettes.

Cependant, je constate dans ce lien que :
C:\System Volume Information\_restore{8A88A205-B370-4F46-A073-26C6B7C7FCDD}\RP585\A0058778.exe\{app}\Direct­Show\coreaac.ax [E] L'archive est protégée par mot de passe. (42056) 
C:\pagefile.sys [E] Accès refusé (5) 
C:\hiberfil.sys [E] Accès refusé (5) 
Fichiers infectés : 0 
Ce fichier dont L'archive est protégée par mot de passe n'est pas nécessairement infecté.


Bonne nuit
à+
Al.

grany03 · Answer

Bonjour à vous tous,

comme je vous l'avais expliqué dans mon dernier message mon pc ne téléchargeait ^plus correctement les nouveaux logiciels et ne lisait plus les supports amovibles il m'a donc fallu trouvé une autre porte de sortie.
Sur votre forum j'ai rouvé une astuce et qui marche puisque mon problème est résolu.

Démarrer votre pc ( avec liaison internet en cours) en mode sans échec avec prise en charge du serveur.
Laisser démarrer windows puis lancer avast dont le scan mémoire va vous détecter le rootkit svchost
Fermer juste la fenêtre(sans supprimer) et attendez la boîte de dialogue avast
Faites alors une simple mise à jour de la base de données virales
Quand c'est terminé éteignez votre pc et rallumez- le en mode normal et le tour est joué le problème est résolu

un grand merci à tous les internautes qui se sont penchés sur mon cas et surtout boy 94450, Jorginho67, nina et Afideg
sans oublier l'internaute qui a inscrit la démarche ci-dessus je n'ai malheureusement pas pensé à noter son pseudo mais je le salue néanmoins bien respectueusement

Si jamais vous aviez deux minutes que me conseilleriez-vous comme anti-virus, anti-spam et anti-spyware lesquels sont les mieux et le plus efficaces

Très bon week-end à tous

grany03

Avast a détecté un rootkit Win32:Rootkit-gen(

11 réponses

Discussions similaires

Newsletters