[Résolu] Un virus?

[Falkra]

Oki. Relance Gmer et copie colle ce que ça affiche tout seul (sans lancer de scan particulier à la main, il te fait un petit topo tout seul).

[lenab01]

Bonsoir

un ptit rapport GMER

 

GMER 1.0.14.14536 - http://www.gmer.net

Rootkit scan 2008-10-01 19:58:38

Windows 5.1.2600 Service Pack 2

 

 

---- System - GMER 1.0.14 ----

 

SSDT spyl.sys ZwEnumerateKey [0xF8434CA2]

SSDT spyl.sys ZwEnumerateValueKey [0xF8435030]

 

Code \SystemRoot\system32\drivers\mfehidk.sys (Host Intrusion Detection Link Driver/McAfee, Inc.) ZwCreateFile [0xB6E079CA]

Code \SystemRoot\system32\drivers\mfehidk.sys (Host Intrusion Detection Link Driver/McAfee, Inc.) ZwCreateProcess [0xB6E07978]

Code \SystemRoot\system32\drivers\mfehidk.sys (Host Intrusion Detection Link Driver/McAfee, Inc.) ZwCreateProcessEx [0xB6E0798C]

Code \SystemRoot\system32\drivers\mfehidk.sys (Host Intrusion Detection Link Driver/McAfee, Inc.) ZwDeleteKey [0xB6E07A7B]

Code \SystemRoot\system32\drivers\mfehidk.sys (Host Intrusion Detection Link Driver/McAfee, Inc.) ZwDeleteValueKey [0xB6E07AA7]

Code \SystemRoot\system32\drivers\mfehidk.sys (Host Intrusion Detection Link Driver/McAfee, Inc.) ZwMapViewOfSection [0xB6E07A0A]

Code \SystemRoot\system32\drivers\mfehidk.sys (Host Intrusion Detection Link Driver/McAfee, Inc.) ZwNotifyChangeKey [0xB6E07B41]

Code \SystemRoot\system32\drivers\mfehidk.sys (Host Intrusion Detection Link Driver/McAfee, Inc.) ZwOpenProcess [0xB6E07950]

Code \SystemRoot\system32\drivers\mfehidk.sys (Host Intrusion Detection Link Driver/McAfee, Inc.) ZwOpenThread [0xB6E07964]

Code \SystemRoot\system32\drivers\mfehidk.sys (Host Intrusion Detection Link Driver/McAfee, Inc.) ZwProtectVirtualMemory [0xB6E079DE]

Code \SystemRoot\system32\drivers\mfehidk.sys (Host Intrusion Detection Link Driver/McAfee, Inc.) ZwQueryMultipleValueKey [0xB6E07AE9]

Code \SystemRoot\system32\drivers\mfehidk.sys (Host Intrusion Detection Link Driver/McAfee, Inc.) ZwRenameKey [0xB6E07A91]

Code \SystemRoot\system32\drivers\mfehidk.sys (Host Intrusion Detection Link Driver/McAfee, Inc.) ZwReplaceKey [0xB6E07B69]

Code \SystemRoot\system32\drivers\mfehidk.sys (Host Intrusion Detection Link Driver/McAfee, Inc.) ZwRestoreKey [0xB6E07B55]

Code \SystemRoot\system32\drivers\mfehidk.sys (Host Intrusion Detection Link Driver/McAfee, Inc.) ZwSetContextThread [0xB6E079B6]

Code \SystemRoot\system32\drivers\mfehidk.sys (Host Intrusion Detection Link Driver/McAfee, Inc.) ZwSetInformationProcess [0xB6E079A2]

Code \SystemRoot\system32\drivers\mfehidk.sys (Host Intrusion Detection Link Driver/McAfee, Inc.) ZwTerminateProcess [0xB6E07A39]

Code \SystemRoot\system32\drivers\mfehidk.sys (Host Intrusion Detection Link Driver/McAfee, Inc.) ZwUnloadKey [0xB6E07B2B]

Code \SystemRoot\system32\drivers\mfehidk.sys (Host Intrusion Detection Link Driver/McAfee, Inc.) ZwUnmapViewOfSection [0xB6E07A20]

