Rctktho.exe ????

Vic -  
Bonjour,

J'ai un programme identifié sous "rctktho.exe" qui tente d'accéder au net. Je le vois grace à Zone Alarm. J'ai fait une recherche sur le disque dur, mais je ne trouve pas ce fichier. Par contre, je le vois dans les processus en cours.

Une recherche sur google ne donne AUCUN lien, donc ca a l'air parfaitement inconnu...

Merci et bonne journée.

Vic

7 réponses

  • Votes
  • Date
  • Date décroissante
  1.  rudyrital
    Double clique sur le raccourci Navilog1 présent sur le bureau et laisse-toi guider.
    Au menu principal, choisis 2 et valide.

    Le fix va t'informer qu'il va alors redémarrer ton PC
    Ferme toutes les fenêtres ouvertes et enregistre tes documents personnels ouverts
    Appuie sur une touche comme demandé.
    (si ton Pc ne redémarre pas automatiquement, fais le toi même)
    Au redémarrage de ton PC, choisis ta session habituelle.

    Patiente jusqu'au message :
    *** Nettoyage Termine le ..... ***
    Le blocnote va s'ouvrir. Copie/colle le rapport sur le forum
    Sauvegarde le rapport de manière à le retrouver
    Referme le blocnote. Ton bureau va réapparaitre

    PS:Si ton bureau ne réapparait pas, fais CTRL+ALT+SUPP pour ouvrir le gestionnaire de tâches.
    Puis rends-toi à l'onglet "processus". Clique en haut à gauche sur fichiers et choisis "exécuter"
    Tape explorer et valide. Celà te fera apparaitre ton bureau.

    Ferme internet explorer puis Démarrer/panneau de configuration/options internet
    - onglet "Contenu" puis onglet "Certificats" et si tu trouves ceci, en particulier dans "éditeurs approuvés", mais regarde ailleurs :
    electronic-group
    egroup
    Montorgueil
    VIP
    "Sunny Day Design Ltd"
    Tu les supprimes.

    Remets un log Hijackthis
    @+

    1. Vic-vs
      Bonjour,

      Voici le rapport de l'exécution du programme Navipromo.

      Il a bien trouvé rctktho, ainsi qu'apparement pas mal d'autres choses...

      Que dois-je faire ensuite ?

      Merci d'avance et bonne journée

      Vic

      ---------------------------------------

      Search Navipromo version 2.0.5 commencé le 05/08/2007 à 14:03:22,85

      !!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!
      !!! Poster ce rapport sur le forum pour le faire analyser !!!
      !!! Ne pas lancer la partie désinfection sans l'avis d'un spécialiste !!!

      Fix lancé depuis C:\Program Files\navilog1
      Mise a jour le 01.07.2007 a 12h00 by IL-MAFIOSO

      Executé en mode normal

      *** Recherche Programmes installes ***

      MessengerSkinner

      *** Recherche dossiers dans C:\WINDOWS ***

      *** Recherche dossiers dans C:\Program Files ***

      C:\Program Files\MessengerSkinner trouvé !

      *** Recherche dossiers dans C:\Documents and Settings\All Users\Application Data ***

      *** Recherche dossiers dans C:\Documents and Settings\Administrateur\Application Data ***

      ...\Application Data\MessengerSkinner trouvé !

      *** Recherche avec BlackLight Engine/F-secure ***
      BlackLight Engine est un produit de F-secure, pour + d'infos :
      https://www.f-secure.com/en

      Fichier(s) caché(s) dans C:\WINDOWS\system32 :

      c:\WINDOWS\system32\rctktho.dat
      C:\windows\system32\rctktho.exe
      c:\WINDOWS\system32\rctktho_nav.dat
      c:\WINDOWS\system32\rctktho_navps.dat

      Processus caché(s) dans C:\WINDOWS\system32 :

      C:\windows\system32\rctktho.exe

      *** Recherche fichiers ***

      C:\WINDOWS\pack.epk trouvé !
      C:\WINDOWS\system32\nvs2.inf trouvé !
      C:\WINDOWS\prefetch\MESSENGERSKINNER.EXE-0EE2A110.pf trouvé !

