Grrr un rootkit help!
Résolu
slt tlm.pourrait on m aider a mon tour svppp! je suis sous vista. avast m a détecté un rootkit qu il n arrive pas a supprimer, j ai essayé avec spybot et malware, ils le détectent tous les 2 et me font le supprimer puis rallumer mon ordi pour achever la suppression!!!! mais le rootkit est tjs la, j ai essayé d m en sortir seul, mais je n ose pas trop utiliser de logiciels,outils sans connaitre!!! voila j attends de vos news , merci d avance.
46 réponses
Résumé de la discussion
Une configuration Windows Vista et Firefox 3.6.3 est confrontée à une détection de rootkit par Avast qui ne peut être supprimée, malgré des essais avec Spybot et Malwarebytes et des redémarrages répétés. Plusieurs solutions proposées incluent l’utilisation de GMER Scanner pour un scan sélectif de la partition système, ToolsCleaner pour repérer et supprimer des composants malveillants, puis ComboFix avec CFscript et hijackthis pour générer des rapports. D'autres conseils préconisent ZHPDiag et l'envoi de rapports via Cijoint, en angleant des précautions comme déconnecter l'ordinateur d'Internet et désactiver temporairement les protections avant l'exécution de certains outils. Enfin, certaines interventions évoquent une infection MBR et recommandent une approche coordonnée entre outils et vérifications pour éviter une réapparition du rootkit après les nettoyages.
-
Contributeur sécuritéBonsoir,
les outils le décèlent dans quel fichier ?
===
Télécharge la dernière version de ZHPDiag
Enregistre le sur ton Bureau.
Une fois le téléchargement achevé,fais un double clic sur ZHPDiag.exe et suis les instructions.
N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau.
pour Xp :Double clique sur le raccourci ZHPDiag sur ton Bureau.
pour vista et Seven : fais un clic droit sur le raccourci ZHPDiag sur ton Bureau et choisis "exécuter en tant qu'administrateur".
/|\ l'outil a créé 2 icônes ZHPDiag et ZHPFix.
Clique sur la loupe pour lancer l'analyse.
Laisse l'outil travailler, il peut être assez long.
Ferme ZHPDiag en fin d'analyse.
Pour transmettre le rapport clique sur Cijoint
Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag).
Sélectionne le fichier ZHPDiag.txt.
Clique sur "Cliquez ici pour déposer le fichier".
Un lien de cette forme :
http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt
est ajouté dans la page.
Copie ce lien dans ta réponse.
-
cool des reponses si rapides!! bien sympa,ca va prendre un peu de temps je suppose, je fais cela demain, je suis assez novice lol alors pitiée ;-) deja merci je suivrai les instructions d un de vous lol! a demain
-
Contributeur sécuritéBonsoir,
Télécharge GMER Scanner de rootkit
http://www2.gmer.net/download.php
[*]télécharge le .exe sur ton Bureau . Retiens son nom car il est aléatoire.
[*]exécute le en faisant un double clic sur le fichier créé. Néglige les alertes.
[*]le chargement va prendre une minute.
[*]si des rootkits sont décelés, répond non quand on te demande si tu veux faire un scan complet (Full scan).
[*]règle les paramètres (fenêtre de droite) de la manière suivante :
# seule la partition système (en général C:\ ) doit rester cochée
# Show All : décochée
[*]clique sur "SCAN" puis patiente...
[*]En fin de traitement clique sur "SAVE" et enregistre sur le Bureau "051209.txt"
[*]Double clique sur "051209.txt" ; le fichier s'ouvre dans le Bloc-Notes
[*]Copie le contenu et colle le dans ta réponse.-
voila l ami j espere que j ai bien fait ca!!! GMER 1.0.15.15281 - http://www.gmer.net
Rootkit scan 2010-04-20 20:26:46
Windows 6.0.6002 Service Pack 2
Running: ojolhcc0.exe; Driver: C:\Users\IsUser\AppData\Local\Temp\uwdyqfog.sys
---- System - GMER 1.0.15 ----
INT 0x51 ? 87783BF8
INT 0x51 ? 87783BF8
INT 0x72 ? 87783BF8
INT 0x82 ? 87783BF8
INT 0x92 ? 87783BF8
INT 0xA2 ? 85CEDBF8
INT 0xA2 ? 87783BF8
INT 0xA2 ? 87783BF8
INT 0xA2 ? 87783BF8
INT 0xA2 ? 85CEDBF8
---- EOF - GMER 1.0.15 ----
-
-
Contributeur sécuritéBonsoir,
mon canned pour gmer n'est pas au point;
Il faut que tu laisses cochées system, IAT/EAT, sections, devices, modules et registry
-
Contributeur sécuritéRe,
clique sur "j'ai une réponse" au lieu de "ajouter un commentaire"
Le rapport veux bien se coller ? -
Contributeur sécuritéRe,
essaye comme ceci :
clique sur Cijoint
Clique sur Parcourir et cherche le rapport de gmer.
