avast a trouvé rootkit sursvchost.exe

[tanaud]

Bonjour

me revoila. Alors j'ai installé antivir. J'ai fait un scan en mode sans échec dont je vous poste le résultat. J'ai refait un hijackthis après que je vous poste également<; j(zi voulu alors installer malmware et pendant l'installation une fenêtre est apparue disant texto "Erreur d'execution 372 Impossible de charger le contröle vbaGrid.ocx. Votre version de vbalsgrid6.ocx est peut-être obsolète. Vérifiez que vous utilisez la version du controle fournie avec votre application"

 

Avira AntiVir Personal

Report file date: jeudi 5 juin 2008 00:46

 

Scanning for 1165085 virus strains and unwanted programs.

 

Licensed to: Avira AntiVir PersonalEdition Classic

Serial number: 0000149996-ADJIE-0001

Platform: Windows XP

Windows version: (plain) [5.1.2600]

Boot mode: Save mode

Username: Carite

Computer name: MASSOT-J9FLY7KE

 

Version information:

BUILD.DAT : 8.1.00.295 16479 Bytes 09/04/2008 16:24:00

AVSCAN.EXE : 8.1.2.12 311553 Bytes 18/03/2008 09:02:56

AVSCAN.DLL : 8.1.1.0 53505 Bytes 07/02/2008 08:43:37

LUKE.DLL : 8.1.2.9 151809 Bytes 28/02/2008 08:41:23

LUKERES.DLL : 8.1.2.1 12033 Bytes 21/02/2008 08:28:40

ANTIVIR0.VDF : 6.40.0.0 11030528 Bytes 18/07/2007 10:33:34

ANTIVIR1.VDF : 7.0.3.2 5447168 Bytes 07/03/2008 13:08:58

ANTIVIR2.VDF : 7.0.3.62 337408 Bytes 21/03/2008 19:12:34

ANTIVIR3.VDF : 7.0.3.68 57856 Bytes 25/03/2008 08:27:50

Engineversion : 8.1.0.28

AEVDF.DLL : 8.1.0.5 102772 Bytes 25/02/2008 09:58:21

AESCRIPT.DLL : 8.1.0.19 229754 Bytes 07/04/2008 15:34:44

AESCN.DLL : 8.1.0.12 115060 Bytes 07/04/2008 15:34:44

AERDL.DLL : 8.1.0.19 418164 Bytes 07/04/2008 15:34:44

AEPACK.DLL : 8.1.1.0 364918 Bytes 18/03/2008 11:20:42

AEOFFICE.DLL : 8.1.0.15 192889 Bytes 07/04/2008 15:34:44

AEHEUR.DLL : 8.1.0.15 1147253 Bytes 07/04/2008 15:34:44

AEHELP.DLL : 8.1.0.11 115061 Bytes 07/04/2008 15:34:43

AEGEN.DLL : 8.1.0.15 299379 Bytes 07/04/2008 15:34:43

AEEMU.DLL : 8.1.0.5 430450 Bytes 07/04/2008 15:34:43

AECORE.DLL : 8.1.0.25 168309 Bytes 08/04/2008 09:58:32

AVWINLL.DLL : 1.0.0.7 14593 Bytes 23/01/2008 17:07:53

AVPREF.DLL : 8.0.0.1 25857 Bytes 18/02/2008 10:37:50

AVREP.DLL : 7.0.0.1 155688 Bytes 16/04/2007 13:26:47

AVREG.DLL : 8.0.0.0 30977 Bytes 23/01/2008 17:07:49

AVARKT.DLL : 1.0.0.23 307457 Bytes 12/02/2008 08:29:23

AVEVTLOG.DLL : 8.0.0.11 114945 Bytes 28/02/2008 08:31:31

SQLITE3.DLL : 3.3.17.1 339968 Bytes 22/01/2008 17:28:02

SMTPLIB.DLL : 1.2.0.19 28929 Bytes 23/01/2008 17:08:39

NETNT.DLL : 8.0.0.1 7937 Bytes 25/01/2008 12:05:10

RCIMAGE.DLL : 8.0.0.35 2371841 Bytes 10/03/2008 14:37:25

RCTEXT.DLL : 8.0.32.0 86273 Bytes 06/03/2008 12:02:11

 

