Rapport Roguekiller DDOS
Résolu
Bonjour,
Voilà, je soupçonne d'etre ddos par quelqu'un et mon ordinateur est infecté je pense...
Antivir m'alerte d'un virus dans C :\Program Files\ Skype\Phone\Skypr.exe : TR/Crypt.XPACK.gen
Voici un rapport de RogueKiller mode suppression
RogueKiller V8.5.1 [Feb 12 2013] par Tigzy
mail : tigzyRK<at>gmail<dot>com
Remontees : https://www.luanagames.com/index.fr.html
Site Web : https://www.luanagames.com/index.fr.html
Blog : http://tigzyrk.blogspot.com/
Systeme d'exploitation : Windows XP (5.1.2600 Service Pack 3) 32 bits version
Demarrage : Mode normal
Utilisateur : Administrateur [Droits d'admin]
Mode : Suppression -- Date : 03/05/2013 19:25:43
| ARK || FAK || MBR |
¤¤¤ Processus malicieux : 2 ¤¤¤
[SUSP PATH] presetup.exe -- C:\Documents and Settings\Administrateur.ORDI-XPSP2.001\Local Settings\Temp\RarSFX0\presetup.exe [7] -> TUÉ [TermProc]
[SUSP PATH] setup.exe -- C:\Documents and Settings\Administrateur.ORDI-XPSP2.001\Local Settings\Temp\RarSFX0\setup.exe [7] -> TUÉ [TermProc]
¤¤¤ Entrees de registre : 0 ¤¤¤
¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤
¤¤¤ Driver : [CHARGE] ¤¤¤
SSDT[25] : NtClose @ 0x80567B6D -> HOOKED (Unknown @ 0xF8EE92F4)
SSDT[41] : NtCreateKey @ 0x805737EF -> HOOKED (Unknown @ 0xF8EE92AE)
SSDT[50] : NtCreateSection @ 0x805653B3 -> HOOKED (Unknown @ 0xF8EE92FE)
SSDT[53] : NtCreateThread @ 0x8057888D -> HOOKED (Unknown @ 0xF8EE92A4)
SSDT[63] : NtDeleteKey @ 0x80595A22 -> HOOKED (Unknown @ 0xF8EE92B3)
SSDT[65] : NtDeleteValueKey @ 0x80593642 -> HOOKED (Unknown @ 0xF8EE92BD)
SSDT[68] : NtDuplicateObject @ 0x80574942 -> HOOKED (Unknown @ 0xF8EE92EF)
SSDT[98] : NtLoadKey @ 0x805ADC0B -> HOOKED (Unknown @ 0xF8EE92C2)
SSDT[122] : NtOpenProcess @ 0x80574B29 -> HOOKED (Unknown @ 0xF8EE9290)
SSDT[128] : NtOpenThread @ 0x80590C64 -> HOOKED (Unknown @ 0xF8EE9295)
SSDT[193] : NtReplaceKey @ 0x8064FFD4 -> HOOKED (Unknown @ 0xF8EE92CC)
SSDT[204] : NtRestoreKey @ 0x8064FB69 -> HOOKED (Unknown @ 0xF8EE92C7)
SSDT[213] : NtSetContextThread @ 0x8062E763 -> HOOKED (Unknown @ 0xF8EE9303)
SSDT[247] : NtSetValueKey @ 0x8057DA5B -> HOOKED (Unknown @ 0xF8EE92B8)
SSDT[257] : NtTerminateProcess @ 0x805857B9 -> HOOKED (Unknown @ 0xF8EE929F)
¤¤¤ Fichier HOSTS: ¤¤¤
--> C:\WINDOWS\C\system32\drivers\etc\hosts
127.0.0.1 localhost
¤¤¤ MBR Verif: ¤¤¤
+++++ PhysicalDrive0: ST360021A +++++
--- User ---
[MBR] 3f0fc4679bad23325f840417f38eef69
[BSP] ea69df58759ceeb45a4848a62b7b3fd2 : Windows XP MBR Code
Partition table:
0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 63 | Size: 57231 Mo
User = LL1 ... OK!
User = LL2 ... OK!
Termine : << RKreport[3]_D_03052013_192543.txt >>
RKreport[1]_S_10042013_173128.txt ; RKreport[2]_S_03052013_192506.txt ; RKreport[3]_D_03052013_192543.txt
Voilà, je soupçonne d'etre ddos par quelqu'un et mon ordinateur est infecté je pense...
