Aller au contenu
  • Pas encore inscrit ?

    Pourquoi ne pas vous inscrire ? C'est simple, rapide et gratuit.
    Pour en savoir plus, lisez Les avantages de l'inscription... et la Charte de Zébulon.
    De plus, les messages que vous postez en tant qu'invité restent invisibles tant qu'un modérateur ne les a pas validés. Inscrivez-vous, ce sera un gain de temps pour tout le monde, vous, les helpeurs et les modérateurs ! :wink:

[Résolu] Rootkit.Gen


IXEM

Messages recommandés

Bonjour, quelqu'un peut-il m'aider (pour les warnings aussi svp) ?

J'ai 4 infections par Rootkit.Gen, j'ai supprimmé 3 fichiers (Drivers), et j'ai mis en quarantaine le dernier.

Lignes du Log d'Antivir (mode sans echec) :

.../...

C:\DRIVERS\77U505WW\SMAPINT.SYS

[DETECTION] Is the Trojan horse TR/Rootkit.Gen

[iNFO] The file was deleted!

C:\DRIVERS\79U502WW\SMAPINT.SYS

[DETECTION] Is the Trojan horse TR/Rootkit.Gen

[iNFO] The file was deleted!

C:\ibmtools\drivers\UTILITY\SMAPINT.SYS

[DETECTION] Is the Trojan horse TR/Rootkit.Gen

[iNFO] The file was deleted!

.../...

C:\WINDOWS\system32\drivers\SMAPINT.SYS

[DETECTION] Is the Trojan horse TR/Rootkit.Gen

[iNFO] The file was moved to '45946bde.qua'!

 

Rapport Hijackthis :

Logfile of HijackThis v1.99.1

Scan saved at 19:02:35, on 09/11/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Hijackthis Version Française\VERSION TRADUITE ORIGINALE.EXE

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\system32\dla\tfswshx.dll

O2 - BHO: EoRezoBHO - {64F56FC1-1272-44CD-BA6E-39723696E350} - (no file)

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - (no file)

O4 - HKLM\..\Run: [uSB2Check] RUNDLL32.EXE "C:\WINDOWS\system32\PCLECoInst.dll",CheckUSBController

O4 - HKLM\..\Run: [TpShocks] TpShocks.exe

O4 - HKLM\..\Run: [TPHOTKEY] C:\PROGRA~1\ThinkPad\PkgMgr\HOTKEY\TPHKMGR.exe

O4 - HKLM\..\Run: [TP4EX] tp4ex.exe

O4 - HKLM\..\Run: [synTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe

O4 - HKLM\..\Run: [synTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

O4 - HKLM\..\Run: [soundMAXPnP] C:\Program Files\Analog Devices\SoundMAX\SMax4PNP.exe

O4 - HKLM\..\Run: [soundMAX] C:\Program Files\Analog Devices\SoundMAX\Smax4.exe /tray

O4 - HKLM\..\Run: [s3TRAY2] S3Tray2.exe

O4 - HKLM\..\Run: [iBMPRC] C:\IBMTOOLS\UTILS\ibmprc.exe

O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla\tfswctrl.exe

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [TPKBDLED] C:\WINDOWS\system32\TpScrLk.exe

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\Run: [TPKMAPHELPER] C:\Program Files\ThinkPad\Utilities\TpKmapAp.exe -helper

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_09\bin\jusched.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [TPKMAPMN] C:\Program Files\ThinkPad\Utilities\TpKmapMn.exe

O4 - HKCU\..\Run: [skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized

O4 - HKCU\..\Run: [EssentialPIM] "C:\Program Files\EssentialPIM\EssentialPIM.exe" /autorun

O4 - Startup: OpenOffice.org 2.0.lnk = C:\Program Files\OpenOffice.org 2.0\program\quickstart.exe

O4 - Global Startup: Accélérateur de démarrage AutoCAD.lnk = C:\Program Files\Fichiers communs\Autodesk Shared\acstart16.exe

O8 - Extra context menu item: Save Flash - res://C:\Program Files\Flash Saving Plugin\FlashSButton.dll/210

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll

O9 - Extra button: Mise à jour de logiciels ThinkPad - {D1A4DEBD-C2EE-449f-B9FB-E8409F9A0BC5} - C:\Program Files\ThinkPad\PkgMgr\PkgMgr.exe

O9 - Extra button: Flash - {43CF38F3-5AEC-45a3-AD31-04EB06E9C6CA} - C:\Program Files\Flash Saving Plugin\FlashSButton.dll (HKCU)

O20 - Winlogon Notify: tpfnf2 - C:\WINDOWS\SYSTEM32\notifyf2.dll

O20 - Winlogon Notify: tphotkey - C:\WINDOWS\SYSTEM32\tphklock.dll

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll

O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - AVIRA GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: Autodesk Licensing Service - Autodesk - C:\Program Files\Fichiers communs\Autodesk Shared\Service\AdskScSrv.exe

