Un rootkit imbattable?

nicostge -  
Bonjour,

J'ai windows 8 sur un lenovo et depuis 2 jours... plus accès a C:\ je ne suis plus administrateur de mon ordi (acheté neuf)...

J'en déduit a travers quelques lectures que j'ai un petit rootkit qui c'est installé chez moi... je déroule les forums (pas un gros niveau)... essaye plusieurs méthode mais apparement a chaque fois le rootkit connais et part ma tentative...

1/ combofix... quand je le lance en sans echec, il me dis que ce n'est pas la bonne version
2/ roguekiller... trouve des fichiers mais quand je veux supprimé il n'as pas accès
3 / YAC... trouve rien
4 / Maleware rookiller... impossible de dezippé
5 / NPE.. pas la bonne version
6 / ZHPdiag.. pas la bonne version

Je ne sais plus... help ?

8 réponses

  1. nicostge Auteur
    Bonjour,

    Problème de permission, ok mais que faire selon vous ? J'ai essayé depuis les 3 sessions existantes sur le PC d'accèder aux comptes utilisateurs, mais impossible...

    J'ai aussi essayer d'actualiser via les 3 sessions, impossible... je clik dessus et ca retombe sur l'écran d'accueil!

    Any other idea ?

    Merci
    0
    1. lilidurhone Contributeur sécurité
      https://forums.commentcamarche.net/forum/affich-29729518-un-rootkit-imbattable#4
      0
      1. Malekal_morte- Modérateur
        à mon avis, y a eu du bidouillage dans les utilisateurs et il n'est plus que dans une session avec droit restreint.
        0
    2. nicostge Auteur
      Et le premier que j'ai eu... ils sont différents, si cela peut aider a la compréhension. Merci encore!
      RogueKiller V8.8.7 [Feb 11 2014] par Tigzy
      mail : tigzyRK<at>gmail<dot>com
      Remontees : https://forum.adlice.com/
      Site Web : https://www.luanagames.com/index.fr.html
      Blog : https://www.adlice.com/

      Systeme d'exploitation : Windows 8.1 (6.3.9600 ) 64 bits version
      Demarrage : Mode sans echec avec prise en charge reseau
      Utilisateur : Annie [Droits d'admin]
      Mode : Recherche -- Date : 02/18/2014 13:31:59
      | ARK || FAK || MBR |

