Avast trouve un rootkit (svchost.exe) a lire [Résolu]

Bonjour,

Quelle ânerie !

svchost.exe est un processus légitime

svchoste.exe l'est déjà nettement moins ! ....

hi hi hi ...... !!!

et oui!

Eh oui, tu n'as pas fait attention à l'orthographe et de ce fait, tu as dit n'importe quoi..

je voulais dire svchost.exe

j'avais le mm pb,

impossible de le mettre en quarantaine, et loption "ne rien faire" ne marchais pas. il remettais sans arret le message d'alerte... le seul truc pour etre trankille etait de desactiver avast jusqu'a la nouvelle mise a jour

moi je te conseille de le désinstaller et de mettre avg free

http://download.avgfree.com/filedir/inst/avg_free_stf_all_8_100a1315.exe

tuto:

http://www.malekal.com/tutorial_AVG8.php#mozTocId824945

avg 8 vs antivir 8 vs avast 4.8:

http://forum.malekal.com/viewtopic.php?f=45&t=11703

configurer avg:

ouvre avg
double clic sur resident shield
puis coche la casse detect cookies
puis clic sur save changes
puis clic sur tools advanced settings... puis clic sur le petit plus a coter de resident shield puis clic sur advenced setting puis clic sur scan all files et ok

Certes..

salut, merci pour ton info, mais voilà c'est trop tard j'ai mis le fichier svchost.exe en quarantaine sur mon autre pc et y a tout qui déconne. impossible restauration système.
Comment puis-je récupérer ce satané fichier
Merci à tous d'avance pour vos post

alors etant donné que tu peux pas faire de restauration ..et que le svchost.exe etait infecté par Win32:Rootkit-gen [RTK]...

moi g u le mm pb hier, g formater et reinstaller tout avast compris et mis a jour...g plus de pb...


mais toi si tu ne veux pas formater pour X raison... essai de lancer sous ms dos en mettant le cd de winxp : tape "sfc/scannow"

il repare tes fichiers systems.... apres tu reboot.

si sa marche pas la seule solution qui me vient a lesprit (pour pas perdre tes données ,sauvegardes ...) est de reinstaller uniquement windows xp (en supprimer lancien uniquement mais sans formater).... le seul pb que tu rancontrera est que tout tes racourci auront disparus et que ceertains programme ne fonctionnera plus car ils se lancent a partir des fichiers system de winxp... mais tu auras toujours les dossier ds c:...tu pourra recup les sauvegardes...

en gros faudra que tu reinstalle certains programme...en pensant a supprimer sauvagement les anciens avec "suppr"..


sinon attend que quelq'un te propose une meilleur solution mais je crois que sa va etre chaud....

en desinstallant avast

puis:

telecharge avg free

http://download.avgfree.com/filedir/inst/avg_free_stf_all_8_100a1315.exe

tuto:

http://www.malekal.com/tutorial_AVG8.php#mozTocId824945

avg 8 vs antivir 8 vs avast 4.8:

http://forum.malekal.com/viewtopic.php?f=45&t=11703

configurer avg:

ouvre avg
double clic sur resident shield
puis coche la casse detect cookies
puis clic sur save changes
puis clic sur tools advanced settings... puis clic sur le petit plus a coter de resident shield puis clic sur advenced setting puis clic sur scan all files et ok

par contre Apres desactive puis desinstalle Avast et installe l'antivirus de fiat500

Pour revenir au sujet de départ ,

Ok , le fichier svchost.exe tel qu'on le connais est légitime.

Mais si Avast l'a détecté en tant que RootKit ce n'est pas pour rien !

Tout dépend où il est localisé !


Exemple concret :

