Grrr un rootkit help!

Résolu
stevio1203 -  
slt tlm.pourrait on m aider a mon tour svppp! je suis sous vista. avast m a détecté un rootkit qu il n arrive pas a supprimer, j ai essayé avec spybot et malware, ils le détectent tous les 2 et me font le supprimer puis rallumer mon ordi pour achever la suppression!!!! mais le rootkit est tjs la, j ai essayé d m en sortir seul, mais je n ose pas trop utiliser de logiciels,outils sans connaitre!!! voila j attends de vos news , merci d avance.

46 réponses

Résumé de la discussion

Une configuration Windows Vista et Firefox 3.6.3 est confrontée à une détection de rootkit par Avast qui ne peut être supprimée, malgré des essais avec Spybot et Malwarebytes et des redémarrages répétés. Plusieurs solutions proposées incluent l’utilisation de GMER Scanner pour un scan sélectif de la partition système, ToolsCleaner pour repérer et supprimer des composants malveillants, puis ComboFix avec CFscript et hijackthis pour générer des rapports. D'autres conseils préconisent ZHPDiag et l'envoi de rapports via Cijoint, en angleant des précautions comme déconnecter l'ordinateur d'Internet et désactiver temporairement les protections avant l'exécution de certains outils. Enfin, certaines interventions évoquent une infection MBR et recommandent une approche coordonnée entre outils et vérifications pour éviter une réapparition du rootkit après les nettoyages.

Bobot (l’IA à votre service)
  1. Lyonnais92 Contributeur sécurité
    Bonjour,

    de rien pour l'aide, ce fut avec plaisir.

    Si tu as de nouveau un souci, tu ajoutes un message à ce topic, je le verrai dans mes alertes.
    1. Lyonnais92 Contributeur sécurité
      Re,

      pour le rootkit, si tu n'a pas d'alertes, il n'est pas revenu.

      Supprime ToolsCleaner sur ton Bureau.

      Fin de la désinfection.

      ===

      Quelques conseils (merci kevlar) :

      Un compte limité accroit la sécurité

      Les mises à jour des programmes aussi

      Comment reconnaitre et éviter les programmes piégés

      Les dangers du P2P
      1. stevio1203 Auteur
        donc on a fini toi et moi, oui j ai lu tout ca j en suis conscient et prends ca en compte, j te remercie franchement pour tout, ta patience ta persévérance et tes explications,merciiiii bcpp! tu es a recommander vivement, bonne continuation a toi(.j peux te recontacter si j ai un autre soucis?)
    2. Lyonnais92 Contributeur sécurité
      Re,

      oui, essaye comme ça.
      1. stevio1203 Auteur
        voila
      2. stevio1203 Auteur
        et puis j dois faire quoi? sinon l rootkit il est definitivement parti ou non?
    3. Lyonnais92 Contributeur sécurité
      Re,

      peux tu supprimer c:\Program files\ZHPDiag ?
      1. stevio1203 Auteur
        de quelle maniere,juste clik droit et suprimer?
    5. Lyonnais92 Contributeur sécurité
      Bonsoir,

      si mes souvenirs sont bons, il reste The Avenger.

      * Télécharge ToolsCleaner par A.Rothstein & dj QUIOU sur ton Bureau.

      http://pc-system.fr/
      hxxp://a-rothstein.changelog.fr/TC/ToolsCleaner2.exe
      hxxp://pagesperso-orange.fr/AceRothstein/ToolsCleaner2.exe

      * Clique sur Recherche et laisse le scan se terminer.

      * Clique, sur Suppression pour finaliser.

      * Tu peux, si tu le souhaites, te servir des Options facultatives.

      * Clique sur Quitter, pour que le rapport puisse se créer.

      * Poste moi le rapport (TCleaner.txt) qui se trouve à la racine de ton disque dur( C:\).