Clique sur Ouvrir.
Clique sur "Cliquez ici pour déposer le fichier".
Un lien de cette forme :
http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt
est ajouté dans la page.
Copie ce lien dans ta réponse.
-
Contributeur sécuritéRe,
le rapport gmer est un .txt, pas un .log. -
Contributeur sécuritéRe,
Déconnecte toi d'Internet et ferme toutes les applications ouvertes.
Pour Vista : Clique droit sur l'icône ZHPFix.exe sur ton Bureau,
puis sélectionne 'Exécuter en tant qu'administrateur'.
Clique t sur l'icône H (pour effacer le rapport qui s'est affiché)
Tape MBRFix dans la fenêtre.
Clique sur OK, ce qui fait apparaître un carré à gauche de la ligne.
Clique sur "Tous" puis sur "Nettoyer".
Laisse l'outil travailler.
Si il te demande de redémarrer l'ordi pour achever le nettoyage, fais le immédiatement.
Le rapport d'exécution va apparaître dans la fenêtre.
Copie le dans ta réponse.
===
Fais redémarrer l'ordi, relance à nouveau ZHPdiag et poste le nouveau rapport dans un lien Cijoint.
-
slt lyonnais, voici le rapport de zhpfix! bizarre tout est "neant"! ZHPFix v1.12.3089 by Nicolas Coolman - Rapport de suppression du 21/04/2010 17:45:06
Fichier d'export Registre :
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Processus mémoire :
(Néant)
Module mémoire :
(Néant)
Clé du Registre :
(Néant)
Valeur du Registre :
(Néant)
Elément de données du Registre :
(Néant)
Dossier :
(Néant)
Fichier :
(Néant)
Logiciel :
(Néant)
Script Registre :
(Néant)
Autre :
(Néant)
Récapitulatif :
Processus mémoire : 0
Module mémoire : 0
Clé du Registre : 0
Valeur du Registre : 0
Elément de données du Registre : 0
Dossier : 0
Fichier : 0
Logiciel : 0
Autre : 0
End of the scan -
-
-
-
Contributeur sécuritéBonsoir,
On va utiliser ComboFix.exe. Rends toi sur cette page web pour obtenir les liens de téléchargement, ainsi que des instructions pour exécuter l'outil:
https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix
*lors du téléchargement, au moment où on te demande où et sous quel nom l'enregistrer, tu choisis le Bureau et tu le nommes antitruc.exe
* Vérifie que tu as fermé/désactivé tous les programmes anti-virus, anti-malware ou anti-spyware afin qu'ils n'interfèrent pas avec le travail de ComboFix.
Envoie le contenu de C:\ComboFix.txt dans ta prochaine réponse afin que je l'examine.
-
Contributeur sécuritéRe,
tu enregistres la page html sur ton Bureau. -
Contributeur sécuritéBonsoir,
on va voir ce que donne la nouvelle version de ZHPDiag/ZHPfix.
Télécharge la dernière version de ZHPDiag
Enregistre le sur ton Bureau.
Une fois le téléchargement achevé,fais un double clic sur ZHPDiag.exe et suis les instructions.
N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau.
pour Xp :Double clique sur le raccourci ZHPDiag sur ton Bureau.
pour vista et Seven : fais un clic droit sur le raccourci ZHPDiag sur ton Bureau et choisis "exécuter en tant qu'administrateur".
/|\ l'outil a créé 2 icônes ZHPDiag et ZHPFix.
Clique sur la loupe pour lancer l'analyse.
Laisse l'outil travailler, il peut être assez long.
Ferme ZHPDiag en fin d'analyse.
