avast a trouvé rootkit sursvchost.exe

tanaud · le 4 juin 2008

Je suis désespérée car depuis hier soir 20h je suis dans la mouise.

J'allume mon PC avast me trouve un logiciel malveillant rootkit je ne sais plus quoi et me demande de le mettre en quarantaine, ce que je fais. Il me demande de redémarer et là catastrophe, j'ai un écran avec une barre des tâches obsolère, je ne peux plus glisser les fichiers, plus de carte réseau, plus d'internet donc, plus d'imprimante. Je me connecte avec un portable équipé de windows vista et je cherche à gauche, à droite. Je m'aperçois que d'autres gens semblent avoir ce probléme et que chacun essaie de réparer mais je ne trouve pas de solution.

Je regarde dans program files windows système 32 y a plus de fichier svchost.exe.

J'essaie de faire une restauration du système à une date antérieure en démarrant le pc en mode sans échec. Cela ne marche pas.

J'essaie d'ouvrir la quarantaine d'avast pour récupérer le fichier mis en quarantaine, pas possible car répertoire RPC pas disponible. Je réessaie tout ceci en mode sans échec, rien. Je fais un nettoyage avec ccleaner, regcleaner. RIen de rien.

Si vous avez la possibilité de m'aider, je vous ens erais reconnaisante. Je vous poste à cette fin ci-dessous mon rapport hijackthis enregistré sur ma clef usb.

Merci d'avance

Tanaud

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 23:18:46, on 03/06/2008

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

c:\program files\a-squared free\a2service.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

C:\WINDOWS\System32\drivers\CDAC11BA.EXE

C:\WINDOWS\System32\nvsvc32.exe

C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe

C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe

C:\Program Files\QuickTime\qttask.exe

C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe

C:\Program Files\Google\Google Talk\googletalk.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\Program Files\VIA\RAID\raid_tool.exe

C:\Program Files\Neuf\Kit\9diags.exe

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://recherche.neuf.fr/ie/default.html

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://recherche.neuf.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://recherche.neuf.fr/

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://recherche.neuf.fr/ie/default.html

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll

O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Program Files\Real\RealPlayer\rpbrowserrecordplugin.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: EWPBrowseObject Class - {68F9551E-0411-48E4-9AAF-4BC42A6A46BE} - C:\Program Files\Canon\Easy-WebPrint\EWPBrowseLoader.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar4.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar4.dll

O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll

O3 - Toolbar: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Program Files\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe"

O4 - HKLM\..\Run: [googletalk] C:\Program Files\Google\Google Talk\googletalk.exe /autostart

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User '?')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: VIA RAID TOOL.lnk = C:\Program Files\VIA\RAID\raid_tool.exe

O8 - Extra context menu item: Easy-WebPrint Ajouter à la liste d'impressions - res://C:\Program Files\Canon\Easy-WebPrint\Toolband.dll/RC_AddToList.html

O8 - Extra context menu item: Easy-WebPrint Impression rapide - res://C:\Program Files\Canon\Easy-WebPrint\Toolband.dll/RC_HSPrint.html

O8 - Extra context menu item: Easy-WebPrint Imprimer - res://C:\Program Files\Canon\Easy-WebPrint\Toolband.dll/RC_Print.html

O8 - Extra context menu item: Easy-WebPrint Prévisualiser - res://C:\Program Files\Canon\Easy-WebPrint\Toolband.dll/RC_Preview.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll

O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe

O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedC...bin/AvSniff.cab

O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dll

O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} - http://software-dl.real.com/2050c910fa7208...RdxIE601_fr.cab

O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab

O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedC...n/bin/cabsa.cab

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microsoftu...b?1199524235170

O16 - DPF: {B79A53C0-1DAC-4636-BACE-FD086A7A79BF} (AdSignerLCContrl Class) - https://static.impots.gouv.fr/tdir/static/a...gnerADP-1.0.cab

O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - c:\program files\a-squared free\a2service.exe

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

O23 - Service: C-DillaCdaC11BA - C-Dilla Ltd - C:\WINDOWS\System32\drivers\CDAC11BA.EXE

O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: Service de l'iPod (iPod Service) - Unknown owner - C:\Program Files\iPod\bin\iPodService.exe (file missing)

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe

O23 - Service: Sunbelt Personal Firewall 4 (SPF4) - Sunbelt Software - C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe

--

End of file - 7958 bytes

Wullfk · le 4 juin 2008

Bonjour, et bienvenue sur Zebulon.fr

t'affole pas, on va regarder de plus près ce qui ce passe sur ton PC.

Première chose:

Avast n'offre plus une protection suffisante : lui préférer Antivir.

- Avast VS Antivir : http://forum.malekal.com/ftopic3528.php

- Télécharger Antivir : http://www.free-av.com/

DESINSTALLER AVAST

* Télécharger ASWClear.exe sur le bureau.

* Le lancer (en tant qu'administrateur sous Vista).

* Suivre les instructions.

* Redémarrer l' ordinateur.

une fois installer AntiVir (c'est juste un conseil, pas une obligation), effectue sa mise à jour, puis suit ce lien http://speedweb1.free.fr/frames2.php?page=tuto5 pour le configurer.

effectue un scan, et post le en même temps qu'un nouveau scan HisjackThis.

