Sujet Précédent Sujet Suivant

Win32:Rootkit-gen [Rtk]

Fermé
CEVALUTI - 7 sept. 2008 à 11:40
chimay8 Messages postés 7720 Date d'inscription jeudi 1 mai 2008 Statut Contributeur sécurité Dernière intervention 3 janvier 2014 - 7 sept. 2008 à 12:58
Bonjour,

Depuis que je me suis connecté à internet pour telecharger avast, je suis un infecte par Win32:Rootkit-gen [Rtk] qui ma boque l'acces aux 2 disques dur.

Voila le resultat du scan avec HIJACK

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 11:32:31, on 07/09/2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\ATI Technologies\ATI.ACE\CLI.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashQuick.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashQuick.exe
C:\Program Files\Trend Micro\HijackThis\monjack.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: IEHlprObj Class - {CE7C3CF0-4B15-11D1-ABED-709549C10000} - C:\WINDOWS\system32\ieso0.dll
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [kxva] C:\WINDOWS\system32\kxvo.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: ATI CATALYST System Tray.lnk = C:\Program Files\ATI Technologies\ATI.ACE\CLI.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

2 réponses

Réponse 1 / 2
chimay8 Messages postés 7720 Date d'inscription jeudi 1 mai 2008 Statut Contributeur sécurité Dernière intervention 3 janvier 2014 60
7 sept. 2008 à 11:48
salut,
2 infections,

relance HJT (scan only) et coche ces lignes

O2 - BHO: IEHlprObj Class - {CE7C3CF0-4B15-11D1-ABED-709549C10000} - C:\WINDOWS\system32\ieso0.dll

O4 - HKCU\..\Run: [kxva] C:\WINDOWS\system32\kxvo.exe

clic sur fix checked

ensuite

Télécharge SmitFraudfix de S!Ri, balltrap34 et moe31
http://siri.urz.free.fr/Fix/SmitfraudFix.zip -
mirroir: http://72.232.135.12/siri/SmitfraudFix.php

voila à quoi cela ressemble : http://siri.urz.free.fr/Fix/SmitfraudFix.php

Désactive les logiciels de protections(antivirus et antispyware)
-- Fais un clic droit puis Extraire tout sur le fichier SmitfraudFix.zip, cela va tout décompresser dans un nouveau dossier SmitFraudfix
-- Ouvre le dossier SmitFraudFix double clique sur SmitfraudFix.cmd (le .cmd peut ne pas être présent)
-- Choisis l'option 1 et appuie sur Entrée
-- Réponds o (Oui) aux deux questions suivantes si elles sont posées
-- Un rapport sera généré; sauvegarde le dans un dossier.
-- Copie/colle le contenu du rapport ici


0
CEVALUTI
7 sept. 2008 à 12:34
Merci de ton aide voici le rapport

SmitFraudFix v2.346

Rapport fait à 12:32:52,00, 07/09/2008
Executé à partir de C:\Documents and Settings\CEVALUTI\Bureau\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» Process

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\ATI Technologies\ATI.ACE\CLI.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\cmd.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts


»»»»»»»»»»»»»»»»»»»»»»»» C:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\CEVALUTI


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\CEVALUTI\Application Data


»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\CEVALUTI\Favoris


»»»»»»»»»»»»»»»»»»»»»»»» Bureau


»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files


»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues


»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Ma page d'accueil"


»»»»»»»»»»»»»»»»»»»»»»»» IEDFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri



»»»»»»»»»»»»»»»»»»»»»»»» VACFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» 404Fix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

404Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» AntiXPVSTFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

AntiXPVSTFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri



»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"="C:\\WINDOWS\\system32\\userinit.exe,"
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» RK



»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: NVIDIA nForce Networking Controller - Miniport d'ordonnancement de paquets
DNS Server Search Order: 89.2.0.1
DNS Server Search Order: 89.2.0.2

HKLM\SYSTEM\CCS\Services\Tcpip\..\{0F046EB7-F923-4405-9D0D-E544B079EB8B}: DhcpNameServer=89.2.0.1 89.2.0.2
HKLM\SYSTEM\CS1\Services\Tcpip\..\{0F046EB7-F923-4405-9D0D-E544B079EB8B}: DhcpNameServer=89.2.0.1 89.2.0.2
HKLM\SYSTEM\CS2\Services\Tcpip\..\{0F046EB7-F923-4405-9D0D-E544B079EB8B}: DhcpNameServer=89.2.0.1 89.2.0.2
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=89.2.0.1 89.2.0.2
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=89.2.0.1 89.2.0.2
HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=89.2.0.1 89.2.0.2


