impossible de restaurer impossible de se connecter(Rootkit.Bagle.F)

ray23 · le 22 juin 2008

Bonjour,

Après un crash, j'ai voulu restaurer impossible!

J'ai ensuite chercher à me connecter : impossible!

J'ai voulu lancer sophos : cette application n'est pas une application win 32 valide

J'ai fait un scan en ligne après avoir changé en 4 une valeur 3 dans une clé de regedit, bitdefender a détecté rootkit.Bagle.F.

Mais malgré cela, à chaque redémarrage, pas de connexion, il faut changer la clé (mettre 4 à la place de 3 et redémarrer)

J'imagine que je suis toujours infecté.

Merci pour votre aide.

Ray23

Falkra · le 22 juin 2008

Bonjour,

Attention à bien suivre ces instructions en détail, ne pas oublier de renommer combofix.exe AVANT qu'il ne soit téléchargé, quand on peut encore changer le nom du fichier et dire où le télécharger.

Télécharge combofix.exe de sUBs et renomme-le combo-fix.exe avant de le sauvegarder sur ton bureau (et pas ailleurs).

Assure toi que tous les programmes sont fermés avant de commencer.
Double-clique combo-fix.exe afin de l'exécuter.
Clique sur "Oui" au message de Limitation de Garantie qui s'affiche.
Il est possible que ton parefeu te demande si tu acceptes ou non l'accès de nircmd.cfexe à la zone sûre: accepte.
Ne ferme pas la fenêtre qui vient de s'ouvrir, tu te retrouverais avec un bureau vide.
Lorsque l'analyse sera terminée, un rapport apparaîtra.
Copie-colle ce rapport dans ta prochaine réponse.
Le rapport se trouve dans : C:\Combofix.txt (si jamais).
Pour plus d'information et un tuto illustré, voici le seul tuto officiel et autorisé : http://www.bleepingcomputer.com/combofix/f...iliser-combofix

ray23 · le 22 juin 2008

re bonjour,

Voici mon rapport combo-fix comme demandé merci pour votre aide.

Ray23

ComboFix 08-06-20.4 - IA 06 2008-06-22 9:30:09.1 - NTFSx86

Microsoft Windows XP Professionnel 5.1.2600.2.1252.1.1036.18.127 [GMT 2:00]

Endroit: C:\Documents and Settings\IA 06\Bureau\Combo-Fix.exe

AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !!