Pour transmettre le rapport clique sur Cijoint
Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag).
Sélectionne le fichier ZHPDiag.txt.
Clique sur "Cliquez ici pour déposer le fichier".
Un lien de cette forme :
http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt
est ajouté dans la page.
Copie ce lien dans ta réponse. -
Contributeur sécuritéBonsoir,
Ouvre ce lien : http://www.cijoint.fr/cjlink.php?file=cj201004/cijCqHUY9Z.txt
Ouvre le fichier.
Copie dans le Presse-papier son contenu (sélectionne le avec la souris et fais simultanément Ctrl et C)
Déconnecte toi d'Internet et ferme toutes les applications ouvertes.
Pour Xp : Double clique sur l'icône ZHPFix.exe sur ton Bureau.
Pour Vista : Clique droit sur l'icône ZHPFix.exe sur ton Bureau,
puis sélectionne 'Exécuter en tant qu'administrateur'.
Clique successivement sur l'icône H (pour effacer le rapport qui s'est affiché) puis sur l'icône de la malette cachée par la feuille.
Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.
Clique sur OK, ce qui fait apparaître un carré à gauche de chaque ligne.
Clique sur "Tous" puis sur "Nettoyer".
Laisse l'outil travailler.
Si il te demande de redémarrer l'ordi pour achever le nettoyage, fais le immédiatement.
Le rapport d'exécution va apparaître dans la fenêtre.
Copie le dans ta réponse.
-
ZHPFix v1.12.3092 by Nicolas Coolman - Rapport de suppression du 23/04/2010 0:01:31
Fichier d'export Registre : C:\ZHPExportRegistry-23-04-2010-0-01-31.txt
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Processus mémoire :
(Néant)
Module mémoire :
(Néant)
Clé du Registre :
O42 - Logiciel: DAEMON Tools Toolbar - (.DT Soft Ltd.) [HKLM] => Clé supprimée avec succès
[HKEY_CURRENT_USER\SOFTWARE\Classes\CLSID\{ecdee021-0d17-467f-a1ff-c7a115230949}] => Clé supprimée avec succès
[HKCR\CLSID\{ecdee021-0d17-467f-a1ff-c7a115230949}] => Clé supprimée avec succès
O2 - BHO: free-downloads.net Toolbar - {ecdee021-0d17-467f-a1ff-c7a115230949} . (.Conduit Ltd. - Conduit Toolbar.) -- C:\Program Files\free-downloads.net\tbfree.dll => Clé supprimée avec succès
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{9ec204df-0e48-4c32-816e-2e928a4fd9c2}] => Clé supprimée avec succès
[HKCR\CLSID\{9ec204df-0e48-4c32-816e-2e928a4fd9c2}] => Clé supprimée avec succès
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{32099AAC-C132-4136-9E9A-4E364A424E17}] => Clé supprimée avec succès
[HKCR\CLSID\{32099AAC-C132-4136-9E9A-4E364A424E17}] => Clé supprimée avec succès
O16 - DPF: CabBuilder (CabBuilder) - http://kiw.imgag.com/imgag/kiw/toolbar/download/InstallerControl.cab => Clé supprimée avec succès
O16 - DPF: {CAFEEFAC-0016-0000-0014-ABCDEFFEDCBA} (Java Plug-in 1.6.0_14) - (.not file.) - => Clé absente
O16 - DPF: {CAFEEFAC-0016-0000-0015-ABCDEFFEDCBA} (Java Plug-in 1.6.0_15) - (.not file.) - => Clé absente
O64 - Services: CurCS - (.not file.) - awxjzj (awxjzj) .(.Pas de propriétaire - Pas de description.) - LEGACY_AWXJZJ => Clé non supprimée
O64 - Services: CurCS - (.not file.) - wwnks (wwnks) .(.Pas de propriétaire - Pas de description.) - LEGACY_WWNKS => Clé non supprimée
Valeur du Registre :
R3 - URLSearchHook: free-downloads.net Toolbar - {ecdee021-0d17-467f-a1ff-c7a115230949} . (.Conduit Ltd. - Conduit Toolbar.) (4, 5, 190, 19) -- C:\Program Files\free-downloads.net\tbfree.dll => Valeur supprimée avec succès
O3 - Toolbar: WalterShop - {9ec204df-0e48-4c32-816e-2e928a4fd9c2} . (.Pas de propriétaire - Pas de description.) -- mscoree.dll => Valeur supprimée avec succès
O3 - Toolbar: free-downloads.net Toolbar - {ecdee021-0d17-467f-a1ff-c7a115230949} . (.Conduit Ltd. - Conduit Toolbar.) -- C:\Program Files\free-downloads.net\tbfree.dll => Valeur supprimée avec succès
