Virus Rootkit.Agent.H [Résolu]

Vlados - Dernière réponse le 27 oct. 2010 à 13:42

Bonjour,
j'ai fais une analyse de mon pc car je supposais la présence de virus dessus, j'avais du nez car Malware anti malware a détecté et supprimé un fichier infecté avec "Rootkit.Agent.H". En parallèle j'ai fais une analyse avec AVPTool qui lui n'a rien trouvé et Spybot qui lui a détecté "WhenU.FunPlayer" qu'il a semble t'il supprimé...
J'aimerai savoir si mon pc est bien nettoyé. Voici mon rapport Hijackthis :
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 08:49:41, on 27/10/2010
Platform: Windows Vista SP2 (WinNT 6.00.1906)
MSIE: Internet Explorer v8.00 (8.00.6001.18975)
Boot mode: Normal
Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Windows\system32\taskeng.exe
C:\Program Files\ASUS\ASUS Live Update\ALU.exe
C:\Program Files\Windows Defender\MSASCui.exe
C:\Program Files\Intel\Intel Matrix Storage Manager\IAAnotif.exe
C:\Windows\RtHDVCpl.exe
C:\Program Files\ASUS\ATK Media\DMedia.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\Microsoft IntelliPoint\ipoint.exe
C:\Program Files\Alwil Software\Avast4\ashDisp.exe
C:\Program Files\Canon\Canon IJ Network Scan Utility\CNMNSUT.EXE
C:\Program Files\Common Files\Java\Java Update\jusched.exe
C:\Program Files\DivX\DivX Update\DivXUpdate.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Windows\ehome\ehtray.exe
C:\Program Files\RocketDock\RocketDock.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Windows\ehome\ehmsas.exe
C:\Windows\system32\wbem\unsecapp.exe
C:\Users\utilisateur\Trucs\HiJackThis\HiJackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Windows Live ID Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [IAAnotif] "C:\Program Files\Intel\Intel Matrix Storage Manager\Iaanotif.exe"
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [ATKMEDIA] C:\Program Files\ASUS\ATK Media\DMEDIA.EXE
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [IntelliPoint] "C:\Program Files\Microsoft IntelliPoint\ipoint.exe"
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [IJNetworkScanUtility] C:\Program Files\Canon\Canon IJ Network Scan Utility\CNMNSUT.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Common Files\Java\Java Update\jusched.exe"
O4 - HKLM\..\Run: [DivXUpdate] "C:\Program Files\DivX\DivX Update\DivXUpdate.exe" /CHECKNOW
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe
O4 - HKCU\..\Run: [RocketDock] "C:\Program Files\RocketDock\RocketDock.exe"
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [Google Update] "C:\Users\utilisateur\AppData\Local\Google\Update\GoogleUpdate.exe" /c
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')
O13 - Gopher Prefix:
O18 - Protocol: wlpg - {E43EF6CD-A37A-4A9B-9E6F-83F89B8E6324} - C:\Program Files\Windows Live\Photo Gallery\AlbumDownloadProtocolHandler.dll
O23 - Service: ASLDR Service (ASLDRService) - Unknown owner - C:\Program Files\ATK Hotkey\ASLDRSrv.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: ATKGFNEX Service (ATKGFNEXSrv) - Unknown owner - C:\Program Files\ATKGFNEX\GFNEXSrv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: Service Google Update (gupdate1ca56fa9b5131bf) (gupdate1ca56fa9b5131bf) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe
O23 - Service: Intel(R) Matrix Storage Event Monitor (IAANTMON) - Intel Corporation - C:\Program Files\Intel\Intel Matrix Storage Manager\Iaantmon.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: InCD Helper (InCDsrv) - Nero AG - C:\Program Files\Nero\Nero 7\InCD\InCDsrv.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe
O23 - Service: NBService - Nero AG - C:\Program Files\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Ahead\Lib\NMIndexingService.exe
O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32\nvvsvc.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: SBSD Security Center Service (SBSDWSCService) - Safer Networking Ltd. - C:\Program Files\Spybot - Search & Destroy\SDWinSec.exe
O23 - Service: spmgr - Unknown owner - C:\Program Files\ASUS\NB Probe\SPM\spmgr.exe
O23 - Service: @%SystemRoot%\System32\TuneUpDefragService.exe,-1 (TuneUp.Defrag) - TuneUp Software GmbH - C:\Windows\System32\TuneUpDefragService.exe