      ¤¤¤ Processus malicieux : 0 ¤¤¤

      ¤¤¤ Entrees de registre : 29 ¤¤¤
      [RUN][SUSP PATH] HKLM\[...]\Run : ETDCtrl (%ProgramFiles%\Elantech\ETDCtrl.exe [x]) -> TROUVÉ
      [RUN][SUSP PATH] HKLM\[...]\Run : IgfxTray ("C:\WINDOWS\system32\igfxtray.exe" [x]) -> TROUVÉ
      [RUN][SUSP PATH] HKLM\[...]\Run : HotKeysCmds ("C:\WINDOWS\system32\hkcmd.exe" [x]) -> TROUVÉ
      [RUN][SUSP PATH] HKLM\[...]\Run : RtHDVBg_Dolby (C:\Program Files\Realtek\Audio\HDA\RAVBg64.exe /FORPCEE4 [7]) -> TROUVÉ
      [RUN][SUSP PATH] HKLM\[...]\Run : BTMTrayAgent (rundll32.exe "C:\Program Files (x86)\Intel\Bluetooth\btmshellex.dll",TrayApp [x][7][x]) -> TROUVÉ
      [RUN][SUSP PATH] HKLM\[...]\Run : OnekeyStudio (C:\Program Files\Lenovo\Onekey Theater\OnekeyStudio.exe -start [7]) -> TROUVÉ
      [RUN][SUSP PATH] HKLM\[...]\Run : Energy Management (C:\Program Files (x86)\Lenovo\Energy Management\Energy Management.exe [7]) -> TROUVÉ
      [RUN][SUSP PATH] HKLM\[...]\Run : EnergyUtility (C:\Program Files (x86)\Lenovo\Energy Management\Utility.exe [7]) -> TROUVÉ
      [RUN][SUSP PATH] HKLM\[...]\Wow6432Node\[...]\Run : YouCam Tray ("C:\Program Files (x86)\Lenovo\YouCam\YouCamTray.exe" /s [7]) -> TROUVÉ
      [RUN][SUSP PATH] HKLM\[...]\Wow6432Node\[...]\Run : RemoteControl10 ("C:\Program Files (x86)\Lenovo\PowerDVD10\PDVD10Serv.exe" [7]) -> TROUVÉ
      [RUN][SUSP PATH] HKLM\[...]\Wow6432Node\[...]\Run : APSDaemon ("C:\Program Files (x86)\Common Files\Apple\Apple Application Support\APSDaemon.exe" [7]) -> TROUVÉ
      [RUN][SUSP PATH] HKLM\[...]\Wow6432Node\[...]\Run : iTunesHelper ("C:\Program Files (x86)\iTunes\iTunesHelper.exe" [7]) -> TROUVÉ
      [RUN][SUSP PATH] HKUS\.DEFAULT\[...]\RunOnce : Application Restart #0 (C:\Program Files\Common Files\microsoft shared\ink\TabTip.exe /Crashed [7]) -> TROUVÉ
      [RUN][SUSP PATH] HKUS\S-1-5-18\[...]\RunOnce : Application Restart #0 (C:\Program Files\Common Files\microsoft shared\ink\TabTip.exe /Crashed [7]) -> TROUVÉ
      [HJ DESK][PUM] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> TROUVÉ
      [HJ DESK][PUM] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> TROUVÉ
      [SCREENSVR][SUSP PATH] HKCU\[...]\Desktop : SCRNSAVE.EXE (C:\WINDOWS\system32\Mystify.scr [-]) -> TROUVÉ
      [HJ INPROC][SUSP PATH] HKCR\[...]\InprocServer32 : (%systemroot%\system32\wbem\wbemess.dll [x]) -> TROUVÉ
      [HJ INPROC][SUSP PATH] HKCR\[...]\InprocServer32 : (%SystemRoot%\system32\shell32.dll [7]) -> TROUVÉ
      [HJ INPROC][SUSP PATH] HKCR\[...]\InprocServer32 : (%SystemRoot%\system32\shell32.dll [7]) -> TROUVÉ
      [HJ INPROC][SUSP PATH] HKCR\[...]\InprocServer32 : (%systemroot%\system32\wbem\fastprox.dll [-]) -> TROUVÉ
      [HJ INPROC][SUSP PATH] HKLM\[...]\InprocServer32 : (%systemroot%\system32\wbem\wbemess.dll [x]) -> TROUVÉ
      [HJ INPROC][SUSP PATH] HKLM\[...]\InprocServer32 : (%SystemRoot%\system32\shell32.dll [7]) -> TROUVÉ
      [HJ INPROC][SUSP PATH] HKLM\[...]\InprocServer32 : (%SystemRoot%\system32\shell32.dll [7]) -> TROUVÉ
      [HJ INPROC][SUSP PATH] HKLM\[...]\InprocServer32 : (%systemroot%\system32\wbem\fastprox.dll [-]) -> TROUVÉ
      [HJ DLL][SUSP PATH] HKLM\[...]\CCSet\[...]\Parameters : ServiceDll (%SystemRoot%\system32\wbem\WMIsvc.dll [x]) -> TROUVÉ
      [HJ DLL][SUSP PATH] HKLM\[...]\CS001\[...]\Parameters : ServiceDll (%SystemRoot%\system32\wbem\WMIsvc.dll [x]) -> TROUVÉ
      [HJ BROWSR][SUSP PATH] HKLM\[...]\command : ("c:\program files\internet explorer\iexplore.exe" [7]) -> TROUVÉ
      [APPINIT][SUSP PATH] HKLM\[...]\Windows : AppInit_DLLs (C:\WINDOWS\system32\nvinitx.dll [x]) -> TROUVÉ