Code \SystemRoot\system32\drivers\mfehidk.sys (Host Intrusion Detection Link Driver/McAfee, Inc.) ZwYieldExecution [0xB6E079F4]

Code \SystemRoot\system32\drivers\mfehidk.sys (Host Intrusion Detection Link Driver/McAfee, Inc.) NtCreateFile

Code \SystemRoot\system32\drivers\mfehidk.sys (Host Intrusion Detection Link Driver/McAfee, Inc.) NtMapViewOfSection

Code \SystemRoot\system32\drivers\mfehidk.sys (Host Intrusion Detection Link Driver/McAfee, Inc.) NtOpenProcess

Code \SystemRoot\system32\drivers\mfehidk.sys (Host Intrusion Detection Link Driver/McAfee, Inc.) NtOpenThread

Code \SystemRoot\system32\drivers\mfehidk.sys (Host Intrusion Detection Link Driver/McAfee, Inc.) NtSetInformationProcess

 

---- Devices - GMER 1.0.14 ----

 

Device \FileSystem\Ntfs \Ntfs 823DE1F8

 

AttachedDevice \FileSystem\Ntfs \Ntfs mfehidk.sys (Host Intrusion Detection Link Driver/McAfee, Inc.)

 

Device \FileSystem\Fastfat \Fat 81DDD500

 

AttachedDevice \FileSystem\Fastfat \Fat mfehidk.sys (Host Intrusion Detection Link Driver/McAfee, Inc.)

AttachedDevice \Driver\Tcpip \Device\Ip Mpfp.sys (McAfee Personal Firewall Plus Driver/McAfee, Inc.)

AttachedDevice \Driver\Tcpip \Device\Tcp Mpfp.sys (McAfee Personal Firewall Plus Driver/McAfee, Inc.)

AttachedDevice \Driver\Tcpip \Device\Udp Mpfp.sys (McAfee Personal Firewall Plus Driver/McAfee, Inc.)

AttachedDevice \Driver\Tcpip \Device\RawIp Mpfp.sys (McAfee Personal Firewall Plus Driver/McAfee, Inc.)

 

---- EOF - GMER 1.0.14 ----

 

 

A+

[Falkra]

Fais clic droit, restore SSDT sur ces lignes (celles qui indiquent SSDT, le nom de fichier peut changer)

 

SSDT spyl.sys ZwEnumerateKey [0xF8434CA2]

SSDT spyl.sys ZwEnumerateValueKey [0xF8435030]

 

Vois si ensuite tu peux trouver le fichier spyl.sys (ou nouveau nom) et le copier coller sur le bureau (pour ensuite l'analyser).

[lenab01]

je le recherche dans les répertoires dans lesquels on a déjà fait des recherches ?

l'analyse, c'est via combofix ?

[Falkra]

Ne touche pas à combofix.

 

Fais la manip dans Gmer, et cherche le fichier dans :

c:\windows\system32\

c:\windows\system32\drivers\

 

Tu auras sans doute besoin d'afficher les fichiers cachés et ceux du système :

http://www.libellules.ch/afficher_fichiers.php

 

Si tu trouves le fichier nommé dans Gmer (aux lignes SSDT), fais un double sur ton bureau.

[lenab01]

j'ai restauré les deux lignes spyl.sys

j'ai recherché dans drivers sans succès

dans system32 je ne vois pas de fichiers sys, mais je n'ai pas encore recherché correctement

 

c'est possible de ne pas trouver le fichier?

ou c'est moi qui recherche mal ?

[lenab01]

recherche du fichier infructueuse...

est-ce que le restore n'a pas été fait trop longtemps après l'analyse gmer ?

 

faut-il refaire un coup de gmer, pour restaurer les lignes SSDT dans la foulée ?

[lenab01]

en faisant une nouvelle analyse, on a plus les lignes SSDT...

 

pour faire la recherche, j'ai ouvert les répertoire et j'ai trié par nom

chaque pagination prend bien 40 s

[Falkra]

Essaie.

 

Une fois les lignes SSDT restaurées, et les fichiers masqués affichés (manip plus haut), tu peux essayer par la recherche windows.

[lenab01]

ok je lance