Problème Rootkit

Question

Bonjour, alors voilà cela fait 2ans et demi que j'ai un problème de reboot, Le première fois (il y a 2ans) j'ai emmener mon pc à réparer car ça en était arriver a un stade ou je ne pouvais plus acceder a ma session, puis ensuite plus de problème jusqu'à 7mois plus tard même problème, j'ai laisser mon pc de coté jusqu'a il y a quelques semaines , voulant à tout prix le régler, j'ai décider de le reformater, cela a marcher pendant une semaine puis là ça recommence, j'ai alors trouver la source du problème grave a Combofix : c'est un rootkit, mais voila je ne peux finir l'analyse de Combofix vu qu'il reboot en plein milieu avec le message d'alerte " combofix a détecté la présence de rootkit et a besoin de faire redémarer votre machine " donc j'ai surfer sur le net, et j'ai trouver " GMER " et là paf rien n'est detecter .. Que faire ?

  Malgrè la contribution de archet9 , problème toujours non résolu (voir  page 2) j'ai utilisé Combo fix, GMER , MBAM , ZHPDiag, Super Antispyware , Kill'em ( de gen-hackman ) mais malgré que les rootkits ne soit plus présent sur l'ordinateur , il continu a redemarré ....

archet9 · Answer

Bonsoir, 

Combofix n'est pas un jouet que tu peux utliser à ta guise....C'est un logiciel 
tres puissant qu'il faut maniier avec un minimum de connaissances !!!!! 

Si Combofix reboot ton pc durant l'analyse, c'est normal....il fait ce pour quoi il a été creé... 

L'as tu interrompu suite à ce reboot ou l"as tu laisser continuer ? 

Vas ds C:\Combofix.txt et regardes si tu y trouves un rapport.... 


....."contributeur sécurité".....o°ô"

Thelifestyle · Answer

Bonjour, je vous parle à partir de mon portable, Il se trouve qu'en essayant de régler ce problème j'en ai creer un nouveau ... Il se trouve que désormais après le chargement de Win Xp pro mon écran reste noir.. J'ai voulu me prendre pour une apprentie sorcière et voila le resultat !! Auriez-vous une solution ?

archet9 · Answer

Essaye de redemarrer en mode sans échec...

Thelifestyle · Answer

Ça marche pas ! :(

archet9 · Answer

C"est à dire....écran noir aussi ?

Thelifestyle · Answer

Oui avec le curseur " _ " qui clignote indefiniment.

archet9 · Answer

Bah...Formatage en vue  !!!!!

Thelifestyle · Answer

Oh non c'est vrai ??? pas d'autres alternatives ?

Thelifestyle · Answer

Ah ! J'ai débrancher et rebrancher l'alimentation et le problème était régler ! Par contre je n'ai pas le rapport de Combofix ...

archet9 · Answer

Pour un diagnostic du pc:

Télécharge ZHPDiag (de Nicolas Coolman) sur ton bureau 
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html 

Une fois le téléchargement achevé, double clique sur ZHPDiag.exe et suis les instructions. 

/!\Utilisateurs de Vista et Windows 7 : Clique droit sur le logo de ZHPDiag.exe, « exécuter en tant qu'Administrateur » 

N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau. 
- Double clique sur le raccourci ZHPDiag sur ton Bureau pour le lancer. 
(/!\L'outil a créé 2 icônes ZHPDiag et ZHPFix) 
- Clique sur la loupe pour lancer l'analyse. 
- Laisse l'outil travailler, il peut être assez long. 
- Ferme ZHPDiag en fin d'analyse. 
- Pour transmettre le rapport clique sur ce lien : http://www.cijoint.fr/ 
- Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag). 
- Sélectionne le fichier ZHPDiag.txt. 
- Clique sur "Cliquez ici pour déposer le fichier". 
- Un lien de cette forme : http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt est ajouté dans la page. 
- Copie ce lien dans ta réponse.

Thelifestyle · Answer

http://www.cijoint.fr/cjlink.php?file=cj201011/cijqXnbiap.txt Voila !

archet9 · Answer

Télécharge et installe AD-Remover (C_XX) sur le bureau 
http://www.teamxscript.org/adremoverTelechargement.html 
  

Désactive la protection résidente de ton anti-virus pour ne pas gêner le travail de l'outil  

* Lance Ad-R  
- Sous XP double-clic sur l'icône pour lancer l'outil.  
- Sous Vista/Seven clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel.  
* Clique sur "Oui" dans la boite de dialogue  
* Dans l'interface principale, clique sur le bouton Nettoyer  
puis confirme l'action en cliquant sur "Oui"  
* Patiente le temps du scan (le bureau peut disparaitre), le rapport doit s'ouvrir spontanément à la fin.  
* Clique sur Quitter  

Copie/colle le rapport dans ton prochain message.  