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

C:\WINDOWS\system32\drivers\downld

C:\WINDOWS\system32\drivers\downld\1012235.exe

C:\WINDOWS\system32\drivers\downld\1071430.exe

C:\WINDOWS\system32\drivers\downld\1095194.exe

C:\WINDOWS\system32\drivers\downld\1116615.exe

C:\WINDOWS\system32\drivers\downld\1131947.exe

C:\WINDOWS\system32\drivers\downld\11718470.exe

C:\WINDOWS\system32\drivers\downld\14818628.exe

C:\WINDOWS\system32\drivers\downld\14827190.exe

C:\WINDOWS\system32\drivers\downld\14885444.exe

C:\WINDOWS\system32\drivers\downld\14903530.exe

C:\WINDOWS\system32\drivers\downld\14918501.exe

C:\WINDOWS\system32\drivers\downld\14928506.exe

C:\WINDOWS\system32\drivers\downld\217342.exe

C:\WINDOWS\system32\drivers\downld\242779.exe

C:\WINDOWS\system32\drivers\downld\251972.exe

C:\WINDOWS\system32\drivers\downld\266903.exe

C:\WINDOWS\system32\drivers\downld\283287.exe

C:\WINDOWS\system32\drivers\downld\290637.exe

C:\WINDOWS\system32\drivers\downld\317536.exe

C:\WINDOWS\system32\drivers\downld\320901.exe

C:\WINDOWS\system32\drivers\downld\345987.exe

C:\WINDOWS\system32\drivers\downld\371323.exe

C:\WINDOWS\system32\drivers\downld\382199.exe

C:\WINDOWS\system32\drivers\downld\432071.exe

C:\WINDOWS\system32\drivers\downld\455294.exe

C:\WINDOWS\system32\drivers\downld\475363.exe

C:\WINDOWS\system32\drivers\downld\486809.exe

C:\WINDOWS\system32\drivers\downld\501340.exe

C:\WINDOWS\system32\drivers\downld\507609.exe

C:\WINDOWS\system32\drivers\downld\527979.exe

C:\WINDOWS\system32\drivers\downld\541488.exe

C:\WINDOWS\system32\drivers\downld\773251.exe

C:\WINDOWS\system32\drivers\downld\794762.exe

C:\WINDOWS\system32\drivers\downld\816013.exe

C:\WINDOWS\system32\drivers\downld\829302.exe

C:\WINDOWS\system32\drivers\downld\982192.exe

C:\WINDOWS\system32\drivers\downld\985026.exe

C:\WINDOWS\system32\drivers\hldrrr.exe

C:\WINDOWS\system32\drivers\mdelk.exe

C:\WINDOWS\system32\drivers\srosa.sys

.

((((((((((((((((((((((((((((((((((((((( Drivers/Services )))))))))))))))))))))))))))))))))))))))))))))))))

.

-------\Legacy_SROSA

((((((((((((((((((((((((((((( Fichiers cr‚‚s 2008-05-22 to 2008-06-22 ))))))))))))))))))))))))))))))))))))

.

2008-06-22 09:11 . 2008-06-22 09:11 <REP> d-------- C:\Program Files\Spybot - Search & Destroy

2008-06-22 09:11 . 2008-06-22 09:11 <REP> d-------- C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy

2008-06-21 17:29 . 2008-06-21 23:45 <REP> d-------- C:\WINDOWS\BDOSCAN8

2008-06-21 14:00 . 2003-11-11 06:12 336,800 -ra------ C:\WINDOWS\system32\drivers\WUSB20XP.sys

2008-06-21 13:40 . 2008-06-21 13:40 <REP> d-------- C:\Inetpub

2008-06-21 07:47 . 2008-06-21 07:47 2,560 --a------ C:\WINDOWS\_MSRSTRT.EXE

2008-06-19 14:38 . 2008-06-19 14:41 999 --a------ C:\WINDOWS\ao2000pr.ini

2008-06-12 16:02 . 2008-06-12 16:14 <REP> d-------- C:\Program Files\4PLAY 4

2008-06-12 16:02 . 1996-03-03 11:07 1,015,568 --a------ C:\WINDOWS\system32\MSJT3032.DLL

2008-06-12 16:02 . 2008-06-12 16:02 302,352 --a------ C:\WINDOWS\system32\MSWNG300.DLL

2008-06-12 16:02 . 1996-03-03 11:07 250,640 --a------ C:\WINDOWS\system32\MSRD2X32.DLL

2008-06-12 16:02 . 1996-03-03 11:08 243,984 --a------ C:\WINDOWS\system32\VBAR2232.DLL

2008-06-12 16:02 . 1996-03-03 11:08 76,288 --a------ C:\WINDOWS\system32\ODBCTL32.DLL

2008-06-12 16:02 . 1996-03-03 11:07 35,600 --a------ C:\WINDOWS\system32\MSJINT32.DLL

2008-06-12 16:02 . 1996-03-03 11:07 23,824 --a------ C:\WINDOWS\system32\MSJTER32.DLL

2008-06-12 16:00 . 1996-03-03 11:04 60,416 --a------ C:\WINDOWS\ST4UNST.EXE

2008-06-11 21:48 . 2008-04-14 17:52 272,768 -----c--- C:\WINDOWS\system32\dllcache\bthport.sys

2008-06-06 20:21 . 2008-06-06 20:21 38 --a------ C:\WINDOWS\avisplitter.INI

2008-05-28 20:50 . 2008-05-28 20:51 <REP> d-------- C:\Program Files\Free Audio Pack

