éliminer un rootkit ...

Candy13 · le 14 avril 2008

Bonjour à tous,

Après m'être connectée à un MMORPG, je me retrouve avec un message d'Avast qui me dit quand je tente de lancer MapleStory (autre MMORPG), que je suis infectée par Win32:rootkit-gen [Rtk].

J'ai essayé de le supprimer, de le mettre en quarantaine, aucun effet.

Après une recherche avec google, je suis tombée sur une demande similaire sur ce forum :

http://forum.zebulon.fr/eliminer-un-cheval...ie-t142345.html .

J'ai tenté de suivre les instructions de Falkra. Mais cela n'a pas résolu mon problème qui semble être différent .

Voici le rapport de SDfix :

SDFix: Version 1.171

Run by Administrateur on 14/04/2008 at 13:59

Microsoft Windows XP [version 5.1.2600]

Running From: C:\PROGRA~1\SDFix

Checking Services :

Restoring Windows Registry Values

Restoring Windows Default Hosts File

Rebooting

Checking Files :

No Trojan Files Found

Removing Temp Files

ADS Check :

Final Check :

catchme 0.3.1351.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-04-14 14:16:22

Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden services & system hive ...

scanning hidden registry entries ...

scanning hidden files ...

scan completed successfully

hidden processes: 0

hidden services: 0

hidden files: 0

Remaining Services :

Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]

"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"

"C:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"="C:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe:*:Enabled:Windows Live Messenger"

"C:\\Program Files\\Windows Live\\Messenger\\livecall.exe"="C:\\Program Files\\Windows Live\\Messenger\\livecall.exe:*:Enabled:Windows Live Messenger (Phone)"

"G:\\Jeux\\Sam\\World of Warcraft\\Repair.exe"="G:\\Jeux\\Sam\\World of Warcraft\\Repair.exe:*:Enabled:Blizzard Repair Utility"

"G:\\Program files\\eMule\\emule.exe"="G:\\Program files\\eMule\\emule.exe:*:Enabled:eMule"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]

"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"

"C:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"="C:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe:*:Enabled:Windows Live Messenger"

"C:\\Program Files\\Windows Live\\Messenger\\livecall.exe"="C:\\Program Files\\Windows Live\\Messenger\\livecall.exe:*:Enabled:Windows Live Messenger (Phone)"

Remaining Files :

File Backups: - C:\PROGRA~1\SDFix\backups\backups.zip

Files with Hidden Attributes :

Finished!

Et le log hijackthis :

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 15:13:40, on 14/04/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\notepad.exe

C:\Program Files\Java\j2re1.4.2_05\bin\jusched.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\Program Files\Winamp\winampa.exe

C:\Program Files\Look and Stop\looknstop.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\Program Files\Alwil Software\Avast4\ashDisp.exe

C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

C:\Program Files\Windows Live\Messenger\msnmsgr.exe

C:\Program Files\Windows Live\Messenger\usnsvc.exe

C:\PROGRA~1\Mozilla Firefox\firefox.exe

C:\WINDOWS\system32\NOTEPAD.EXE

C:\Program Files\Internet Explorer\iexplore.exe

C:\Program Files\Fichiers communs\Microsoft Shared\Windows

Live\WLLoginProxy.exe

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =

http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKCU\Software\Microsoft\Internet

Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class -

{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program

Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: Spybot-S&D IE Protection -

{53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot -

Search & Destroy\SDHelper.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no

file)

O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live

- {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers

communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} -

C:\PROGRA~1\FlashGet\jccatch.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} -

C:\WINDOWS\system32\msdxm.ocx

O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3}

- C:\PROGRA~1\FlashGet\fgiebar.dll

O4 - HKLM\..\Run: [NeroFilterCheck]

C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program

Files\Java\j2re1.4.2_05\bin\jusched.exe

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe

O4 - HKLM\..\Run: [Look 'n' Stop] "C:\Program Files\Look and

Stop\looknstop.exe" -auto

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE

C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE

C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [avast!] "C:\Program Files\Alwil

Software\Avast4\ashDisp.exe"

O4 - HKCU\..\Run: [spybotSD TeaTimer] C:\Program Files\Spybot -

Search & Destroy\TeaTimer.exe

O4 - HKCU\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus!