@+

Modifié le 4 juin 2008 par Wullfk

Wullfk · le 4 juin 2008

en attendant que tu fasse, ce que je t'ai conseiller dans mon message précédent.

une fois tes deux rapports poster, effectue cette procédure :

Imprimez ces instructions car il faudra fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.

Télécharger Malwarebytes' Anti-Malware (MBAM)

Enregistrez le sur le bureau .

Fermer toutes les fenêtres et programmes.

Double-cliquer sur l'icône Download_mbam-setup.exe sur le bureau pour démarrer l'installation.
Suivez les indications (en particulier le choix de la langue et l'autorisation d'accession à Internet).
N'apportez aucune modification aux réglages par défaut et, en fin d'installation,
vérifiez que les options Update Malwarebytes' Anti-Malware et Launch Malwarebytes' Anti-Malware sont cochées.

MBAM démarrera automatiquement et enverra un message demandant à mettre à jour le programme avant de lancer une analyse.

Comme il se met automatiquement à jour en fin d'installation, cliquer sur OK pour fermer la boîte de dialogue.

Ferme le programme,

Redémarre ton PC en mode sans échec (important) (touche F8 au démarrage)

(Sous Vista, fermer le programme, et le relancer en faisant clic droit -> Exécuter en tant qu'administrateur)

Lance Malwarebytes'

La fenêtre principale de MBAM s'affiche :

Dans l'onglet analyse, vérifier que "Exécuter une analyse approfondie" est coché et cliquer sur le bouton "Rechercher" pour démarrer l'analyse.

L' analyse prendra un certain temps, soyez patient !

Un message s'affichera, en indiquant la fin .

Cliquer sur OK pour continuer.

Si des malwares ont été détectés, leur liste s'affiche.

En cliquant sur "Suppression(?)" , MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.

MBAM va ouvrir le bloc-notes et y copier le rapport d'analyse qui peut être retrouvé sous l'onglet Rapports/logs.

Fermer le bloc-note.
Fermer MBAM en cliquant sur "Quitter".
Redemarrer en mode normale
Poster le rapport .

@+

tanaud · le 4 juin 2008

Bonjour, et bienvenue sur Zebulon.fr

t'affole pas, on va regarder de plus près ce qui ce passe sur ton PC.

Première chose:

Avast n'offre plus une protection suffisante : lui préférer Antivir.

- Avast VS Antivir : http://forum.malekal.com/ftopic3528.php

- Télécharger Antivir : http://www.free-av.com/

DESINSTALLER AVAST

* Télécharger ASWClear.exe sur le bureau.

* Le lancer (en tant qu'administrateur sous Vista).

* Suivre les instructions.

* Redémarrer l' ordinateur.

une fois installer AntiVir (c'est juste un conseil, pas une obligation), effectue sa mise à jour, puis suit ce lien http://speedweb1.free.fr/frames2.php?page=tuto5 pour le configurer.

effectue un scan, et post le en même temps qu'un nouveau scan HisjackThis.

@+

Merci de ta réponse rapide. Grace à toi j'ai un soupçon d'espoir mais avant toute chose j'ai une question : sur mon pc infecté, je n'ai plus accès à internet, ni d'ailleurs à grand chose et sur ce pc j'ai windows xp (pas vista). En revanche, je me connecte avec un ordinateur portable récent sur lequel il y vista et j'essaie de télécharger les trucs depuis le portable, je mets les logiiels que tu m'as conseillé sur ma clé usb et j'essaie de les enregistrer sur mon pc malade?

Excuse-moi si cette question te paraît stupide mais je ne suis pas une pro de l'informatique et pour cause!!!

merci pour ton aide

tanaud

Wullfk · le 4 juin 2008

Re,

y a pas de question stupide, c'est plutôt le contraire, ne pas poser de question et de ce fait ne pas détaillé les problèmes, ne permettent pas d'aider correctement.

en gros pour résumer ton problème:

tu tourne sous XP sur le PC "malade"
tu n'as plus d'accès Internet.
tu n'as quasiment voir totalement plus d'accès à tes programmes (je synthétise)

laisse moi le temps d'étudier ton problème, des que tu peux (via ton autre PC) de poster le rapport HisjackThis (celui de ton PC "malade")

@+

tanaud · le 4 juin 2008

Re,

y a pas de question stupide, c'est plutôt le contraire, ne pas poser de question et de ce fait ne pas détaillé les problèmes, ne permettent pas d'aider correctement.

en gros pour résumer ton problème:

tu tourne sous XP sur le PC "malade"

tu n'as plus d'accès Internet.

tu n'as quasiment voir totalement plus d'accès à tes programmes (je synthétise)

laisse moi le temps d'étudier ton problème, des que tu peux (via ton autre PC) de poster le rapport HisjackThis (celui de ton PC "malade")

@+

Tu as parfaitement synthétisé et je te laisse le temps nécéssaire, y a pas de soucis d'autant que je ne suis pas chez moi avant ce soir 21 heures. Le rapport hijackthis du PC "malade" c'est celui que j'ai d'ores et déjà posté dans mon 1er message.

En attendant, j'ai téléchargé depuis le boulot où je suis en ce moment antivir, asw.clear.exe et Malwarebytes' Anti-Malware sur ma clé usb mais de toute façon j'attendrai tes ordres pour commencer.

Je te dis donc à bientôt et vraiment merci. C'est vraiment très très sympa de m'aider car je ne sais vraiment pas à qui m'adresser.

tanaud

Je reposte mon log hijackthis sur mon PC "malade".

windows XP firefox 6