      *** Recherche cles registre ***

      Recherche dans [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs]

      Recherche dans [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ModuleUsage]

      Recherche Clé Magic Control

      HKEY_CURRENT_USER\Software\Lanconfig trouvé !

      *** Module de Recherche complémentaire ***
      (Recherche fichiers spécifiques)

      1)Recherche fichiers connus:

      2)Recherche Heuristique :
      *
      C:\WINDOWS\system32\rctktho.dat trouvé !
      **
      C:\WINDOWS\system32\rctktho.dat trouvé !
      ***
      ****
      C:\WINDOWS\system32\rctktho_navps.dat trouvé !
      *****
      C:\WINDOWS\system32\rctktho_nav.dat trouvé !
      ******
      *******
      ********
      C:\WINDOWS\system32\awndozln.exe trouvé !
      C:\WINDOWS\system32\dxtfrdue.exe trouvé !
      C:\WINDOWS\system32\gmnbwl.exe trouvé !
      C:\WINDOWS\system32\mrvlbpnfu.exe trouvé !
      C:\WINDOWS\system32\pcemnrdb.exe trouvé !

      3)Recherche Certificats :

      Certificat Egroup trouvé !

      *** Analyse Terminé le 05/08/2007 à 14:18:22,67 ***
      1. rixan
        Ce virus HIJACK est célèbre depuis qlq temps sur CCM !!!
        En fait, quels sont ces méfaits par rapport aux autres nouvellement connus (Chikie qui se propage par flash disk, etc.) en quelques mots !
        Comment s'infecte-t-on? mode de propagation
        1. rudyrital
          Bonjour,

          Il serait préférable que tu fasses ton message personnel, cela rendra les postes plus compréhensibles et la réponse à ton problème sera plus efficace
          Procèdes comme ceci :

          http://perso.orange.fr/rginformatique/section%20virus/demofairesontmessage.htm
          @+

      2. Vic-vs
        re.....

        voici le rapport demandé....

        ---------------------------------------

        Search Navipromo version 2.0.5 commencé le 05/08/2007 à 14:03:22,85

        !!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!
        !!! Poster ce rapport sur le forum pour le faire analyser !!!
        !!! Ne pas lancer la partie désinfection sans l'avis d'un spécialiste !!!

        Fix lancé depuis C:\Program Files\navilog1
        Mise a jour le 01.07.2007 a 12h00 by IL-MAFIOSO

        Executé en mode normal

        *** Recherche Programmes installes ***

        MessengerSkinner

        *** Recherche dossiers dans C:\WINDOWS ***

        *** Recherche dossiers dans C:\Program Files ***

        C:\Program Files\MessengerSkinner trouvé !

        *** Recherche dossiers dans C:\Documents and Settings\All Users\Application Data ***

        *** Recherche dossiers dans C:\Documents and Settings\Administrateur\Application Data ***

        ...\Application Data\MessengerSkinner trouvé !

        *** Recherche avec BlackLight Engine/F-secure ***
        BlackLight Engine est un produit de F-secure, pour + d'infos :
        https://www.f-secure.com/en

        Fichier(s) caché(s) dans C:\WINDOWS\system32 :

        c:\WINDOWS\system32\rctktho.dat
        C:\windows\system32\rctktho.exe
        c:\WINDOWS\system32\rctktho_nav.dat
        c:\WINDOWS\system32\rctktho_navps.dat

        Processus caché(s) dans C:\WINDOWS\system32 :

        C:\windows\system32\rctktho.exe

        *** Recherche fichiers ***

        C:\WINDOWS\pack.epk trouvé !
        C:\WINDOWS\system32\nvs2.inf trouvé !
        C:\WINDOWS\prefetch\MESSENGERSKINNER.EXE-0EE2A110.pf trouvé !