3\MsgPlus.exe" /WinStart

O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows

Live\Messenger\msnmsgr.exe" /background

O8 - Extra context menu item: Tout télécharger avec FlashGet -

C:\PROGRA~1\FlashGet\jc_all.htm

O8 - Extra context menu item: Télécharger avec FlashGet -

C:\PROGRA~1\FlashGet\jc_link.htm

O9 - Extra button: (no name) -

{08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program

Files\Java\j2re1.4.2_05\bin\npjpi142_05.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) -

{08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program

Files\Java\j2re1.4.2_05\bin\npjpi142_05.dll

O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3}

- C:\PROGRA~1\FlashGet\flashget.exe

O9 - Extra 'Tools' menuitem: &FlashGet -

{D6E814A0-E0C5-11d4-8D29-0050BA6940E3} -

C:\PROGRA~1\FlashGet\flashget.exe

O9 - Extra button: (no name) -

{DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Program Files\Spybot -

Search & Destroy\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy

Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Program

Files\Spybot - Search & Destroy\SDHelper.dll

O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft -

C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL

Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - ALWIL Software - C:\Program

Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program

Files\Alwil Software\Avast4\ashMaiSv.exe

O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program

Files\Alwil Software\Avast4\ashWebSv.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA

Corporation - C:\WINDOWS\system32\nvsvc32.exe

--

End of file - 5153 bytes

Voilà ... Merci d'avance pour votre aide....

pear · le 14 avril 2008

Bonjour,

Désactivez les protections.

Télécharger DiagHelp.zip de Malekal_morte sur le bureau.

http://www.malekal.com/download/DiagHelp.zip

ou là:

http://sosvirus.changelog.fr/diaghelp.zip

* Décompressez le, sur le bureau par exemple.

* Un nouveau dossier chercher va être créé DiagHelp.

* Ouvrez le et double-cliquez sur go.cmd (le .cmd peut ne pas apparaître)

* Une fenêtre va s'ouvrir, choisir l'option 1

* L'analyse va commencer, ceci peut durer quelques minutes,

appuyez sur une touche quand on le demande

* Copier/coller le contenu entier du bloc-note qui s'ouvre et le joindre à la prochaine réponse.

Sinon, il est là:C:\resultats.txt

[La détection par Antivir de "TR/inject.MF"

est en fait catchme ,un composant de diaghelp :c'est donc un faux positif./color]

Candy13 · le 14 avril 2008

voici donc le rapport de DiagHelp :

