infection au win32 Rootkit-gen [Rtk]Fermé

Question

Bonjour,
 je possede un ordinateur portable hp pavillion 6000 avec windows xp et depuis aujourd'hui avast m'envoie un message d'avertissement comme quoi il a detecté un logiciel malveillant. Il s'agit d'un win32 Rootkit-gen [Rtk] qui infecterait les fichiers C:\s bat, D\s bat et C:\WINDOWS\System32\amvo0. ddl. J'ai malencontresement fait supprimer le fichier pour les deux premiers messages d'alerte concernant les fichiers C:\s bat et D:\s bat puis ces deux messages d'alerte etant revenus je les ai mis en quarantaine. Cependant ces deux messages reviennent continuellemnt toutes les 20 secondes environ alors que celui concernant C:\WINDOWS\System32\amvo0.ddl n'est apparu qu'une fois. En plus je n'arrive plus à rentrer dans mes deux partitions. Je suis totalement perdu et je ne sais que faire. Est-ce que quelqu'un pourrait m'aider, s'il vous plait? merci d'avance.

Utilisateur anonyme · Answer

bonjour

à lire jusqu'en bas

Clique sur ce lien
http://www.trendsecure.com/portal/en-US/threat_analytics/HJTInstall.exe
pour télécharger le fichier d'installation d'HijackThis.

Enregistre HJTInstall.exe sur ton bureau.

Double-clique sur HJTInstall.exe pour lancer le programme

Par défaut, il s'installera là :
C:\Program Files\Trend Micro\HijackThis

Accepte la license en cliquant sur le bouton "I Accept"

Choisis l'option "Do a system scan and save a log file"

Clique sur "Save log" pour enregistrer le rapport qui s'ouvrira avec le bloc-note

Clique sur "Edition -> Sélectionner tout", puis sur "Edition -> Copier" pour copier tout le contenu du rapport

Colle le rapport que tu viens de copier sur ce forum

Ne fixe encore AUCUNE ligne, cela pourrait empêcher ton PC de fonctionner correctement

IMPORTANT

Rends toi sur ton PC ici "C:\ programme file\Trend Micro\HijackThis\HijackThis.exe"<---clik droit sur ce dernier 
et choisis "renommer" : tapes eden et valide . FAIRE AVANT TOUT LANCEMENT DE HIJACKTHIS



Tutoriaux : http://pageperso.aol.fr/balltrap34/demohijack.htm (ne fixe rien pour le moment !!)
http://cybersecurite.xooit.com/t138-HijackThis-2-0-2.htm

Utilisateur anonyme · Answer

tant que je n'ai pas vu le rapport c'est tout et tant que je ne te l'ai pas demander

Utilisateur anonyme · Answer

laisse tombé pour l'instant envoie le rapport

omerr · Answer

bonjour shion-ares, alors, vu ce rapport, qu'est ce que je dois faire?

Utilisateur anonyme · Answer

bonjour

trace de vundo

1) Télécharge et installe Malwarebyte's Anti-Malware:

http://www.malwarebytes.org/mbam/program/mbam-setup.exe

A la fin de l'installation, veille à ce que l'option « mettre a jour Malwarebyte's Anti-Malware » soit cochée. >>> clique sur OK
Lance Malwarebyte's Anti-Malware en double-cliquant sur l'icône sur ton Bureau.

Au premier lancement, une fenêtre t'annonce que la version est Free >>> clique sur OK

Laisse les Mises à jour se télécharger
*** Referme le programme ***

2) Redémarre en "Mode sans échec"

Au redémarrage de l'ordinateur, une fois le chargement du BIOS terminé, il y a un écran noir qui apparaît rapidement, appuie sur la touche [F8] (ou [F5] sur certains pc) jusqu'à l'affichage du menu des options avancées de Windows.
Sélectionner "Mode sans échec" et appuie sur [Entrée]
Il faudra choisir ta session habituelle, pas le compte "Administrateur" ou une autre.
Regarde ici si besoin : https://www.malekal.com/demarrer-windows-mode-sans-echec/

Ouvre le fichier texte sauvegardé sur le Bureau afin de suivre les instructions comme il faut.

