Avast et les RootKits

Question

Bonjour,

Suite à un grave problème dont je vous passe les détails, j'ai du formater entièrement le disque dur pour réinstaller Windows XP (sur le PC de mes voisins).

Donc, comme points de départ, la situation est la suivante :
- un seul disque dur reformaté entièrement et ne comportant qu'une unique partition,
- Windows XP SP2 réinstallé très fraichement,
- Avast 4.8.1169 (dernière version disponible),
- ZoneAlarm,
- le strict minimum de logiciels installés (Microsoft Office XP seulement).

Tant que le système n'était pas sécurisé (ZA + Avast), Internet n'a été utilisé que très furtivement pour les seuls enregistrements en ligne des rares logiciels. Autant dire 1 minute maximum environ .... mais je sais que ce laps de temps peux suffire à chopper une grosse saloperie !

Bref, dès Avast validé, l'antivirus signale au démarrage 4 rootkits (sur un système "neuf" !) :
- c:/Windows/system32/userinit.exe
- PID 2404
- c:/Windows/system32/WBEM/wmiprvse.exe
- c:/Windows/system32/wuauclt.exe

Dans un premier temps, j'ai démandé la "réparation" du problème par Avast .... qui n'y parvient jamais puisque l'anti-virus repointe à chaque démarrage suivant le rootkit !

Dans un second temps, AD-Aware pointe les "trucs" habituels (cookies) mais pas un seul rootkit !

J'ai vérifié sur mon propre système Windows XP (sain) :
- userinit.exe : présent mais le fichier peut être corrompu
- PID 2404 : je ne sais même pas ce que ca représente sauf peut-être le numéro d'exécution d'un programme obscur ?!
- wmiprvse.exe : présent mais le fichier peut être corrompu
- wuauclt.exe : absent chez moi mais cela n'est peut-être pas indicatif.

Une recherche sur le Web ne donne rien de significatif dans mon cas. Mais vu que l'intégration de fonctionnalités anti-rootkit et anti-troyen sont récentes dans Avast, j'en viens à me demander si ce ne serait pas là une mauvaise détection, puisque, pour rappel, tout a été entièrement formaté et que la réinstallation est vraiment très fraîche.

Une piste ?

Merci par avance ;-)

Utilisateur anonyme · Accepted Answer

C'est ça ta réponse déjà répondu ? Bah alors là ! Clap clap cela en montre beaucoup sur tes connaissances sur la lecture d'un rapport hijackthis et de Windows tout court.

Bah moi aussi j'me casse j'suis outré, le monde devient fou et CCM a bien changé (0_ô) 
Alors bon kiff à toi ! Et bonne chasse aux vers et rootkits je viendrais lire la fin pour admirer tous les vilains malwares détectés.

Moi j'laisse pas ma main, car j'en ai b'soin ! Ciao

Utilisateur anonyme · Answer

Salut,
avast n'est pas un antivirus réactif, il est toujours en retard sur les nouveau virus (il les détecte une fois l'infection établi)

Fait un scan en ligne pour commencer puis un rapport hijackthis :


fait un scan en ligne avec internet explore, si tu as firefox fait: 
démarrer -> executer -> tape : iexplore (puis valide) 

(coche toutes les cases à chaque fois) : 
https://www.eset.com/ 

à la fin colle le rapport : C:\Program Files\EsetOnlineScanner\log.txt 

si ta besoin d'aide tu as un tutoriel ici : http://bibou0007.com/tutos-et-lexique-f45/tutorial-nod32-online-scanner-t128.htm 

3/ 
Ensuite une fois fini fait un rapport hijackthis : 
https://www.01net.com/telecharger/windows/Securite/anti-spyware/fiches/29061.html

tu le télécharges, tu le lances et tu cliquera sur le premier bouton en haut "Do a system scan and save a logfile" 
tu colleras le fichier texte ici ;). 

PS : Ne fermes pas le programme

teutates · Answer

Merci ;-) Je devrais poster la suite des résultats demain au plus tard.

teutates · Answer

Résultat du scan en ligne : négatif

Résultat hijackthis :

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 15:24:01, on 13/04/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Program Files\Java\jre1.5.0\bin\jusched.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\TechCity Solutions\AliceSAV\AliceAgent.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\system32
vsvc32.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\PROGRA~1\ZONELA~1\ZONEAL~1\MAILFR~1\mantispm.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32
otepad.exe
J:\HijackThis\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.xxxxxxxxx
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://go.microsoft.com/fwlink/?LinkId=374
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Alice ADSL
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
F2 - REG:system.ini: UserInit=userinit.exe
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0\bin\jusched.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [AliceSAV] C:\Program Files\TechCity Solutions\AliceSAV\AliceAgent.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0\bin
pjpi150.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0\bin
pjpi150.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {56762DEC-6B0D-4AB4-A8AD-989993B5D08B} (OnlineScanner Control) - https://www.eset.com/
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Unknown owner - C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

Utilisateur anonyme · Answer

je ne vois rien hormis que java n'est pas à jour (et à des failles de sécurités)
mettre a jour : https://www.java.com/fr/

Utilisateur anonyme · Answer

Hello

Moi je vois :

Symantec est mal désinstallé 
IE n'est pas à jour

Si tu as un doute sur les processus dont tu parles, fais les analyser chez VirusTotal
https://www.virustotal.com/gui/

Essaye d'autres utilitaires pour essayer de détecter un quelconque rootkit, prends Gmer ou Rootkit Revealer. Prends en plusieurs ça mange pas d'pain. ;-)

teutates · Answer

Java : ca va être mis à jour
IE : idem
Norton : je vais sévir dans la base de registre et avec CCleaner

Merci ;-)

io · Answer

Bonjour


Sur un Xp pro sp2
C:\WINDOWS\system32\wuauclt.exe 
Version 7.0.6000.381   ,    53080 octets
Présent, pas détecté par Avast 4.8

Remarque, il est 2 fois dans ton hijackthis

green day · Answer

Salut

 oups ! je viens juste de le voir ! :)

wuauclt.exe  : le nombre de ce processus n'est pas significatif je pense, même si dans certain cas, il cache une bébétte !


soit ce sont des fichiers sains infectés, soit leur comportement sont détectés par avast comme un ce d'un rootkit, soit ...

 petite vérif : 

Télécharger ComboFix (par sUBs) sur le Bureau : http://download.bleepingcomputer.com/sUBs/ComboFix.exe 

* Démarrer en mode sans echec 
* Double cliquer combofix.exe. 
* Appuyer sur la touche Y (Yes) pour démarrer le scan 
* Le rapport sera crée dans: C:\Combofix.txt, poste le stp 

++

green day · Answer

comme ça ! :)

# Démarre en mode sans échec : 
Pour cela, tu tapotes la touche F8 dès le début de l’allumage du pc sans t’arrêter 
Une fenêtre va s’ouvrir tu te déplaces avec les flèches du clavier sur démarrer en mode sans échec puis tape entrée. 
Une fois sur le bureau s’il n’y a pas toutes les couleurs et autres c’est normal ! 
(Si F8 ne marche pas utilise la touche F5). 

++

espion3004 · Answer

J:\HijackThis\HiJackThis.exe
Hijack this est mal installé... tu dois l'installer sur le C (pour les backups suppression)..

