Win32:Rootkit-gen (Rtk)

Redémarrez votre ordinateur en mode sans échec en suivant la procédure que voici :
• Redémarrez votre ordinateur
• Après avoir entendu l'ordinateur biper lors du démarrage, mais avant que l'icône Windows apparaisse, tapotez la touche F8 (une pression par seconde).
• A la place du chargement normal de Windows, un menu avec différentes options devrait apparaître.
• Choisis la première option, pour exécuter Windows en mode sans échec, puis appuyiez sur "Entrée".
• Choisissez votre compte.

Installer ensuite MalwaresBytes, et utilisez le.

re bonjour Stiguy. J'ai suivi la procédure que vous avez indiquée (F8 etc...). MalwareBytes n'a rien détecté. O virus, pas d'infection... Rapport tout ce qu'il y a de plusclean. Comment Avast peut il alors continuer à mettre ce Rootkit dans le rapport d'activité et ne pas en vouloir dans la quarantaine ni vouloir le supprimer? Une autre idée? A plus peut-être...

J'ai suivi la procédure que vous avez indiquée (F8 etc...). MalwareBytes n'a rien détecté. O virus, pas d'infection... Rapport tout ce qu'il y a de plusclean. Comment Avast peut il alors continuer à mettre ce Rootkit dans le rapport d'activité et ne pas en vouloir dans la quarantaine ni vouloir le supprimer? Une autre idée? A plus peut-être...

Salut, j'ai le même soucis que toi, je pense qu'avast délire, j'ai sanné mon ordi avec antivir et il n'a rien trouvé.

Salut.
Je ne peux malheureusement pas t'aider. Le problème n'est pas résolu pour mon cas.
Je pense que la meilleure solution serait que tu poses ta question directement et séparément sur le forum au lieu de me poser la question à moi. Merci.

Programmez tous les deux une analyse au démarrage de Windows:

Met le programme Avast à jour si ce n'est pas fait:
Clique droit sur l'icône (A), Mise à jour, Clique sur MISE A JOUR DU PROGRAMME.
Tu Démarres Avast: Démarrer > Programmes > Avast! antivirus > Avast! antivirus
Clique sur Fichier, Planifier un scan au démarrage, Clique OUI pour redémarrer et commencer l'analyse Antivirus!

Reviens après en cas de problème.

Bonjour,
tout est déjà paramétré en "automatique" avec scan au démarrage, etc. depuis que je me sers d'Avast (version 4.8 à ce jour) (j'ai tout revérifié par acquis de conscience" et je fais tous les soir tourner Avast.
et à chaque fois le même résultat dans le journal en fin d'analyse : refus de mettre les fichiers infectés en quarantaine, refus de supprimer ces mêmes fichiers.
Rootkit-gen est toujours présent et aucun autre anti rootkit utilisé jusqu'à maintenant (Malwarebytes, AVG..) en ligne ne le détecte...

Salut, Toujours pareil pour moi, 4 fichiers infectés, spybot, ad-aware ne trouvent rien non plus, si ça continue, je sens que je vais tout formater. As-tu le meme ordi que moi, c'est un siemens ?

Il semblerait que, dans quelques cas, ce soit une fausse alerte qu'Avast détecterait:

_1 Fais un rapport HiJackThis:
HiJackThis:
http://www.trendsecure.com/portal/en-US/tools/security_tools/hijackthis/download

Dézippez le dans un dossier prévu à cet effet, par exemple C:\hijackthis < Enregistrez le bien dans C:
Lancez le puis:
Cliquez sur "Do a system scan and save Logfile".
Enregistrez le rapport dans un dossier quelconque, sur le bureau.


2_ Fais une analyse on-line via TrendMicro et tu verras s'il est détecté:
http://housecall.trendmicro.com/fr/

3_ Si tu connais l'emplacement exact de ton fichier, vas sur Jotti:
http://virusscan.jotti.org/
Clique en haut sur le bouton Parcourir, sélectionne ton fichier puis valides la sélection et clique finalement sur Submit.
Laisses-lui un peu de temps, il va te dire ce qu'il en est.
Fais une impression écran du résultat en appuyant "IMP ECR" de ton clavier. Va qur Paint. Fais "Edition" "Coller". Tu enregistres le fichier et tu le mets sur le forum.

