comment supprimer ROOTKIT?

Question

salutmon pc n arrete pas de ramer des que je suis sur le net.j ai analyse avec kapersky ad aware spybot....il me reste toujours rootkit et rdriv  .je suis sous xp pro.je laisse mon log n etant pas trop cale en informatique je ne sais plus trop quoi faire de mon cote.merci Logfile of HijackThis v1.99.1Scan saved at 17:09:42, on 21/07/2005Platform: Windows XP  (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 (6.00.2600.0000)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\Explorer.EXEC:\WINDOWS\system32\spoolsv.exeC:\Program Files\Fichiers communs\Symantec Shared\ccApp.exeC:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exeC:\WINDOWS\System32\msnupd.exeC:\WINDOWS\smss.exeC:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exeC:\WINDOWS\System32
vsvc32.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\ZoneLabs\vsmon.exeC:\WINDOWS\svchost.exeC:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exeC:\Program Files\Internet Explorer\iexplore.exeC:\Nouveau dossier\HijackThis.exeR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.free.fr/R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://fr.rd.yahoo.com/customize/ie/defaults/sb/ymsgr6/fr/*http://www.yahoo.com/ext/search/search.htmlR0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensR3 - Default URLSearchHook is missingO4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"O4 - HKLM\..\Run: [Zone Labs Client] C:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exeO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartupO4 - HKLM\..\Run: [nwiz] nwiz.exe /installO4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInitO4 - HKLM\..\Run: [KAVPersonal50] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\kav.exe" /minimizeO4 - HKLM\..\Run: [Windows Gateway Access] msnupd.exeO4 - HKLM\..\Run: [Services] C:\WINDOWS\smss.exeO4 - HKLM\..\RunServices: [Windows Gateway Access] msnupd.exeO4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /backgroundO4 - HKCU\..\Run: [Yahoo! Pager] C:\Program Files\Yahoo!\Messenger\ypager.exe -quietO4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXEO9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dllO9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dllO16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/MediaAccessVerisign/ie/bridge-c11.cabO16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cabO16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cabO23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exeO23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exeO23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exeO23 - Service: kavsvc - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\kavsvc.exeO23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32
vsvc32.exeO23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Program Files\TuneUp Utilities 2004\WinStylerThemeSvc.exeO23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exeO23 - Service: Windows Configuration Loader - Unknown owner - C:\WINDOWS\svchost.exe

Fisherprice · Answer

Salut!!

Fixe ces lignes, et supprime les fichiers mentionnés en gras (qui se trouvent dans C:/Windows).

C:\WINDOWS\smss.exe

C:\WINDOWS\svchost.exe

R3 - Default URLSearchHook is missing

O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/MediaAccessVerisign/ie/bridge-c11.cab

kaizermilou · Answer

salut fisher ok j essaye ca de suite

balltrap34 · Answer

salut rajoute ceci
a fixer O23 - Service: Windows Configuration Loader - Unknown owner - C:\WINDOWS\svchost.exe

clik sur Démarrer->exécuter->tape: services.msc

Double-clique: Windows Configuration Loader
Règle-le sur "Arrêté" et "Désactivé".

kaizermilou · Answer

salut balltrapje retire ca egalementmon pc se bloque 1 petite seconde toutes les minutes environ ,ça vient des trojans?

kaizermilou · Answer

je refait un hijack mais le023/service windowx ....... n y etait plus voici mon nouveau logLogfile of HijackThis v1.99.1Scan saved at 17:57:40, on 21/07/2005Platform: Windows XP  (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 (6.00.2600.0000)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\Explorer.EXEC:\WINDOWS\system32\spoolsv.exeC:\Program Files\Fichiers communs\Symantec Shared\ccApp.exeC:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exeC:\WINDOWS\System32\RUNDLL32.EXEC:\WINDOWS\System32\msnupd.exeC:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exeC:\WINDOWS\System32
vsvc32.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\ZoneLabs\vsmon.exeC:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exeC:\Program Files\Internet Explorer\iexplore.exeC:\Nouveau dossier\HijackThis.exeR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.free.fr/R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://fr.rd.yahoo.com/customize/ie/defaults/sb/ymsgr6/fr/*http://www.yahoo.com/ext/search/search.htmlR0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"O4 - HKLM\..\Run: [Zone Labs Client] C:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exeO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartupO4 - HKLM\..\Run: [nwiz] nwiz.exe /installO4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInitO4 - HKLM\..\Run: [KAVPersonal50] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\kav.exe" /minimizeO4 - HKLM\..\Run: [Windows Gateway Access] msnupd.exeO4 - HKLM\..\RunServices: [Windows Gateway Access] msnupd.exeO4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /backgroundO4 - HKCU\..\Run: [Yahoo! Pager] C:\Program Files\Yahoo!\Messenger\ypager.exe -quietO4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXEO9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dllO9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dllO16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cabO16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cabO23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exeO23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exeO23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exeO23 - Service: kavsvc - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\kavsvc.exeO23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32
vsvc32.exeO23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Program Files\TuneUp Utilities 2004\WinStylerThemeSvc.exeO23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