      ¤¤¤ Tâches planifiées : 0 ¤¤¤

      ¤¤¤ Entrées Startup : 0 ¤¤¤

      ¤¤¤ Navigateurs web : 0 ¤¤¤

      ¤¤¤ Addons navigateur : 0 ¤¤¤

      ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

      ¤¤¤ Driver : [NON CHARGE 0x0] ¤¤¤

      ¤¤¤ Ruches Externes: ¤¤¤

      ¤¤¤ Infection : ¤¤¤

      ¤¤¤ Fichier HOSTS: ¤¤¤
      --> %SystemRoot%\System32\drivers\etc\hosts

      ¤¤¤ MBR Verif: ¤¤¤

      +++++ PhysicalDrive0: (\\.\PHYSICALDRIVE0 @ IDE) ST1000LM024 HN-M101MBB +++++
      --- User ---
      [MBR] 3d7506ca13529d21660eb7b023be2b48
      [BSP] 15bfdd66830832308057f1943db59e21 : Empty MBR Code
      Partition table:
      0 - [XXXXXX] UNKNOWN (0x00) [VISIBLE] Offset (sectors): 1 | Size: 2097151 Mo
      User = LL1 ... OK!
      User = LL2 ... OK!

      Termine : << RKreport[0]_S_02182014_133159.txt >>
      0
      1. nicostge Auteur
        Je ne sais pas si ca peut aider certains d'entre vous! Merci en tout cas de vous interresser à mon problème :

        Roguekiller dernier rapport

        RogueKiller V8.8.7 [Feb 11 2014] par Tigzy
        mail : tigzyRK<at>gmail<dot>com
        Remontees : https://forum.adlice.com/
        Site Web : https://www.luanagames.com/index.fr.html
        Blog : https://www.adlice.com/

        Systeme d'exploitation : Windows 8.1 (6.3.9600 ) 64 bits version
        Demarrage : Mode sans echec avec prise en charge reseau
        Utilisateur : Annie [Droits d'admin]
        Mode : Suppression -- Date : 02/18/2014 16:16:01
        | ARK || FAK || MBR |

        ¤¤¤ Processus malicieux : 0 ¤¤¤

        ¤¤¤ Entrees de registre : 12 ¤¤¤
        [SCREENSVR][SUSP PATH] HKCU\[...]\Desktop : SCRNSAVE.EXE (C:\WINDOWS\system32\logon.scr [x]) -> REMPLACÉ (C:\WINDOWS\system32\logon.scr)
        [HJ INPROC][SUSP PATH] HKCR\[...]\InprocServer32 : (%systemroot%\system32\wbem\wbemess.dll [x]) -> [0x5] Accès refusé.
        [HJ INPROC][SUSP PATH] HKCR\[...]\InprocServer32 : (%SystemRoot%\system32\shell32.dll [7]) -> [0x5] Accès refusé.
        [HJ INPROC][SUSP PATH] HKCR\[...]\InprocServer32 : (%SystemRoot%\system32\shell32.dll [7]) -> [0x5] Accès refusé.
        [HJ INPROC][SUSP PATH] HKCR\[...]\InprocServer32 : (%systemroot%\system32\wbem\fastprox.dll [-]) -> [0x5] Accès refusé.
        [HJ INPROC][SUSP PATH] HKLM\[...]\InprocServer32 : (%systemroot%\system32\wbem\wbemess.dll [x]) -> [0x5] Accès refusé.
        [HJ INPROC][SUSP PATH] HKLM\[...]\InprocServer32 : (%SystemRoot%\system32\shell32.dll [7]) -> [0x5] Accès refusé.
        [HJ INPROC][SUSP PATH] HKLM\[...]\InprocServer32 : (%SystemRoot%\system32\shell32.dll [7]) -> [0x5] Accès refusé.
        [HJ INPROC][SUSP PATH] HKLM\[...]\InprocServer32 : (%systemroot%\system32\wbem\fastprox.dll [-]) -> [0x5] Accès refusé.
        [HJ DLL][SUSP PATH] HKLM\[...]\CCSet\[...]\Parameters : ServiceDll (%SystemRoot%\system32\wbem\WMIsvc.dll [x]) -> REMPLACÉ (%SystemRoot%\system32\wbem\WMIsvc.dll)
        [HJ DLL][SUSP PATH] HKLM\[...]\CS001\[...]\Parameters : ServiceDll (%SystemRoot%\system32\wbem\WMIsvc.dll [x]) -> REMPLACÉ (%SystemRoot%\system32\wbem\WMIsvc.dll)
        [HJ BROWSR][SUSP PATH] HKLM\[...]\command : ("C:\Program Files\Internet Explorer\iexplore.exe" [7]) -> REMPLACÉ ("C:\Program Files\Internet Explorer\iexplore.exe")