      Pour Vista : clic droit et exécuter en tant qu'administrateur.
      1. stevio1203 Auteur
        re, j ai fait tout mais arrivé a "quitter" pour rapport ca m a mis que "impossible de trouver le ficher TCleaner.txt" j ai donc fait une capture que voici en ci joint
      2. stevio1203 Auteur
        http://www.cijoint.fr/cjlink.php?file=cj201005/cij9BeRIYG.jpg
    6. Lyonnais92 Contributeur sécurité
      Bonsoir,

      une raison possible est qu'il n'est pas sur le Bureau.

      Supprime par clic droit c:\Users\IsUser\Desktop\logiciels,outils\Combofix.exe

      Ensuite, tu le retélécharges ici :

      http://download.bleepingcomputer.com/sUBs/ComboFix.exe

      et tu le mets sur ton Bureau.

      Ensuite, tu fais démarrer, exécuter et tu tapes 

      combofix /uninstall


      1. stevio1203 Auteur
        slt, cool ca a marché! combofix desinstallé.
    7. Lyonnais92 Contributeur sécurité
      Re,

      tu peux refaire tourner SEAF en recherche sur sur Combofix et poster le rapport.
      1. stevio1203 Auteur
        http://www.cijoint.fr/cjlink.php?file=cj201004/cijvpla6aG.txt
      2. stevio1203 Auteur
        slt, alors t as regardé l rapport? il est en .exe pourtant mnt!
    8. Lyonnais92 Contributeur sécurité
      Bonjour,

      le problème vient des extensions:

      12. "c:\Users\IsUser\Desktop\logiciels,outils\Combofix.exe.exe" [ ----RA---- | 3923062 ]
      13. TC: 21/04/2010,23:06:45 | TM: 21/04/2010,23:06:50 | DA: 21/04/2010,23:06:40

      Il faut que tu le renommes Combofix.exe (pas Combofix.exe.exe)
      1. stevio1203 Auteur
        re,ce qui est dans c:\Users\IsUser\Desktop\logiciels,outils est le raccourci qui est mis en "combofix.exe"! je viens de changer pour essayer d eliminer un "exe" j ai donc renommé en "combofix" tout simplement ca va pas non plus, j vois pas ce que je dois faire desolé
    9. Lyonnais92 Contributeur sécurité
      Re,

      Télécharge [ http://pagesperso-orange.fr/NosTools/C_XX/SEAF.exe seaf.exe de C__XX ]

      hxxp://sd-1.archive-host.com/membres/up/16506160323759868/SF.exe

      *Double clique sur SEAF.exe.

      *Tape combofix dans la fenêtre.

      *Clique sur Lancer la recherche.

      *Patiente quelques minutes(tu peux suivre l'avancement du scan).

      *Une fenêtre avec un SEAFlog.txt va s'afficher.

      *Copie/colle ce rapport dans ta prochaine réponse.
      1. stevio1203 Auteur
        re tu as recu le rapport de seaf? je le vois plus!
      2. Lyonnais92 Contributeur sécurité
        Re,

        peut être un souci, je ne vois pas ma réponse.

        Mets le rapport dans un lien Cijoint.

        @+
      3. stevio1203 Auteur
        bonjour, revoici le rapport de SEAF d hier
        http://www.cijoint.fr/cjlink.php?file=cj201004/cijlkaL75O.txt
    10. Lyonnais92 Contributeur sécurité
      Re,

      il faut que tu redonnes à Combofix son nom d'origine.

      Et il y a un espace entre Combofix et /uninstall
      1. stevio1203 Auteur
        franchement desolé! j ai renommé dans "C" , j ai mis combofix, puis j ai essayé combofix .exe puis avec majuscule et il trouve rien, avec espace comme ceci? combofix /uninstall? son nom d origine c est bien ca??
    11. Lyonnais92 Contributeur sécurité
      Re,

      ce ne serait pas pareil.