balltrap34 · Answer

oki
fait analyser ces deux fichiers
C:\WINDOWS\System32\RUNDLL32.EXE
C:\WINDOWS\System32\msnupd.exe

ici

19 editeur d anti virus
http://www.virustotal.com/xhtml/virustotal_en.html

et met les rapport stp

kaizermilou · Answer

voila
This is a report processed by VirusTotal on 07/21/2005 at 18:06:42 (CET) after scanning the file "rundll32.exe" file.
Antivirus Version Update Result
AntiVir 6.31.1.0 07.21.2005 no virus found
AVG 718 07.19.2005 no virus found
Avira 6.31.1.0 07.21.2005 no virus found
BitDefender 7.0 07.21.2005 no virus found
CAT-QuickHeal 7.03 07.21.2005 no virus found
ClamAV devel-20050712 07.21.2005 no virus found
DrWeb 4.32b 07.21.2005 no virus found
eTrust-Iris 7.1.194.0 07.21.2005 no virus found
eTrust-Vet 11.9.1.0 07.21.2005 no virus found
Fortinet 2.36.0.0 07.21.2005 no virus found
F-Prot 3.16c 07.21.2005 no virus found
Ikarus 2.32 07.21.2005 no virus found
Kaspersky 4.0.2.24 07.21.2005 no virus found
McAfee 4540 07.21.2005 no virus found
NOD32v2 1.1174 07.20.2005 no virus found
Norman 5.70.10 07.21.2005 no virus found
Panda 8.02.00 07.21.2005 no virus found
Sybari 7.5.1314 07.21.2005 no virus found
Symantec 8.0 07.20.2005 no virus found
TheHacker 5.8.2.074 07.20.2005 no virus found
VBA32 3.10.4 07.20.2005 no virus found

par contre je n ai pas trouver msnupd j ai fait analyser msnsspc

This is a report processed by VirusTotal on 07/21/2005 at 18:12:29 (CET) after scanning the file "msnsspc.dll" file.
Antivirus Version Update Result
AntiVir 6.31.1.0 07.21.2005 no virus found
AVG 718 07.19.2005 no virus found
Avira 6.31.1.0 07.21.2005 no virus found
BitDefender 7.0 07.21.2005 no virus found
CAT-QuickHeal 7.03 07.21.2005 no virus found
ClamAV devel-20050712 07.21.2005 no virus found
DrWeb 4.32b 07.21.2005 no virus found
eTrust-Iris 7.1.194.0 07.21.2005 no virus found
eTrust-Vet 11.9.1.0 07.21.2005 no virus found
Fortinet 2.36.0.0 07.21.2005 no virus found
F-Prot 3.16c 07.21.2005 no virus found
Ikarus 2.32 07.21.2005 no virus found
Kaspersky 4.0.2.24 07.21.2005 no virus found
McAfee 4540 07.21.2005 no virus found
NOD32v2 1.1174 07.20.2005 no virus found
Norman 5.70.10 07.21.2005 no virus found
Panda 8.02.00 07.21.2005 no virus found
Sybari 7.5.1314 07.21.2005 no virus found
Symantec 8.0 07.20.2005 no virus found
TheHacker 5.8.2.074 07.20.2005 no virus found
VBA32 3.10.4 07.20.2005 no virus found

balltrap34 · Answer

pourtant il y est fait ceci pour le voir
Affiche tous les fichiers et dossiers :
cliquer sur démarrer/panneau de configuration/option des dossiers/affichage
Cocher afficher les dossiers cacher

Décoche la case "Masquer les fichiers protégés du système d'exploitation (recommandé)"

Décocher masquer les extensions dont le type est connu
Puis fais "Ok" pour valider les changements.