Configuration settings for the scan:

Jobname..........................: Complete system scan

Configuration file...............: c:\program files\avira\antivir personaledition classic\sysscan.avp

Logging..........................: low

Primary action...................: interactive

Secondary action.................: ignore

Scan master boot sector..........: on

Scan boot sector.................: on

Boot sectors.....................: C:,

Scan memory......................: on

Process scan.....................: on

Scan registry....................: on

Search for rootkits..............: off

Scan all files...................: All files

Scan archives....................: on

Recursion depth..................: 20

Smart extensions.................: on

Deviating archive types..........: +BSD Mailbox, +Netscape/Mozilla Mailbox, +Eudora Mailbox, +Squid cache, +Pegasus Mailbox, +MS Outlook Mailbox,

Macro heuristic..................: on

File heuristic...................: medium

Deviating risk categories........: +APPL,+GAME,+JOKE,+PCK,+SPR,

 

Start of the scan: jeudi 5 juin 2008 00:46

 

The scan of running processes will be started

Scan process 'avscan.exe' - '1' Module(s) have been scanned

Scan process 'avcenter.exe' - '1' Module(s) have been scanned

Scan process 'explorer.exe' - '1' Module(s) have been scanned

Scan process 'guard.exe' - '1' Module(s) have been scanned

Scan process 'lsass.exe' - '1' Module(s) have been scanned

Scan process 'services.exe' - '1' Module(s) have been scanned

Scan process 'winlogon.exe' - '1' Module(s) have been scanned

Scan process 'csrss.exe' - '1' Module(s) have been scanned

Scan process 'smss.exe' - '1' Module(s) have been scanned

9 processes with 9 modules were scanned

 

Starting master boot sector scan:

Master boot sector HD0

[iNFO] No virus was found!

 

Start scanning boot sectors:

Boot sector 'C:\'

[iNFO] No virus was found!

 

Starting to scan the registry.

The registry was scanned ( '29' files ).

 

 

Starting the file scan:

 

Begin scan in 'C:\'

C:\pagefile.sys

[WARNING] The file could not be opened!

C:\Documents and Settings\Carite\Application Data\Thunderbird\Profiles\default\y63om5kn.slt\Mail\dspnet.fr.eu-2.org\Inbox

[0] Archive type: Netscape/Mozilla Mailbox

--> Mailbox_[From: "service@paypal.com"<do-not-reply@paypal.com>][subject: PayPal Notification: Re: Unauthorized Use of Yo][Message-ID: <VIETRISRV01M3SOlbpH00001266@vietri.com>]526.mim

[DETECTION] Contains detection pattern of the Phish-File/Email PHISH/Paypalfraud.4

--> Mailbox_[From: "PayPal"<admin@paypal.com>][subject: Please Verify Account !][Message-ID: <VGCOR1bQPyJGSS2tR6j000004fb@mail.viningstrust.]616.mim

[DETECTION] Contains detection pattern of the Phish-File/Email PHISH/Paypalfraud.3

--> Mailbox_[Message-ID: <01c85f40$e4ba0100$ccb83646@nazli.davie>][From: "Errol Waller" <nazli.davie@magru.at>][subject: Do you see]26824.mim

[1] Archive type: MIME

--> video.zip

[2] Archive type: ZIP

--> video.scr

[DETECTION] Is the Trojan horse TR/Dropper.Gen

--> Mailbox_[From: <paypal@securesuite.net>][subject: Votre compte PayPal est suspendu !!][Message-ID: <20080426164949.0A7B2700005D@mwinf2319.orange.f]33658.mim

[DETECTION] Contains detection pattern of the HTML script virus HTML/NetCarto.6913

--> Mailbox_[From: <paypal@securesuite.net>][subject: Votre compte PayPal est suspendu !!][Message-ID: <20080429152950.A021C1C000F9@mwinf2002.orange.f]33752.mim

[DETECTION] Contains detection pattern of the HTML script virus HTML/NetCarto.6913

--> Mailbox_[From: <paypal@securesuite.net>][subject: votre compte paypal est suspendus !][Message-ID: <20080504152717.0956F1C00092@mwinf2713.orange.f]33978.mim

[DETECTION] Contains detection pattern of the HTML script virus HTML/NetCarto.6913

[WARNING] This file is a mailbox. To avoid damaging your emails this file will not be repaired or deleted!

