High-Tech Santé Médecine Droit-Finances

Grippe A

Que dois-je faire ?

Rechercher : dans
Par :

RootKit : SOS j'y comprend rien

Dernière réponse le 7 jun 2007 à 22:37:53 SlaveOfLight, le 6 jun 2007 à 23:12:37 
 Signaler ce message aux modérateurs

Bonjour,
SVP, Quelqu'un peut m'aider ?, j'ai un léger (ou gros, sais pas encore!) problème, je m'explique :
j'ai telecharger (un peu par curiosité) ''RootKit Hook Analyzer'', j'ai biensure lancé le Hook_test après avoir lu un Warning qui m'expliquait, en gros, que si ma machine se plante pendant le test c'est que j'ai choppé un RootKit ... ça n'a pas raté, deuxieme ligne du test, écran bleu et redémarage (j'étais vert).
Bleu que je suis (un peu par féniandise j'avoue), je me retrouve sur ce forum afin de me faire aidé, d'abord à comprendre :
c'est grave docteur ?
et y'a t'il un traitement? ou bien je suis bon pour un formatage du disque ?
je remercie d'avance toute personne pour sa réponse. 

Configuration: Windows XP
Internet Explorer 7.0

Meilleures réponses pour « RootKit : SOS j'y comprend rien » dans :
Les antivirus gratuits ne valent rien VoirMythe Les antivirus gratuits ne valent rien. Réalité Faux. Explications Voir et : Graphique de comparaisons d'antivirus de Septembre 2008 On retrouve la méthodologie d'analyse des antivirus du graphique sur le dernier point du site de...
Télécharger AVG Anti-Rootkit Voir"Etant donné que les applications AVG Anti-Spyware et AVG Anti-Rootkit sont dorénavant incluses dans les versions commerciales d'AVG, les mises à jour seront bientôt interrompues." http://gratuit.avg.fr/telecharger-avg-anti-spyware-et-anti-rootkit
Télécharger Sophos Anti-Rootkit VoirSophos Anti-Rootkit : Le rootkit masque la présence d'un objet malveillant (processus, fichier, clé de registre, port de réseau) de l'utilisateur d'ordinateur ou un administrateur. Voici quelques-uns des principaux éléments de "Sophos Anti...
Télécharger McAfee Rootkit Detective 1,1 Voir
Posez votre question Répondre

1

squeak, le 6 jun 2007 à 23:41:59
  • +1

Salut,

Un rootkit c'est ça => http://fr.wikipedia.org/wiki/Rootkit
Donc comme tu vas pouvoir le lire, c'est pas cool du tout.... ça a rien à faire sur ton PC.
Dans l'idéal le mieux serai de le virer pour avoir un système clean.
Alors je ne connais pas le logiciel que tu as utilisé pour faire ton scan. S'il plante alors teste avec un autre anti rootkit. Peut être est ce que ton anti rootkit n'est pas fiable...
Voici quelques antirootkit, tu ne perds rien à faire des scans de ton disque dur avec :
http://www.ratiatum.com/log1041_Gmer.html
http://www.clubic.com/telecharger-fiche24143-sophos-anti-rootkit.html
http://www.clubic.com/telecharger-fiche17865-rootkit-revealer.html
http://www.clubic.com/telecharger-fiche34515-avg-anti-rootkit.html

Tous n'ont pas pour fonction de supprimer les rootkit mais déjà le fait de savoir si ton PC est infecté serait déjà un bon point.

Alors si après tous ces scans il n'y a rien qui a été détecté alors peut être que c'est l'antirootkit que tu as testé qui est un peu parano...[je connais ça pour les antivirus mais j'ai encore jamais vu ça pour les antirootkit....]

Bonne continuation ++

   
Répondre à squeak

2

SlaveOfLight, le 6 jun 2007 à 23:53:40

Merci pour ta réponse rapide et détaillée, vais essayer ce que tu m' propose, maintenant que j'ai compris que ce truc sert entre autre à masquer des backdoors (ça je sais que c'est méchant) j'espère bien que ''RootKit Hook Analyzer'' soit parano !