J'ai plusieurs commentaires à faire...
Est-ce un pc de marque ?

Car je crois que tu n'as pas formater, mais réinstallé le ghost, le recovery d'xp tout simplement

Le formatage écrase certe mais pas la réinstallation d'un recovery (comme pour acer ou dell).

Car pour informations =  c:/Windows/system32/userinit.exe

C'est un ver, bien plus coriace qu'un virus => http://translate.google.com/...

Je te recommande vivement de passer ton pc sous scan F-secure en ligne , tout est clair sur cette page =>http://support.f-secure.com/fra/home/ols.shtml

Tu devras le faire avec IE et accepter l'active X

C'est le défaut d'Avast une fois de plus, il cilble très mal les infections !!!!
Teutates tu devrai installer Antivir (selon moi) concernant Avast, je ne sais pas si tu es au courant ? =>https://web3004.forumperso.com/t9-avast-et-antivir-comparatif-2008

La suite =>https://web3004.forumperso.com/t10-avast-antivir-suite

teutates · Answer

Hickjackthis : je l'avais fais depuis une clé USB effectivement ! Voici donc le nouveau résultat depuis C:/

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:15:07, on 13/04/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16640)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe
C:\WINDOWS\system32
vsvc32.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Java\jre1.5.0\bin\jusched.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\TechCity Solutions\AliceSAV\AliceAgent.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\PROGRA~1\ZONELA~1\ZONEAL~1\MAILFR~1\mantispm.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Corel\Corel Paint Shop Pro X\Paint Shop Pro X.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\WINDOWS\system32\ctfmon.exe
D:\setup.exe
D:\Setup\hpzwrp01.exe
D:\drivers\dot4\wrapper\Wrapper.exe
D:\drivers\dot4\wrapper\Setup.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Documents and Settings\maintenance\Mes documents\Sauvegardes\HijackThis\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.xxxxxxxxx.fr
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://go.microsoft.com/fwlink/?LinkId=374
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Alice ADSL
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
F2 - REG:system.ini: UserInit=userinit.exe
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0\bin\jusched.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [AliceSAV] C:\Program Files\TechCity Solutions\AliceSAV\AliceAgent.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: HPZRCV01.LNK = C:\Program Files\HP\Temp\{342C7C88-D335-4bc2-8CF1-281857629CE2}\setup\hpzrcv01.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0\bin
pjpi150.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0\bin
pjpi150.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {56762DEC-6B0D-4AB4-A8AD-989993B5D08B} (OnlineScanner Control) - https://www.eset.com/
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/...
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

--
End of file - 5329 bytes

green day · Answer

Un ver, pas nécessairement !

==> https://www.generation-nt.com/

j'attends le combo ! :p

++

teutates · Answer

Patience :
Je refait l'analyse antivirus en ligne pendant que je perds du temps pour installer les pilotes imprimante-scanner HP en ligne (près de 700 Mo). Ca me "bloque" pour le combo !!

green day · Answer

qu'est ce qui bloque ?

espion3004 · Answer

ok, teutates tu risques d'avoir plusieurs avis concernant ce problème..

Quant à moi, j'oublie 5 secondes d'affilés ton statut, et te viens en aide comme je l'aurai fait pour n'importe qu'elle internaute...

Donc, merci green de ne pas à chaque fois me contredire... c'est un peu pénible à force...

Je respecte le faite que tu sois experte dans la désinfect, pas de doute la dessus, mais quand je pense, je confirme que c'est un ver, merci pour une fois de me faire confiance...

Pourquoi j'affirme ?
Suite à un grave problème dont je vous passe les détails, j'ai du formater entièrement le disque dur pour réinstaller Windows XP (sur le PC de mes voisins).

c:/Windows/system32/userinit.exe selon moi c'est un ver...

PID 2404 = Transmis par le Peer 2 Peer 

Je pense qu'il serait sympa de commencer la désinfect par le commencement, comme nous le faisons aux internautes... C'est à dire par la force douce...

NB : Met à jour java de suite ,c'est important =>https://www.java.com/fr/

Ok

Tu dois télécharger AVG antispyware =>http://www.commentcamarche.net/telecharger/telecharger 218 avg anti spyware

Ensuite A-squared free =>http://www.commentcamarche.net/telecharger/telecharger 224 a squared
tuto installation =>http://pitcatsite.ovh.org/php/a2free.php

CCleaner est un utilitaire de nettoyage gratuit permettant de garantir un respect de la vie privée en supprimant les fichiers d'historique et de cache du système. Il supprime les traces d'activité, telles que: Fichiers temporaires de Windows ...
http://www.commentcamarche.net/telecharger/telecharger 168 ccleaner
tuto installation =https://forums.cnetfrance.fr

A l'installation pensez à décocher l'installation de Yahoo toolbar discrètement proposée en plus de CCleaner.

Ok, fais la mise à jours des programmes...


 redémarre en mode sans echec (Comment faire? ...) Redémarres ton ordinateur en mode sans échec en suivant la procédure que voici : 
&#8226; Redémarres ton ordinateur 
&#8226; Après avoir entendu l'ordinateur biper lors du démarrage, mais avant que l'icône Windows apparaisse, tapote la touche F8 (une pression par seconde). 
&#8226; A la place du chargement normal de Windows, un menu avec différentes options devrait apparaître. 
&#8226; Choisis la première option, pour exécuter Windows en mode sans échec, puis appuie sur "Entrée". 
&#8226; Choisis ton compte habituel, et surtout pas l'administrateur !

Démarres ensuite AVG Anti-Spyware 

Clic sur Analyse 
Clicz sur Analyse complète du système pour commencer le scan. 
Une fois que le scan a fini à 100%, clic sur Appliquer à toutes les actions, pour supprimer tous les fichiers infectés trouvés par AVG Anti-Spyware. 
Une fois que la suppression des fichiers infectés a été faite, clic sur Save Report. 
La partie rapports d'AVG Anti-Spyware s'affiche ensuite. 
Clic sur Enregistrer le rapport et sauvegardez-le sur le bureau. 

Lance asquared free scan complet...

Pour ccleaner :

CCleaner : lances le, ensuite cliquez sur le bouton 'Nettoyeur'. Cochez les cases correspondantes aux éléments que vous souhaitez supprimer. Pour effacer toutes vos traces de navigation et alléger votre système, sélectionnez toutes les options. Cliquez ensuite sur l'onglet 'Applications' et renouvelez l'opération. Lorsque terminé, cliquez sur le bouton 'Analyse'. Après quelques instants, Ccleaner vous présente la quantité d'espace que vous récupérerez, et la liste des fichiers qui seront supprimés. 

NB : Vérifies que cette liste ne contient pas vos fichiers de données, puis cliquez sur le bouton 'Lancer le nettoyage', ensuite cliquer sur 'Ok'. 

Dans la fenêtre de Ccleaner, cliquer sur le bouton 'Erreurs', cochez toutes les options puis cliquez sur le bouton 'Chercher des erreurs' 'Réparer les erreurs sélectionnées'. Confirmez la sauvegarde de l'actuel registre en cliquant sur le bouton 'Oui'. Donnez un nom au fichier et enregistrez-le. 



Avast en mode sans èchec... ;(

Ensuite un rapport hijack tout neuf...

Bon courage surtout...

