Win32:Rootkit-gen {Rtk} : à mon tour

pytemp Messages postés 7 Statut Membre -  
 gen-hackman -
Bonjour,
ça n'arrive pas qu'aux autres :(
Après près de 15 ans sans virus, pan, dans les dents...

Mon avast m'annonce ce matin que je suis infecté par un rootkit :
Win32:Rootkit-gen {Rtk} : 
25/07/2008 11:52:57	SYSTEM	672	Sign of "Win32:Rootkit-gen [Rtk]" has been found in "C:\DOCUME~1\pytemp\LOCALS~1\Temp\mc29.tmp" file.  
25/07/2008 12:00:59	SYSTEM	316	Sign of "Win32:Rootkit-gen [Rtk]" has been found in "C:\DOCUME~1\pytemp\LOCALS~1\Temp\mc217.tmp" file.  
25/07/2008 12:28:21	SYSTEM	320	Sign of "Win32:Rootkit-gen [Rtk]" has been found in "C:\DOCUME~1\pytemp\LOCALS~1\Temp\mc216.tmp" file.


CCcleaner n'y a rien fait.

Tout ce que j'ai trouvé via google, c'est d'utiliser combofix, mais j'ai déjà eu de mauvaises expériences avec ce soft sur d'autres machine (écrasement de la MBR)

Voilà le scan HijackThis...
A part la ligne
O23 - Service: JFMSC - Sysinternals - www.sysinternals.com - C:\DOCUME~1\pytemp\LOCALS~1\Temp\JFMSC.exe
Je ne vois rien de très étonnant...

Evidemment supprimer le fichier .tmp n'y fait rien, il revient au boot suivant.
J'ai regardé avec Autoruns & Co, je n'ai rien trouvé de suspect au boot (ce qui ne veut pas dire qu'il n'y a rien, elle est bien qq part la bestiole)

Please : Help !

Logfile of HijackThis v1.99.1
Scan saved at 12:56:10, on 25/07/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16674)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Program Files\Cisco Systems\VPN Client\cvpnd.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Intel\Wireless\Bin\WLKeeper.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\Program Files\Intel\Wireless\bin\ZCfgSvc.exe
C:\Program Files\Intel\Wireless\Bin\ifrmewrk.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
C:\Program Files\ATKOSD2\ATKOSD2.exe
C:\Program Files\ATK Hotkey\Hcontrol.exe
C:\WINDOWS\RTHDCPL.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Brother\Brmfcmon\BrMfcWnd.exe
C:\WINDOWS\system32\ctfmon.exe
D:\portables\DittoPortable\App\ditto\ditto.exe
C:\Program Files\Brother\ControlCenter3\brccMCtl.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\System32\alg.exe
C:\Program Files\SuperCopier2\SuperCopier2.exe
C:\Program Files\Intel\Wireless\Bin\Dot1XCfg.exe
C:\Program Files\Brother\Brmfcmon\BrMfcmon.exe
C:\Program Files\ATK Hotkey\ATKOSD.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
C:\Program Files\ATK Hotkey\WDC.exe
D:\portables\PortableFirefox3beta\firefox\firefox.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Program Files\Alwil Software\Avast4\ashLogV.exe
D:\temp\spybotsd160.exe
C:\DOCUME~1\pytemp\LOCALS~1\Temp\is-N78PM.tmp\spybotsd160.tmp
C:\Program Files\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O3 - Toolbar: DAEMON Tools Toolbar - {32099AAC-C132-4136-9E9A-4E364A424E17} - C:\Program Files\DAEMON Tools Toolbar\DTToolbar.dll
O4 - HKLM\..\Run: [IntelZeroConfig] "C:\Program Files\Intel\Wireless\bin\ZCfgSvc.exe"
O4 - HKLM\..\Run: [IntelWireless] "C:\Program Files\Intel\Wireless\Bin\ifrmewrk.exe" /tf Intel PROSet/Wireless
O4 - HKLM\..\Run: [StartCCC] "C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe"
O4 - HKLM\..\Run: [ATKOSD2] "C:\Program Files\ATKOSD2\ATKOSD2.exe"
O4 - HKLM\..\Run: [ATKHOTKEY] "C:\Program Files\ATK Hotkey\Hcontrol.exe"
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [BrMfcWnd] C:\Program Files\Brother\Brmfcmon\BrMfcWnd.exe /AUTORUN
O4 - HKLM\..\Run: [ControlCenter3] C:\Program Files\Brother\ControlCenter3\brctrcen.exe /autorun
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Ditto] D:\portables\DittoPortable\App\ditto\ditto.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [SuperCopier2.exe] C:\Program Files\SuperCopier2\SuperCopier2.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Program Files\Fichiers communs\Microsoft Shared\Help\hxds.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Program Files\Cisco Systems\VPN Client\cvpnd.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: JFMSC - Sysinternals - www.sysinternals.com - C:\DOCUME~1\pytemp\LOCALS~1\Temp\JFMSC.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: Intel(R) PROSet/Wireless SSO Service (WLANKEEPER) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\WLKeeper.exe

Vos avis sont attendus ... impatiemment !
Configuration: Windows XP
Firefox 3.0.1