Startup DB Entries:
( 1 ) "Added by the DELF-UX TROJAN! Note - this is not the legitimate svchost.exe process which is always located in the System (9x/Me) or System32 (NT/2K/XP) folder and should not normally figure in Msconfig/Startup! This file is located in the Winnt or Windows folder"
( 2 ) "Added by the DUMARDI-A TROJAN! Note - this is not the legitimate svchost.exe process which is always located in the System (9x/Me) or System32 (NT/2K/XP) folder and should not normally figure in Msconfig/Startup! This file is located in the Winnt or Windows folder"
( 3 ) "Added by the CHEUKO-A TROJAN! Note - this is not the legitimate svchost.exe process which is always located in the System (9x/Me) or System32 (NT/2K/XP) folder and should not normally figure in Msconfig/Startup! This file is located in the Winnt or Windows folder"
( 4 ) "CashToolbar Downloader-MY adware. Note - this is not the legitimate svchost.exe process which should NOT appear in Msconfig/Startup!"
( 5 ) "Added by the PARADROP-A WORM! Note - this is not the legitimate svchost.exe process which should NOT appear in Msconfig/Startup!"
( 6 ) "Added by the PARADROP-AI WORM! Note - this is not the legitimate svchost.exe process which should not normally figure in Msconfig/Startup!"
( 7 ) "Added by the DELF-KR TROJAN! Note - this is not the legitimate svchost.exe process which is always located in the System (9x/Me) or System32 (NT/2K/XP) folder and should not normally figure in Msconfig/Startup! This file is located in a C:DriverLoad folder"
( 8 ) "Added by the DELF-KR TROJAN! Note - this is not the legitimate svchost.exe process which is always located in the System (9x/Me) or System32 (NT/2K/XP) folder and should not normally figure in Msconfig/Startup! This file is located in a C:DriverLoad folder"
( 9 ) "Added by the BIFROSE-CH TROJAN! Note - this is not the legitimate svchost.exe process which is always located in the System (9x/Me) or System32 (NT/2K/XP) folder and should not normally figure in Msconfig/Startup! This file is located in the Winnt or Windows folder"
( 10 ) "Added by the MIMAIL.L WORM! Note - this is not the legitimate svchost.exe process which is always located in the System (9x/Me) or System32 (NT/2K/XP) folder and should not normally figure in Msconfig/Startup! This file is located in the Winnt or Windows folder"
( 11 ) "Added by the DLOADER-NX TROJAN! Note - this is not the legitimate svchost.exe process which is always located in the System (9x/Me) or System32 (NT/2K/XP) folder and should not normally figure in Msconfig/Startup! This file is located in the Winnt or Windows folder"
( 12 ) "Added by the ZAPCHAS TROJAN! Note - this is not the legitimate svchost.exe process which should NOT appear in Msconfig/Startup!"
( 13 ) "Added by the ZAPCHAS-R TROJAN! Note - this is not the legitimate svchost.exe process which should NOT appear in Msconfig/Startup and is always located in the System32 folder. This worm file is found in the System folder"
( 14 ) "Added by the ZAPCHAS-AA TROJAN! Note - this is not the legitimate svchost.exe process which is always located in the System (9x/Me) or System32 (NT/2K/XP) folder and should not normally figure in Msconfig/Startup! This one replaces svchost.exe in the System32 folder with a copy of Mirc on (NT/2K/XP) systems and just adds svchost.exe to the System folder on (9x/Me) systems"
( 15 ) "Added by the LINEAGE-V TROJAN! Note - this is not the legitimate svchost.exe process which is always located in the System (9x/Me) or System32 (NT/2K/XP) folder and should not normally figure in Msconfig/Startup! This file is located in the Winnt or Windows folder" 

(Source : http://process.networktechs.com/Svchost.exe.php)


Un exemple dans ce texte ,

Added by the DLOADER-NX TROJAN! Note - this is not the legitimate svchost.exe process which is always located in the System (9x/Me) or System32 (NT/2K/XP) folder and should not normally figure in Msconfig/Startup! This file is located in the Winnt or Windows folder

Dans ce cas là , svchost.exe est situé dans le répertoire Windows/Winnt et il est ILLÉGITIME compris ?

C'est une connerie ( passe moi l'expression ) de dire :

si avast vous trouve un rootkit appeler svchoste.exe ne le supprimez pas ne le mettez pas en quarantaine svchoste.exe !!
c'est un fichier windows qui fais marcher internet le son la stabilité de windows etc.. sans lui windows ne démarre pas!
si vous avez deja mis svchoste.exe en quarantaine enlever le tous de suite!!

C'est tout ce que j'avais à dire.
:)

D'un autre côté, si tu trouves n'importe quel processus en dehors de son répertoire d'origine, vaut mieux s'en méfier donc bon..

Bonjour
Pour ceux qui ont effacé svchost, un fix a été fait par avast pour réparer. Utiliser clé usb ou cd gravé sur un autre pc
http://support.avast.com/index.php?_m=knowledgebase&_a=viewarticle&kbarticleid=307