Utilisateur anonyme · Answer

Si Green (coucou Green :P)  te contredit, c'est qu'il y a une raison et moi aussi je t'ai contredit (lire plus haut), j'avais pas vu les réponses faites entre temps. Faut arrêter de voir des vers partout surtout quand il y en a pas. 

userinit.exe est un processus natif de Windows, t'as pas de Windows ? Bah dit donc .. (j'aime bin dir ça ;O)
Par contre j'aimerais bien qu'à ton tour tu me contredises parce que ça m'intéresse ou que tu répondes à ma question ça suffira.

espion3004 · Answer

déja répondu...

green day · Answer

Lol ! on ne fait pas de généralisation avec un cas particulier que tu affirmes ! :)

ça se passe de tout commentaire ...

Juste pour info, pour supprimer les vers, même si on a affaire à des rootkits manifestement, il y a des outils plus appropriés et bien plus efficaces !

je laisse la main

@+

espion3004 · Answer

Alors je m'adresse justement à vous les experts... Pourqoui AVAST aurait-il fait ces remarques qui nous divergent... ??????????

green day · Answer

Réponse : 

soit ce sont des fichiers sains infectés, soit leur comportement sont détectés par avast comme un ce d'un rootkit, soit ...

teutates · Answer

Résultats :

1) Antivirus en ligne : un cookies (pas bien grâve)
2) Combo : fichier combo inexploitable car corrompu !! Je recommance.

Utilisateur anonyme · Answer

Moi j'parle pas des soit disant rootkits.
Installe GMER et scan avec ; résultat ? Avast intégrant une "technologie avancée de GMER" ça sera vite fait de savoir si c'est Avast qui délire ou non. 
De plus les anti-virus question anti-rootkits sont très médiocres c'est bien connu, donc bon, perplexe.

Ensuite, pour me part je parlais d'hijackthis et de  C:\Windows\system32\userinit.exe. 
Alors, là c'est à toi d''apporter une réponse ou de me contredire, j'ai p'tet tort :-)

teutates · Answer

Résultat Comfix :

ComboFix 08-04-12.10 - maintenance 2008-04-13 18:22:57.2 - NTFSx86 NETWORK
Microsoft Windows XP Édition familiale  5.1.2600.2.1252.1.1036.18.842 [GMT 2:00]
Endroit: C:\Documents and Settings\maintenance\Mes documents\Sauvegardes\ComboFix.exe

[color=red][b]AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !![/b][/color]
.

(((((((((((((((((((((((((((((   Fichiers créés 2008-03-13 to 2008-04-13  ))))))))))))))))))))))))))))))))))))
.