   
Répondre à SlaveOfLight

3

SlaveOfLight, le 7 jun 2007 à 20:19:30
  • +1

Salut Squeak,
j'ai fini par opter pour RootKit Revealer, alors selon lui j'ai 5 fichiers suspects ... le problème c'est que je ne sais pas trop quoi faire, j'ai surtout pas envi de planter mon système (trop de taff en ce moment),
S'il te plait, peux tu me dire ce que je dois faire voici le résultat du scan :

C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP6\PdmHist\888.922B8A3001C7A92A.history\00000000.bak 0­7/06/2007 18:40 4.40 MB Hidden from Windows API.
C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP6\PdmHist\d0.1A97B88001C7A92B.history 07/06/2007 18:41 0 bytes Hidden from Windows API.
C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP6\PdmHist\d0.1A993FB001C7A92B.history 07/06/2007 18:41 0 bytes Hidden from Windows API.
C:\WINDOWS\assembly\GAC_32\System.EnterpriseServices\2.0.0.0­__b03f5f7f11d50a3a\System.EnterpriseServices.dll 15/04/2007 21:21 252.00 KB Visible in Windows API, but not in MFT or directory index.
C:\WINDOWS\assembly\GAC_32\System.EnterpriseServices\2.0.0.0­__b03f5f7f11d50a3a\System.EnterpriseServices.Wrapper.dll 15/­04/2007 21:21 111.50 KB Visible in Windows API, but not in MFT or directory index.

merci d'avance.

   
Répondre à SlaveOfLight

4

 squeak, le 7 jun 2007 à 22:37:53
  • +1

Alors pour les lignes suivantes :


C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP6\PdmHist\d0.1A97B88001C7A92B.history 07/06/2007 18:41 0 bytes Hidden from Windows API.
C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP6\PdmHist\d0.1A993FB001C7A92B.history 07/06/2007 18:41 0 bytes Hidden from Windows API.
=> je lis que le fichier en question fais 0 bytes... alors normalement y a rien. En plus le fait de trouver ce type de fichier dans le répertoire d'un antivirus n' a rien de surprenant, c'est souvent là qu'est stocké les bases de définitions virales. Alors ça peut être interprété comme un programme qui plait pas aux autres du même type.
Tente au cas où de les ouvrir avec le block note ou un éditeur hexadécimal ça peut permettre d'avoir plus d'infos sur les fichiers.
http://www.ratiatum.com/log1465_EditHexa.html
Tu lis les informations à droite une fois les fichier en question dans l'éditeur héxa si elles sont lisibles.

C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP6\PdmHist\888.922B8A3001C7A92A.history\00000000.bak 07/06/2007 18:40 4.40 MB Hidden from Windows API.
=> peut être la base de définition de virus de kaspersky ? ouvre avec le bloc note ou un héditeur héxa pour plus d'infos.

C:\WINDOWS\assembly\GAC_32\System.EnterpriseServices\2.0.0.0__b03f5f7f11d50a3a\System.EnterpriseServices.dll 15/04/2007 21:21 252.00 KB Visible in Windows API, but not in MFT or directory index.
C:\WINDOWS\assembly\GAC_32\System.EnterpriseServices\2.0.0.0__b03f5f7f11d50a3a\System.EnterpriseServices.Wrapper.dll 15/04/2007 21:21 111.50 KB Visible in Windows API, but not in MFT or directory index.
=> Ceux ci ont l'air plus embêtant par contre... en théorie ils ont l'air tous les deux clean.
Autant system.enterpriseservices.wrapper.dll semble inoffencif => http://www.processlibrary.com/directory?files=System.EnterpriseServices.Wrapper.dll
Pour System.EnterpriseServices.dll apparemment ça appartient à NET FRAMEWORK de microsoft...

Bref, visiblement les antirootkit me semblent un peu parano et tu as rien à supprimer... teste avec un autre pour avoir confirmation parce que visiblement là il y a pas de quoi être certain que tu aies choppé quelquechose.

Bon courage

   
Répondre à squeak
Posez votre question Répondre
Ils ont besoin de votre aide