O23 - Service: C-DillaCdaC11BA - C-Dilla Ltd - C:\WINDOWS\System32\drivers\CDAC11BA.EXE

O23 - Service: ThinkPad PM Service (IBMPMSVC) - Unknown owner - C:\WINDOWS\system32\ibmpmsvc.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: iPod Service - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: Intel NCS NetService (NetSvc) - Intel® Corporation - C:\Program Files\Intel\PROSetWired\NCS\Sync\NetSvc.exe

O23 - Service: IBM PSA Access Driver Control (PsaSrv) - Unknown owner - (no file)

O23 - Service: RegSrvc - Intel Corporation - C:\WINDOWS\system32\RegSrvc.exe

O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation - C:\WINDOWS\system32\S24EvMon.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

O23 - Service: ThinkPad HDD APS Logging Service (TPHDEXLGSVC) - Lenovo. - C:\WINDOWS\System32\TPHDEXLG.EXE

O23 - Service: IBM KCU Service (TpKmpSVC) - Unknown owner - C:\WINDOWS\system32\TpKmpSVC.exe

O23 - Service: TSS Core Service (TSSCoreService) - IBM - C:\Program Files\IBM ThinkVantage\Client Security Solution\ibmtcsd.exe

O23 - Service: TVT Backup Service - Unknown owner - C:\Program Files\IBM ThinkVantage\Rescue and Recovery\rrservice.exe

O23 - Service: TVT Scheduler - Unknown owner - C:\Program Files\IBM ThinkVantage\Common\Scheduler\tvtsched.exe

 

merci :P

Modifié par IXEM
Lien vers le commentaire
Partager sur d’autres sites

bonjour IXEM,

 

1/Télécharge puis installe http://www.ewido.net/en/download

Une fois AVG AS lancé, clique sur Mise à jour

Ferme le programme.

 

 

 

2/demarre en mode sans echec http://www.sosordi.net/Faq/Faq.2.html

 

 

3/ Relance AVG AS puis choisis l'onglet Analyse

Puis l'onglet Paramètres

Sous la question Comment réagir ?, clique sur Actions recommandées et choisis Quarantaine

Re-clique sur l'onglet Analyse puis réalise une Analyse complète du système

 

Si un fichier est infecté détécté en fin d'analyse

Clique sur Appliquer toutes les actions

 

Clique sur Enregistrer le rapport puis sur Enregistrer le rapport sous

Enregistre ce fichier texte sur ton bureau

 

 

4/redemarre en mode normal

 

 

5/Fais un scan en ligne avec http://webscanner.kaspersky.fr/

 

Sous Démonstration en ligne , on t'explique la marche à suivre , et pour lancer le scan il faut sélectionner Exécuter l'analyse en ligne .Le scan ne marche que sous Internet Explorer.

On va te demander de télécharger un contôle active x, accepte .

Dans le menu Choisissez la cible de l'analyse , sélectionne Poste de travail .

Le scan va commencer.Poste le rapport qui sera généré stp.

 

Si il y a un problème, assure toi que les contrôles active x sont bien configurés dans les options internet comme

 

décrit sur ce lien=> http://www.inoculer.com/activex.php3

 

NOTE: le scan est a faire avec Internet Explorer

 

 

6/poste le rapport d'AVG Anti spyware 7.5

 

 

@+

Lien vers le commentaire
Partager sur d’autres sites

merci Bruce Lee,

(Ouf, plus de 2 heures de scan !)

 

rapport AVG :

 

---------------------------------------------------------

AVG Anti-Spyware - Rapport d'analyse

---------------------------------------------------------

 

+ Créé à: 20:47:12 09/11/2006

 

+ Résultat de l'analyse:

 

 

 

C:\Documents and Settings\xavier\Mes documents\`00-PACKXAV-Depuis19.04.2006\7 VIDEO\IMGBURN(RiperDVD)\ImgBurn_1.0.0.0_Fr.exe -> Logger.Ransom.a : Nettoyé et sauvegardé (mise en quarantaine).

C:\Documents and Settings\xavier\Mes documents\`00-PACKXAV-Depuis19.04.2006\7 VIDEO\VIRTUALDUB MODE\VirtualDubMOD_1.5.10.2_b2540_Fr.exe -> Logger.Ransom.a : Nettoyé et sauvegardé (mise en quarantaine).

