Rootkit est il un virus ? Fermé

Question

Salut,


Je reçois des alertes de mon anti virus avast , comme quoi il ya un fichier suspecte , C:/WINDOWS/SYSTEM32/process.exe  [ type: Rootkit : processus cachés ] est ce que mon pc est infecté aidez moi svp , 

Merci , 


@+++

c.bruno · Answer

bonsoir,
je me permet de poster ici.j'ai exactement le meme souci aujourd'hui,un avertissement d'avast qui me detecte process.exe comme un virus.qu'est ce que c'est?

ep44 · Answer

Bonsoir 

Télécharge Random's System Information Tool (RSIT) par random/random et sauvegarde-le sur ton Bureau.
http://images.malwareremoval.com/random/RSIT.exe
    * Double-clique sur RSIT.exe afin de lancer RSIT.
    * Clique sur Continue à l'écran Disclaimer.
    * Si l'outil HijackThis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera et tu devras accepter la licence.
    * Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront.

--> Poste le contenu de log.txt (<<qui sera affiché) ainsi que de info.txt (<<qui sera réduit dans la Barre des Tâches).

Note : Les deux rapports sont également sauvegardés C:\rsit

zldsar14 · Answer

Salut,

Il y a une bonne et une mauvaise nouvelle :
1. Rootkit n'est pas un virus.
2. Ton PC est infecté par un ou plusieurs trojan (chevaux de troie)

Un trojan est un programme destiné à collecter des informations ou à prendre le controle à distance d'un ordinateur. Ton antivirus a détecté un progamme qui sert à un tiers à prendre le controle de ton PC.

Par contre le terme ROOTKIT est un terme générique décrivant un jeu de programmes permettant à une personne mal intentionnée de garder le controle d'une machine, déjà infectée par un TROJAN. Il s'agit donc ici d'un abus du terme ROOTKIT.

Donc :
1. mettre à jour Avast (très bon antivirus que j'utilise sur 8 PC)
2. programmer un scan des disques au démarrage du PC
3. redémarrer le PC et controler le scan
4. vérifier le résultat.
5. lancer un windows update illico presto pour corriger les failles ayant permies l'installation initiale du trojan.

Courage, si tout cela ne suffit pas alors ... L'arme ultime : réinstallation avec reformatage de la partition.

A+ et tiens nous au courant.

c.bruno · Answer

voici le log et merci pour ton aide
Logfile of random's system information tool 1.04 (written by random/random)
Run by Admin at 2008-12-12 21:19:03
Microsoft Windows XP Professionnel Service Pack 2
System drive C: has 23 GB (66%) free of 36 GB
Total RAM: 1015 MB (58% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 21:19:36, on 12/12/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16762)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\Program Files\Comodo\Firewall\CPF.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\Comodo\Firewall\cmdagent.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Admin\Bureau\RSIT.exe
C:\Program Files	rend micro\Admin.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.crawler.com/search/dispatcher.aspx?tp=aus&qkw=%s&tbid=66028
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,SearchAssistant = http://www.crawler.com/search/ie.aspx?tb_id=66028
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,CustomizeSearch = http://dnl.crawler.com/support/sa_customize.aspx?TbId=66028
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.crawler.com/search/ie.aspx?tb_id=66028
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://dnl.crawler.com/support/sa_customize.aspx?TbId=66028
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = 
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [COMODO Firewall Pro] "C:\Program Files\Comodo\Firewall\CPF.exe" /background
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://gfx1.hotmail.com/mail/w2/resources/MSNPUpld.cab
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Comodo Application Agent (CmdAgent) - COMODO - C:\Program Files\Comodo\Firewall\cmdagent.exe
O23 - Service: Service Messenger Sharing Folders USN Journal Reader (usnjsvc) - Unknown owner - C:\Program Files\Windows Live\Messenger\usnsvc.exe

zldsar14 · Answer

Alors tu as un PB : t'as 5 crawlers.

Installe Spybots et lance un scan au démarrage.
si ça ne suffit pas ajoute ccleaner.

Arfi · Answer

Salut
Relis cette discussion en bas du post 30 et tu sauras que c' est un fichier de smitfraudfix que tu as utilisé. Pas un virus.
Et c' est normal aussi que avast le signale (Process.exe est un "Risktool": à supprimer une fois que tu as fini de t' en servir).
http://www.commentcamarche.net/forum/affich 9512417 logiciel malveillant#30

Normalement toolscleaner devrait le supprimer ce que tu as fait là:
http://www.commentcamarche.net/forum/affich 9512417 logiciel malveillant#36
Et là:
http://www.commentcamarche.net/forum/affich 9512417 logiciel malveillant?page=2#54

Si avast propose de supprimer process.exe, supprime avec avast.
Si tu trouve process.exe dans un répertoire ( démarrer, rechercher, process.exe), tu peux le supprimer manuellement avec un clic-droit supprimer.
Process.exe est peut-être caché dans une archive que tu as téléchargée (avast doit te dire dans quelle archive il trouve process.exe) tu supprimes alors manuellement l' archive.
Parfois c' est un autre de tes logiciels de nettoyage (un antispyware, un autre antivirus ... qui a supprimé process.exe, il faut alors trouver quel logiciel  et vider la quarantaine de ce logiciel car elle est "protégée par un mot de passe" ce qui t'empêche de le faire manuellement.

c.bruno · Answer

merci a vous :)
zldsar,y sont pas bien mes crawlers?

Rootkit est il un virus ?

7 réponses

Discussions similaires