        ¤¤¤ Tâches planifiées : 0 ¤¤¤

        ¤¤¤ Entrées Startup : 0 ¤¤¤

        ¤¤¤ Navigateurs web : 0 ¤¤¤

        ¤¤¤ Addons navigateur : 0 ¤¤¤

        ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

        ¤¤¤ Driver : [NON CHARGE 0x0] ¤¤¤

        ¤¤¤ Ruches Externes: ¤¤¤

        ¤¤¤ Infection : ¤¤¤

        ¤¤¤ Fichier HOSTS: ¤¤¤
        --> %SystemRoot%\System32\drivers\etc\hosts

        127.0.0.1 localhost

        ¤¤¤ MBR Verif: ¤¤¤

        +++++ PhysicalDrive0: (\\.\PHYSICALDRIVE0 @ IDE) ST1000LM024 HN-M101MBB +++++
        --- User ---
        [MBR] 3d7506ca13529d21660eb7b023be2b48
        [BSP] 15bfdd66830832308057f1943db59e21 : Empty MBR Code
        Partition table:
        0 - [XXXXXX] UNKNOWN (0x00) [VISIBLE] Offset (sectors): 1 | Size: 2097151 Mo
        User = LL1 ... OK!
        User = LL2 ... OK!

        Termine : << RKreport[0]_D_02182014_161601.txt >>
        RKreport[0]_D_02182014_133243.txt;RKreport[0]_D_02182014_133403.txt;RKreport[0]_D_02182014_133455.txt
        RKreport[0]_D_02182014_161339.txt;RKreport[0]_H_02182014_133309.txt;RKreport[0]_H_02182014_161353.txt
        RKreport[0]_S_02182014_133159.txt;RKreport[0]_S_02182014_133304.txt;RKreport[0]_S_02182014_133357.txt
        RKreport[0]_S_02182014_133443.txt;RKreport[0]_S_02182014_161332.txt;RKreport[0]_S_02182014_161428.txt
        0
        2. Malekal_morte- Modérateur
          Faudrait tenter une actualisation : https://www.commentcamarche.net/faq/35283-windows-8-reinstallation-du-systeme-sans-perte-de-donnees
          0
          1. lilidurhone Contributeur sécurité
            Hello

            Un problème de permission ...
            0
            1. nicostge Auteur
              J'ai un accès refusé à C: et à tous les programmes windows... qu'est-ce que ca pourrais etre d'autre ?
              0
              1. Malekal_morte- Modérateur
                Salut,

                Vu tous les trucs que tu as passé, m'étonnerait que tu sois infecté.
                Tu psychotes.

                Yac est une arnaque.

                Like the angel you are, you laugh creating a lightness in my chest,
                Your eyes they penetrate me,
                (Your answer's always 'maybe')
                That's when I got up and left
                0

                Discussions similaires

                win32 Rootkit
                Mary

                8 réponses
                Virus ou rootkit, help !
                antoum

                13 réponses