Si le rapport ne s'ouvre pas spontanément, il se trouve à la racine du disque C:\Ad-report-CLEAN  

"Process.exe" est détecté par certains antivirus comme étant un RiskTool.  
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus  


....."contributeur sécurité".....o°ô"

Thelifestyle · Answer

http://www.cijoint.fr/cjlink.php?file=cj201011/cijXeQwXiD.txt :)

archet9 · Answer

Télécharge MBAM et installe le selon l'emplacement par défaut 
* Effectue la mise à jour et lance Malwarebytes' Anti-Malware 
* Clique dans l'onglet du haut "Recherche" 
* Coche l'option "Exécuter un examen rapide" puis sur le bouton "Rechercher" 
* Choisis de scanner tous tes disques durs, puis clique sur 'Lancer l'examen" 

A la fin de l'analyse, si MBAM n'a rien trouvé : 

* Clique sur OK, le rapport s'ouvre spontanément 

Si des menaces ont été détectées : 

* Clique sur OK puis "Afficher les résultats" 
* Choisis l'option "Supprimer la sélection" 
* Si MBAM demande le redémarrage de Windows : Clique sur "Oui" 
* Une fois le PC redémarré, le rapport se trouve dans l'onglet "Rapports/Logs" 
* Sinon le rapport s'ouvre automatiquement après la suppression 

Quelque soit le résultat, copie/colle le rapport dans le prochain message

Thelifestyle · Answer

Malwarebytes' Anti-Malware 1.46 
www.malwarebytes.org 

Version de la base de données: 5103 

Windows 5.1.2600 Service Pack 3 
Internet Explorer 6.0.2900.5512 

13/11/2010 10:36:19 
mbam-log-2010-11-13 (10-36-19).txt 

Type d'examen: Examen rapide 
Elément(s) analysé(s): 132089 
Temps écoulé: 11 minute(s), 56 seconde(s) 

Processus mémoire infecté(s): 0 
Module(s) mémoire infecté(s): 0 
Clé(s) du Registre infectée(s): 0 
Valeur(s) du Registre infectée(s): 0 
Elément(s) de données du Registre infecté(s): 0 
Dossier(s) infecté(s): 0 
Fichier(s) infecté(s): 0 

Processus mémoire infecté(s): 
(Aucun élément nuisible détecté) 

Module(s) mémoire infecté(s): 
(Aucun élément nuisible détecté) 

Clé(s) du Registre infectée(s): 
(Aucun élément nuisible détecté) 

Valeur(s) du Registre infectée(s): 
(Aucun élément nuisible détecté) 

Elément(s) de données du Registre infecté(s): 
(Aucun élément nuisible détecté) 

Dossier(s) infecté(s): 
(Aucun élément nuisible détecté) 

Fichier(s) infecté(s): 
(Aucun élément nuisible détecté)


Mon pc n'a toujours pas rebooter je pense que le problème est réglé ! Merci !

Thelifestyle · Answer

Ah non, il vient de redemarrer en fin de compte ...

archet9 · Answer

Désinstalle ta version de Combofix ainsi:
Dans Démarrer / Exécuter > copie/colle combofix /uninstall


Réinstalle le et lance le en suivant ces recommandations:


Télécharge ComboFix à partir de ce lien : 

http://download.bleepingcomputer.com/sUBs/ComboFix.exe 


Enregistre le sur le bureau (Important) 

Avant d'utiliser ComboFix : 

 Déconnecte toi d'internet et referme les fenêtres de tous les programmes en cours. 

 Désactive provisoirement et seulement le temps de l'utilisation de ComboFix, 
la protection en temps réel de ton Antivirus et de tes Antispywares, 
qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil. 


Une fois fait, sur ton bureau double-clic sur Combofix.exe. 

- Répond oui au message d'avertissement, pour que le programme commence à procéder à l'analyse du pc. 

/!\ Pendant la durée de cette étape, ne te sert pas du pc et n'ouvre aucun programmes. 