2008-05-28 20:50 . 2000-11-29 02:07 307,200 --a------ C:\WINDOWS\system32\msvcr70.dll

2008-05-28 20:50 . 2003-08-07 15:01 237,568 --a------ C:\WINDOWS\system32\lame_enc.dll

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2008-06-21 11:40 --------- d-----w C:\Program Files\HP

2008-06-21 05:57 --------- d--h--w C:\Program Files\InstallShield Installation Information

2008-06-14 18:48 --------- d-----w C:\Documents and Settings\IA 06\Application Data\OpenOffice.org2

2008-06-07 19:57 --------- d-----w C:\Documents and Settings\IA 06\Application Data\Azureus

2008-06-01 19:33 --------- d-----w C:\Program Files\StuffPlug3

2008-05-14 16:55 --------- d-----w C:\Documents and Settings\IA 06\Application Data\Todae

2008-05-12 12:31 --------- d-----w C:\Program Files\Objectif Tarot

2008-05-09 16:54 --------- d-----w C:\Program Files\Messenger Plus! Live

2008-05-08 12:28 202,752 ----a-w C:\WINDOWS\system32\drivers\rmcast.sys

2008-05-08 10:04 --------- d-----w C:\Program Files\Microsoft Baseline Security Analyzer 2

2008-05-08 06:38 --------- d-----w C:\Program Files\Fichiers communs\Adobe

2008-05-08 06:34 --------- d-----w C:\Documents and Settings\IA 06\Application Data\AdobeUM

2008-04-28 06:42 --------- d-----w C:\Program Files\VeryPDF PDF2Word v3.0

2008-04-25 17:10 --------- d-----w C:\Program Files\Ludiclub

2008-04-23 09:59 --------- d-----w C:\Program Files\Java

.

((((((((((((((((((((((((((((((((( Point de chargement Reg )))))))))))))))))))))))))))))))))))))))))))))))))

.

REGEDIT4

*Note* les ‚l‚ments vides & les ‚l‚ments initiaux l‚gitimes ne sont pas list‚s

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-19 17:09 15360]

"Rainlendar2"="C:\Program Files\Rainlendar2\Rainlendar2.exe" [ ]

"MsnMsgr"="C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" [2007-10-18 12:34 5724184]

"CopernicSummarizerWatchdog"="C:\Program Files\Copernic Summarizer\CSAgent.exe" [2003-10-02 18:27 20480]

"SpybotSD TeaTimer"="C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe" [2008-06-22 09:11 2097488]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"CARPService"="carpserv.exe" [2003-05-21 15:35 4608 C:\WINDOWS\system32\carpserv.exe]

"Display Settings"="C:\Program Files\HPQ\Notebook Utilities\hptasks.exe" [2002-08-15 07:26 45056]

"QT4HPOT"="C:\Program Files\HPQ\One-Touch\OneTouch.EXE" [2003-01-31 05:53 106496]

"SynTPLpr"="C:\Program Files\Synaptics\SynTP\SynTPLpr.exe" [2003-04-19 05:03 110592]

"SynTPEnh"="C:\Program Files\Synaptics\SynTP\SynTPEnh.exe" [2003-04-19 04:57 610304]

"ATIModeChange"="Ati2mdxx.exe" [2002-06-12 05:14 28672 C:\WINDOWS\system32\Ati2mdxx.exe]

"AtiPTA"="atiptaxx.exe" [2002-06-12 05:56 286720 C:\WINDOWS\system32\atiptaxx.exe]

"MMTray"="C:\Program Files\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe" [2002-08-26 19:08 90112]

"Cpqset"="C:\Program Files\HPQ\Default Settings\cpqset.exe" [2003-02-26 17:25 180316]

"AdaptecDirectCD"="C:\Program Files\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe" [2002-12-17 13:28 684032]

"SunJavaUpdateSched"="C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe" [2008-02-22 04:25 144784]

"XCSyncML"="C:\WINDOWS\system32\XCSyncML.exe" [2005-07-14 11:07 135168]