      Pour rétablir la fonction Exécuter sous Vista, suis ce tuto :

      https://www.zebulon.fr/astuces/pratique/219-option-executer-dans-le-menu-demarrer-de-vista.html
      1. stevio1203 Auteur
        j admire ta patience et la clarté de tes explications!merci. pour executer c est fait, mais il trouve pas "combofix/uninstall"... ce que je renomme, antitruc, j ai 2 dossiers de ce nom dans "C" puis antitruc.exe et l autre antitruc.exe14929a, c est bien ca a renommer??
    12. Lyonnais92 Contributeur sécurité
      Bonjour,

      Il est lent depuis quand ?

      Renomme antitruc.exe en combofix.exe;

      Ensuite,

      fais Démarrer, Exécuter, tape 
      combofix /uninstall
      dans la zone de saisie puis clique sur OK.
      1. stevio1203 Auteur
        icone en bas a gauche, zone de saisie pareil? y a pas " executer"!!! si je desinstalle avec "revo uninstaller" ca va pas par hasard?? il est lent depuis hier je crois!!!
    13. Lyonnais92 Contributeur sécurité
      Re,

      on supprime les outils inutiles :

      Pour Vista : Clique droit sur l'icône ZHPFix.exe sur ton Bureau,
      puis sélectionne 'Exécuter en tant qu'administrateur'.

      Clique sur le A rouge (Nettoyeur de Tools).

      Clique sur Nettoyer.

      Fais redémarrer l'ordi pour terminer le nettoyage.

      ===

      Quelques conseils (merci kevlar) :

      Un compte limité accroit la sécurité

      Les mises à jour des programmes aussi

      Comment reconnaitre et éviter les programmes piégés

      Les dangers du P2P

      ===
      1. stevio1203 Auteur
        slt , voila qui est fait, ca n a supprimé que zhpdiag et seaf!!!!
        par contre l ordi est tres lent pour ouvrir une page ou meme redémarrer!
    14. Lyonnais92 Contributeur sécurité
      Re,

      pourquoi le dernier rapport ZHPDiag mentionne Avast 4 et pas Avast 5 ?

      Lance ZHPFix par clic droit et Exécuter en tant qu'administrateur.

      Le rapport de ZHPDiag apparait;

      Clique sur OK, ce qui fait apparaître un carré à gauche de chaque ligne.

      Coche la case devant :

      O16 - DPF: {CAFEEFAC-0016-0000-0014-ABCDEFFEDCBA} (Java Plug-in 1.6.0_14) - (.not file.) -

      O16 - DPF: {CAFEEFAC-0016-0000-0015-ABCDEFFEDCBA} (Java Plug-in 1.6.0_15) - (.not file.) -

      (vérifie bien que seules ces 2 lignes sont cochées)

      Clique sur "Nettoyer".

      Laisse l'outil travailler.

      Si il te demande de redémarrer l'ordi pour achever le nettoyage, fais le immédiatement.

      Le rapport d'exécution va apparaître dans la fenêtre.

      Copie le dans ta réponse.
      1. stevio1203 Auteur
        ZHPFix v1.12.3092 by Nicolas Coolman - Rapport de suppression du 28/04/2010 22:30:08
        Fichier d'export Registre : C:\ZHPExportRegistry-28-04-2010-22-30-08.txt
        Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

        Processus mémoire :
        (Néant)

        Module mémoire :
        (Néant)

        Clé du Registre :
        O16 - DPF: {CAFEEFAC-0016-0000-0014-ABCDEFFEDCBA} (Java Plug-in 1.6.0_14) - (.not file.) - => Clé supprimée avec succès
        [HKLM\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0014-ABCDEFFEDCBA}] => Clé supprimée avec succès
        [HKCR\CLSID\{CAFEEFAC-0016-0000-0014-ABCDEFFEDCBA}] => Clé supprimée avec succès
        O16 - DPF: {CAFEEFAC-0016-0000-0015-ABCDEFFEDCBA} (Java Plug-in 1.6.0_15) - (.not file.) - => Clé supprimée avec succès
        [HKLM\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0015-ABCDEFFEDCBA}] => Clé supprimée avec succès
        [HKCR\CLSID\{CAFEEFAC-0016-0000-0015-ABCDEFFEDCBA}] => Clé supprimée avec succès