DiagHelp version v1.4 - http://www.malekal.com

excute le 14/04/2008 à 18:32:59,78

Liste des derniers fichies modifies/crees dans windir\system32 et prefetch

C:\WINDOWS\prefetch\CHCP.COM-18156052.pf -->14/04/2008 18:32:50

C:\WINDOWS\prefetch\CMD.EXE-087B4001.pf -->14/04/2008 18:32:48

C:\WINDOWS\prefetch\VERCLSID.EXE-3667BD89.pf -->14/04/2008 18:32:26

C:\WINDOWS\prefetch\WINRAR.EXE-39C6DAD9.pf -->14/04/2008 18:32:03

C:\WINDOWS\prefetch\NOTEPAD.EXE-336351A9.pf -->14/04/2008 18:28:28

C:\WINDOWS\prefetch\AVAST.SETUP-032170A8.pf -->14/04/2008 18:28:14

C:\WINDOWS\prefetch\RUNDLL32.EXE-2E5AF1D7.pf -->14/04/2008 18:28:12

C:\WINDOWS\prefetch\ASHWEBSV.EXE-0548EF0A.pf -->14/04/2008 17:49:13

C:\WINDOWS\prefetch\ASHMAISV.EXE-12E27032.pf -->14/04/2008 17:49:12

C:\WINDOWS\prefetch\WSCNTFY.EXE-1B24F5EB.pf -->14/04/2008 17:49:02

C:\WINDOWS\System32\drivers\EagleNt.sys -->14/04/2008 09:21:06

C:\WINDOWS\System32\drivers\lnsfw1.sys -->09/04/2008 09:38:52

C:\WINDOWS\System32\drivers\lnsfw.sys -->09/04/2008 09:38:52

C:\WINDOWS\System32\drivers\aswFsBlk.sys -->29/03/2008 19:35:49

C:\WINDOWS\System32\drivers\aswmon2.sys -->29/03/2008 19:35:21

C:\WINDOWS\System32\drivers\aswSP.sys -->29/03/2008 19:31:34

C:\WINDOWS\System32\drivers\aswRdr.sys -->29/03/2008 19:29:08

C:\WINDOWS\System32\FNTCACHE.DAT -->14/04/2008 11:47:03

C:\WINDOWS\System32\wpa.dbl -->11/04/2008 18:00:18

C:\WINDOWS\System32\fwapi.dll -->09/04/2008 09:38:52

C:\WINDOWS\System32\MRT.exe -->06/04/2008 07:56:20

C:\WINDOWS\System32\LoopyMusic.wav -->02/04/2008 12:53:53

C:\WINDOWS\System32\BuzzingBee.wav -->02/04/2008 12:53:53

C:\WINDOWS\System32\PerfStringBackup.INI -->02/04/2008 10:25:13

C:\WINDOWS\System32\perfh00C.dat -->02/04/2008 10:25:13

C:\WINDOWS\System32\perfh009.dat -->02/04/2008 10:25:13

C:\WINDOWS\System32\perfc00C.dat -->02/04/2008 10:25:13

C:\WINDOWS\System32\perfc009.dat -->02/04/2008 10:25:13

C:\WINDOWS\System32\TZLog.log -->01/04/2008 23:42:32

C:\WINDOWS\System32\BASSMOD.dll -->01/04/2008 22:06:09

C:\WINDOWS\System32\CONFIG.NT -->31/03/2008 17:18:25

C:\WINDOWS\System32\nvapps.xml -->30/03/2008 17:33:34

C:\WINDOWS\System32\h323log.txt -->30/03/2008 16:39:54

C:\WINDOWS\System32\$winnt$.inf -->30/03/2008 14:48:08

C:\WINDOWS\System32\nscompat.tlb -->30/03/2008 14:45:14

C:\WINDOWS\System32\amcompat.tlb -->30/03/2008 14:45:14

C:\WINDOWS\System32\WindowsLogon.manifest -->30/03/2008 14:44:14

C:\WINDOWS\System32\logonui.exe.manifest -->30/03/2008 14:44:14

C:\WINDOWS\System32\wuaucpl.cpl.manifest -->30/03/2008 14:44:09

C:\WINDOWS\System32\sapi.cpl.manifest -->30/03/2008 14:44:09

C:\WINDOWS\System32\nwc.cpl.manifest -->30/03/2008 14:44:09

C:\WINDOWS\System32\ncpa.cpl.manifest -->30/03/2008 14:44:09

C:\WINDOWS\WindowsUpdate.log -->14/04/2008 18:30:51

C:\WINDOWS\wiaservc.log -->14/04/2008 15:34:48

C:\WINDOWS\wiadebug.log -->14/04/2008 15:34:47

C:\WINDOWS\Sti_Trace.log -->14/04/2008 15:34:47

C:\WINDOWS\0.log -->14/04/2008 14:14:32

C:\WINDOWS\bootstat.dat -->14/04/2008 14:14:15

C:\WINDOWS\ntbtlog.txt -->14/04/2008 13:58:52

C:\WINDOWS\SchedLgU.Txt -->14/04/2008 13:48:31

C:\WINDOWS\Lic.xxx -->14/04/2008 12:46:02

C:\WINDOWS\setupact.log -->14/04/2008 12:25:07

C:\WINDOWS\setuperr.log -->14/04/2008 11:57:22

C:\WINDOWS\NeroDigital.ini -->06/04/2008 12:39:22

C:\WINDOWS\War3Unin.dat -->04/04/2008 21:06:56

C:\WINDOWS\War3Unin.pif -->04/04/2008 20:58:42

C:\WINDOWS\War3Unin.exe -->04/04/2008 20:58:42

winlogon.exe

Verified: Signed

svchost.exe

Verified: Signed

ws2_32.dll

Verified: Signed

user32.dll

Verified: Signed

tcpip.sys

Verified: Signed

ndis.sys

Verified: Signed

null.sys

Verified: Signed

ListDLLs v2.25 - DLL lister for Win9x/NT

Sysinternals - www.sysinternals.com

------------------------------------------------------------------------------

explorer.exe pid: 1556

Command line: C:\WINDOWS\Explorer.EXE

Base Size Version Path

0x58b50000 0x9a000 5.82.2900.2982 C:\WINDOWS\system32\comctl32.dll

0x76f80000 0x7f000 2001.12.4414.0308 C:\WINDOWS\system32\CLBCATQ.DLL

0x77000000 0xd4000 2001.12.4414.0258 C:\WINDOWS\system32\COMRes.dll

0x76ac0000 0x11000 3.05.2284.0000 C:\WINDOWS\system32\ATL.DLL

0x7d200000 0x2be000 3.01.4000.4039 C:\WINDOWS\system32\msi.dll

0x74730000 0x3d000 3.525.1117.0000 C:\WINDOWS\system32\ODBC32.dll

0x015e0000 0x18000 3.525.1117.0000 C:\WINDOWS\system32\odbcint.dll

0x50640000 0x9000 7.00.6000.0381 C:\WINDOWS\system32\wups.dll

0x10000000 0xc000 6.00.0001.1091 C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

