Besoin d'aide (virus Rootkit.agent) [Résolu]

Bonjour,

C:\WINDOWS\system32\drivers\lklwkpwa.sys (Rootkit.Agent) -> No action taken.

==> Relance MBAM et cic sur supprimer la sélection !

Ensuite:

---> Télécharge ComboFix.exe de sUBs sur ton Bureau :
http://download.bleepingcomputer.com/sUBs/ComboFix.exe

/!\ Déconnecte-toi du net et ferme toutes les applications, antivirus et antispyware y compris /!\

---> Double-clique sur Combofix.exe
Un "pop-up" va apparaître qui dit que "ComboFix est utilisé à vos risques et avec aucune garantie...".
Accepte en cliquant sur "Oui"

---> Mets-le en langue française F

/!\ Ne touche à rien tant que le scan n'est pas terminé. /!\

En fin de scan, il est possible que ComboFix ait besoin de redémarrer le PC pour finaliser la désinfection, laisse-le faire.

Une fois le scan achevé, un rapport va s'afficher : Poste son contenu

/!\ Réactive la protection en temps réel de ton antivirus et de ton antispyware avant de te reconnecter à Internet. /!\

Note : Le rapport se trouve également là : C:\ComboFix.txt


a+

Vas ds l'onglet "quarantaine" de MBAM et supprime tout
et passe à la suite stp

a+

ok c en cours je post ds pas longtemp merçi

Re slt y'a un bléme dés que je copie colle le rapport içi il charge mais ne colle rien (est ce que je doit désinstaller combofix) et réessayer?
La je suis sur un autre pc est sa marche?

J'ai copier le rapport sur un port usb et j'ai essayer de le coller via mon pc et sa ne marche pas non plus?

Héberge le sur http://www.cijoint.fr/ et colle moi
le lien généré stp...

tu me dira si sa a marcher? merçi

Apparemment c'est bon...

Relance un "examen rapide" avec MBAM et colle moi le rapport stp...

Ensuite:

Télécharge RSIT (de random/random) sur le bureau :

- Double clique sur RSIT.exe qui est sur le bureau
- Clique sur "Continue" dans la fenêtre
- RSIT téléchargera HijackThis si il n'est pas présent où détecté, alors il faudra accepter la licence
- Poste le contenu de log.txt plus info.txt (réduit ds la barre de taches) à la fin de l'analyse .
- Si le rapport est trop long pour passer sur le forum héberge le sur http://www.cijoint.fr/
et colle le lien généré.
Les rapports sont dans le dossier ici C:\rsit
a+

voilà pour MBAM

Malwarebytes' Anti-Malware 1.45
www.malwarebytes.org

Version de la base de données: 4024

Windows 5.1.2600 Service Pack 3
Internet Explorer 7.0.5730.13

23/04/2010 17:41:13
mbam-log-2010-04-23 (17-41-13).txt

Type d'examen: Examen rapide
Elément(s) analysé(s): 103110
Temps écoulé: 9 minute(s), 29 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\WINDOWS\system32\drivers\lklwkpwa.sys (Rootkit.Agent) -> No action taken.

re le lien Rsit ne fonctionne plus?

J'ai l'impression que c'est la méme chose je comprend pas?

Tout à fait...

On va faire autrement :

---> Télécharge OTM (OldTimer) sur ton Bureau :
http://oldtimer.geekstogo.com/OTM.exe


--->Clique sur "OTMoveIt3.exe" afin de le lancer.

---> Copie (Ctrl+C) le texte suivant en gras ci-dessous :




:files
C:\WINDOWS\system32\drivers\lklwkpwa.sys


:reg
[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\lklwkpwa]

:Services
lklwkpwa




:commands
[purity]
[emptytemp]
[Reboot]



---> Colle (Ctrl+V) le texte précédemment copié dans le cadre:
Paste Instructions for Items to be Moved.

---> Clique maintenant sur le bouton MoveIt!

Si un fichier ou dossier ne peut pas être supprimé immédiatement, le logiciel te demandera de redémarrer.
Accepte en cliquant sur YES.

---> Poste le rapport situé dans ce dossier : C:\_OTMoveIt\MovedFiles\
Le nom du rapport correspond au moment de sa création : date_heure.log

a+

slt je reprendrai dans la soirée car c'est le pc de ma femme et elle ai parti au travail avec.
Pourquoi sa na pas marcher,j'ai fait comme tu m'as écrit?

Re,

Fait ceci et on avisera...

http://www.commentcamarche.net/...

a+

All processes killed
========== FILES ==========
File move failed. C:\WINDOWS\system32\drivers\lklwkpwa.sys scheduled to be moved on reboot.
========== REGISTRY ==========
========== SERVICES/DRIVERS ==========
Error: No service named lklwkpwa was found to stop!
Service\Driver key lklwkpwa not found.
========== COMMANDS ==========

[EMPTYTEMP]

User: All Users

User: Default User
->Temp folder emptied: 61553734 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->Flash cache emptied: 75 bytes

User: La Puce
->Temp folder emptied: 923911 bytes
->Temporary Internet Files folder emptied: 7328920 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 44431680 bytes
->Flash cache emptied: 4665 bytes

User: LocalService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 49286 bytes

User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 49286 bytes

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 3072 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 324 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temp folder emptied: 0 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temporary Internet Files folder emptied: 33438 bytes
RecycleBin emptied: 0 bytes

Total Files Cleaned = 109,00 mb


OTM by OldTimer - Version 3.1.10.2 log created on 04242010_172002

Files moved on Reboot...
File move failed. C:\WINDOWS\system32\drivers\lklwkpwa.sys scheduled to be moved on reboot.

Registry entries deleted on Reboot...

L'ordi a t-il redémarré apres OTM ?

Relance un examen rapide avec MBAM

a+

oui il a redemarrer. je t'envoi sa de suite (PS) hyper long le pc quand ont clic?

il viens de me trouver un cheval de troie TR/PSW.Nilage.hdi

je fait quoi refuser l'acces supprimer etc