 

 

End of the scan: jeudi 5 juin 2008 01:33

Used time: 46:32 min

 

The scan has been done completely.

 

3960 Scanning directories

286933 Files were scanned

6 viruses and/or unwanted programs were found

0 Files were classified as suspicious:

0 files were deleted

0 files were repaired

0 files were moved to quarantine

0 files were renamed

1 Files cannot be scanned

286927 Files not concerned

26891 Archives were scanned

2 Warnings

0 Notes

 

 

 

Logfile of HijackThis v1.99.1

Scan saved at 08:50:29, on 05/06/2008

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

C:\WINDOWS\Explorer.EXE

c:\program files\a-squared free\a2service.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

C:\WINDOWS\System32\drivers\CDAC11BA.EXE

C:\WINDOWS\System32\nvsvc32.exe

C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe

C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe

C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe

C:\Program Files\QuickTime\qttask.exe

C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe

C:\Program Files\Google\Google Talk\googletalk.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\VIA\RAID\raid_tool.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avscan.exe

C:\Program Files\HijackThis.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://recherche.neuf.fr/ie/default.html

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://recherche.neuf.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://recherche.neuf.fr/

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://recherche.neuf.fr/ie/default.html

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll

O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Program Files\Real\RealPlayer\rpbrowserrecordplugin.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: EWPBrowseObject Class - {68F9551E-0411-48E4-9AAF-4BC42A6A46BE} - C:\Program Files\Canon\Easy-WebPrint\EWPBrowseLoader.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar4.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar4.dll

O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll

O3 - Toolbar: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Program Files\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe"

O4 - HKLM\..\Run: [googletalk] C:\Program Files\Google\Google Talk\googletalk.exe /autostart

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: VIA RAID TOOL.lnk = C:\Program Files\VIA\RAID\raid_tool.exe

O8 - Extra context menu item: Easy-WebPrint Ajouter à la liste d'impressions - res://C:\Program Files\Canon\Easy-WebPrint\Toolband.dll/RC_AddToList.html

O8 - Extra context menu item: Easy-WebPrint Impression rapide - res://C:\Program Files\Canon\Easy-WebPrint\Toolband.dll/RC_HSPrint.html

O8 - Extra context menu item: Easy-WebPrint Imprimer - res://C:\Program Files\Canon\Easy-WebPrint\Toolband.dll/RC_Print.html

O8 - Extra context menu item: Easy-WebPrint Prévisualiser - res://C:\Program Files\Canon\Easy-WebPrint\Toolband.dll/RC_Preview.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll

O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)

O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedC...bin/AvSniff.cab

O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dll

O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} - http://software-dl.real.com/2050c910fa7208...RdxIE601_fr.cab

O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab

O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedC...n/bin/cabsa.cab

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microsoftu...b?1199524235170

O16 - DPF: {B79A53C0-1DAC-4636-BACE-FD086A7A79BF} (AdSignerLCContrl Class) - https://static.impots.gouv.fr/tdir/static/a...gnerADP-1.0.cab

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll

O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - c:\program files\a-squared free\a2service.exe

O23 - Service: Avira AntiVir Personal – Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

O23 - Service: C-DillaCdaC11BA - C-Dilla Ltd - C:\WINDOWS\System32\drivers\CDAC11BA.EXE

O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: Service de l'iPod (iPod Service) - Unknown owner - C:\Program Files\iPod\bin\iPodService.exe (file missing)

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe

O23 - Service: Sunbelt Personal Firewall 4 (SPF4) - Sunbelt Software - C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe

 

 

 

Merci de me dire quoi faire maintenant.