Et appliquer
et recommence sur le scan http://www.virustotal.com/xhtml/virustotal_en.html

balltrap34 · Answer

salut fait ceci stp et donne le rapport

ouvre le bloc note et fais un copier coller de ce qui est en gras ci-dessous:

regedit /e log.txt "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run"
regedit /e log1.txt "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce"
regedit /e log2.txt "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices"
regedit /e log3.txt "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce"
regedit /e log4.txt "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run"
regedit /e log5.txt "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce"
regedit /e log6.txt "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices"
regedit /e log7.txt "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce"
regedit /e log8.txt "HKEY_CURRENT_USER\Software\Microsoft\OL E"
type log.txt>>queud.txt
if exist log.txt del log.txt
type log1.txt>>queud.txt
if exist log1.txt del log1.txt
type log2.txt>>queud.txt
if exist log2.txt del log2.txt
type log3.txt>>queud.txt
if exist log3.txt del log3.txt
type log4.txt>>queud.txt
if exist log4.txt del log4.txt
type log5.txt>>queud.txt
if exist log5.txt del log5.txt
type log6.txt>>queud.txt
if exist log6.txt del log6.txt
type log7.txt>>queud.txt
if exist log7.txt del log7.txt
type log8.txt>>queud.txt
if exist log8.txt del log7.txt
notepad queud.txt
if exist queud.txt del queud.txt
exit

clic sur enregistrer sous
choisis le bureau pour l'endroit de sauvegarde
Nom du fichier: tape search.cmd
dans type de fichier choisis "tous les fichiers"
valide

kaizermilou · Answer

salut fisher okmais je voulais dire je copie ce que balltrap a ecrit sur son message ,ou est ce que je dois rechercher dans regedit les lignes demandées ,les coller et les analyser?

balltrap34 · Answer

copier dans le bloc note ce qui est en gras

regedit /e log.txt "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run"
regedit /e log1.txt "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce"
regedit /e log2.txt "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices"
regedit /e log3.txt "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce"
regedit /e log4.txt "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run"
regedit /e log5.txt "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce"
regedit /e log6.txt "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices"
regedit /e log7.txt "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce"
regedit /e log8.txt "HKEY_CURRENT_USER\Software\Microsoft\OL E"
type log.txt>>queud.txt
if exist log.txt del log.txt
type log1.txt>>queud.txt
if exist log1.txt del log1.txt
type log2.txt>>queud.txt
if exist log2.txt del log2.txt
type log3.txt>>queud.txt
if exist log3.txt del log3.txt
type log4.txt>>queud.txt
if exist log4.txt del log4.txt
type log5.txt>>queud.txt
if exist log5.txt del log5.txt
type log6.txt>>queud.txt
if exist log6.txt del log6.txt
type log7.txt>>queud.txt
if exist log7.txt del log7.txt
type log8.txt>>queud.txt
if exist log8.txt del log7.txt
notepad queud.txt
if exist queud.txt del queud.txt
exit

clic sur enregistrer sous
choisis le bureau pour l'endroit de sauvegarde
Nom du fichier: tape search.cmd
dans type de fichier choisis "tous les fichiers"
valide

kaizermilou · Answer

salut balltrap
de mon cote j ai passe stinger il m a virer sdbot.j ai plusieurs analyse avec kapersky et tune up 2004 apparrement je suis quasiment clean.il me restait un trjan win 32 pakes mais il a lair d etre bloquer ou kapersky me la virer .pour l instant tout va bien.si besoin je recontacte merci pour l aide

jess57250 · Answer

HELP!!!!
je souhaiterais savoir comment supprimer un rootkit...
mon probleme c est que g appris kon m avait pirater msn messenger...
suite a sa j fais un scann avec avast...
et sa ma detecter un rootkit ( fichier:\ WINDOWS\system32\kdsda.exe) ( rootkit: fichiers cechés)
nom du malware: win32:PolyCrypt.AV [Tij]
avec un virus ki ma infecter 3 fichiers.... je voudrais savoir comment le supprimer DEFINITEVEMENT?????
merci

Comment supprimer ROOTKIT?

13 réponses

Discussions similaires

Newsletters