13 réponses

  1.
    cruchot10 Messages postés 262 Statut Membre 27
     
    bonjour

    celle ci egalement

    O23 - Service: JFMSC - Sysinternals - www.sysinternals.com - C:\DOCUME~1\pytemp\LOCALS~1\Temp\JFMSC.exe
    D:\temp\spybotsd160.exe
    C:\DOCUME~1\pytemp\LOCALS~1\Temp\is-N78PM.tmp\spybotsd160.tm­p

    donc telecharge malwarebyte's antimalware met le a jour desactive la restauration du systeme puis redemarre ton pc en mode sans echec lance un examen complet supprime ce qu'il a trouvé vide également les éléments de la quarantaine un petit coup de ccleaner utilise la fonction nettoyeur puis recherche les erreurs dans le registre redemarre normalement reactive la restauration du systeme reviens nous dire ce qu'il en est bon courage
    1
  2. gen-hackman
     
    coches et fix checked sur ces lignes :

    R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
    O3 - Toolbar: DAEMON Tools Toolbar - {32099AAC-C132-4136-9E9A-4E364A424E17} - C:\Program Files\DAEMON Tools Toolbar\DTToolbar.dll
    O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
    O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
    O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
    O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

    ensuite fais toi scanner en ligne avec internet explorer apres avoir accepte et installe le module complementaire :

    https://www.bitdefender.com/toolbox/
    0
  4. pytemp Messages postés 7 Statut Membre
     
    Bon, j'ai tout fait mais rien n'y fait...

    Antimalware n'a rien trouvé en mode sans echec non plus...

    Il ne me reste plus qu'à finir le scan BitDefender (encore une heure), mais je suis pessimiste...

    Si vous avez d'autres pistes...
    0

  5. Vous n’avez pas trouvé la réponse que vous recherchez ?

    Posez votre question
  6. gen-hackman
     
    autre squestion pertinente :

    ton avast est bien a jour ?
    0
  7. ares
     
    O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
    O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

    Ben après avoir fixé ces 2 lignes il contrôle plus les mails et le web ? c' est ça?
    0
  8. pytemp Messages postés 7 Statut Membre
     
    Merci de vos réponses... 

    BitDefender Online Scanner - Rapport virus en temps réel

Généré à: Fri, Jul 25, 2008 - 15:46:23
Info d'analyse
Fichiers scannés
151166

Infectés Fichiers
0
	
Virus Détectés
Aucun virus trouvé.


    Avast est bien à jour (premier truc que j'ai vérifié) 
    - Programme : Déjà à jour
  (version actuelle 4.8.1229)
- Vps : Déjà à jour
  (version actuelle 080725-0)


    Pour Ares, malgré la suppression de ces entrées, Avast les a remises par la suite...

    Je commence à désesperer...
    Pourtant, j'en ai réparé des machines vérolées (amis, famille), mais là, ça semble bien tordu...
    Help ((c) John Lennon)
    0
  9. gen-hackman
     
    vu que les dossiers sont manquants de toute facon.......
    0
  10. ares
     
    Pas sur j' ai avast des fois hijack marque file missing et un autre moment non, et ^^Marie^^ nous dispute grave quand on fait fixer ces 2 lignes, alors autant les laisser.
    0
  11. gen-hackman
     
    on peut avoir le rapport de malwarebytes ?
    0
  12. pytemp Messages postés 7 Statut Membre
     
    No problem : 
    Malwarebytes' Anti-Malware 1.23
Database version: 990
Windows 5.1.2600 Service Pack 2

14:51:25 25/07/2008
mbam-log-7-25-2008 (14-51-25).txt

Scan type: Full Scan (C:\|D:\|F:\|H:\|)
Objects scanned: 241166
Time elapsed: 27 minute(s), 47 second(s)

Memory Processes Infected: 0
Memory Modules Infected: 0
Registry Keys Infected: 0
Registry Values Infected: 0
Registry Data Items Infected: 0
Folders Infected: 0
Files Infected: 0

Memory Processes Infected:
(No malicious items detected)

Memory Modules Infected:
(No malicious items detected)

Registry Keys Infected:
(No malicious items detected)

Registry Values Infected:
(No malicious items detected)

Registry Data Items Infected:
(No malicious items detected)

Folders Infected:
(No malicious items detected)

Files Infected:
(No malicious items detected)


    Je viens de tenter une restauration au 17 juillet. Pareil, la bebete revient..
    0
    1. cruchot10 Messages postés 262 Statut Membre 27
       
      ok mais tu as fait un scan rapide et pas un scan complet parceque 200milles fichiers en 27minutes cest du rapide recommence en examen comp^let$
      0
  13. pytemp Messages postés 7 Statut Membre
     
    Pas mieux :-( 
    Malwarebytes' Anti-Malware 1.23
Version de la base de données: 992
Windows 5.1.2600 Service Pack 2

21:07:10 25/07/2008
mbam-log-7-25-2008 (21-07-10).txt

Type de recherche: Examen complet (C:\|D:\|F:\|)
Eléments examinés: 236604
Temps écoulé: 2 hour(s), 24 minute(s), 1 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)


    C'est dingue, ça.. rien ne le détecte...
    0

Discussions similaires

Problème avec "PUADIManager:Win32/OfferCore
Knaki -
bazfile -

3 réponses
PUADlManager:Win32/OfferCore
tenmalade -
tenmalade -

2 réponses
PUA:Win32/InstallCore detecté par windows sécurité
thetib -
bazfile -

11 réponses
win32:malware-gen bloqué par avast
ikkual -
Utilisateur anonyme -

69 réponses
PUADlManager:Win32/OfferCore
bernardarrad -
bazfile -

3 réponses