- En fin de scan il est possible que ComboFix ait besoin de redémarrer le pc pour finaliser la désinfection\recherche, laisses-le faire. 

- Un rapport s'ouvrira ensuite dans le bloc notes, ce fichier rapport Combofix.txt,. 
est automatiquement sauvegardé et rangé à C:\Combofix.txt) 

 Réactive la protection en temps réel de ton Antivirus et de tes Antispywares, 
avant de te reconnecter à internet. 

Copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

Thelifestyle · Answer

Comment faire pour l'enregistre DIRECTEMENT dans le bureau ? Car quand je télécharge ça s'enregistre dans " téléchargement " automatiquement.

archet9 · Answer

Regarde bien ce tuto et suis le bien....
https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

Thelifestyle · Answer

http://www.cijoint.fr/cjlink.php?file=cj201011/cijMyWr1FL.txt Voici le rapport

archet9 · Answer

Du mieux ou pas?

Un nouveau ZHpdiag stp

Thelifestyle · Answer

http://www.cijoint.fr/cjlink.php?file=cj201011/cijf3Nodwr.txt

Cette fois-ci il n'y avait pas de ligne écrite en rouge ! Je crois que c'est bon signe lol

archet9 · Answer

"Cette fois-ci il n'y avait pas de ligne écrite en rouge"
Peux-tu me dire ou tu voyais ces lines rouges?

Thelifestyle · Answer

Eh bien dans les analyses de ZHPDiag certaines lignes apparaissaient en rouge en fait.

Thelifestyle · Answer

Oh non ! Il vient de redemarrer encore fois 5minutes après avoir lancer Megavideo , ce problème n'aura donc jamais d'issus ..? :(

archet9 · Answer

"ce problème n'aura donc jamais d'issus ..? :("

==> On cherche !!!!!

Télécharge et enregistre List_Kill'em (de gen-hackman) sur le Bureau. 
http://sd-4.archive-host.com/membres/up/829108531491024/Mes_Tools/List_Killem_Install.exe

!! Important => Désactive ton antivirus !! 

* Lance l'installation 
- Sous XP double-clic sur l'icône pour lancer l'outil. 
- Sous Vista/Seven clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
* Laisse toi guider par le programme, en cliquant à chaque fois sur suivant 
* Clique enfin sur "Terminer" et le programme va se lancer 
* Choisis l'option "Search" 
* Patiente pendant le travail de l'outil qui peut prendre plusieurs minutes 
* A l'apparition d'une fenêtre blanche, même si c'est long, c'est normal, le programme n'est pas bloqué. 
* Un rapport "catchme" apparait sur le bureau, ignore-le, il disparaitra en fin de scan 
* Le rapport s'ouvre spontanément après 100 % du scan à l'ecran "COMPLETED" 
* Héberge le rapport sur http://www.cijoint.fr

Thelifestyle · Answer

Lorsque j'essaye de l'héberger sur cijoint.fr il est écrit " erreur interne - erreur 500 "

archet9 · Answer

poste le rapport ici alors sans passer par ci-joint...

Thelifestyle · Answer

Ah non trop long pour rentrer en entier !

archet9 · Answer

Relance List_Kill'em avec le raccourci blanc créé sur ton bureau. 

- Sous XP double-clic sur l'icône pour lancer l'outil. 
- Sous Vista/Seven clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 

* Choisis l'Option Clean 
* Une boite de dialogue t'indique que le PC va redémarrer 
* Patiente pendant le travail de l'outil qui peut prendre plusieurs minutes 
* Lorsque le scan est fini, la fenêtre se ferme et un rapport va se créer 
* Héberge le rapport sur http://www.cijoint.fr

Thelifestyle · Answer

Toujours " Erreur 500 " Mais il est assez court pour que je le colle ici

¤¤¤¤¤¤¤¤¤¤ Kill'em by g3n-h@ckm@n 2.1.2.0 ¤¤¤¤¤¤¤¤¤¤ 
 
User : Administrateur (Administrateurs) 
Update on 21/11/2010 by g3n-h@ckm@n ::::: 01.15
Start at: 12:00:59 | 21/11/2010

              Intel(R) Pentium(R) 4 CPU 3.00GHz
Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 3
Internet Explorer 6.0.2900.5512
Windows Firewall Status : Enabled
AV : Kaspersky Anti-Virus 11.0.1.400 [ (!) Disabled | Updated ]