2008-04-13 17:22 . 2008-04-13 17:22	<REP>	d--------	C:\fsaua.data
2008-04-13 17:06 . 2008-04-13 17:07	<REP>	d--------	C:\Program Files\HP
2008-04-13 17:03 . 2008-04-13 17:03	848	--ahs----	C:\WINDOWS\system32\KGyGaAvL.sys
2008-04-13 17:02 . 2008-04-13 17:02	<REP>	d--------	C:\Documents and Settings\maintenance\Application Data\Corel
2008-04-13 17:02 . 2008-04-13 17:02	<REP>	d--------	C:\Documents and Settings\All Users\Application Data\InstallShield
2008-04-13 17:01 . 2008-04-13 17:01	<REP>	d--------	C:\Program Files\Fichiers communs\Corel
2008-04-13 17:01 . 2008-04-13 17:01	<REP>	d--------	C:\Program Files\Corel
2008-04-13 16:45 . 2008-03-01 14:58	52,224	-----c---	C:\WINDOWS\system32\dllcache\msfeedsbs.dll
2008-04-13 16:38 . 2008-04-13 16:38	<REP>	d--------	C:\Program Files\Microsoft CAPICOM 2.1.0.2
2008-04-13 16:31 . 2008-04-13 16:49	1,374	--a------	C:\WINDOWS\imsins.BAK
2008-04-13 15:58 . 2008-04-13 15:58	<REP>	d--------	C:\Program Files\Audacity
2008-04-13 15:55 . 2008-04-13 15:55	1,160	--a------	C:\WINDOWS\mozver.dat
2008-04-13 15:54 . 2008-04-13 15:54	0	--a------	C:\WINDOWS\nsreg.dat
2008-04-13 15:52 . 2008-04-13 15:51	843,776	---------	C:\WINDOWS\UNNeroBurnRights.exe
2008-04-13 15:52 . 2008-04-13 15:51	57,344	--a------	C:\WINDOWS\system32\NeroBurnRights.cpl
2008-04-13 15:52 . 2008-04-13 15:51	53,248	--a------	C:\WINDOWS\system32\NeroCo.dll
2008-04-13 15:52 . 2008-04-13 15:51	27,645	---------	C:\WINDOWS\UNNeroBurnRights.cfg
2008-04-13 15:49 . 2008-04-13 15:49	<REP>	d--------	C:\Program Files\Fichiers communs\Ahead
2008-04-13 15:49 . 2008-04-13 15:52	<REP>	d--------	C:\Program Files\Ahead
2008-04-13 15:49 . 2004-07-26 16:16	1,568,768	---------	C:\WINDOWS\system32\ImagX7.dll
2008-04-13 15:49 . 2004-07-26 16:16	476,320	---------	C:\WINDOWS\system32\ImagXpr7.dll
2008-04-13 15:49 . 2004-07-26 16:16	471,040	---------	C:\WINDOWS\system32\ImagXRA7.dll
2008-04-13 15:49 . 2004-07-09 08:43	364,544	---------	C:\WINDOWS\system32\TwnLib4.dll
2008-04-13 15:49 . 2004-07-26 16:16	262,144	---------	C:\WINDOWS\system32\ImagXR7.dll
2008-04-13 15:49 . 2006-01-12 15:40	155,648	--a------	C:\WINDOWS\system32\NeroCheck.exe
2008-04-13 15:49 . 2005-09-01 11:03	127,488	---------	C:\WINDOWS\system32\drivers\imagesrv.sys
2008-04-13 15:49 . 2000-06-26 10:45	106,496	--a------	C:\WINDOWS\system32\TwnLib20.dll
2008-04-13 15:49 . 2005-09-01 11:03	5,888	---------	C:\WINDOWS\system32\drivers\imagedrv.sys
2008-04-13 15:43 . 2008-04-13 15:43	<REP>	d--------	C:\Program Files\XnView
2008-04-13 15:43 . 2008-04-13 16:24	<REP>	d--------	C:\Documents and Settings\maintenance\Application Data\XnView
2008-04-13 15:06 . 2008-04-13 15:22	<REP>	d--------	C:\Program Files\EsetOnlineScanner
2008-04-10 14:08 . 2008-04-10 14:08	<REP>	d--------	C:\Documents and Settings\Bruno\Application Data\MailFrontier
2008-04-09 19:17 . 2008-04-09 19:16	691,545	--a------	C:\WINDOWS\unins000.exe
2008-04-09 19:17 . 2008-04-09 19:17	2,561	--a------	C:\WINDOWS\unins000.dat
2008-04-09 19:14 . 2008-04-09 19:16	<REP>	d--------	C:\Program Files\Spybot - Search & Destroy
2008-04-09 19:14 . 2008-04-13 16:08	<REP>	d--------	C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy
2008-04-09 19:04 . 2008-04-09 19:04	<REP>	d--------	C:\Documents and Settings\maintenance\Application Data\Lavasoft
2008-04-09 19:03 . 2008-04-09 19:03	<REP>	d--------	C:\Program Files\Lavasoft
2008-04-09 18:32 . 2008-04-09 18:32	<REP>	d--------	C:\Program Files\IZArc
2008-04-09 18:21 . 2008-04-09 18:21	<REP>	d--------	C:\Documents and Settings\maintenance\Application Data\MailFrontier
2008-04-09 18:18 . 2008-04-09 18:39	<REP>	d--------	C:\Documents and Settings\All Users\Application Data\MailFrontier
2008-04-09 18:17 . 2008-04-09 18:17	<REP>	d--------	C:\Program Files\Zone Labs
2008-04-09 18:16 . 2008-04-13 18:21	<REP>	d--------	C:\WINDOWS\Internet Logs
2008-04-09 18:08 . 2008-04-09 18:08	<REP>	d--------	C:\Program Files\Alwil Software
2008-04-09 18:08 . 2008-03-29 19:45	1,146,232	--a------	C:\WINDOWS\system32\aswBoot.exe
2008-04-09 18:08 . 2004-01-09 10:13	380,928	--a------	C:\WINDOWS\system32\actskin4.ocx
2008-04-09 18:08 . 2008-03-29 19:23	95,608	--a------	C:\WINDOWS\system32\AvastSS.scr
2008-04-09 18:08 . 2008-03-29 19:35	94,544	--a------	C:\WINDOWS\system32\drivers\aswmon2.sys
2008-04-09 18:08 . 2008-01-17 17:34	93,264	--a------	C:\WINDOWS\system32\drivers\aswmon.sys
2008-04-09 18:08 . 2008-03-29 19:31	75,856	--a------	C:\WINDOWS\system32\drivers\aswSP.sys
2008-04-09 18:08 . 2008-03-29 19:27	42,912	--a------	C:\WINDOWS\system32\drivers\aswTdi.sys
2008-04-09 18:08 . 2008-03-29 19:26	26,944	--a------	C:\WINDOWS\system32\drivers\aavmker4.sys
2008-04-09 18:08 . 2008-03-29 19:29	23,152	--a------	C:\WINDOWS\system32\drivers\aswRdr.sys
2008-04-09 18:08 . 2008-03-29 19:35	20,560	--a------	C:\WINDOWS\system32\drivers\aswFsBlk.sys
2008-04-09 18:05 . 2008-04-13 16:03	<REP>	d--------	C:\Program Files\Accessoires
2008-04-06 19:09 . 2008-04-06 19:09	<REP>	d--------	C:\Program Files\TechCity Solutions
2008-04-06 19:09 . 2008-04-06 19:09	<REP>	d--h-----	C:\Program Files\InstallShield Installation Information
2008-04-06 19:09 . 2008-04-06 19:09	<REP>	d---s----	C:\Documents and Settings\maintenance\UserData
2008-04-06 19:08 . 2008-04-06 19:09	<REP>	d--------	C:\Program Files\Alice
2008-04-06 19:00 . 2005-12-16 15:19	18,776,064	-ra------	C:\WINDOWS\system32\ALSNDMGR.CPL
2008-04-06 18:33 . 2008-04-13 17:02	<REP>	d--------	C:\Program Files\Fichiers communs\InstallShield
2008-04-06 18:25 . 2008-04-09 18:02	<REP>	d--------	C:\Documents and Settings\All Users\Application Data\Symantec
2008-04-06 18:24 . 2008-04-09 18:29	<REP>	d--------	C:\Program Files\Fichiers communs\Symantec Shared
2008-04-06 18:20 . 2008-04-05 23:47	<REP>	d--h-----	C:\Documents and Settings\maintenance\Voisinage réseau
2008-04-06 18:20 . 2008-04-05 23:47	<REP>	d--h-----	C:\Documents and Settings\maintenance\Voisinage d'impression
2008-04-06 18:20 . 2008-04-05 21:51	<REP>	d--h-----	C:\Documents and Settings\maintenance\Modèles
2008-04-06 18:20 . 2008-04-13 17:01	<REP>	dr-------	C:\Documents and Settings\maintenance\Mes documents
2008-04-06 18:20 . 2008-04-05 23:47	<REP>	d--------	C:\Documents and Settings\maintenance\Menu Démarrer
2008-04-06 18:20 . 2008-04-13 16:54	<REP>	dr-------	C:\Documents and Settings\maintenance\Favoris
2008-04-06 18:20 . 2008-04-13 18:17	<REP>	d--------	C:\Documents and Settings\maintenance\Bureau
2008-04-05 22:19 . 2008-04-05 22:19	<REP>	d--------	C:\WINDOWS\ShellNew
2008-04-05 22:19 . 2008-04-06 19:19	385	--a------	C:\WINDOWS\ODBC.INI
2008-04-05 22:01 . 2008-04-05 23:47	<REP>	d--h-----	C:\Documents and Settings\Bruno\Voisinage réseau
2008-04-05 22:01 . 2008-04-05 23:47	<REP>	d--h-----	C:\Documents and Settings\Bruno\Voisinage d'impression
2008-04-05 22:01 . 2008-04-05 21:51	<REP>	d--h-----	C:\Documents and Settings\Bruno\Modèles
2008-04-05 22:01 . 2008-04-05 22:01	<REP>	dr-------	C:\Documents and Settings\Bruno\Mes documents
2008-04-05 22:01 . 2008-04-05 23:47	<REP>	dr-------	C:\Documents and Settings\Bruno\Menu Démarrer
2008-04-05 22:01 . 2008-04-05 22:01	<REP>	dr-------	C:\Documents and Settings\Bruno\Favoris
2008-04-05 22:01 . 2008-04-05 22:11	<REP>	d--------	C:\Documents and Settings\Bruno\Bureau
2008-04-05 22:01 . 2004-08-05 14:00	221,184	--a------	C:\WINDOWS\system32\wmpns.dll

.
((((((((((((((((((((((((((((((((((   Compte-rendu de Find3M   ))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-04-10 12:14	3,284	--sha-w	C:\WINDOWS\system32\drivers\fidbox.idx
2008-04-10 12:14	188,448	--sha-w	C:\WINDOWS\system32\drivers\fidbox.dat
2008-04-09 16:17	75,932	----a-w	C:\WINDOWS\system32\drivers\klick.dat
2008-04-09 16:17	74,396	----a-w	C:\WINDOWS\system32\drivers\klin.dat
2008-04-05 19:56	---------	d-----w	C:\Program Files\microsoft frontpage
2008-04-05 19:55	---------	d-----w	C:\Program Files\Java
2008-04-05 19:55	---------	d-----w	C:\Program Files\Fichiers communs\Java
2008-04-05 19:53	---------	d-----w	C:\Program Files\Services en ligne
2008-03-20 08:09	1,845,376	----a-w	C:\WINDOWS\system32\win32k.sys
2008-03-01 12:58	826,368	----a-w	C:\WINDOWS\system32\wininet.dll
2008-02-20 06:51	282,624	----a-w	C:\WINDOWS\system32\gdi32.dll
2008-02-20 05:35	45,568	----a-w	C:\WINDOWS\system32\dnsrslvr.dll
2008-02-11 07:39	253,952	----a-w	C:\WINDOWS\system32\OnlineScannerDLLA.dll
2008-02-11 07:39	237,568	----a-w	C:\WINDOWS\system32\OnlineScannerDLLW.dll
2008-02-08 11:53	110,592	----a-w	C:\WINDOWS\system32\OnlineScannerLang.dll
2008-02-05 06:48	77,824	----a-w	C:\WINDOWS\system32\OnlineScannerUninstaller.exe
.