 

 

Fin du rapport

 

Rapport Karspersky :

KASPERSKY ON-LINE SCANNER REPORT

Thursday, November 09, 2006 11:00:18 PM

Système d'exploitation : Microsoft Windows XP Professional, Service Pack 2 (Build 2600)

Kaspersky On-line Scanner version : 5.0.83.0

Dernière mise à jour de la base antivirus Kaspersky : 9/11/2006

Enregistrements dans la base antivirus Kaspersky : 226024

Paramètres d'analyse

Analyser avec la base antivirus suivante standard

Analyser les archives vrai

Analyser les bases de messagerie vrai

Cible de l'analyse Poste de travail

C:\

D:\

Statistiques de l'analyse

Total d'objets analysés 122497

Nombre de virus trouvés 1

Nombre d'objets infectés 3 / 0

Nombre d'objets suspects 0

Durée de l'analyse 01:48:16

 

Nom de l'objet infecté Nom du virus Dernière action

C:\Documents and Settings\LocalService\Cookies\index.dat L'objet est verrouillé ignoré

C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat L'objet est verrouillé ignoré

C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG L'objet est verrouillé ignoré

C:\Documents and Settings\LocalService\Local Settings\Historique\History.IE5\index.dat L'objet est verrouillé ignoré

C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat L'objet est verrouillé ignoré

C:\Documents and Settings\LocalService\NTUSER.DAT L'objet est verrouillé ignoré

C:\Documents and Settings\LocalService\ntuser.dat.LOG L'objet est verrouillé ignoré

C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat L'objet est verrouillé ignoré

C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG L'objet est verrouillé ignoré

C:\Documents and Settings\NetworkService\NTUSER.DAT L'objet est verrouillé ignoré

C:\Documents and Settings\NetworkService\ntuser.dat.LOG L'objet est verrouillé ignoré

C:\Documents and Settings\xavier\Application Data\Skype\ixem098\call256.dbb L'objet est verrouillé ignoré

C:\Documents and Settings\xavier\Application Data\Skype\ixem098\callmember256.dbb L'objet est verrouillé ignoré

C:\Documents and Settings\xavier\Application Data\Skype\ixem098\chat512.dbb L'objet est verrouillé ignoré

C:\Documents and Settings\xavier\Application Data\Skype\ixem098\chatmsg256.dbb L'objet est verrouillé ignoré

C:\Documents and Settings\xavier\Application Data\Skype\ixem098\chatmsg512.dbb L'objet est verrouillé ignoré

C:\Documents and Settings\xavier\Application Data\Skype\ixem098\contactgroup256.dbb L'objet est verrouillé ignoré

C:\Documents and Settings\xavier\Application Data\Skype\ixem098\index2.dat L'objet est verrouillé ignoré

C:\Documents and Settings\xavier\Application Data\Skype\ixem098\profile4096.dbb L'objet est verrouillé ignoré

C:\Documents and Settings\xavier\Application Data\Skype\ixem098\transfer256.dbb L'objet est verrouillé ignoré

C:\Documents and Settings\xavier\Application Data\Skype\ixem098\transfer512.dbb L'objet est verrouillé ignoré

C:\Documents and Settings\xavier\Application Data\Skype\ixem098\user1024.dbb L'objet est verrouillé ignoré

C:\Documents and Settings\xavier\Application Data\Skype\ixem098\user16384.dbb L'objet est verrouillé ignoré

C:\Documents and Settings\xavier\Application Data\Skype\ixem098\voicemail256.dbb L'objet est verrouillé ignoré

C:\Documents and Settings\xavier\Cookies\index.dat L'objet est verrouillé ignoré

C:\Documents and Settings\xavier\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat L'objet est verrouillé ignoré

C:\Documents and Settings\xavier\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG L'objet est verrouillé ignoré

C:\Documents and Settings\xavier\Local Settings\Historique\History.IE5\index.dat L'objet est verrouillé ignoré

C:\Documents and Settings\xavier\Local Settings\Temporary Internet Files\Content.IE5\index.dat L'objet est verrouillé ignoré

C:\Documents and Settings\xavier\Mes documents\`00-PACKXAV-Depuis19.04.2006\7 VIDEO\DVD DECRYPTER (Emule)\DVDDecrypter 3.5.5.0.rar/DVDDecrypter 3.5.5.0.exe/irsetup.dat Infecté : Trojan-Downloader.Win32.Agent.bay ignoré

C:\Documents and Settings\xavier\Mes documents\`00-PACKXAV-Depuis19.04.2006\7 VIDEO\DVD DECRYPTER (Emule)\DVDDecrypter 3.5.5.0.rar/DVDDecrypter 3.5.5.0.exe Infecté : Trojan-Downloader.Win32.Agent.bay ignoré

C:\Documents and Settings\xavier\Mes documents\`00-PACKXAV-Depuis19.04.2006\7 VIDEO\DVD DECRYPTER (Emule)\DVDDecrypter 3.5.5.0.rar RAR: infecté - 2 ignoré