"QuickTime Task"="C:\Program Files\QuickTime\qttask.exe" [2007-12-04 17:22 155648]

"Easy-PrintToolBox"="C:\Program Files\Canon\Easy-PrintToolBox\BJPSMAIN.EXE" [2004-01-14 03:10 409600]

"EoEngine"="" []

"EoWeather"="" []

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="C:\WINDOWS\System32\CTFMON.EXE" [2004-08-19 17:09 15360]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]

"AppInit_DLLs"=C:\PROGRA~1\Sophos\SOPHOS~1\SOPHOS~1.DLL

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]

"VIDC.YV12"= yv12vfw.dll

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\SAVService]

@="service"

[HKEY_LOCAL_MACHINE\software\microsoft\security center]

"AntiVirusDisableNotify"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SophosAntiVirus]

"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"C:\\Program Files\\Messenger\\msmsgs.exe"=

"C:\\Program Files\\NEC\\NEC Mobile Suite\\CommsService.exe"=

"<NO NAME>"=

"C:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=

"C:\\Program Files\\Windows Live\\Messenger\\livecall.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]

"3389:TCP"= 3389:TCP:@xpsp2res.dll,-22009

R1 SAVOnAccessControl;SAVOnAccessControl;C:\WINDOWS\system32\DRIVERS\savonaccesscontrol.sys [2007-11-19 09:32]

R1 SAVOnAccessFilter;SAVOnAccessFilter;C:\WINDOWS\system32\DRIVERS\savonaccessfilter.sys [2007-11-19 09:32]

R2 NwSapAgent;Agent SAP;C:\WINDOWS\system32\svchost.exe [2004-08-19 17:10]

R3 CALIAUD;Conexant AMC 3D ENVIRONMENTAL AUDIO;C:\WINDOWS\system32\drivers\caliaud.sys [2002-11-05 17:04]

R3 CALIHALA;CALIHALA;C:\WINDOWS\system32\drivers\calihal.sys [2002-11-05 17:04]

R3 DP83815;National Semiconductor Corp. DP83815/816 NDIS 5.0 Miniport Driver;C:\WINDOWS\system32\DRIVERS\DP83815.SYS [2002-08-29 02:00]

S3 archbus;NEC WMC USB_BJ1 Composite Device driver (WDM);C:\WINDOWS\system32\DRIVERS\archbus.sys [2005-07-07 15:38]

S3 archmdfl;NEC WMC USB_BJ1 Modem Filter;C:\WINDOWS\system32\DRIVERS\archmdfl.sys [2005-07-07 15:38]

S3 archmdm;NEC WMC USB_BJ1 Modem Drivers;C:\WINDOWS\system32\DRIVERS\archmdm.sys [2005-07-07 15:39]

S3 archobex;NEC WMC USB_BJ1 OBEX Interface Drivers (WDM);C:\WINDOWS\system32\DRIVERS\archobex.sys [2005-07-07 15:39]

S3 FA312;Pilote de la carte Fast Ethernet FA330/FA312/FA311 NETGEAR;C:\WINDOWS\system32\DRIVERS\FA312nd5.sys [2001-08-17 21:12]

S3 SMC_WinXP_PCMCIAFVNETR_(SMCD)®;SMC_WinXP_PCMCIAFVNETR_(SMCD)® Service for SMC EZ Connect Wireless PC Card(SMC2632W V.3);C:\WINDOWS\system32\DRIVERS\fvnetd51.sys [2002-12-11 17:03]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{a8a88eb1-8789-11dc-8e82-000d9d59a37d}]

\Shell\AutoRun\command - E:\Autorun.exe /run

\Shell\Shell00\Command - E:\Autorun.exe /run

\Shell\Shell01\Command - E:\Autorun.exe /action

\Shell\Shell02\Command - E:\Autorun.exe /uninstall

.

**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-06-22 09:49:25

Windows 5.1.2600 Service Pack 2 NTFS

Balayage processus cach‚s ...

Balayage cach‚ autostart entries ...