(((((((((((((((((((((((((((((((((   Point de chargement Reg   )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-05 14:00 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SunJavaUpdateSched"="C:\Program Files\Java\jre1.5.0\bin\jusched.exe" [2008-04-05 21:55 36972]
"SoundMan"="SOUNDMAN.EXE" [2005-12-14 19:06 577536 C:\WINDOWS\SOUNDMAN.EXE]
"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2005-12-01 14:02 7311360]
"nwiz"="nwiz.exe" [2005-12-01 14:02 1519616 C:\WINDOWS\system32\nwiz.exe]
"AliceSAV"="C:\Program Files\TechCity Solutions\AliceSAV\AliceAgent.exe" [2005-12-16 17:57 81408]
"avast!"="C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe" [2008-03-29 19:37 79224]
"ZoneAlarm Client"="C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe" [2007-06-21 21:54 919016]
"NeroFilterCheck"="C:\WINDOWS\system32\NeroCheck.exe" [2006-01-12 15:40 155648]

C:\Documents and Settings\All Users\Menu D‚marrer\Programmes\D‚marrage\
Microsoft Office.lnk - C:\Program Files\Microsoft Office\Office10\OSA.EXE [2001-02-13 09:01:04 83360]

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\ZoneLabsFirewall]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"C:\\WINDOWS\\system32\\ZoneLabs\\avsys\\ScanningProcess.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

R3 usbstor;Pilote de stockage de masse USB;C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS [2004-08-05 14:00]
S1 aswSP;avast! Self Protection;C:\WINDOWS\system32\drivers\aswSP.sys [2008-03-29 19:31]
S2 aswFsBlk;aswFsBlk;C:\WINDOWS\system32\DRIVERS\aswFsBlk.sys [2008-03-29 19:35]

*Newly Created Service* - CATCHME
.
**************************************************************************

catchme 0.3.1351 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-04-13 18:23:56
Windows 5.1.2600 Service Pack 2 NTFS

Balayage processus cachés ...

Balayage caché autostart entries ...

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
  AliceSAV = C:\Program Files\TechCity Solutions\AliceSAV\AliceAgent.exe???????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????? 

Balayage des fichiers cachés ...

Scan terminé avec succès 
Les fichiers cachés: 0 

**************************************************************************
.
Temps d'accomplissement: 2008-04-13 18:24:14
ComboFix-quarantined-files.txt  2008-04-13 16:24:04
Pre-Run: 242,840,801,280 octets libres
Post-Run: 242,831,302,656 octets libres
.
2008-04-13 15:47:26	--- E O F ---

teutates · Answer

Est-ce que ce serait lié ? J'ai chronométré systématiquement un temps de plus de 3 mn pour que Windows se débloque entièrement après le login. En fait, il semble que ce soit ZoneAlarm qui fasse ce blocage.

espion3004 · Answer

ok il y a eu une très bonne remarque sur le post n°35 je crois je te répond en MP boulepate...
Et file ailleurs...

Moi aussi je déplore plein de trucs.
Espion3004.

green day · Answer

C'est très touchant tout ça, mais faut il encore savoir admettre ses limites, et accepter la critique ...
On n'argumente pas par des "je sais" ...

 Ne voulant pas pénaliser Teutates :

télécharge ceci :https://www.commentcamarche.net/telecharger/ 34055379 malwarebyte s anti malware 
* Installez le programme sur le bureau : 
o S'il manque le fichier COMCTL32.OCX, vous pourrez le télécharger ici 
* Faites les mises à jour (clic sur Mises à jour puis Recherche de mises à jour) 
* Démarrez en mode sans échec 
* Lancez le MalwareByte's Anti-Malware, cliquez sur Exécuter un examen complet puis Rechercher et sélectionnez tous tes disques durs 
* Une fois le scan terminé, cliquez sur supprimer (si un message demande à redémarrer le PC, acceptez !) 
* Un rapport sera généré, enregistrez le de manière à le retrouver 

==> poste le stp ! 

++

teutates · Answer

Pour tout le monde :

Temps mort jusqu'à au moins demain, date à laquelle j'espère sonner la fin de la récré contre ces saletés. (Pour rappel, c'est le PC de mes voisins).

Suite à cette réponse (et ce qui suit, pour remplacer Avast, j'adopte AVG ou Antivir ?

green day · Answer

antivir !

@+

tribun · Answer

bonjour 
a titre d'information seulement !

si le MBR ( Master Boord Rekord) est infecté ,
vous pouvez tout essayer , un formatage ne peut supprimer l'infection !
dans ce cas le DD est a remplacer !

espion3004 · Answer

re, et je n'en rajouterai pas plus, car je ne suis pas en Expert de la désinfec...
Teutates pour recentrer mes réponses concrètes voila ce que j'avais écrit =>

J'ai plusieurs commentaires à faire...
Est-ce un pc de marque ?

Car je crois que tu n'as pas formater, mais réinstallé le ghost, le recovery d'xp tout simplement

Le formatage écrase certe mais pas la réinstallation d'un recovery (comme pour acer ou dell).

Car pour informations = c:/Windows/system32/userinit.exe

C'est un ver, bien plus coriace qu'un virus => https://translate.google.com/
Fagot ver fonctionne par l'envoi de messages via IRC chat, essaie d'amener les gens à cliquer sur un lien hypertexte, qui download "britney.jpg" de www.angelfire.com.

Lorsque la page est ouvert avec Internet Explorer, le script  (d'ou l'utiliter de mettre java à jour de suite préconisé par les helpers)est exécuté.  La première partie du script contient le code Visual Basic Script qui utilise un exploit pour remplacer le lecteur Windows Media avec un fichier ( "patch.exe") qui est téléchargé à partir d'un autre emplacement web. Suivant la deuxième partie (écrit en JavaScript) du script est exécuté, provoquant le joueur remplacé médiale à exécuter après cinq secondes.

The "patch.exe" file was taken offline already by the time we got reports on this worm on Sunday the 26th of October, therefore the worm doesn't work any more. Le "patch.exe" dossier a été prise hors ligne déjà au moment où nous avons reçu des rapports sur ce ver, le dimanche 26 octobre, donc le ver ne fonctionne plus.

Exécutable du ver composante

 PATCH.EXE Le fichier est le composant du ver responsables de la mort de l'anti-virus et les logiciels de sécurité pour l'envoi des tâches et des liens vers le fichier HTML sur infectées réseaux IRC.