C:\ -> Disque fixe local | 232,88 Go (226,01 Go free) | NTFS
D:\ -> Disque amovible
E:\ -> Disque amovible
F:\ -> Disque amovible
G:\ -> Disque amovible
H:\ -> Disque amovible
I:\ -> Disque CD-ROM
 

¤¤¤¤¤¤¤¤¤¤ Files/folders : 

Quarantined & Deleted !! : \AUTOEXEC.BAT   
Quarantined & Deleted !! : C:\WINDOWS\SET3.tmp   
Quarantined & Deleted !! : C:\WINDOWS\SET4.tmp   
Quarantined & Deleted !! : C:\WINDOWS\SET8.tmp   
Quarantined & Deleted !! : C:\WINDOWS\Installer\{86D4B82A-ABED-442A-BE86-96357B70F4FE}   
Quarantined & Deleted !! : C:\WINDOWS\Temp\klsB86B.tmp   
Quarantined & Deleted !! : C:\WINDOWS\Temp\klsC163.tmp   
 
¤¤¤¤¤¤¤¤¤¤ Hosts ¤¤¤¤¤¤¤¤¤¤

127.0.0.1       localhost   

¤¤¤¤¤¤¤¤¤¤ Registry ¤¤¤¤¤¤¤¤¤¤

Deleted : "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer" : "NoDrives"   
Deleted : HKLM\software\microsoft\windows\currentversion\installer\userdata\S-1-5-18\Components\0E12F736682067FDE4D1158D5940A82E    
Deleted : HKLM\software\microsoft\windows\currentversion\installer\userdata\S-1-5-18\Components\1A24B5BB8521B03E0C8D908F5ABC0AE6    
Deleted : HKLM\software\microsoft\windows\currentversion\installer\userdata\S-1-5-18\Components\2B0D56C4F4C46D844A57FFED6F0D2852    
Deleted : HKLM\software\microsoft\windows\currentversion\installer\userdata\S-1-5-18\Components\49D4375FE41653242AEA4C969E4E65E0    
Deleted : HKLM\software\microsoft\windows\currentversion\installer\userdata\S-1-5-18\Components\6AA0923513360135B272E8289C5F13FA    
Deleted : HKLM\software\microsoft\windows\currentversion\installer\userdata\S-1-5-18\Components\6F7467AF8F29C134CBBAB394ECCFDE96    
Deleted : HKLM\software\microsoft\windows\currentversion\installer\userdata\S-1-5-18\Components\741B4ADF27276464790022C965AB6DA8    
Deleted : HKLM\software\microsoft\windows\currentversion\installer\userdata\S-1-5-18\Components\7DE196B10195F5647A2B21B761F3DE01    
Deleted : HKLM\software\microsoft\windows\currentversion\installer\userdata\S-1-5-18\Components\922525DCC5199162F8935747CA3D8E59    
Deleted : HKLM\software\microsoft\windows\currentversion\installer\userdata\S-1-5-18\Components\9D4F5849367142E4685ED8C25E44C5ED    
Deleted : HKLM\software\microsoft\windows\currentversion\installer\userdata\S-1-5-18\Components\A5875B04372C19545BEB90D4D606C472    
Deleted : HKLM\software\microsoft\windows\currentversion\installer\userdata\S-1-5-18\Components\A876D9E80B896EC44A8620248CC79296    
Deleted : HKLM\software\microsoft\windows\currentversion\installer\userdata\S-1-5-18\Components\B66FFAB725B92594C986DE826A867888    
Deleted : HKLM\software\microsoft\windows\currentversion\installer\userdata\S-1-5-18\Components\BCDA179D619B91648538E3394CAC94CC    
Deleted : HKLM\software\microsoft\windows\currentversion\installer\userdata\S-1-5-18\Components\D677B1A9671D4D4004F6F2A4469E86EA    
Deleted : HKLM\software\microsoft\windows\currentversion\installer\userdata\S-1-5-18\Components\DD1402A9DD4215A43ABDE169A41AFA0E    
Deleted : HKLM\software\microsoft\windows\currentversion\installer\userdata\S-1-5-18\Components\E36E114A0EAD2AD46B381D23AD69CDDF    
Deleted : HKLM\software\microsoft\windows\currentversion\installer\userdata\S-1-5-18\Components\EF8E618DB3AEDFBB384561B5C548F65E    
Deleted : HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MEMSWEEP2    
Deleted : HKLM\SYSTEM\CurrentControlSet\Services\MEMSWEEP2    
Deleted : HKLM\SYSTEM\ControlSet002\Enum\Root\LEGACY_MEMSWEEP2    
Deleted : HKLM\SYSTEM\ControlSet002\Services\MEMSWEEP2    