        Valeur du Registre :
        (Néant)

        Elément de données du Registre :
        (Néant)

        Dossier :
        (Néant)

        Fichier :
        (Néant)

        Logiciel :
        (Néant)

        Script Registre :
        (Néant)

        Master Boot Record :
        (Néant)

        Autre :
        (Néant)

        Récapitulatif :
        Processus mémoire : 0
        Module mémoire : 0
        Clé du Registre : 6
        Valeur du Registre : 0
        Elément de données du Registre : 0
        Dossier : 0
        Fichier : 0
        Logiciel : 0
        Master Boot Record : 1
        Autre : 0

        End of the scan
      2. stevio1203 Auteur
        et pour avast je sais ,deja mis a jour c est mis
    15. Lyonnais92 Contributeur sécurité
      Re,

      que trouves tu bizarre ?

      Ouvre le Panneau de configuration et désinstalle toutes les versions de java qui ne sont pas la version 20.

      Celle-ci est installée ?
      1. stevio1203 Auteur
        et bien que dans ZHPDiag on parle tjs de mbr et infection rootkit possible et que les autres le trouve plus
      2. stevio1203 Auteur
        dans panneau de config.-programmes, je n ai que java(TM) 6 update 20 ca met!c est bon?
    16. Lyonnais92 Contributeur sécurité
      Re,

      fais redémarrer l'ordi, refais tourner ZHPDiag (clic droit ...) et poste le rapport dans un lien Cijoint.
      1. stevio1203 Auteur
        re http://www.cijoint.fr/cjlink.php?file=cj201004/cijDOCY1tG.txt
      2. stevio1203 Auteur
        c est bizarre car je n ai plus d alerte d avast et malware ne le detecte plus!!!!
    17. Lyonnais92 Contributeur sécurité
      Bonsoir,

      comme tu n'a jamais parlé de redirection dans tes recherches Google, je pense que c'est le driver de Daemon Tools qui provoque cette alerte.

      L'urgent, c'est d'améliorer la sécurité de l'ordi :

      - migre vers Avast 5 (clic droit sur le ballon bleu et mise à jour)

      - mets à jour la console java :

      Télécharge JavaRa.zip de Paul McLain et Fred de Vries.

      http://raproducts.org/click/click.php?id=1

      * Décompresse le fichier sur le Bureau (Clic droit > Extraire tout).
      * Double-clique sur le répertoire JavaRa.
      * Puis clic droit et exécuter en administrateur sur le fichier JavaRa.exe (le exe peut ne pas s'afficher).
      * Choisis Français puis clique sur Select.
      * Clique sur Recherche de mises à jour.
      * Sélectionne Mettre à jour via jucheck.exe puis clique sur Rechercher.
      * Autorise le processus à se connecter s'il le demande, clique sur Installer et suis les instructions d'installation qui prennent quelques minutes.
      * L'installation est terminée, reviens à l'écran de JavaRa et clique sur Effacer les anciennes versions.
      * Clique sur Oui pour confirmer. Laisse travailler et clique ensuite sur OK, puis une deuxième fois sur OK.
      * Un rapport va s'ouvrir. Poste-le dans ta prochaine réponse.
      * Ferme l'application.

      Note : le rapport se trouve aussi dans C:\ sous le nom JavaRa.log.

      1. stevio1203 Auteur
        slt a toi, voici pour java, j ai aussi mis avast a jour, (programme et base virale) ca me dit deja a jour!!!
        JavaRa 1.15 Removal Log.

        Report follows after line.