3) Scan avec Malwarebyte's Anti-Malware

Lance Malwarebyte's Anti-Malware
Onglet "Recherche" >>> coche Executer un exame complet >>> Rechercher sélectionne tes disques durs puis clique sur Lancer l’examen
A la fin du scan >>> clique sur Afficher les résultats puis sur Enregistrer le rapport
Suppression des éléments détectés >>>>
supprime ce qu'il a trouvé vide également les éléments de la quarantaine
S'il t'es demandé de redémarrer >>> clique sur "Yes"

--> Un rapport de scan s'ouvre, enregistre sur ton Bureau et poste ce rapport en réponse.

quand tu demande une analyse, demande en mode sans échec.

Pourquoi en mode sans échec:

*Car déjà l'analyse cherche plus de fichiers en mode sans échec que en mode normal.
*Et aussi en mode normal les virus ( trojans, cheval de troie, vers, spywares , malwares et autres ... sont actif) donc ne se supprimes pas donc ils faut le faire en mode sans échec .1) Imprime ces instructions car il faudra fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.

Utilisateur anonyme · Answer

je te rpopose celui ci si tu veux bien sur 1)Télécharge Avira antivir -- Télécharge Avira antivir PersonalEdition Classic a partir de ce lien : https://www.avira.com/ sur ton Bureau. -- Télécharge le désinstalleur d Avast sur ton Bureau https://www.avast.com/fr-fr/uninstall-utility 2) Désinstallation d'avast! Mets toi hors connexion, puis désinstalle avast! via Démarrer / Paramètres /Panneau de configuration et dans Ajout/ Suppression de programmes , navigue jusqu'à avast! et clique sur Supprimer puis choisis Désinstaller. Redémarre ton PC comme demandé et supprime le dossier C:\Program Files\Alwils Software Ou bien tu peux utiliser le désinstalleur d'avast! si tu préfères. 3) Installe et paramètre puis mets a jour Antivir Double-clique sur son set up sur ton Bureau pour lancer l’installation. Une fois celui ci installé, Reconnecte toi afin d’ effectuer sa mise a jour et le paramétrer. Ferme le scan qui s'est lancé de manière automatique. Paramètre le comme indiqué ici : http://speedweb1.free.fr/frames2.php?page=tuto5 ou la : https://www.malekal.com/avira-free-security-antivirus-gratuit/ 4) Redémarre en mode sans échec Au redémarrage de l'ordinateur, une fois le chargement du BIOS terminé, il y a un écran noir qui apparaît rapidement, appuie sur la touche [F8] (ou [F5] sur certains PC) jusqu'à l'affichage du menu des options avancées de Windows. Sélectionne "Mode sans échec" et appuyer sur [Entrée] Il te faudra choisir ta session habituelle, pas le compte "Administrateur" ou une autre. Voir si besoin C) https://forum.pcastuces.com/sujet.asp?f=25&s=3902 5) Scan Antivirus et nettoyage avec Avira Antivir Lance Avira antivir en faisant un double-clic sur le raccourci d’Antivir sur ton Bureau (ou via Démarrer /tous les programmes /Antivir) puis « start Antivir » Clique sur Local protection (colonne à gauche) puis sur « Scanner » puis vérifie à RootKit search et Manuelle détection (en développant avec la petite croix devant chacun d'eux) que tous tes disques durs soient bien cochés, puis clique sur la loupe (en dessous de statut) Une fenêtre va s’ouvrir « Luke Filewalker » .. le scan va démarrer. Mets tout ce qu il trouve en "Quarantine" Une fois le scan achevé, ferme les deux fenêtres d'Antivir et sauvegarde le rapport qui vient d'apparaître sur ton Bureau..

omerr · Answer

j'ai installé antivir merci pour les liens et le tutorial. Voici le rapport:



Avira AntiVir Personal
Report file date: mercredi 24 septembre 2008  19:25

Scanning for 1641354 virus strains and unwanted programs.