O3 - Toolbar: DAEMON Tools Toolbar - {32099AAC-C132-4136-9E9A-4E364A424E17} . (.Pas de propriétaire - ToolBand Module.) -- C:\Program Files\DAEMON Tools Toolbar\DTToolbar.dll => Valeur supprimée avec succès
Elément de données du Registre :
(Néant)
Dossier :
C:\Program Files\Circle Develoement => Supprimé et mis en quarantaine
C:\Program Files\DAEMON Tools Toolbar => Supprimé et mis en quarantaine
C:\Program Files\GamesBar => Supprimé et mis en quarantaine
Fichier :
c:\program files\free-downloads.net\tbfree.dll => Supprimé et mis en quarantaine
c:\program files\free-downloads.net\tbfree.dll => Fichier absent
mscoree.dll => Fichier absent
c:\program files\daemon tools toolbar\dttoolbar.dll => Supprimé et mis en quarantaine
c:\program files\daemon tools toolbar\dttoolbar.dll => Fichier absent
Logiciel :
O42 - Logiciel: DAEMON Tools Toolbar - (.DT Soft Ltd.) [HKLM] => Logiciel supprimé avec succès
Script Registre :
(Néant)
Master Boot Record :
Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net
device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys iaStor.sys spzn.sys hal.dll >>UNKNOWN [0x85CA5938]<<
kernel: MBR read successfully
detected MBR rootkit hooks:
\Driver\atapi -> 0x85cee1f8
Warning: possible MBR rootkit infection !
user & kernel MBR OK
Use "Recovery Console" command "fixmbr" to clear infection !
Resultat après le fix :
Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net
device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
Autre :
(Néant)
Récapitulatif :
Processus mémoire : 0
Module mémoire : 0
Clé du Registre : 13
Valeur du Registre : 4
Elément de données du Registre : 0
Dossier : 3
Fichier : 5
Logiciel : 1
Master Boot Record : 1
Autre : 0
End of the scan
-
-
Contributeur sécuritéRe,
c'est un bon rapport.
Les clés LEGACY ne sont pas parties, ce qui était normal avec cette version.
La dernière va permettre de vérifier qu'on a résolu l'infection rootkit du mbr.
Télécharge la dernière version de ZHPDiag
Enregistre le sur ton Bureau.
Une fois le téléchargement achevé,fais un double clic sur ZHPDiag.exe et suis les instructions.
N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau.
pour Xp :Double clique sur le raccourci ZHPDiag sur ton Bureau.
pour vista et Seven : fais un clic droit sur le raccourci ZHPDiag sur ton Bureau et choisis "exécuter en tant qu'administrateur".
/|\ l'outil a créé 2 icônes ZHPDiag et ZHPFix.
Clique sur la loupe pour lancer l'analyse.
Laisse l'outil travailler, il peut être assez long.
Ferme ZHPDiag en fin d'analyse.
Pour transmettre le rapport clique sur Cijoint
Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag).
Sélectionne le fichier ZHPDiag.txt.
Clique sur "Cliquez ici pour déposer le fichier".
Un lien de cette forme :
http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt
est ajouté dans la page.
Copie ce lien dans ta réponse. -
Contributeur sécuritéBonjour,
ZHPFix résout le problème mais il revient au reboot.
As tu installé récemment Daemon Tools ?
En as tu besoin ?
As tu des disques SATA (en non IDE) ?
===
Pourrais tu me donner le nom complet du fichier rootkit (il est dans system32 as tu dit)
===
Quand tu fais des recherches Google, as-tu des redirections (tu obtiens une page autre que celle recherchée) ?-
slt camarade, alors oui j ai installer daemon tools récemment, il me sert pour un jeu que je sais lire qu avec ca(prison break)ou avec autre chose mais je connais pas.ensuite pour les disques j en utilise que tres raremment mais sata j pense pas, le nom complet du fichier rootkit est:C-Windows-System32-drivers-awxjzj.sys. type:services cachés nom du malware Win32:Qandr (Rtk), pour les recherches sur google non je ne pense pas avoir ce problème. voila! je lance alors gmer maintenant??