Virus Rootkit.Agent.H »

Suggestions

Virus Rootkit.Agent.H
Virus rootkit.agent.ODG cheval de troie (Résolu) » Forum
Besoin d'aide (virus Rootkit.agent) (Résolu) » Forum
Virus rootkit.agent » Forum
Virus Rootkit.Agent dans Registry Key !HELP! » Forum
Virus rootkit.agent » Forum

Plus

Réponse

jlpjlp 50297Messages postés 18 mai 2007Date d'inscription 28 mai 2012Dernière intervention 27 oct. 2010 à 09:14

slt

tu as le rapport de malwarebyte svp ?

pour mieux voir les infections:

Télécharge ZHPDiag ( de Nicolas coolman ).
http://telechargement.zebulon.fr/zhpdiag.html

(outil de diagnostic)

Double clique sur le fichier d'installation, puis installe le avec les paramètres par défaut ( N'oublie pas de cocher " Créer une icône sur le bureau " )

Lance ZHPDiag en double cliquant sur l'icône présente sur ton bureau (Clique droit -> Executer en tant qu'admin ( vista )

Clique sur la loupe en haut à gauche, puis laisse l'outil scanner.

Une fois le scan terminé, clique sur l'icône en forme de disquette et enregistre le fichier sur ton bureau.

Rend toi sur Cjoint : http://www.cijoint.fr/

Clique sur "Parcourir " dans la partie " Joindre un fichier[...] "

Sélectionne le rapport ZHPdiag.txt qui se trouve sur ton bureau

Clique ensuite sur "Cliquez ici pour déposer le fichier " et copie/colle le lien dans ton prochain message

puis passe à la version 5 d'avast <= ici

Ajouter un commentaire

Réponse

Vlados 27 oct. 2010 à 09:45

Salut et merci pour ta réponse rapide !

Voici le rapport malwarebytes tout d'abord :

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4951

Windows 6.0.6002 Service Pack 2 (Safe Mode)
Internet Explorer 8.0.6001.18975

26/10/2010 18:51:07
mbam-log-2010-10-26 (18-51-07).txt

Type d'examen: Examen complet (C:\|D:\|)
Elément(s) analysé(s): 324949
Temps écoulé: 3 heure(s), 36 minute(s), 48 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Windows\System32\drivers\68242911.sys (Rootkit.Agent.H) -> Quarantined and deleted successfully.

Et voilà le lien pour le rapport ZHPdiag :

http://www.cijoint.fr/cjlink.php?file=cj201010/cijQ3RqqTG.txt

Voilà !

Ajouter un commentaire

Réponse

jlpjlp 50297Messages postés 18 mai 2007Date d'inscription 28 mai 2012Dernière intervention 27 oct. 2010 à 09:57

ok

vire spybot qui est dépassé d'autant que tu as malwarebyte et windows defender

puis

* Télécharger UsbFix (d' El desaparecido & C_XX) sur le Bureau.
http://www.teamxscript.org/usbfixTelechargement.html
* Important : brancher les sources de données externes au PC (clé USB, disque dur externe, carte SD, etc...) sans les ouvrir.
* Double-cliquer sur le programme UsbFix.exe sur le Bureau, l'installation se fera automatiquement.
* /!\ Désactiver la garde de l'antivirus pour éviter tout conflit lors de l'utilisation de l'outil.
* Cliquer sur le bouton Recherche.
* Laisser travailler l'outil.
* Poster le rapport UsbFix.txt obtenu si vous avez créé un sujet sur le forum Virus/Sécurité.
* Note : le rapport UsbFix.txt est sauvegardé à la racine du disque (C:\UsbFix.txt).