 PATCH.EXE Lorsque le fichier est exécuté, il ne les suivantes:

 Kills processus avec les noms suivants:

 Ad-watch.exe  regedit.exe  taskmgr.exe 

 * Copie le fichier du ver de répertoire System de Windows avec le nom suivant:

 C:\Windows\system32\userinit32.exe C: \ Windows \ system32 \ userinit32.exe 
Crée une clé de démarrage pour le fichier copié dans le système d'immatriculation:

 [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]  "Userinit" = "C:\Windows\system32\userinit32.exe" [HKLM \ SOFTWARE \ Microsoft \ Windows NT \ CurrentVersion \ Winlogon] "Userinit" = "C: \ Windows \ system32 \ userinit32.exe" 

* Copies the worm's file to Windows System folder with the following name: * Copie le fichier du ver de répertoire System de Windows avec le nom suivant:

 C:\Windows\system32\dllhost32.exe C: \ Windows \ system32 \ dllhost32.exe 
Www.blacksnake.com etc etc....


Je te recommande vivement de passer ton pc sous scan F-secure en ligne , tout est clair sur cette page =>http://support.f-secure.com/fra/home/ols.shtml

Tu devras le faire avec IE et accepter l'active X

C'est le défaut d'Avast une fois de plus, il cilble très mal les infections !!!!
Teutates tu devrai installer Antivir (selon moi) concernant Avast, je ne sais pas si tu es au courant ....
Je pense qu'il serait sympa de commencer la désinfect par le commencement, comme nous le faisons aux internautes... C'est à dire par la force douce...

NB : Met à jour java de suite ,c'est important =>https://www.java.com/fr/

Ok

Tu dois télécharger AVG antispyware (je parlais bien de l'anti-spy et non l'antivirus) =>https://www.commentcamarche.net/telecharger/ 218 avg anti spyware

Ensuite A-squared free =>https://www.commentcamarche.net/telecharger/ 224 a squared
tuto installation =>http://pitcatsite.ovh.org/php/a2free.php

CCleaner est un utilitaire de nettoyage gratuit permettant de garantir un respect de la vie privée en supprimant les fichiers d'historique et de cache du système. Il supprime les traces d'activité, telles que: Fichiers temporaires de Windows ...
https://www.commentcamarche.net/telecharger/ 168 ccleaner
tuto installation =https://forums.cnetfrance.fr

A l'installation pensez à décocher l'installation de Yahoo toolbar discrètement proposée en plus de CCleaner.

Ok, fais la mise à jours des programmes...
=============================================================


... Pour répondre à boulepate62, suite au MP où tu n'en a rien à cirer de ma vie et tout le tralala ! (sympa, saches pour information que tu étais le seul à qui j'ai raconté ma vie, comme tu dis, afin de me présenter à toi !)
Cherchant un dialogue, bref... Je te réponds ici pour éviter le polluage de post=>http://www.commentcamarche.net/forum/affich 5924669 c est ca ta reponse deja repondu#dernier

NB : J'ai retiré l'adresse de mon site via mon profil, je ne sais pas si il y a eu cause à effet.. Mais 1 invité s'est permit de son moquer du contenu, et du faite que je ne connaissais pas Windows !

Cela me met dans une colère sans nom ! Tu vois, je n'accuse personne, à part moi.. Tu m'as donner une bonne leçon, et je ne serai pas prêt d'oublier...
Je t'en voudrai à jamais pour ceci =>cela en montre beaucoup sur tes connaissances sur la lecture d'un rapport hijackthis et de Windows tout court. !
Sachant que je viens de créer mon forum ! = pas respectueux du tout tu travail effectué !

Lyonnais92 · Answer

Bonjour,

quelqu'un avait suggéré de vérifier l'hypothèse de faux-positifs par VirusTotal.

Il y a 3 fichiers connus :


c:/Windows/system32/userinit.exe 
 
 c:/Windows/system32/WBEM/wmiprvse.exe 

 c:/Windows/system32/wuauclt.exe 

Pour le 4ème, c'est un processus en activité (PID identification de processus).

Pour le retrouver : 

ouvrir le gestionnaire des tâches (Ctr, Alt et Suppr)

onglet Processus, cliquer sur affichage.

Cliquer Sélectionner les colonnes et cocher PID et OK

Cliquer sur PID (en en tête de colonne pour trier la liste des preocessus sur PID), chercher le numéro 2404

Chercher son chemin avec la fonction Rechercher de Windows.

Le mode d'emploi de VirusTotal :

Rends toi sur ce site :

https://www.virustotal.com/gui/

Clique sur parcourir et cherche ce fichier : XXXXXXXXXXXXXXX

Clique sur Send File.

Un rapport va s'élaborer ligne à ligne.

Attends la fin. Il doit comprendre la taille du fichier envoyé.

Sauvegarde le rapport avec le bloc-note.

Copie le dans ta réponse. 

Si VirusTotal indique que le fichier a déjà été analysé, clique sur le bouton Ré-analyser le fichier maintenant.

teutates · Answer

Petite précision sur la machine : c'est un PC de bureau (et non un portable) livré d'origine avec XP (et pas Vista) et GParted n'a révélé aucune partition caché. Donc la bête a bien été formatée entièrement.

green day · Answer

Tu en as de la chance, t'es au p'tit soin ! :)

 sauf qu'il y a un peu trop de monde, ça va devenir ingérable ... tu en est où stp ?

++

teutates · Answer

On reprend les hostilités !!

1) AVG Anti-Spyware : les habituels cookies :

---------------------------------------------------------
AVG Anti-Spyware - Rapport d'analyse
---------------------------------------------------------

 + Créé à:	17:01:50 15/04/2008

 + Résultat de l'analyse:	