        ------------------------------------

        The JavaRa removal process was started on Wed Apr 28 20:34:02 2010

        Found and removed: C:\Users\IsUser\AppData\LocalLow\Sun\Java\jre1.6.0_14

        Found and removed: C:\Users\IsUser\AppData\LocalLow\Sun\Java\jre1.6.0_15

        Found and removed: C:\Users\IsUser\AppData\LocalLow\Sun\Java\jre1.6.0_17

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0000-0000-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0000-0001-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0000-0002-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0000-0003-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0000-0004-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0015-0000-0000-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0015-0000-0001-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0015-0000-0002-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0015-0000-0003-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0015-0000-0004-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0015-0000-0005-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0015-0000-0006-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0015-0000-0007-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0015-0000-0008-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0015-0000-0009-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0015-0000-0010-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0015-0000-0011-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0015-0000-0012-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0015-0000-0013-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0015-0000-0014-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0000-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0001-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0002-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0003-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0004-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0005-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0006-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0000-ABCDEFFEDCBB}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0001-ABCDEFFEDCBB}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0002-ABCDEFFEDCBB}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0003-ABCDEFFEDCBB}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0004-ABCDEFFEDCBB}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0005-ABCDEFFEDCBB}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0006-ABCDEFFEDCBB}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0000-ABCDEFFEDCBC}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0001-ABCDEFFEDCBC}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0002-ABCDEFFEDCBC}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0003-ABCDEFFEDCBC}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0004-ABCDEFFEDCBC}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0005-ABCDEFFEDCBC}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0006-ABCDEFFEDCBC}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0001-0000-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0001-0001-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0001-0002-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0001-0003-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0001-0004-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0001-0005-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0001-0006-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0001-0007-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0001-0000-ABCDEFFEDCBB}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0001-0001-ABCDEFFEDCBB}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0001-0002-ABCDEFFEDCBB}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0001-0003-ABCDEFFEDCBB}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0001-0004-ABCDEFFEDCBB}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0001-0005-ABCDEFFEDCBB}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0001-0006-ABCDEFFEDCBB}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0001-0007-ABCDEFFEDCBB}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0002-0000-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0002-0001-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0002-0002-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0002-0003-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0002-0004-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0002-0005-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0002-0006-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0002-0007-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0002-0008-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0002-0009-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0002-0010-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0002-0011-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0002-0012-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0002-0013-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0002-0014-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0002-0015-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0002-0016-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0002-0000-ABCDEFFEDCBB}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0002-0001-ABCDEFFEDCBB}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0002-0002-ABCDEFFEDCBB}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0002-0003-ABCDEFFEDCBB}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0002-0004-ABCDEFFEDCBB}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0002-0005-ABCDEFFEDCBB}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0002-0006-ABCDEFFEDCBB}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0002-0007-ABCDEFFEDCBB}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0002-0008-ABCDEFFEDCBB}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0002-0009-ABCDEFFEDCBB}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0002-0010-ABCDEFFEDCBB}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0002-0011-ABCDEFFEDCBB}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0002-0012-ABCDEFFEDCBB}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0002-0013-ABCDEFFEDCBB}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0002-0014-ABCDEFFEDCBB}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0002-0015-ABCDEFFEDCBB}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0014-0002-0016-ABCDEFFEDCBB}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0000-0003-ABCDEFFEDCBA}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0000-0004-ABCDEFFEDCBA}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0000-0005-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\JavaSoft\Java Web Start\1.0.1

        Found and removed: SOFTWARE\JavaSoft\Java Web Start\1.0.1_02

        Found and removed: SOFTWARE\JavaSoft\Java Web Start\1.0.1_03

        Found and removed: SOFTWARE\JavaSoft\Java Web Start\1.0.1_04

        Found and removed: SOFTWARE\JavaSoft\Java Web Start\1.2

        Found and removed: SOFTWARE\JavaSoft\Java Web Start\1.2.0_01

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0015-0000-0015-ABCDEFFEDCBA}

        Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0015-0000-0016-ABCDEFFEDCBA}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0000-ABCDEFFEDCBA}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0001-ABCDEFFEDCBA}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0001-ABCDEFFEDCBB}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0002-ABCDEFFEDCBA}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0002-ABCDEFFEDCBB}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0003-ABCDEFFEDCBA}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0003-ABCDEFFEDCBB}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0004-ABCDEFFEDCBA}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0004-ABCDEFFEDCBB}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0005-ABCDEFFEDCBA}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0005-ABCDEFFEDCBB}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0006-ABCDEFFEDCBA}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0006-ABCDEFFEDCBB}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0007-ABCDEFFEDCBA}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0007-ABCDEFFEDCBB}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0008-ABCDEFFEDCBA}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0008-ABCDEFFEDCBB}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0009-ABCDEFFEDCBA}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0009-ABCDEFFEDCBB}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0010-ABCDEFFEDCBA}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0010-ABCDEFFEDCBB}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0011-ABCDEFFEDCBA}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0011-ABCDEFFEDCBB}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0012-ABCDEFFEDCBA}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0012-ABCDEFFEDCBB}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0013-ABCDEFFEDCBA}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0013-ABCDEFFEDCBB}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0014-ABCDEFFEDCBA}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0014-ABCDEFFEDCBB}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0015-ABCDEFFEDCBA}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0015-ABCDEFFEDCBB}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0016-ABCDEFFEDCBA}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0016-ABCDEFFEDCBB}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0017-ABCDEFFEDCBA}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0017-ABCDEFFEDCBB}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0018-ABCDEFFEDCBA}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0018-ABCDEFFEDCBB}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0019-ABCDEFFEDCBA}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0019-ABCDEFFEDCBB}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0020-ABCDEFFEDCBA}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0020-ABCDEFFEDCBB}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0021-ABCDEFFEDCBA}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0021-ABCDEFFEDCBB}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0022-ABCDEFFEDCBA}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0022-ABCDEFFEDCBB}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0023-ABCDEFFEDCBA}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0023-ABCDEFFEDCBB}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0024-ABCDEFFEDCBA}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0024-ABCDEFFEDCBB}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0025-ABCDEFFEDCBA}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0025-ABCDEFFEDCBB}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0026-ABCDEFFEDCBA}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0026-ABCDEFFEDCBB}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0027-ABCDEFFEDCBA}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0027-ABCDEFFEDCBB}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0028-ABCDEFFEDCBA}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0028-ABCDEFFEDCBB}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0029-ABCDEFFEDCBA}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0029-ABCDEFFEDCBB}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0030-ABCDEFFEDCBA}

        Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0030-ABCDEFFEDCBB}

        Found and removed: SOFTWARE\Microsoft\Active Setup\Installed Components\{08B0E5C0-4FCB-11CF-AAA5-00401C608500}

        ------------------------------------

        Finished reporting.
    18. Lyonnais92 Contributeur sécurité
      Re,

      on a réussi si tu as bien fais redémarrer l'ordi entre he Avenger et SEAF.

      Sinon, tu le fais redémarrer et tu refais tourner SEAF.

      Si tu avais fait redémarer, refais tourner ZHPdiag (clic droit ...) et poste le rapport dans un lien Cijoint.
      1. stevio1203 Auteur
        oui j avais bien redémarré mais bizarre ici ca parle encore du rootkit,mbr et tout ,j te laisse voir par toi meme
        http://www.cijoint.fr/cjlink.php?file=cj201004/cijuHVjoE9.txt
      2. stevio1203 Auteur
        t as eu l temps d regarder? t en pense quoi?
    19. Lyonnais92 Contributeur sécurité
      Re,

      1. Télécharge The Avenger par Swandog46 sur le Bureau

      http://www.geekstogo.com/forum/files/file/393-the-avenger-by-swandog46/

      Clique sur Avenger.zip pour ouvrir le fichier
      Extraire avenger.exe sur le bureau

      2. Copier tout le texte en gras ci-dessous : mettre en surbrillance et appuyer sur les touches(Ctrl+C):

      Begin copying here:

      Files to delete:
      c:\Windows\System32\drivers\awxjzj.sys

      Drivers to delete:
      awxjzj

      Registry keys to delete:

      HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_AWXJZJ
      HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_AWXJZJ
      HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_AWXJZJ
      HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Enum\Root\LEGACY_AWXJZJ


      IMPORTANT: Le code ci-dessus a été intentionnellement rédigé pour CET utilisateur.
      si vous n'êtes pas CET utilisateur, NE PAS appliquer ces directives : elles pourraient endommager votre système.