Bonjour,
merci pour ton aide. De mon côté, je commence à désespérer!
Alors
1° rapport Hijackthis : ne détecte rien d'anormal. J'ai gardé le rapport dans un fichier 'au cas où'.
2° TrendMicro: refuse de s 'installer sous prétexte de blocage JAVASCRIPT sur mon ordi. Puis-je autoriser/activer "Javascript" sans crainte? Et si je l'active, puis-je à nouveau désactiver par la suite et quelle est la procédure?
3° Jotti : je lui ai donné le chemin du fichier relevé comme infecté par Avast (c:\recover\reminder\reminder.exe\reminder\fcs-reminder.exe), et Jotti ne le trouve pas...
(Que de questions...)
Que faire maintenant?
Merci pour ta patience!

Bonjour,


1° Quand tu dis :"rapport Hijackthis : ne détecte rien d'anormal", cela veut-il dire que tu l'as analysé ?
Tu peux effectivement le faire sur http://www.hijackthis.de/fr

2° Tu peux activer Javascript sans aucun danger. Java est un programme qui permet de lire les animations Flash dans les sites webs, il est donc très utile. Tu peux par ailleurs installé les dernières versions de ces utilitaires Java indispensables:
Shockwave : http://www.adobe.com/shockwave/download/?promoid=BUIGR
Flash Player : http://www.adobe.com/shockwave/download/download.cgi?P1_Prod_Version=ShockwaveFlash

Il est inutile de désactiver Javascript, il te sera très utile.

3° Jotti ne trouve peut-être pas le fichier fcs-reminder.exe parce qu'il est peut-être caché:
Poste de travail; Affichage; Options des dossiers; Onglet "Affichage"; Dans la section "Fichiers cachés", sélectionner "Voir tous les fichiers" ou "Afficher les fichiers et dossiers cachés", Appliquer.
Réessaye maintenant avec Jotti.
Tu pourras à nouveau cacher les fichiers en faisant la méthode inverse.