-
-
Contributeur sécuritéRe,
je voudrais aussi que tu relances gmer (déconnecté du Net et toutes tes protections désactivées).
Tu sauves le rapport dans un document .txt et tu le postes (dans un lien Cijoint si nécessaire. -
Contributeur sécuritéRe,
je vois mieux.
je te donne une manip à faire cet AM (il me faut un peu de temps pour la préparer) -
Contributeur sécuritéRe,
on essaye comme ça (si il faut, on tapera plus fort) :
Ouvre ce lien : http://www.cijoint.fr/cjlink.php?file=cj201004/cijSRgvIyv.txt
Ouvre le fichier.
Copie dans le Presse-papier son contenu (sélectionne le avec la souris et fais simultanément Ctrl et C)) :
lignes à copier
Enregistre le fichier dans le répertoire de ZHPFix (en général C:\Program Files\ZHPDiag) sous le nom fix.reg. (attention, il faut le nom exact, en particulier, vérifie que tu ne masques pas les extensions, par exemple que tu vois bien ZHPDiag.exe et pas ZHPDiag)
Ouvre ce lien : http://www.cijoint.fr/cjlink.php?file=cj201004/cijNJcPPjl.txt
Ouvre le fichier.
Copie dans le Presse-papier son contenu (sélectionne le avec la souris et fais simultanément Ctrl et C)
Déconnecte toi d'Internet et ferme toutes les applications ouvertes.
Pour Vista : Clique droit sur l'icône ZHPFix.exe sur ton Bureau,
puis sélectionne 'Exécuter en tant qu'administrateur'.
Clique successivement sur l'icône H (pour effacer le rapport qui s'est affiché) puis sur l'icône de la malette cachée par la feuille.
Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.
Clique sur OK, ce qui fait apparaître un carré à gauche de chaque ligne.
Clique sur "Tous" puis sur "Nettoyer".
Laisse l'outil travailler.
Si il te demande de redémarrer l'ordi pour achever le nettoyage, fais le immédiatement.
Le rapport d'exécution va apparaître dans la fenêtre.
Copie le dans ta réponse.
===
En tout état de cause, tu fais redémarrer l'ordi 2 fois de suite.
Ensuite, tu relances ZHPDiag par clic droit et exécuter en tant qu'administrateur et tu postes le rapport dans un lien Cijoint.
-
Contributeur sécuritéRe,
le Presse-papier, c'est la zone de stockage des informations lots d'un Copier/Coller : quand tu fais Copier (ou Ctrl et C), tu copies dans le Presse-papier, quand tu fais Coller (ou Ctrl+V), tu copies le contenu du Presse-papier;
On va afficher les extensions :
->Affiche tous les fichiers et dossiers :
clique sur démarrer/panneau de configuration (en affichage classique)/option des dossiers/affichage
[Coche] « afficher les dossiers et fichiers cachés »
[Décoche] la case « Masquer les fichiers protégés du système d'exploitation (recommandé) »
[Décoche] « masquer les extensions dont le type est connu »
Puis fais [appliquer] pour valider les changements.
Et [Ok]-
-
-
ZHPFix v1.12.3092 by Nicolas Coolman - Rapport de suppression du 23/04/2010 23:26:45
Fichier Registre :
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Processus mémoire :
C:\Windows\System32\Drivers\awxjzj.sys => Fichier absent
Module mémoire :
(Néant)
Clé du Registre :
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} . (.not file.) - (.not file.) => Clé absente
O64 - Services: CurCS - (.not file.) - awxjzj (awxjzj) .(.Pas de propriétaire - Pas de description.) - LEGACY_AWXJZJ => Clé supprimée avec succès
O64 - Services: CurCS - (.not file.) - wwnks (wwnks) .(.Pas de propriétaire - Pas de description.) - LEGACY_WWNKS => Clé supprimée avec succès
Valeur du Registre :
(Néant)
Elément de données du Registre :
(Néant)
Dossier :
(Néant)
Fichier :
(Néant)
Logiciel :
(Néant)
Script Registre :
REG:fix.reg => Fichier absent
Master Boot Record :
Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net
device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys iaStor.sys spjz.sys hal.dll >>UNKNOWN [0x85CA5938]<<
kernel: MBR read successfully
detected MBR rootkit hooks:
\Driver\atapi -> 0x85cee1f8
Warning: possible MBR rootkit infection !
user & kernel MBR OK
Use "Recovery Console" command "fixmbr" to clear infection !