A bientôt

tanaud

[angelique]

J'allume mon PC avast me trouve un logiciel malveillant rootkit je ne sais plus quoi et me demande de le mettre en quarantaine, ce que je fais. Il me demande de redémarer et là catastrophe, j'ai un écran avec une barre des tâches obsolère, je ne peux plus glisser les fichiers, plus de carte réseau, plus d'internet donc, plus d'imprimante. Je me connecte avec un portable équipé de windows vista et je cherche à gauche, à droite. Je m'aperçois que d'autres gens semblent avoir ce probléme et que chacun essaie de réparer mais je ne trouve pas de solution.

Je regarde dans program files windows système 32 y a plus de fichier svchost.exe.

 

y'a apparemment un bins depuis la derniere mise à jour d'avast sur C:\windows\system32\svchost.exe

Faux Positif!!

 

Il faut restaurer C:\windows\system32\svchost.exe de la quarantaine .

[tanaud]

et donc je fois faire quoi exactement ? maintenant que j'ai comme vous me l'avez dit désinstaller avast, pris antivir ???

[angelique]

1• telecharger le sp2:

 

http://www.microsoft.com/downloads/details...;displaylang=fr

 

2• se deconnecter du net physiquement

 

3• reparer XP : http://www.informatruc.com/reparer_2.php

 

4• installer le sp2 avant de te reconnecter au net

 

[tanaud]

1• telecharger le sp2:

 

http://www.microsoft.com/downloads/details...;displaylang=fr

 

2• se deconnecter du net physiquement

 

3• reparer XP : http://www.informatruc.com/reparer_2.php

 

4• installer le sp2 avant de te reconnecter au net

 

 

 

le problème c'est que je n'ai pas de cd d'installation de windows xp : j'ai acheté cet ordinateur et il y avait windows xp dessus, pont barrre. Du coup, je pense que je ne peux pas faire ce que tu me dis si?

[angelique]

non , navrée qu'avast foutte la mouise et pas que chez toi mon cher!!!! toute façon il etait impossible de restaurer la quarantaine, ni d'utiliser la restauration systeme.

[tanaud]

non , navrée qu'avast foutte la mouise et pas que chez toi mon cher!!!! toute façon il etait impossible de restaurer la quarantaine, ni d'utiliser la restauration systeme.

 

 

que faire alors ? Acheter quelque chose ? et quoi ou?

[angelique]

voir ce lien : http://forum.zebulon.fr/faux-positif-d-ava...sv-t145797.html

[tanaud]

voir ce lien : http://forum.zebulon.fr/faux-positif-d-ava...sv-t145797.html

 

j'ai fait ce qui était dit. J'ai dézippé et maintenant sur mon bureau y plein d'icones dont svchost.exe mais je ne peux pas le faire glisser dans windows/system 32 car le glisser ne fonctionne plus.

 

J'avoue que je n'en peux plus. Je ne peux pas rester avec un pc comme ça d'autant que je travaille dessus. Je veux bien réinstaller windows mais sans le cd je ne peux pas. faut-il que je l'achète ? ou que j'aille voir un réparateur mais ou et qui? tout ça à cause d'avast, je ne les remercie vraiment pas.

 

Je vous remercie en revanche vous de l'aide que j'ai trouvé sur ce forum et de celle que je trouverai encore si vous me répondez.

A plus

 

tanaud

[angelique]

j'ai fait ce qui était dit. J'ai dézippé et maintenant sur mon bureau y plein d'icones dont svchost.exe mais je ne peux pas le faire glisser dans windows/system 32 car le glisser ne fonctionne plus.

 

 

 

et le copier_coller ??

 

ou en console CMD

 

copy "repertoire de depart ou se trouve le svchost telechargé" c:\windows\systeme32

 

apparemment ta session admin se nomme "Carite" donc vu que tu as "mal"dezippé l'archive et que tu as pleins d'icones (les reg+svchost.exe) sur ton bureau

 

ça devrait donner

 

copy C:\Documents and Settings\Carite\Bureau\svchost.exe c:\windows\system32