      Ferme toutes les applications et ton navigateur

      3. Maintenant, lance The Avenger en cliquant sur son icône du bureau.

      Vérifie que la case devant "Automatically disable any rootkits found" n'est pas cochée.

      Cclique sur l'icone de droite (en rose et bleu). Le texte va se copier dans la fenêtre.

      Clique sur Execute

      4. The Avenger va automatiquement faire ce qui suit:

      Il va Re-démarrer le système.
      Pendant le re-démarrage, il apparaitra brièvement une fenêtre de commande de windows noire sur le bureau, ceci est NORMAL.
      Après le re-démarrage, il crée un fichier log qui s'ouvrira, faisant apparaitre les actions exécutées par The Avenger. Ce fichier log se trouve ici : C:\avenger.txt
      The Avenger aura également sauvegardé tous les fichiers, etc., que tu lui as demandé de supprimer, les aura compactés (zipped) et tranféré l'archive zip ici C:\avenger\backup.zip.

      5. Pour finir copier/coller le contenu du ficher c:\avenger.txt dans ta réponse

      ===

      Fais redémarrer l'ordi et relance la manip avec SEAF.

      Poste le nouveau rapport.
      1. stevio1203 Auteur
        bonjour lyonnais, voici tout d abord le rapport de avenger, seaf suit!
        Logfile of The Avenger Version 2.0, (c) by Swandog46
        http://swandog46.geekstogo.com

        Platform: Windows Vista

        *******************

        Script file opened successfully.
        Script file read successfully.

        Backups directory opened successfully at C:\Avenger

        *******************

        Beginning to process script file:

        Rootkit scan active.
        No rootkits found!

        File "c:\Windows\System32\drivers\awxjzj.sys" deleted successfully.
        Driver "awxjzj" deleted successfully.
        Registry key "HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_AWXJZJ" deleted successfully.

        Error: registry key "HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_AWXJZJ" not found!
        Deletion of registry key "HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_AWXJZJ" failed!
        Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
        --> the object does not exist

        Error: registry key "HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_AWXJZJ" not found!
        Deletion of registry key "HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_AWXJZJ" failed!
        Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
        --> the object does not exist

        Registry key "HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Enum\Root\LEGACY_AWXJZJ" deleted successfully.

        Completed script processing.

        *******************

        Finished! Terminate.
      2. stevio1203 Auteur
        re et voila seaf
        1. ========================= SEAF 1.0.0.7 - C_XX
        2.
        3. Commencé à: 16:00:29 le 27/04/2010
        4.
        5. Valeur(s) recherchée(s):
        6.
        7. awxjzj
        8.
        9. (!) --- Recherche registre
        10.
        11. ====== Fichier(s) (TC: Date de création, TM: Date de modification, DA, Dernier accès) ======
        12.
        13. "c:\Qoobox\Quarantine\Registry_backups\Legacy_AWXJZJ.reg.dat" [ ----A---- | 1076 ]
        14. TC: 26/04/2010,12:32:53 | TM: 26/04/2010,14:04:07 | DA: 26/04/2010,12:32:53
        15.
        16. =========================
        17.
        18. "c:\Qoobox\Quarantine\Registry_backups\Service_awxjzj.reg.dat" [ ----A---- | 74 ]
        19. TC: 26/04/2010,12:32:54 | TM: 26/04/2010,14:04:07 | DA: 26/04/2010,12:32:54
        20.
        21. =========================
        22.
        23. ====== Dossier(s) (TC: Date de création, TM: Date de modification, DA, Dernier accès) ======
        24.
        25. Aucun dossier trouvé
        26.
        27.
        28. ====== Entrée(s) du registre ======
        29.
        30. Aucune entrée du registre trouvée
        31.
        32. =========================
        33.
        34. Fin à: 16:03:04 le 27/04/2010 ( E.O.F )
      3. stevio1203 Auteur
        je pense que tu as enfin reussi!!!!!!! j attends ta confirmation ca serait trop genial!!!!!!!!
    20. Lyonnais92 Contributeur sécurité
      Re,