Bonjour,

j'ai été sur le site http://www.hijackthis.de/fr et voici le rapport que j'ai obtenu:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 13:23:42, on 01/05/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16640)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\System32\PAStiSvc.exe
C:\WINDOWS\system32\svchost.exe
C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe
C:\WINDOWS\system32\SearchIndexer.exe
C:\WINDOWS\ehome\ehtray.exe
C:\WINDOWS\eHome\ehmsas.exe
C:\WINDOWS\RTHDCPL.EXE
C:\PROGRA~1\MESSAG~1\StartMessager.exe
C:\Program Files\Thomson\SpeedTouch USB\Dragdiag.exe
C:\Program Files\Adobe\Photoshop Album Edition Découverte\3.2\Apps\apdproxy.exe
C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\PROGRA~1\Wanadoo\CnxMon.exe
C:\PROGRA~1\Wanadoo\taskbaricon.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Microsoft Office\Office12\ONENOTEM.EXE
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\dllhost.exe
C:\Program Files\MSN Messenger\usnsvc.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WLLoginProxy.exe
C:\PROGRA~1\Wanadoo\EspaceWanadoo.exe
C:\PROGRA~1\Wanadoo\ComComp.exe
C:\PROGRA~1\Wanadoo\Watch.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\MSN Messenger\livecall.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe
C:\WINDOWS\system32\SearchProtocolHost.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.fr
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://fr.yahoo.com/fsc/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\Wanadoo\SEARCH~1.DLL
R3 - URLSearchHook: Yahoo! ¤u¨ã¦C - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\PROGRA~1\Yahoo!\Companion\Installs\cpn1\yt.dll
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,userinit.exe
O2 - BHO: &Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\PROGRA~1\Yahoo!\Companion\Installs\cpn1\yt.dll
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\PROGRA~1\MICROS~2\Office12\GRA8E1~1.DLL
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O3 - Toolbar: Yahoo! ¤u¨ã¦C - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\PROGRA~1\Yahoo!\Companion\Installs\cpn1\yt.dll
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Muscbrigade] c:\Musicbrigade\Musicbrigade.exe check
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [MessagerStarter Wanadoo] C:\PROGRA~1\MESSAG~1\StartMessager.exe Messager Wanadoo
O4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Program Files\Thomson\SpeedTouch USB\Dragdiag.exe" /icon
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Program Files\Adobe\Photoshop Album Edition Découverte\3.2\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [GrooveMonitor] "C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe"
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [WooCnxMon] C:\PROGRA~1\Wanadoo\CnxMon.exe
O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\Wanadoo\Watch.exe
O4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\Wanadoo\taskbaricon.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Yahoo! Pager] "C:\PROGRA~1\Yahoo!\MESSEN~1\YAHOOM~1.EXE" -quiet
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [^SetupICWDesktop] (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [^SetupICWDesktop] (User 'Default user')
O4 - Startup: OneNote 2007 - Capture d'écran et lancement.lnk = C:\Program Files\Microsoft Office\Office12\ONENOTEM.EXE
O4 - Global Startup: Windows Desktop Search.lnk = C:\Program Files\Windows Desktop Search\WindowsSearch.exe
O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm
O8 - Extra context menu item: Add to Windows &Live Favorites - http://favorites.live.com/quickadd.aspx
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: &Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe (file missing)
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - http://www.wanadoo.fr (file missing) (HKCU)
O15 - Trusted Zone: http://www.secuser.com
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dll
O16 - DPF: {6F750202-1362-4815-A476-88533DE61D0C} (Kodak Gallery Easy Upload Manager Class) - http://adobe.kodakgallery.fr/downloads/BUM/BUM_WIN_IE_2/axofupld.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/...
O16 - DPF: {7FC1B346-83E6-4774-8D20-1A6B09B0E737} (Windows Live Photo Upload Control) - http://cid-91af6d0c255ba827.spaces.live.com/PhotoUpload/MsnPUpld.cab
O16 - DPF: {CB50428B-657F-47DF-9B32-671F82AA73F7} (Photodex Presenter AX control) - http://www.photodex.com/pxplay.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{E99112D9-FE9B-4826-9ED0-E24D329E88F1}: NameServer = 81.253.149.1 80.10.246.3
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\PROGRA~1\MICROS~2\Office12\GR99D3~1.DLL
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: STI Simulator - Unknown owner - C:\WINDOWS\System32\PAStiSvc.exe
O23 - Service: X10 Device Network Service (x10nets) - X10 - C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe

bonjour stiguy
je recopie la phrase donnée par Jotti, je n'arrive pas à coller/joindre le document sauvegardé sous "paint." http: // virusscan.jotti.org qui me dit ceci : "the file you yploaded is 0 byte. it is very likely a firewall or a piece of malware is prohibiting you from uploading this file"
... Ca vous dit quelque chose?

Désolé je ne savais pas que c'était votre e-mail, alors ce n'est pas un forum? c'est le e-mail de quelqu'un? Je ne suis pas un spécialiste de l'informatique, je ne comprends rien. Désolé.

Salut, regarde ce lien : http://forum.telecharger.01net.com/...

J'ai fais ce que Killzone à dit, et je n'ai plus rien.
Bonne chance à toi.

Salut et merci pour ton conseil, je ne savais plus par quoi continuer. Rien n'y fait. Et en plus, à chaque scan, Avast me rajoute un fichier infecté. De 2 j'ai passé à 16 depuis notre dernière conversation. Vais tenter également ce que dit Killzone et te tiendrai informé des résultats. A bientôt!

Bonsoir,
j'ai réussi à tout nettoyer en téléchargeant http://download.bleepingcomputer.com/sUBs/ComboFix.exe
le fichier a été mis en quarantaine par Combofix. Puis j'ai refait un scan par Avast après l'avoir mis à jour.
Avast a mis la totalité des fichiers infectés dont la quarantaine de Combofix. Et depuis, plus de rootkit-gen. Super non?
Me semblait un peu lourd ton système donné par Killzone... Merci pour ton aide!