Ajouter un commentaire

Réponse

Vlados 27 oct. 2010 à 10:37

Hop voilà le rapport, cependant l'élément infectieux trouvé est présent sur le "CD-rom" présent dans le disque dur, or si je tente de le supprimer (si il s'avère que c'est vraiment un "virus") USBfix plante (j'ai déjà essayé de le supprimer lors d'une utilisation ultérieure d'USBfix) surement à cause de la protection... Bref, je ne sais pas trop :

############################## | UsbFix 7.034 | [Recherche]

Utilisateur: Nicolas (Administrateur) # PC-DE-NICOLAS [ASUSTeK Computer Inc. F3Sc]
Mis à jour le 25/10/10 par El Desaparecido / C_XX
Lancé à 10:27:51 | 27/10/2010
Site Web: http://www.teamxscript.org
Contact: eldesaparecido@teamxscript.org

CPU: Intel(R) Core(TM)2 Duo CPU T7100 @ 1.80GHz
CPU 2: Intel(R) Core(TM)2 Duo CPU T7100 @ 1.80GHz
Microsoft® Windows Vista(TM) Édition Familiale Premium (6.0.6002 32-Bit) # Service Pack 2
Internet Explorer 8.0.6001.18975

Pare-feu Windows: Activé
Antivirus: avast! antivirus 4.7.892 [VPS 91104-1] 4.7.892 [Enabled | Updated]
RAM -> 2046 Mo
C:\ (%systemdrive%) -> Disque fixe # 75 Go (25 Go libre(s) - 34%) [VistaOS] # NTFS
D:\ -> Disque fixe # 68 Go (32 Go libre(s) - 47%) [DATA] # NTFS
E:\ -> CD-ROM
F:\ -> Disque amovible # 4 Go (325 Mo libre(s) - 9%) [TARDIS] # FAT32
G:\ -> CD-ROM
H:\ -> Disque amovible # 98 Mo (97 Mo libre(s) - 99%) [PUBLICZONE] # FAT32
I:\ -> Disque fixe # 931 Go (839 Go libre(s) - 90%) [Journal of Impossible Things] # NTFS

################## | Éléments infectieux |

Présent! G:\Autorun.inf

################## | Registre |

################## | Mountpoints2 |

################## | Vaccin |

C:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
D:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
H:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)

################## | E.O.F |

Ajouter un commentaire

Réponse

jlpjlp 50297Messages postés 18 mai 2007Date d'inscription 28 mai 2012Dernière intervention 27 oct. 2010 à 11:00

* Lancez ZHPFix depuis le raccourci du Bureau (en mode administrateur si Vista/W7) ou depuis ZhpDiag qui contient le raccourci vers ZhpFix dans un icône situé en haut,
* Cliquez sur le bouton MBRfix situé dans la partie droite de l'écran (encadré en rouge sur l'image),
* Cliquez sur 'Non' au message qui s'affiche à l'écran,
* Laissez travailler l'outil,
* A la fin du traitement, un rapport s'affiche
* Copiez ce rapport si cela vous l'a été demandé sur le forum
* Redémarrez le pc pour prendre en compte les modifications

____________________

Téléchargez DelFix (d'Xplode) sur votre bureau.

Lancez le puis sélectionnez [Suppression]

Copiez/collez le contenu du rapport qui s'ouvrira dans votre sujet si vous vous faites aider sur un forum.

Vous pouvez également lancer l'option [Désinstallation]

Note : Les rapports sont également enregistrés à la racine du disque dur ( C:\DelFixSearch.txt pour l'option recherche et C:\DelFixSuppr.txt pour l'option suppression )

_______________________

pour vérifier le pc colle le rapport d'un antivirus en ligne comme kaspersky ou panda ou nod 32 ou bitdefender

a plus

Ajouter un commentaire

Réponse

Vlados 27 oct. 2010 à 13:29

Hop,
voilà les rapports demandés :
-ZHP fix :

Rapport de ZHPFix 1.12.3211 par Nicolas Coolman, Update du 14/10/2010
Fichier d'export Registre :
Run by Nicolas at 27/10/2010 11:17:48
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Master Boot Record ==========
Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys acpi.sys hal.dll iaStor.sys
kernel: MBR read successfully
user & kernel MBR OK

Resultat après le fix :
Master Boot Record non infecté

========== Récapitulatif ==========
1 : Master Boot Record

End of the scan

-Delfix :