      Télécharge [ http://pagesperso-orange.fr/NosTools/C_XX/SEAF.exe seaf.exe de C__XX ]

      hxxp://sd-1.archive-host.com/membres/up/16506160323759868/SF.exe

      *Double clique sur SEAF.exe.

      *Coche "Chercher également dans le registre".

      *Tape awxjzj dans la fenêtre.

      *Clique sur Lancer la recherche.

      *Patiente quelques minutes(tu peux suivre l'avancement du scan).

      *Une fenêtre avec un SEAFlog.txt va s'afficher.

      *Copie/colle ce rapport dans ta prochaine réponse.
      1. stevio1203 Auteur
        1. ========================= SEAF 1.0.0.7 - C_XX
        2.
        3. Commencé à: 19:49:22 le 26/04/2010
        4.
        5. Valeur(s) recherchée(s):
        6.
        7. awxjzj
        8.
        9. (!) --- Recherche registre
        10.
        11. ====== Fichier(s) (TC: Date de création, TM: Date de modification, DA, Dernier accès) ======
        12.
        13. "c:\Windows\System32\drivers\awxjzj.sys" [ ----A---- | 829440 ]
        14. TC: 19/04/2010,19:49:51 | TM: 26/04/2010,19:50:20 | DA: 19/04/2010,19:49:51
        15.
        16. =========================
        17.
        18. "c:\Qoobox\Quarantine\Registry_backups\Legacy_AWXJZJ.reg.dat" [ ----A---- | 1076 ]
        19. TC: 26/04/2010,12:32:53 | TM: 26/04/2010,14:04:07 | DA: 26/04/2010,12:32:53
        20.
        21. =========================
        22.
        23. "c:\Qoobox\Quarantine\Registry_backups\Service_awxjzj.reg.dat" [ ----A---- | 74 ]
        24. TC: 26/04/2010,12:32:54 | TM: 26/04/2010,14:04:07 | DA: 26/04/2010,12:32:54
        25.
        26. =========================
        27.
        28. ====== Dossier(s) (TC: Date de création, TM: Date de modification, DA, Dernier accès) ======
        29.
        30. Aucun dossier trouvé
        31.
        32.
        33. ====== Entrée(s) du registre ======
        34.
        35.
        36.
        37. [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_AWXJZJ\0000]
        38. "DeviceDesc"="awxjzj"
        39.
        40. [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_AWXJZJ\0000]
        41. "Service"="awxjzj"
        42.
        43. [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_AWXJZJ\0000\Control]
        44. "ActiveService"="awxjzj"
        45.
        46. [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Enum\Root\LEGACY_AWXJZJ\0000]
        47. "DeviceDesc"="awxjzj"
        48.
        49. [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Enum\Root\LEGACY_AWXJZJ\0000]
        50. "Service"="awxjzj"
        51.
        52. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_AWXJZJ\0000]
        53. "DeviceDesc"="awxjzj"
        54.
        55. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_AWXJZJ\0000]
        56. "Service"="awxjzj"
        57.
        58. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_AWXJZJ\0000\Control]
        59. "ActiveService"="awxjzj"
        60.
        61. =========================
        62.
        63. Fin à: 19:51:17 le 26/04/2010 ( E.O.F )
    • 1
    • 2
    • 3

    Discussions similaires

    Virus ou rootkit, help !
    antoum

    13 réponses
    win32 Rootkit
    Mary

    8 réponses