C:\Documents and Settings\xavier\ntuser.dat L'objet est verrouillé ignoré

C:\Documents and Settings\xavier\ntuser.dat.LOG L'objet est verrouillé ignoré

C:\WINDOWS\Debug\PASSWD.LOG L'objet est verrouillé ignoré

C:\WINDOWS\SoftwareDistribution\EventCache\{2B98BBDD-7FAC-44C1-A2A6-E3E4EAB67860}.bin L'objet est verrouillé ignoré

C:\WINDOWS\SoftwareDistribution\ReportingEvents.log L'objet est verrouillé ignoré

C:\WINDOWS\Sti_Trace.log L'objet est verrouillé ignoré

C:\WINDOWS\system32\CatRoot2\edb.log L'objet est verrouillé ignoré

C:\WINDOWS\system32\CatRoot2\tmp.edb L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\AppEvent.Evt L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\DEFAULT L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\default.LOG L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\SAM L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\SAM.LOG L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\SecEvent.Evt L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\SECURITY L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\SECURITY.LOG L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\SOFTWARE L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\software.LOG L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\SysEvent.Evt L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\SYSTEM L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\system.LOG L'objet est verrouillé ignoré

C:\WINDOWS\system32\h323log.txt L'objet est verrouillé ignoré

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR L'objet est verrouillé ignoré

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP L'objet est verrouillé ignoré

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER L'objet est verrouillé ignoré

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP L'objet est verrouillé ignoré

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP L'objet est verrouillé ignoré

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA L'objet est verrouillé ignoré

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP L'objet est verrouillé ignoré

C:\WINDOWS\wiadebug.log L'objet est verrouillé ignoré

C:\WINDOWS\wiaservc.log L'objet est verrouillé ignoré

C:\WINDOWS\WindowsUpdate.log L'objet est verrouillé ignoré

Analyse terminée.

Lien vers le commentaire
Partager sur d’autres sites

J'ai détruit ce dossier :

 

C:\Documents and Settings\xavier\Mes documents\`00-PACKXAV-Depuis19.04.2006\7 VIDEO\DVD DECRYPTER (Emule)\DVDDecrypter 3.5.5.0.rar/DVDDecrypter 3.5.5.0.exe/irsetup.dat Infecté : Trojan-Downloader.Win32.Agent.bay ignoré

C:\Documents and Settings\xavier\Mes documents\`00-PACKXAV-Depuis19.04.2006\7 VIDEO\DVD DECRYPTER (Emule)\DVDDecrypter 3.5.5.0.rar/DVDDecrypter 3.5.5.0.exe Infecté : Trojan-Downloader.Win32.Agent.bay ignoré

C:\Documents and Settings\xavier\Mes documents\`00-PACKXAV-Depuis19.04.2006\7 VIDEO\DVD DECRYPTER (Emule)\DVDDecrypter 3.5.5.0.rar RAR: infecté - 2 ignoré

Lien vers le commentaire
Partager sur d’autres sites

salut IXEM , Bruce :P

 

Je passe juste pour une petite info à confirmer(je fais des recherches) : le rootkit qu'Antivir a détecté et mis en quarantaine est un faux positif à mon avis....ce qui signifie que le scan Antivir a détecté une infection là où il n'y en a pas !!

 

J'edite ma réponse!! oublie ma question :Je viens de voirs que tu avais un ThinkPad !LE service à été installé par IBM je pense!

Modifié par charles ingals
Lien vers le commentaire
Partager sur d’autres sites

Excuse moi :P je viens d'éditer mon message: je n'avais pas vu que tu avais répondu!!

Oui je pense que ce service détecté par Antivir , c'est bien du IBM!!

Est ce que tu as des soucis avec le pc ? des messages d'alerte de windows?

 

Edit: est ce que tu as reçu une alerte concernant ce fichier? => PsaSrv.exe

Modifié par charles ingals
Lien vers le commentaire
Partager sur d’autres sites

Rejoindre la conversation

Vous pouvez publier maintenant et vous inscrire plus tard. Si vous avez un compte, connectez-vous maintenant pour publier avec votre compte.
Remarque : votre message nécessitera l’approbation d’un modérateur avant de pouvoir être visible.

Invité
Répondre à ce sujet…

×   Collé en tant que texte enrichi.   Coller en tant que texte brut à la place

  Seulement 75 émoticônes maximum sont autorisées.

×   Votre lien a été automatiquement intégré.   Afficher plutôt comme un lien

×   Votre contenu précédent a été rétabli.   Vider l’éditeur

×   Vous ne pouvez pas directement coller des images. Envoyez-les depuis votre ordinateur ou insérez-les depuis une URL.

  • En ligne récemment   0 membre est en ligne

    • Aucun utilisateur enregistré regarde cette page.
×
×
  • Créer...