Resultat après le fix :
Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net
device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
Autre :
(Néant)
Récapitulatif :
Processus mémoire : 1
Module mémoire : 0
Clé du Registre : 3
Valeur du Registre : 0
Elément de données du Registre : 0
Dossier : 0
Fichier : 0
Logiciel : 0
Master Boot Record : 1
Autre : 0
Script Registre : 1
End of the scan -
ZHPFix v1.12.3092 by Nicolas Coolman - Rapport de suppression du 23/04/2010 23:30:39
Fichier Registre :
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Processus mémoire :
(Néant)
Module mémoire :
(Néant)
Clé du Registre :
(Néant)
Valeur du Registre :
(Néant)
Elément de données du Registre :
(Néant)
Dossier :
(Néant)
Fichier :
(Néant)
Logiciel :
(Néant)
Script Registre :
(Néant)
Master Boot Record :
(Néant)
Autre :
Windows Registry Editor Version 5.00 => Format Non supporté
[-HKEY_LOCAL_MACHINE\Software\GamesBarSetup] => Format Non supporté
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\awxjzj] => Format Non supporté
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Services\awxjzj] => Format Non supporté
Récapitulatif :
Processus mémoire : 0
Module mémoire : 0
Clé du Registre : 0
Valeur du Registre : 0
Elément de données du Registre : 0
Dossier : 0
Fichier : 0
Logiciel : 0
Master Boot Record : 1
Autre : 4
End of the scan -
-
-
Contributeur sécuritéRe,
tu as échangé ce qu'il faut faire avec les 2 liens.
Le premier tu en fais un fichier que tu mets dans le répertoire de ZHPDiag sous le nom de fix.reg
Le second, tu copies son contenu dans la zone de saisie de ZHPFix.-
voila j ai recommencé! ,
ZHPFix v1.12.3092 by Nicolas Coolman - Rapport de suppression du 24/04/2010 0:53:02
Fichier d'export Registre : C:\ZHPExportRegistry-24-04-2010-0-53-02.txt
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Processus mémoire :
C:\Windows\System32\Drivers\awxjzj.sys => Fichier absent
Module mémoire :
(Néant)
Clé du Registre :
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} . (.not file.) - (.not file.) => Clé absente
O64 - Services: CurCS - (.not file.) - awxjzj (awxjzj) .(.Pas de propriétaire - Pas de description.) - LEGACY_AWXJZJ => Clé absente
O64 - Services: CurCS - (.not file.) - wwnks (wwnks) .(.Pas de propriétaire - Pas de description.) - LEGACY_WWNKS => Clé absente
Valeur du Registre :
(Néant)
Elément de données du Registre :
(Néant)
Dossier :
(Néant)
Fichier :
(Néant)
Logiciel :
(Néant)
Script Registre :
REG:fix.reg => Script de registre fusionné
Master Boot Record :
Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net
device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys iaStor.sys spjz.sys hal.dll >>UNKNOWN [0x85CA5938]<<
kernel: MBR read successfully
detected MBR rootkit hooks:
\Driver\atapi -> 0x85cee1f8
Warning: possible MBR rootkit infection !
user & kernel MBR OK
Use "Recovery Console" command "fixmbr" to clear infection !
Resultat après le fix :
Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net
device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
Autre :
(Néant)
Récapitulatif :
Processus mémoire : 1
Module mémoire : 0
Clé du Registre : 3
Valeur du Registre : 0
Elément de données du Registre : 0
Dossier : 0
Fichier : 0
Logiciel : 0
Master Boot Record : 1
Autre : 0
Script Registre : 1
End of the scan -
-
-
Contributeur sécuritéRe,
pour le coup c'est bien ça.
Fais redémarrer l'ordi, refais tourner ZHPDiag (clic droit, ...) et poste le rapport dans un lien Cijoint.
- 1
- 2
- 3
Suivant