HKLM\Software\Microsoft\Windows\CurrentVersion\Run

Cpqset = C:\Program Files\HPQ\Default Settings\cpqset.exe????????8?7?5?2??p???? ??3B?????????????T?B? ??????

Balayage des fichiers cach‚s ...

C:\WINDOWS\system32\wbem\Performance\WmiApRpl.ini 6614 bytes

Scan termin‚ avec succŠs

Les fichiers cach‚s: 1

**************************************************************************

.

------------------------ Other Running Processes ------------------------

.

C:\Program Files\Sophos\Sophos Anti-Virus\SavService.exe

C:\WINDOWS\system32\HPConfig.exe

C:\Program Files\HPQ\Notebook Utilities\HPWirelessMgr.exe

C:\Program Files\Borland\Interbase\bin\ibguard.exe

C:\Program Files\Borland\Interbase\bin\ibserver.exe

C:\Program Files\3M\PSNLite\PsnLite.exe

C:\PROGRA~1\3M\PSNLite\PSNGive.exe

.

**************************************************************************

.

Temps d'accomplissement: 2008-06-22 10:00:01 - machine was rebooted

ComboFix-quarantined-files.txt 2008-06-22 07:59:54

Pre-Run: 5,107,822,592 octets libres

Post-Run: 5,191,086,080 octets libres

193 --- E O F --- 2008-06-11 20:28:34

Falkra · le 22 juin 2008

Ok, ça doit aller mieux.

Désactive TeaTimer (il ne sert à rien et nous gênera, ne le réactive pas).

Ouvre le bloc notes. Copie colle ceci dedans :

File::
C:\WINDOWS\system32\jkkHWMET.dll

Registry::

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"EoEngine"=-

"EoWeather"=-

[HKEY_LOCAL_MACHINE\software\microsoft\security center]

"AntiVirusDisableNotify"=-

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SophosAntiVirus]

"DisableMonitoring"=-

Sauvegarde cela comme fichier texte nommé CFScript, sur le bureau.
Fais un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe comme sur la capture

Une fenêtre bleue va apparaître: au message qui apparaît (Type 1 to continue, or 2 to abort) , tape 1 puis valide.
Patiente le temps du scan. Le bureau va disparaître à plusieurs reprises: c'est normal ! Ne touche à rien tant que le scan n'est pas terminé.
Une fois le scan achevé, un rapport va s'afficher: poste son contenu.
Si le fichier ne s'ouvre pas, il se trouve ici > C:\ComboFix.txt

Après cela, poste un rapport HijackThis (il doit fonctionner) :

Clique sur ce lien pour télécharger HijackThis 2.0.2 : http://www.trendsecure.com/portal/en-US/_d.../HiJackThis.exe

Cette version est sans installateur ou Zip à décompresser, choisis de l'enregistrer sur le bureau.

Double-clique sur l'icône HijackThis :

HijackThis démarre, c'est le premier bouton qui nous intéresse "Do a system scan and save a logfile" (le fichier "log" est le rapport).

Clique dessus.

Copie-colle le contenu du rapport qui va s'afficher dans le Bloc-notes dans ta prochaine réponse stp, ça fait donc 2 rapport, d'abord ComboFix puis HijackThis.

@ toute

ray23 · le 22 juin 2008

COUCOU FALKRA

TOUT D ABORD CS MESSAGES N APPARAISSENT PLUS DANS LE FORUM??? ETRANGE.

JE TE POSTE LES DEUX RAPPORTS. MERCI POUR TON AIDE

COMBO FIX

ComboFix 08-06-20.4 - IA 06 2008-06-22 17:08:26.2 - NTFSx86

Microsoft Windows XP Professionnel 5.1.2600.2.1252.1.1036.18.151 [GMT 2:00]

Endroit: C:\Documents and Settings\IA 06\Bureau\Combo-Fix.exe

Command switches used :: C:\Documents and Settings\IA 06\Bureau\CFScript.txt

* Création d'un nouveau point de restauration

AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !!

FILE ::

C:\WINDOWS\system32\jkkHWMET.dll