        *** Recherche cles registre ***

        Recherche dans [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs]

        Recherche dans [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ModuleUsage]

        Recherche Clé Magic Control

        HKEY_CURRENT_USER\Software\Lanconfig trouvé !

        *** Module de Recherche complémentaire ***
        (Recherche fichiers spécifiques)

        1)Recherche fichiers connus:

        2)Recherche Heuristique :
        *
        C:\WINDOWS\system32\rctktho.dat trouvé !
        **
        C:\WINDOWS\system32\rctktho.dat trouvé !
        ***
        ****
        C:\WINDOWS\system32\rctktho_navps.dat trouvé !
        *****
        C:\WINDOWS\system32\rctktho_nav.dat trouvé !
        ******
        *******
        ********
        C:\WINDOWS\system32\awndozln.exe trouvé !
        C:\WINDOWS\system32\dxtfrdue.exe trouvé !
        C:\WINDOWS\system32\gmnbwl.exe trouvé !
        C:\WINDOWS\system32\mrvlbpnfu.exe trouvé !
        C:\WINDOWS\system32\pcemnrdb.exe trouvé !

        3)Recherche Certificats :

        Certificat Egroup trouvé !

        *** Analyse Terminé le 05/08/2007 à 14:18:22,67 ***
        2. rudyrital
          Fais un clic droit sur ce lien :
          http://perso.orange.fr/il.mafioso/Navifix/Navilog1.zip
          Enregistrer la cible (du lien) sous... et enregistre-le sur ton bureau.
          Fais un clic droit sur navilog1.zip et choisis "tout extraire"
          Ensuite double clique sur navilog1.exe pour lancer l'installation.
          Une fois l'installation terminée, le fix s'exécutera automatiquement.
          (Si ce n'est pas le cas, double-clique sur le raccourci Navilog1 présent sur le bureau).

          Laisse-toi guider. Au menu principal, choisis 1 et valides.
          (ne fais pas le choix 2,3 ou 4 sans notre avis/accord)

          Patiente jusqu'au message :
          *** Analyse Termine le ..... ***
          Appuie sur une touche comme demandé, le blocnote va s'ouvrir.
          Copie-colle l'intégralité dans une réponse. Referme le blocnote.
          Le rapport est en outre sauvegardé à la racine du disque (fixnavi.txt)

          1. Vic-vs
            Hello

            merci beaucoup pour l'aide...

            voici le log...

            bonne journée et a+...

            ==

            Logfile of HijackThis v1.99.1
            Scan saved at 12:58:40, on 05/08/2007
            Platform: Windows XP SP2 (WinNT 5.01.2600)
            MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

            Running processes:
            C:\WINDOWS\System32\smss.exe
            C:\WINDOWS\system32\winlogon.exe
            C:\WINDOWS\system32\services.exe
            C:\WINDOWS\system32\lsass.exe
            C:\WINDOWS\system32\Ati2evxx.exe
            C:\WINDOWS\system32\svchost.exe
            C:\WINDOWS\System32\svchost.exe
            C:\WINDOWS\system32\ZoneLabs\vsmon.exe
            C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
            C:\Program Files\Alwil Software\Avast4\ashServ.exe
            C:\WINDOWS\system32\spoolsv.exe
            C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
            C:\Program Files\Pinnacle\MediaServer\Microsoft SQL Server\MSSQL$PINNACLESYS\Binn\sqlservr.exe
            C:\WINDOWS\system32\svchost.exe
            C:\Program Files\Fichiers communs\Ulead Systems\DVD\ULCDRSvr.exe
            c:\program files\pinnacle\shared files\programs\mediaserver\pmshost.exe
            C:\WINDOWS\system32\Ati2evxx.exe
            C:\WINDOWS\Explorer.EXE
            C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
            C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
            C:\Program Files\QuickTime\qttask.exe
            C:\windows\system32\rctktho.exe
            C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
            C:\Program Files\Messenger\msmsgs.exe
            C:\WINDOWS\system32\ctfmon.exe
            C:\Program Files\SuperCopier\SuperCopier.exe
            C:\Program Files\MessengerSkinner\MessengerSkinner.exe
            C:\Program Files\WorldCommunityGrid\UD.EXE
            C:\Program Files\WorldCommunityGrid\ud_8401401.exe
            C:\WINDOWS\system32\wuauclt.exe
            C:\Program Files\Mozilla Firefox\firefox.exe
            C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
            C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
            C:\Program Files\WorldCommunityGrid\ud_8401401_0.dir\WCGrid_AutoDock.exe
            C:\Program Files\Alwil Software\Avast4\setup\avast.setup
            C:\hijackthis\HijackThis.exe