Antivir m'alerte d'un virus dans C :\Program Files\ Skype\Phone\Skypr.exe : TR/Crypt.XPACK.gen
Voici un rapport de RogueKiller mode suppression
RogueKiller V8.5.1 [Feb 12 2013] par Tigzy
mail : tigzyRK<at>gmail<dot>com
Remontees : https://www.luanagames.com/index.fr.html
Site Web : https://www.luanagames.com/index.fr.html
Blog : http://tigzyrk.blogspot.com/
Systeme d'exploitation : Windows XP (5.1.2600 Service Pack 3) 32 bits version
Demarrage : Mode normal
Utilisateur : Administrateur [Droits d'admin]
Mode : Suppression -- Date : 03/05/2013 19:25:43
| ARK || FAK || MBR |
¤¤¤ Processus malicieux : 2 ¤¤¤
[SUSP PATH] presetup.exe -- C:\Documents and Settings\Administrateur.ORDI-XPSP2.001\Local Settings\Temp\RarSFX0\presetup.exe [7] -> TUÉ [TermProc]
[SUSP PATH] setup.exe -- C:\Documents and Settings\Administrateur.ORDI-XPSP2.001\Local Settings\Temp\RarSFX0\setup.exe [7] -> TUÉ [TermProc]
¤¤¤ Entrees de registre : 0 ¤¤¤
¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤
¤¤¤ Driver : [CHARGE] ¤¤¤
SSDT[25] : NtClose @ 0x80567B6D -> HOOKED (Unknown @ 0xF8EE92F4)
SSDT[41] : NtCreateKey @ 0x805737EF -> HOOKED (Unknown @ 0xF8EE92AE)
SSDT[50] : NtCreateSection @ 0x805653B3 -> HOOKED (Unknown @ 0xF8EE92FE)
SSDT[53] : NtCreateThread @ 0x8057888D -> HOOKED (Unknown @ 0xF8EE92A4)
SSDT[63] : NtDeleteKey @ 0x80595A22 -> HOOKED (Unknown @ 0xF8EE92B3)
SSDT[65] : NtDeleteValueKey @ 0x80593642 -> HOOKED (Unknown @ 0xF8EE92BD)
SSDT[68] : NtDuplicateObject @ 0x80574942 -> HOOKED (Unknown @ 0xF8EE92EF)
SSDT[98] : NtLoadKey @ 0x805ADC0B -> HOOKED (Unknown @ 0xF8EE92C2)
SSDT[122] : NtOpenProcess @ 0x80574B29 -> HOOKED (Unknown @ 0xF8EE9290)
SSDT[128] : NtOpenThread @ 0x80590C64 -> HOOKED (Unknown @ 0xF8EE9295)
SSDT[193] : NtReplaceKey @ 0x8064FFD4 -> HOOKED (Unknown @ 0xF8EE92CC)
SSDT[204] : NtRestoreKey @ 0x8064FB69 -> HOOKED (Unknown @ 0xF8EE92C7)
SSDT[213] : NtSetContextThread @ 0x8062E763 -> HOOKED (Unknown @ 0xF8EE9303)
SSDT[247] : NtSetValueKey @ 0x8057DA5B -> HOOKED (Unknown @ 0xF8EE92B8)
SSDT[257] : NtTerminateProcess @ 0x805857B9 -> HOOKED (Unknown @ 0xF8EE929F)
¤¤¤ Fichier HOSTS: ¤¤¤
--> C:\WINDOWS\C\system32\drivers\etc\hosts
127.0.0.1 localhost
¤¤¤ MBR Verif: ¤¤¤
+++++ PhysicalDrive0: ST360021A +++++
--- User ---
[MBR] 3f0fc4679bad23325f840417f38eef69
[BSP] ea69df58759ceeb45a4848a62b7b3fd2 : Windows XP MBR Code
Partition table:
0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 63 | Size: 57231 Mo
User = LL1 ... OK!
User = LL2 ... OK!
Termine : << RKreport[3]_D_03052013_192543.txt >>
RKreport[1]_S_10042013_173128.txt ; RKreport[2]_S_03052013_192506.txt ; RKreport[3]_D_03052013_192543.txt
93 réponses
Résumé de la discussion
Suspicion d'infection et de DDoS accompagnée d'une alerte antivirus signalant TR/Crypt.XPACK.gen dans Skypr.exe et d'un rapport RogueKiller sur des composants système compromis, notamment sur Windows XP et des processus suspects. Pour les solutions proposées, il faut télécharger ZHPDiag, exécuter l'analyse complète et déposer le rapport sur un service de partage en ligne comme CJoint ou Malekal's pour l'hébergement. Des réponses suivantes recommandent un diagnostic approfondi via ZHPDiag, puis une vérification des restes et des éléments autorisés, avec des échanges sur la gestion de comptes, le mode sans échec et des outils comme Delfix. Pour finir, il est évoqué la nécessité de réexécuter l'analyse en mode administrateur et de comparer les rapports avec des cas similaires pour confirmer d'éventuels artefacts persistants.