Licensed to:      Avira AntiVir PersonalEdition Classic
Serial number:    0000149996-ADJIE-0001
Platform:         Windows XP
Windows version:  (Service Pack 1)  [5.1.2600]
Boot mode:        Save mode
Username:         Solène
Computer name:    BOUCOUSE-0YNV8P

Version information:
BUILD.DAT     : 8.1.0.331      16934 Bytes  12/08/2008 11:46:00
AVSCAN.EXE    : 8.1.4.7       315649 Bytes  26/06/2008 08:57:53
AVSCAN.DLL    : 8.1.4.0        40705 Bytes  26/05/2008 07:56:40
LUKE.DLL      : 8.1.4.5       164097 Bytes  12/06/2008 12:44:19
LUKERES.DLL   : 8.1.4.0        12033 Bytes  26/05/2008 07:58:52
ANTIVIR0.VDF  : 6.40.0.0    11030528 Bytes  18/07/2007 10:33:34
ANTIVIR1.VDF  : 7.0.5.1      8182784 Bytes  24/06/2008 13:54:15
ANTIVIR2.VDF  : 7.0.6.153    3341312 Bytes  12/09/2008 16:50:25
ANTIVIR3.VDF  : 7.0.6.207     415744 Bytes  24/09/2008 16:50:26
Engineversion : 8.1.1.35  
AEVDF.DLL     : 8.1.0.5       102772 Bytes  25/02/2008 09:58:21
AESCRIPT.DLL  : 8.1.0.76      319867 Bytes  24/09/2008 16:50:32
AESCN.DLL     : 8.1.0.23      119156 Bytes  10/07/2008 12:44:49
AERDL.DLL     : 8.1.1.2       438644 Bytes  24/09/2008 16:50:31
AEPACK.DLL    : 8.1.2.3       364918 Bytes  24/09/2008 16:50:31
AEOFFICE.DLL  : 8.1.0.25      196986 Bytes  24/09/2008 16:50:30
AEHEUR.DLL    : 8.1.0.59     1438071 Bytes  24/09/2008 16:50:29
AEHELP.DLL    : 8.1.0.15      115063 Bytes  10/07/2008 12:44:48
AEGEN.DLL     : 8.1.0.36      315764 Bytes  24/09/2008 16:50:27
AEEMU.DLL     : 8.1.0.7       430452 Bytes  31/07/2008 08:33:21
AECORE.DLL    : 8.1.1.11      172406 Bytes  24/09/2008 16:50:27
AEBB.DLL      : 8.1.0.1        53617 Bytes  10/07/2008 12:44:48
AVWINLL.DLL   : 1.0.0.12       15105 Bytes  09/07/2008 08:40:05
AVPREF.DLL    : 8.0.2.0        38657 Bytes  16/05/2008 09:28:01
AVREP.DLL     : 8.0.0.2        98344 Bytes  24/09/2008 16:50:26
AVREG.DLL     : 8.0.0.1        33537 Bytes  09/05/2008 11:26:40
AVARKT.DLL    : 1.0.0.23      307457 Bytes  12/02/2008 08:29:23
AVEVTLOG.DLL  : 8.0.0.16      119041 Bytes  12/06/2008 12:27:49
SQLITE3.DLL   : 3.3.17.1      339968 Bytes  22/01/2008 17:28:02
SMTPLIB.DLL   : 1.2.0.23       28929 Bytes  12/06/2008 12:49:40
NETNT.DLL     : 8.0.0.1         7937 Bytes  25/01/2008 12:05:10
RCIMAGE.DLL   : 8.0.0.51     2371841 Bytes  12/06/2008 13:48:07
RCTEXT.DLL    : 8.0.52.0       86273 Bytes  27/06/2008 13:34:37

Configuration settings for the scan:
Jobname..........................: Complete system scan
Configuration file...............: c:\program files\avira\antivir personaledition classic\sysscan.avp
Logging..........................: low
Primary action...................: interactive
Secondary action.................: ignore
Scan master boot sector..........: on
Scan boot sector.................: on
Boot sectors.....................: C:, D:, 
Process scan.....................: on
Scan registry....................: on
Search for rootkits..............: on
Scan all files...................: All files
Scan archives....................: on
Recursion depth..................: 20
Smart extensions.................: on
Deviating archive types..........: +BSD Mailbox, +Netscape/Mozilla Mailbox, +Eudora Mailbox, +Squid cache, +Pegasus Mailbox, +MS Outlook Mailbox, 
Macro heuristic..................: on
File heuristic...................: medium
Deviating risk categories........: +APPL,+GAME,+JOKE,+PCK,+SPR,

Start of the scan: mercredi 24 septembre 2008  19:25

Starting search for hidden objects.
The driver could not be initialized.