            R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
            R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.google.fr/?gws_rd=ssl
            R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
            R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
            O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
            O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
            O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
            O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
            O4 - HKLM\..\Run: [ATIPTA] "C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe"
            O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
            O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
            O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
            O4 - HKLM\..\Run: [rctktho] c:\windows\system32\rctktho.exe rctktho
            O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
            O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
            O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
            O4 - HKCU\..\Run: [SuperCopier.exe] C:\Program Files\SuperCopier\SuperCopier.exe
            O4 - HKCU\..\Run: [messengerskinner] C:\Program Files\MessengerSkinner\MessengerSkinner.exe
            O4 - Startup: World Community Grid Agent.lnk = C:\Program Files\WorldCommunityGrid\UD.EXE
            O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
            O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_05\bin\npjpi150_05.dll
            O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_05\bin\npjpi150_05.dll
            O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
            O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
            O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
            O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
            O14 - IERESET.INF: START_PAGE_URL=https://www.google.fr/?gws_rd=ssl
            O15 - Trusted Zone: https://www.credit-agricole.fr/ca-alpesprovence/particulier.html
            O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
            O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
            O20 - Winlogon Notify: WgaLogon - WgaLogon.dll (file missing)
            O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
            O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
            O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
            O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
            O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
            O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
            O23 - Service: MSSQL$PINNACLESYS - Unknown owner - C:\Program Files\Pinnacle\MediaServer\Microsoft SQL Server\MSSQL$PINNACLESYS\Binn\sqlservr.exe" -sPINNACLESYS (file missing)
            O23 - Service: Pinnacle Systems Media Service (PinnacleSys.MediaServer) - Pinnacle Systems - c:\program files\pinnacle\shared files\programs\mediaserver\pmshost.exe
            O23 - Service: SQLAgent$PINNACLESYS - Unknown owner - C:\Program Files\Pinnacle\MediaServer\Microsoft SQL Server\MSSQL$PINNACLESYS\Binn\sqlagent.EXE" -i PINNACLESYS (file missing)
            O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Program Files\Fichiers communs\Ulead Systems\DVD\ULCDRSvr.exe
            O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe
            1. rudyrital
              Tout d'abord Bonjour et bienvenue sur le forum d'entraide COMMENT CA MARCHE

              Télécharge HijackThis ici:
              http://www.merijn.org/files/hijackthis.zip
              ou ici :
              https://www.01net.com/telecharger/windows/Securite/anti-spyware/fiches/29061.html

              Dézippe le dans un dossier prévu à cet effet.
              Par exemple C:\hijackthis < Enregistre le bien dans c : !
              Démo : (Merci a Balltrap34 pour cette réalisation)
              http://perso.orange.fr/rginformatique/section%20virus/Hijenr.gif

              Lance le puis:
              clique sur "do a system scan and save logfile" (cf démo)
              faire un copier coller du log entier sur le forum

              Démo : (Merci a Balltrap34 pour cette réalisation)

              http://perso.orange.fr/rginformatique/section%20virus/demohijack.htm

              Bon courage
              A+