:mozilla.30:C:\Documents and Settings\maintenance\Application Data\Mozilla\Firefox\Profiles\5qbqml1s.default\cookies.txt -> TrackingCookie.2o7 : Aucune action entreprise.
:mozilla.31:C:\Documents and Settings\maintenance\Application Data\Mozilla\Firefox\Profiles\5qbqml1s.default\cookies.txt -> TrackingCookie.2o7 : Aucune action entreprise.
:mozilla.12:C:\Documents and Settings\maintenance\Application Data\Mozilla\Firefox\Profiles\5qbqml1s.default\cookies.txt -> TrackingCookie.Advertising : Aucune action entreprise.
:mozilla.13:C:\Documents and Settings\maintenance\Application Data\Mozilla\Firefox\Profiles\5qbqml1s.default\cookies.txt -> TrackingCookie.Advertising : Aucune action entreprise.
:mozilla.14:C:\Documents and Settings\maintenance\Application Data\Mozilla\Firefox\Profiles\5qbqml1s.default\cookies.txt -> TrackingCookie.Advertising : Aucune action entreprise.
:mozilla.15:C:\Documents and Settings\maintenance\Application Data\Mozilla\Firefox\Profiles\5qbqml1s.default\cookies.txt -> TrackingCookie.Advertising : Aucune action entreprise.
C:\Documents and Settings\xxxx\Cookies\bruno@advertising[1].txt -> TrackingCookie.Advertising : Aucune action entreprise.
C:\Documents and Settings\xxxx\Cookies\bruno@adviva[1].txt -> TrackingCookie.Adviva : Aucune action entreprise.
C:\Documents and Settings\xxxx\Cookies\bruno@bluestreak[1].txt -> TrackingCookie.Bluestreak : Aucune action entreprise.
C:\Documents and Settings\maintenance\Cookies\maintenance@bluestreak[1].txt -> TrackingCookie.Bluestreak : Aucune action entreprise.
C:\Documents and Settings\xxxx\Cookies\bruno@fl01.ct2.comclick[1].txt -> TrackingCookie.Comclick : Aucune action entreprise.
:mozilla.11:C:\Documents and Settings\maintenance\Application Data\Mozilla\Firefox\Profiles\5qbqml1s.default\cookies.txt -> TrackingCookie.Doubleclick : Aucune action entreprise.
C:\Documents and Settings\xxxx\Cookies\bruno@doubleclick[1].txt -> TrackingCookie.Doubleclick : Aucune action entreprise.
:mozilla.23:C:\Documents and Settings\maintenance\Application Data\Mozilla\Firefox\Profiles\5qbqml1s.default\cookies.txt -> TrackingCookie.Estat : Aucune action entreprise.
C:\Documents and Settings\xxxx\Cookies\bruno@estat[1].txt -> TrackingCookie.Estat : Aucune action entreprise.
C:\Documents and Settings\maintenance\Cookies\maintenance@estat[1].txt -> TrackingCookie.Estat : Aucune action entreprise.
C:\Documents and Settings\xxxx\Cookies\bruno@adopt.euroclick[2].txt -> TrackingCookie.Euroclick : Aucune action entreprise.
:mozilla.16:C:\Documents and Settings\maintenance\Application Data\Mozilla\Firefox\Profiles\5qbqml1s.default\cookies.txt -> TrackingCookie.Hitbox : Aucune action entreprise.
:mozilla.17:C:\Documents and Settings\maintenance\Application Data\Mozilla\Firefox\Profiles\5qbqml1s.default\cookies.txt -> TrackingCookie.Hitbox : Aucune action entreprise.
:mozilla.20:C:\Documents and Settings\maintenance\Application Data\Mozilla\Firefox\Profiles\5qbqml1s.default\cookies.txt -> TrackingCookie.Hitbox : Aucune action entreprise.
C:\Documents and Settings\xxxx\Cookies\bruno@ehg-telecomitalia.hitbox[1].txt -> TrackingCookie.Hitbox : Aucune action entreprise.
C:\Documents and Settings\xxxx\Cookies\bruno@hitbox[2].txt -> TrackingCookie.Hitbox : Aucune action entreprise.
C:\Documents and Settings\maintenance\Cookies\maintenance@ehg-telecomitalia.hitbox[1].txt -> TrackingCookie.Hitbox : Aucune action entreprise.
C:\Documents and Settings\maintenance\Cookies\maintenance@hitbox[2].txt -> TrackingCookie.Hitbox : Aucune action entreprise.
C:\Documents and Settings\xxxx\Cookies\bruno@overture[1].txt -> TrackingCookie.Overture : Aucune action entreprise.
:mozilla.42:C:\Documents and Settings\maintenance\Application Data\Mozilla\Firefox\Profiles\5qbqml1s.default\cookies.txt -> TrackingCookie.Smartadserver : Aucune action entreprise.
:mozilla.43:C:\Documents and Settings\maintenance\Application Data\Mozilla\Firefox\Profiles\5qbqml1s.default\cookies.txt -> TrackingCookie.Smartadserver : Aucune action entreprise.
:mozilla.44:C:\Documents and Settings\maintenance\Application Data\Mozilla\Firefox\Profiles\5qbqml1s.default\cookies.txt -> TrackingCookie.Smartadserver : Aucune action entreprise.
C:\Documents and Settings\xxxx\Cookies\xxxx@smartadserver[1].txt -> TrackingCookie.Smartadserver : Aucune action entreprise.
C:\Documents and Settings\xxxx\Cookies\xxxx@tradedoubler[1].txt -> TrackingCookie.Tradedoubler : Aucune action entreprise.
:mozilla.25:C:\Documents and Settings\maintenance\Application Data\Mozilla\Firefox\Profiles\5qbqml1s.default\cookies.txt -> TrackingCookie.Weborama : Aucune action entreprise.
:mozilla.26:C:\Documents and Settings\maintenance\Application Data\Mozilla\Firefox\Profiles\5qbqml1s.default\cookies.txt -> TrackingCookie.Weborama : Aucune action entreprise.
:mozilla.27:C:\Documents and Settings\maintenance\Application Data\Mozilla\Firefox\Profiles\5qbqml1s.default\cookies.txt -> TrackingCookie.Weborama : Aucune action entreprise.
:mozilla.28:C:\Documents and Settings\maintenance\Application Data\Mozilla\Firefox\Profiles\5qbqml1s.default\cookies.txt -> TrackingCookie.Weborama : Aucune action entreprise.
:mozilla.29:C:\Documents and Settings\maintenance\Application Data\Mozilla\Firefox\Profiles\5qbqml1s.default\cookies.txt -> TrackingCookie.Weborama : Aucune action entreprise.
C:\Documents and Settings\xxxx\Cookies\bruno@cetelem.solution.weborama[2].txt -> TrackingCookie.Weborama : Aucune action entreprise.
C:\Documents and Settings\xxxx\Cookies\bruno@weborama[2].txt -> TrackingCookie.Weborama : Aucune action entreprise.
C:\Documents and Settings\xxxx\Cookies\bruno@m.webtrends[1].txt -> TrackingCookie.Webtrends : Aucune action entreprise.
C:\Documents and Settings\xxxx\Cookies\dylan@m.webtrends[2].txt -> TrackingCookie.Webtrends : Aucune action entreprise.

Fin du rapport



2) A-squared : encore ces cookies
Version - a-squared Free 3.5
Dernière mise à jour : 15/04/2008 17:09:15

Paramètres du Scan :

Éléments : Mémoire, Traces, Cookies, C:\WINDOWS\, C:\Program Files
Analyse les archives : Marche
Analyse heuristiques : Marche
Analyse ADS : Marche

Début de l'analyse :	15/04/2008 17:10:03

Key: HKEY_USERS\S-1-5-21-1645522239-1078145449-839522115-1009\software\kazaa 	Objets détectés : Trace.Registry.KaZaA
C:\Documents and Settings\maintenance\Cookies\maintenance@bluestreak[1].txt 	Objets détectés : Trace.TrackingCookie
C:\Documents and Settings\maintenance\Cookies\maintenance@hitbox[2].txt 	Objets détectés : Trace.TrackingCookie

Analysé

Fichiers : 	52027
Traces : 	393985
Cookies : 	60
Processus : 	34

Objets trouvés

Fichiers : 	0
Traces : 	1
Cookies : 	2
Processus : 	0
Clés du Registre : 	0

Fin de l'analyse :	15/04/2008 17:33:11
Temps de l'analyse :	0:23:08

teutates · Answer

3) MalwareByte-AntiMalware : Toujours les cookies
Malwarebytes' Anti-Malware 1.11
Version de la base de données: 633

Type de recherche: Examen rapide
Eléments examinés: 35729
Temps écoulé: 4 minute(s), 37 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

teutates · Answer

4)  Analyse antivirus Antivir :



AntiVir PersonalEdition Classic
Report file date: mardi 15 avril 2008  18:00

Scanning for 835736 virus strains and unwanted programs.