The scan of running processes will be started
Scan process 'avscan.exe' - '1' Module(s) have been scanned
Scan process 'avcenter.exe' - '1' Module(s) have been scanned
Scan process 'explorer.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'lsass.exe' - '1' Module(s) have been scanned
Scan process 'services.exe' - '1' Module(s) have been scanned
Scan process 'winlogon.exe' - '1' Module(s) have been scanned
Scan process 'csrss.exe' - '1' Module(s) have been scanned
Scan process 'smss.exe' - '1' Module(s) have been scanned
10 processes with 10 modules were scanned

Starting master boot sector scan:
Master boot sector HD0
    [INFO]      No virus was found!

Start scanning boot sectors:
Boot sector 'C:\'
    [INFO]      No virus was found!
Boot sector 'D:\'
    [INFO]      No virus was found!

Starting to scan the registry.
The registry was scanned ( '48' files ).


Starting the file scan:

Begin scan in 'C:\'
C:\pagefile.sys
    [WARNING]   The file could not be opened!
C:\WINDOWS\system32\amvo0.dll
    [DETECTION] Is the TR/Vundo.Gen Trojan
    [NOTE]      The file was moved to '495079eb.qua'!
C:\WINDOWS\system32\amvo1.dll
    [DETECTION] Is the TR/Vundo.Gen Trojan
    [NOTE]      The file was moved to '495079ef.qua'!
Begin scan in 'D:\'
D:dsfk.com
    [DETECTION] Is the TR/Crypt.XPACK.Gen Trojan
    [NOTE]      The file was moved to '494d7a95.qua'!
D:\s.bat
    [DETECTION] Is the TR/Crypt.XPACK.Gen Trojan
    [NOTE]      The file was moved to '493c7a63.qua'!


End of the scan: mercredi 24 septembre 2008  19:41
Used time: 15:49 Minute(s)

The scan has been done completely.

   2698 Scanning directories
  85055 Files were scanned
      4 viruses and/or unwanted programs were found
      0 Files were classified as suspicious:
      0 files were deleted
      0 files were repaired
      4 files were moved to quarantine
      0 files were renamed
      1 Files cannot be scanned
  85050 Files not concerned
   1288 Archives were scanned
      1 Warnings
      4 Notes

Cependant avant que je puisse couper le premier scan automatique, il m'avait deja trouvé 6 ou 7 fichiers infectés que j'ai mis en quarantaine. Ces fichiers sont :

C:\WINDOWS\system32\amvo0.dll 
DETECTION is the TR/Vundo.Gen Trojan

C:\WINDOWS\system32\amvo0.dll
detection is the TR/Vundo.Gen Trojan

C:\WINDOWS\system32\amvo.exe
detection is the TR/Crypt.XPACK.Gen Trojan

C:dsfk.com
detection is the TR/Crypt.XPACK.Gen Trojan

C:\s bat
detection is the TR/Crypt.XPACK.Gen Trojan

C:\Document and Settings\Solène\Local Settings\Temp
od1.tmp
detection is the TR/Crypt.XPACK.Gen Trojan

C:\Document and Settings\Solène\Local Settings\Temp
od2.tmp
detection is the TR/Crypt.XPACK.Gen Trojan

C:\Document and Settings\Solène\Local Settings\Temporary Internet Files\Content.IE5\CZABUPY5\help[2].exe
detection is the TR/Crypt.XPACK.Gen Trojan

voila c'est tout. je me connecterai un peu tous les jours dans l'attente de nouvelles instructions :).
Encore merci.

Utilisateur anonyme · Answer

maintenant install tout les mises a jours de sécurité et tout les services pack que windows update te propose c'est important car tu a de grosse faille de securite

Infection au win32 Rootkit-gen [Rtk]

8 réponses

Discussions similaires

Newsletters