0x01fe0000 0x185000 1.05.0000.0011 C:\Program Files\Spybot - Search & Destroy\SDHelper.dll

0x014c0000 0x10000 1.01.0004.0000 C:\PROGRA~1\FlashGet\jccatch.dll

------------------------------------------------------------------------------

explorer.exe pid: 260

Command line: C:\WINDOWS\Explorer.EXE

Base Size Version Path

0x58b50000 0x9a000 5.82.2900.2982 C:\WINDOWS\system32\comctl32.dll

0x76f80000 0x7f000 2001.12.4414.0308 C:\WINDOWS\system32\CLBCATQ.DLL

0x77000000 0xd4000 2001.12.4414.0258 C:\WINDOWS\system32\COMRes.dll

0x76ac0000 0x11000 3.05.2284.0000 C:\WINDOWS\system32\ATL.DLL

0x7d200000 0x2be000 3.01.4000.4039 C:\WINDOWS\system32\msi.dll

0x74730000 0x3d000 3.525.1117.0000 C:\WINDOWS\system32\ODBC32.dll

0x01310000 0x18000 3.525.1117.0000 C:\WINDOWS\system32\odbcint.dll

ListDLLs v2.25 - DLL lister for Win9x/NT

Sysinternals - www.sysinternals.com

------------------------------------------------------------------------------

winlogon.exe pid: 968

Command line: winlogon.exe

Base Size Version Path

0x01000000 0x81000 \??\C:\WINDOWS\system32\winlogon.exe

0x58b50000 0x9a000 5.82.2900.2982 C:\WINDOWS\system32\COMCTL32.dll

0x74730000 0x3d000 3.525.1117.0000 C:\WINDOWS\system32\ODBC32.dll

0x20000000 0x18000 3.525.1117.0000 C:\WINDOWS\system32\odbcint.dll

0x01370000 0x3b000 1.07.0018.0007 C:\WINDOWS\system32\WgaLogon.dll

0x76f80000 0x7f000 2001.12.4414.0308 C:\WINDOWS\system32\CLBCATQ.DLL

0x77000000 0xd4000 2001.12.4414.0258 C:\WINDOWS\system32\COMRes.dll

0x76010000 0x65000 6.02.3104.0000 C:\WINDOWS\system32\MSVCP60.dll

------------------------------------------------------------------------------

winlogon.exe pid: 2652

Command line: winlogon.exe

Base Size Version Path

0x01000000 0x81000 \??\C:\WINDOWS\system32\winlogon.exe

0x58b50000 0x9a000 5.82.2900.2982 C:\WINDOWS\system32\COMCTL32.dll

0x74730000 0x3d000 3.525.1117.0000 C:\WINDOWS\system32\ODBC32.dll

0x20000000 0x18000 3.525.1117.0000 C:\WINDOWS\system32\odbcint.dll

0x00ca0000 0x3b000 1.07.0018.0007 C:\WINDOWS\system32\WgaLogon.dll

0x76f80000 0x7f000 2001.12.4414.0308 C:\WINDOWS\system32\CLBCATQ.DLL

0x77000000 0xd4000 2001.12.4414.0258 C:\WINDOWS\system32\COMRes.dll

Le volume dans le lecteur C n'a pas de nom.

Le numéro de série du volume est B43B-99D3

Répertoire de C:\WINDOWS\system32

04/08/2004 02:54 6 144 csrss.exe

1 fichier(s) 6 144 octets

0 Rép(s) 37 143 896 064 octets libres

Contenu de Downloaded Program Files

Le volume dans le lecteur C n'a pas de nom.

Le numéro de série du volume est B43B-99D3

Répertoire de C:\WINDOWS\Downloaded Program Files

12/04/2008 09:36 <REP> .

12/04/2008 09:36 <REP> ..

30/03/2008 14:44 65 desktop.ini

25/07/2002 17:13 24 576 dwusplay.dll

25/07/2002 17:13 196 608 dwusplay.exe

20/11/2007 16:04 1 523 536 FP_AX_CAB_INSTALLER.exe

11/08/2005 15:30 417 792 isusweb.dll

20/11/2007 15:50 247 swflash.inf

6 fichier(s) 2 162 824 octets

Total des fichiers listés :

6 fichier(s) 2 162 824 octets

2 Rép(s) 37 143 891 968 octets libres

Recherche de rootkit! (Merci S!Ri)

Recherche d'infections connues

Export des clefs sensibles..

Liste des fichiers en exception sur le pare-feu XP SP2