-
Contributeur sécuritéRe,
Super. :)
À bientôt pour peut-être une 3ème désinfection ensemble. ^^
Gabriel. -
Re,
Non c'est bon merci encore :) -
Contributeur sécuritéRe,
Ok super. ;)
Plus d'autre souci ?
@+
Gabriel. -
Re,
En fait soucis réglé, j'ai réussi grâce à l'astuce de PC Astuces en faisant Ctrl + Alt + Suppr lors des choix de la session, du coup j'ai entré le mode de passe et voilà !
Merci encore ;) -
Contributeur sécuritéRe,
Mmmmh j'ai pas de solution en tête là... Je n'identifie même pas réellement le problème...
Peut-être serait-il intéressant que tu postes un nouveau sujet dans Windows pour ce problème.
Désolé. :/
Gabriel. -
Bha je ne peux pas entrer de mot de passe, je peux cliquer que sur ok de l'erreur et après ça je vois que la session de mon petit frère
-
Contributeur sécuritéRe,
Et quand ça te dit Veuillez entrer un mot de passe, si tu rentres celui de la session administrateur, ça démarre quand même sur l'autre ou ça met incorrect ?
@+
Gabriel. -
Re,
Je démarre l'ordinateur, je vosi le logo Windows après ça me dit windows n'a pas réussi a vérifier, veuillez entrer un mot de passe, je clique ok, ça me montre la session aqeeb alors que avant c'était Administreur -
Contributeur sécuritéRe,
Oui mais c'est quand tu rentres le mot de passe que ça te dit que c'est incorrecte c'est ça ?
@+
Gabriel. -
Re,
Je ne demande pas a rechercher mon mot de passe mais à re avoir accès à ma session administrateur dont j connais le mot de passe ^^' -
Contributeur sécuritéRe,
Ok. Essaye peut-être avec "control userpasswords2", dans Exécuter.
Mais je pourrai pas vraiment t'aider plus concernant ceci, sinon je vais être hors charte désolé... https://www.commentcamarche.net/infos/25871-pourquoi-commentcamarche-n-aide-pas-a-trouver-un-mot-de-passe/
@+
Gabriel. -
Re,
Bha en fait j'ai encore un petit problème ...
Hier, j'ai créer une session à partir de ma session habituelle nommée Administrateur ( sur laquelle vous m'avez désinfecté ). J'ai créer la session pour mon petit frère. Du coup, quand je lance l'ordinateur, il me demande un mot de passe ( sachant que le mot de passe était que sur ma session Administrateur) ça dit erreur de mot de passe, je clique sur Ok et j'ai que la session de mon petit frère affichée qui n'a pas de mot de passe.. Je suis actuellement sur celle-ci mais je ne peux pas aller sur la session Administrateur ou j'ai tout mes fichiers. Pourtant je vois bien les logiciels installés sur ma session sur la session de mon petit frère. Du coup, je voudrais récupérer l'autre ... -
Contributeur sécuritéHello,
Ok, tout est bon ?
@+
Gabriel. -
Re,
Voilà, soucis réglé, merci g3n ;) -
Re,
J'ai remplacé comme ça et rien n'y fait :
[boot loader]
timeout=3
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS\C
[operating systems]
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS\C="Microsoft Windows XP Professionnel" /noexecute=optin /fastdetect
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS\C="1" 0
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="2" 0
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="O" O -
Contributeur sécuritéRemplace le "1" de la seconde ligne (celle du mileu) par 0 pour voir.
@+
Gabriel. -
Re,
J'ai suivi le tutoriel mais je voudrais enlever le 1 et le 2.
Je supprime les 2 lignes là ? :
[boot loader]
timeout=3
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS\C
[operating systems]
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS\C="Microsoft Windows XP Professionnel" /noexecute=optin /fastdetect
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS\C="1" 1
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="2" 1
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="O" O -
Contributeur sécuritéRe,
Dis moi si ça a résolu le souci. :)
@+
Gabriel. -
Re,
Merci ;) -
Contributeur sécuritéRe,
Regarde par là peut-être : https://www.zebulon.fr/astuces/divers/256-modifier-le-choix-de-l-os-au-demarrage.html
@+
Gabriel.
- 1
- 2
- 3
- 4
- 5
Suivant