Licensed to:      Avira AntiVir PersonalEdition Classic
Serial number:    0000149996-ADJIE-0001
Platform:         Windows XP
Windows version:  (Service Pack 2)  [5.1.2600]
Username:         SYSTEM
Computer name:    LARUELLE-700476

Version information:
BUILD.DAT    : 270           15603 Bytes  19/09/2007 13:32:00
AVSCAN.EXE   : 7.0.6.1      290856 Bytes  23/08/2007 12:16:29
AVSCAN.DLL   : 7.0.6.0       49192 Bytes  16/08/2007 11:23:51
LUKE.DLL     : 7.0.5.3      147496 Bytes  14/08/2007 14:32:47
LUKERES.DLL  : 7.0.6.1       10280 Bytes  21/08/2007 11:35:20
ANTIVIR0.VDF : 6.40.0.0    11030528 Bytes  18/07/2007 13:27:15
ANTIVIR1.VDF : 7.0.0.0     1640448 Bytes  13/09/2007 13:26:55
ANTIVIR2.VDF : 7.0.0.1        2048 Bytes  13/09/2007 13:27:04
ANTIVIR3.VDF : 7.0.0.2        2048 Bytes  13/09/2007 13:27:13
AVEWIN32.DLL : 7.6.0.15    2806272 Bytes  17/09/2007 16:43:56
AVWINLL.DLL  : 1.0.0.7       14376 Bytes  26/02/2007 09:36:26
AVPREF.DLL   : 7.0.2.2       25640 Bytes  18/07/2007 06:39:17
AVREP.DLL    : 7.0.0.1      155688 Bytes  16/04/2007 12:16:24
AVPACK32.DLL : 7.3.0.15     360488 Bytes  03/08/2007 07:46:00
AVREG.DLL    : 7.0.1.6       30760 Bytes  18/07/2007 06:17:06
AVARKT.DLL   : 1.0.0.20     278568 Bytes  28/08/2007 11:26:33
AVEVTLOG.DLL : 7.0.0.20      86056 Bytes  18/07/2007 06:10:18
NETNT.DLL    : 7.0.0.0        7720 Bytes  08/03/2007 10:09:42
RCIMAGE.DLL  : 7.0.1.30    2342952 Bytes  07/08/2007 11:38:13
RCTEXT.DLL   : 7.0.62.0      86056 Bytes  21/08/2007 11:50:37
SQLITE3.DLL  : 3.3.17.1     339968 Bytes  23/07/2007 08:37:21

Configuration settings for the scan:
Jobname..........................: Complete system scan
Configuration file...............: c:\program files\avira\antivir personaledition classic\sysscan.avp
Logging..........................: low
Primary action...................: interactive
Secondary action.................: ignore
Scan master boot sector..........: on
Scan boot sector.................: on
Boot sectors.....................: C:, 
Scan memory......................: on
Process scan.....................: on
Scan registry....................: on
Search for rootkits..............: off
Scan all files...................: All files
Scan archives....................: on
Recursion depth..................: 20
Smart extensions.................: on
Macro heuristic..................: on
File heuristic...................: medium

Start of the scan: mardi 15 avril 2008  18:00

The scan of running processes will be started
Scan process 'avscan.exe' - '1' Module(s) have been scanned
Scan process 'avcenter.exe' - '1' Module(s) have been scanned
Scan process 'wuauclt.exe' - '1' Module(s) have been scanned
Scan process 'msiexec.exe' - '1' Module(s) have been scanned
Scan process 'avgnt.exe' - '1' Module(s) have been scanned
Scan process 'avguard.exe' - '1' Module(s) have been scanned
Scan process 'sched.exe' - '1' Module(s) have been scanned
Scan process 'wuauclt.exe' - '1' Module(s) have been scanned
Scan process 'wscntfy.exe' - '1' Module(s) have been scanned
Scan process 'alg.exe' - '1' Module(s) have been scanned
Scan process 'hpqgalry.exe' - '1' Module(s) have been scanned
Scan process 'wdfmgr.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'HPZipm12.exe' - '1' Module(s) have been scanned
Scan process 'nvsvc32.exe' - '1' Module(s) have been scanned
Scan process 'hpqtra08.exe' - '1' Module(s) have been scanned
Scan process 'ctfmon.exe' - '1' Module(s) have been scanned
Scan process 'guard.exe' - '0' Module(s) have been scanned
Scan process 'avgas.exe' - '1' Module(s) have been scanned
Scan process 'hpwuSchd2.exe' - '1' Module(s) have been scanned
Scan process 'zlclient.exe' - '0' Module(s) have been scanned
Scan process 'AliceAgent.exe' - '1' Module(s) have been scanned
Scan process 'SOUNDMAN.EXE' - '1' Module(s) have been scanned
Scan process 'jusched.exe' - '1' Module(s) have been scanned
Scan process 'a2service.exe' - '1' Module(s) have been scanned
Scan process 'explorer.exe' - '1' Module(s) have been scanned
Scan process 'spoolsv.exe' - '1' Module(s) have been scanned
Scan process 'vsmon.exe' - '0' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'lsass.exe' - '1' Module(s) have been scanned
Scan process 'services.exe' - '1' Module(s) have been scanned
Scan process 'winlogon.exe' - '1' Module(s) have been scanned
Scan process 'csrss.exe' - '1' Module(s) have been scanned
Scan process 'smss.exe' - '1' Module(s) have been scanned
35 processes with 35 modules were scanned

Starting master boot sector scan:
Master boot sector HD0
      [NOTE]      No virus was found!
Master boot sector HD1
      [NOTE]      No virus was found!
      [WARNING]   The boot sector file could not be read!
      [WARNING]   Error code: 0x0015
Master boot sector HD2
      [NOTE]      No virus was found!
      [WARNING]   The boot sector file could not be read!
      [WARNING]   Error code: 0x0015
Master boot sector HD3
      [NOTE]      No virus was found!
      [WARNING]   The boot sector file could not be read!
      [WARNING]   Error code: 0x0015
Master boot sector HD4
      [NOTE]      No virus was found!
      [WARNING]   The boot sector file could not be read!
      [WARNING]   Error code: 0x0015
Master boot sector HD5
      [NOTE]      No virus was found!
      [WARNING]   The boot sector file could not be read!
      [WARNING]   Error code: 0x0015
Master boot sector HD6
      [NOTE]      No virus was found!
      [WARNING]   The boot sector file could not be read!
      [WARNING]   Error code: 0x0015

Start scanning boot sectors:
Boot sector 'C:\'
      [NOTE]      No virus was found!

Starting to scan the registry.
The registry was scanned ( '26' files ).


Starting the file scan:

Begin scan in 'C:\'
C:\pagefile.sys
      [WARNING]   The file could not be opened!


End of the scan: mardi 15 avril 2008  18:23
Used time: 22:12 min

The scan has been done completely.

   3688 Scanning directories
 138260 Files were scanned
      0 viruses and/or unwanted programs were found
      0 Files were classified as suspicious:
      0 files were deleted
      0 files were repaired
      0 files were moved to quarantine
      0 files were renamed
      1 Files cannot be scanned
 138260 Files not concerned
    580 Archives were scanned
      1 Warnings
      1 Notes


Mais dois-je le refaire en mode sans échec ?

green day · Answer

Salut

 non c'est bon, fais l'analyse des fichiers incriminés comme indiqué au poste 48 stp

@+

teutates · Answer

Zut ! J'ai oublié le post 48 !!! Je le fais le prochain coup.

Avast et les RootKits

39 réponses

Discussions similaires

Newsletters