Rapport DelFix v6.0 - 27/10/2010 à 11:26,39
Mis à jour le 22/10/10 à 13h30 par Xplode
Système d'exploitation : Windows Vista (TM) Home Premium (32 bits) [version 6.0.6002] Service Pack 2
Navigateur : Google Chrome [Navigateur par défaut]
Processeur : Intel(R) Core(TM)2 Duo CPU T7100 @ 1.80GHz
Mémoire vive totale : 1,99 Go
Nom d'utilisateur : Nicolas - PC-DE-NICOLAS (Administrateur)
Exécuté depuis : C:\Users\Nicolas\Desktop\DelFix.exe

~~~~~~ Dossier(s) ~~~~~~

Supprimé : C:\USBFix
Supprimé : C:\Program Files\ZHPDiag
Supprimé : C:\Program Files\trend micro
Supprimé : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ZHP

~~~~~~ Fichier(s) ~~~~~~

Supprimé : C:\UsbFix.txt
Supprimé : C:\UsbFix_Upload_Me_PC-de-Nicolas.zip
Supprimé : C:\Users\Nicolas\Desktop\UsbFix.exe
Supprimé : C:\Users\Nicolas\Desktop\ZHPDiag.exe
Supprimé : C:\Users\Nicolas\Desktop\ZHPDiag.txt
Supprimé : C:\Users\Nicolas\Desktop\ZHPFixReport.txt
Supprimé : C:\Users\Public\Desktop\ZHPDiag.lnk
Supprimé : C:\Users\Public\Desktop\ZHPFix.lnk
Supprimé : C:\Users\Public\Desktop\MBRCheck.lnk

~~~~~~ Registre ~~~~~~

Clé Supprimée : HKLM\Software\TrendMicro
Clé Supprimée : HKCU\SOFTWARE\USBFix
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\USBFix
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\ZHPDiag_is1

########## EOF - "C:\DelFixSuppr.txt" - [1491 octets] ##########

-Scan en ligne (Panda) :

;***********************************************************************************************************************************************************************************
ANALYSIS: 2010-10-27 13:21:33
PROTECTIONS: 1
MALWARE: 3
SUSPECTS: 2
;***********************************************************************************************************************************************************************************
PROTECTIONS
Description Version Active Updated
;===================================================================================================================================================================================
avast! antivirus Yes Yes
;===================================================================================================================================================================================
MALWARE
Id Description Type Active Severity Disinfectable Disinfected Location
;===================================================================================================================================================================================
00168090 Cookie/Serving-sys TrackingCookie No 0 Yes No c:\users\nicolas\appdata\roaming\microsoft\windows\cookies\nicolas@serving-sys[1].txt
00168093 Cookie/Serving-sys TrackingCookie No 0 Yes No c:\users\nicolas\appdata\roaming\microsoft\windows\cookies\nicolas@bs.serving-sys[2].txt
00273339 Cookie/Smartadserver TrackingCookie No 0 Yes No c:\users\nicolas\appdata\roaming\microsoft\windows\cookies\nicolas@smartadserver[1].txt
;===================================================================================================================================================================================
SUSPECTS
Sent Location
;===================================================================================================================================================================================
No c:\$recycle.bin\s-1-5-21-3286134355-3843471270-2135633584-1000\$r3b58jz.exe
No c:\users\nicolas\appdata\local\google\chrome\user data\default\cache\f_000138
;===================================================================================================================================================================================
VULNERABILITIES
Id Severity Description
;===================================================================================================================================================================================
;===================================================================================================================================================================================

Ajouter un commentaire

Réponse

jlpjlp 50297Messages postés 18 mai 2007Date d'inscription 28 mai 2012Dernière intervention 27 oct. 2010 à 13:41

ok c'est bon pour toi

Ajouter un commentaire

Réponse

Vlados 27 oct. 2010 à 13:42

Merci bien bonne continuation !!!

Ajouter un commentaire

Répondre au sujet

Posez votre question

Dossier à la une

Passage au tout numérique : quel coût pour les particuliers ?

Passage au tout numérique : quel coût pour les particuliers ?

Combien cela coûte-t-il au total ? Quelles aides apportent l'état et les acteurs du marché pour alléger cette charge non choisie ? Tous les détails sur Commentçamarche.net.

Virus Rootkit.Agent.H [Résolu]

Virus Rootkit.Agent.H »

Passage au tout numérique : quel coût pour les particuliers ?