»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin
0
Réponse 2 / 2
chimay8 Messages postés 7720 Date d'inscription jeudi 1 mai 2008 Statut Contributeur sécurité Dernière intervention 3 janvier 2014 60
7 sept. 2008 à 12:58
va sur le lien que je te donne et télécharge le patch;enregistre le sur ton bureau

http://net-studio.org/fr/application/kxvo-variants.php

il faut passer le patch en mode sans échec car ce virus à un fichier autorun

pour cela, redémarre l'ordinateur, avant le logo Windows, tapote sur la touche F8, un menu va apparaître, choisis Mode sans échec et appuye sur la touche entrée du clavier.
0

Discussions similaires

Menaces HackTool:Win32
LeMax5993 -
lisa4777 -

Bonsoir,

J'ai fait l'acquisition hier après midi d'un PC portable d'occasion. Le vendeur m'a indiqué être le gérant d'une petite société qui vient de renouveler son matériel informatique.

Le PC est donc équipé de windows 10 Pro ainsi que d'une suite Office.

Hier, je n'ai eu aucun souci à l'utilisation du PC, tout me semblait parfait. Ce soir, à l'allumage, j'ai un message de Windows Defender qui m'indique avoir trouvé deux menaces élevées sur l'ordinateur. Il s'agit de :

HackTool:Win32/Wpakill

HackTool:Win32/AutoKMS.SA!MSR

N'ayant aucune idée de ce dont il s'agit je ne suis pas intervenu sur l'antiviru...

4 réponses
Problème avec "PUADIManager:Win32/OfferCore
Knaki -
bazfile -

Bonjour depuis tt a l'heure j'ai un problème avec "PUADIManager:Win32/OfferCore" je ne comprends pas ce que c'est de plus l'élément affecté serai C:\Users\Utilisateur\Downloads\ivcam-7.1.2-installer_H78ng-1.exe j'ai donc désinstallé ivcam  Mais ce problème persiste  Et dans l'autre onglet il est indiqué comme bloquer et non comme supprimer

3 réponses
PUABundler:Win32/CandyOpen : dangereux ?
joubine -
bazfile -

Bonjour à tous,  Windows Defender a détecté une application potentiellement indésirable avec un comportement potentiellement indésiré nommée PUABundler:Win32/CandyOpen. Je ne vois pas grand chose sur la dangerosité de cette application sur internet. Est ce que quelqu'un en sait plus ?  De plus, quand j'essaie de le supprimer, il est écrit échec de suppression.  Dois-je m'inquiéter ? Est-ce un virus, ou est-ce que ça va endommager les performances de mon ordinateur ? Bien à vous, et merci d'avance

2 réponses
win32:malware-gen bloqué par avast
ikkual -
Utilisateur anonyme -

Bonjour,

je cherche à me débarrasser du virus Win32:Malware-gen.
Un message d'alerte d'avast s'allume à chaque démarrage de mon pc indiquant qu'un logiciel malveillant a été bloqué : infection win32:malware-gen.
Seulement, il n'arrive pas à le supprimer

J'ai visité différent forums et utilisé les programmes suivants:
- ADW Cleaner
- Rogue Killer
- ZHPdiag et ZHPfix
- Dr web-cureit
mais aucun n'a détecté de virus sur mon ordi.
S'agirait-il d'un faux positif d'avast, je ne sais plus quoi faire.
Je précise que je suis sous Windows 7.


Configuration: Windows 7 / Firefox 24.0

69 réponses
Pb Windows 7, .EXE n'est pas app win32 valide
Witeric -
Lio -

Bonjour, j'ai un soucis je n'arrive à lancer aucune de mes applications que je télécharge sur firefox. Dans la page des Téléchargements les fichiers.exe sont d'abords "annulés" puis quand je fait réessayer ils se téléchargent mais c'est tout, impossible de les lancer et en forçant il me dit que.....Setup.exe n'est pas une application win32 valide.
Je suis sous windows 7 et mon pc est neuf, mais au tout début j'avais réussi à télécharger quelques applications comme VLC ou Avidemux, je ne sais pas ce qui s'est passé entre temps, pouvez vous m'éclairez svp ? Merci :)



Configuration: Windows 7 / Firefox 3.6.13

15 réponses