¤¤¤¤¤¤¤¤¤¤ Internet Explorer ¤¤¤¤¤¤¤¤¤¤

[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
Start Page	=         	https://www.msn.com/fr-fr/?ocid=iehp
Local Page	=         	C:\WINDOWS\system32\blank.htm
Default_Search_URL	=         	https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
Default_Page_URL	=         	https://www.msn.com/fr-fr/?ocid=iehp
Search Page	=         	https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
Start Page	=         	https://www.google.com/?gws_rd=ssl
Local Page	=         	C:\WINDOWS\system32\blank.htm
Search Page	=         	http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

¤¤¤¤¤¤¤¤¤¤ Security Center ¤¤¤¤¤¤¤¤¤¤

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center] 
FirstRunDisabled	=      	1 (0x1) 
AntiVirusDisableNotify	=      	0 (0x0) 
FirewallDisableNotify	=      	0 (0x0) 
UpdatesDisableNotify	=      	0 (0x0) 
AntiVirusOverride	=      	0 (0x0) 
FirewallOverride	=      	0 (0x0) 
 
¤¤¤¤¤¤¤¤¤¤ Services ¤¤¤¤¤¤¤¤¤¤

 Ndisuio : Start = 3   
 EapHost : Start = 2   
 Ip6Fw : Start = 2   
 SharedAccess : Start = 2   
 wuauserv : Start = 2   
 wscsvc : Start = 2   
 
 ¤¤¤¤¤¤¤¤¤¤ Winlogon
 
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 
 Shell	=         	explorer.exe 
 Userinit	=         	C:\WINDOWS\System32\userinit.exe, 

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
Disk Cleaned
anti-ver blaster : OK  
Prefetch cleaned 
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

FEATURE_BROWSER_EMULATION | svchost : 
====================================
 

Stealth MBR rootkit/Mebroot/Sinowal/TDL4 detector 0.4.2 by Gmer, http://www.gmer.net
Windows 5.1.2600 Disk: Hitachi_ rev.1.00 -> Harddisk0\DR0 -> \Device\Scsi\SiSRaid21Port2Path0Target0Lun0 

device: opened successfully
user: MBR read successfully

Disk trace:
called modules: ntoskrnl.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll SCSIPORT.SYS SiSRaid2.sys 
C:\WINDOWS\system32\drivers\SiSRaid2.sys Silicon Integrated Systems Corp. SiS 0182/1182 RAID Controller
1 nt!IofCallDriver[0x804E13B9] -> \Device\Harddisk0\DR0[0x86F47AB8]
3 CLASSPNP[0xF77A1FD7] -> nt!IofCallDriver[0x804E13B9] -> \Device\00000069[0x86F48F18]
5 ACPI[0xF71D5620] -> nt!IofCallDriver[0x804E13B9] -> \Device\Scsi\SiSRaid21Port2Path0Target0Lun0[0x86F49998]
kernel: MBR read successfully
user & kernel MBR OK 
 


End of Scan : 12:01:30,64

 
 
 
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

archet9 · Answer

Comment se comporte le pc maintenant ?

Thelifestyle · Answer

Il vient de redemarrer..

archet9 · Answer

Fais ce scan en ligne....
https://www.kaspersky.fr/downloads

Si rien de mieux ensuite il faudra mieux s'orienter vers une solution matérielle....

Thelifestyle · Answer

Il faut selectionner un fichier

archet9 · Answer

oUPS!!!!! Me suis gouré ds le lien ....!!!! 
ICI 
....."contributeur sécurité".....o°ô"

Thelifestyle · Answer

Je pense que tu t'y attends mais rien n'a été detecté..

archet9 · Answer

je coupe ce soir.......

Thelifestyle · Answer

Plus aucune idée ? :/

Thelifestyle · Answer

UP !

archet9 · Answer

As tu regardé du coté du coté de tes points de restauration, si toutefois tu en avais un antérieur à res soucis actuels?

Problème Rootkit

41 réponses

Discussions similaires

Newsletters