Infection Rootkit.agent

[Falkra]

Ok on voit notre bestiole (donc on la tient).

 

Télécharge MBR Rootkit Detector de gmer et enregistre-le sur le bureau.

 

Désactiver provisoirement les programmes de protection (antivirus, firewall,anti-spyware...)

 

Double-clique sur mbr.exe, une fenêtre d'invite de commande va s'ouvrir et se refermer,

- Un rapport sera généré : mbr.log.

 

Copie/colle le résultat de ce log dans ta réponse.

[dreamer9]

voila :

 

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

 

device: opened successfully

user: MBR read successfully

kernel: MBR read successfully

user & kernel MBR OK

[Falkra]

Télécharge delRK.bat ici :

http://senduit.com/f415a6

Ce code est fait spécifiquement pour ta machine : ne pas utiliser ailleurs.

 

Place-le dans le dossier où se trouve Gmer, et double clique dessus pour le démarrer, il va piloter gmer pour effacer la bestiole.

 

Dis moi si ça passe bien (une fenêtre noire va apparaître, et doit disparaître).

[dreamer9]

gmbr, je suppose que c'est mbr.exe?

J'ai créé un dossier sur le bureau, l'y ai placé avec delRK.

En double cliquant dessus une fenêtre noire est apparue et a disparue en 1 seconde.

C'est tout....

[dreamer9]

MAlwarebytes trouve trs le même pb :

 

Malwarebytes' Anti-Malware 1.44

Version de la base de données: 3535

Windows 5.1.2600 Service Pack 2

Internet Explorer 6.0.2900.2180

 

10/01/2010 20:01:29

mbam-log-2010-01-10 (20-01-29).txt

 

Type de recherche: Examen rapide

Eléments examinés: 24431

Temps écoulé: 7 minute(s), 52 second(s)

 

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 0

Clé(s) du Registre infectée(s): 0

Valeur(s) du Registre infectée(s): 0

Elément(s) de données du Registre infecté(s): 0

Dossier(s) infecté(s): 0

Fichier(s) infecté(s): 1

 

Processus mémoire infecté(s):

(Aucun élément nuisible détecté)

 

Module(s) mémoire infecté(s):

(Aucun élément nuisible détecté)

 

Clé(s) du Registre infectée(s):

(Aucun élément nuisible détecté)

 

Valeur(s) du Registre infectée(s):

(Aucun élément nuisible détecté)

 

Elément(s) de données du Registre infecté(s):

(Aucun élément nuisible détecté)

 

Dossier(s) infecté(s):

(Aucun élément nuisible détecté)

 

Fichier(s) infecté(s):

c:\WINDOWS\system32\drivers\tbwraged.sys (Rootkit.Agent) -> Delete on reboot.

[Falkra]

Non, c'est pas mbr, c'est gmer, il a été téléchargé en tant que "mrr1jbwg.exe" là où tu l'as mis.

[dreamer9]

OK.

Ben j'ai fait la même chose en plaçant mrr1jbwg.exe dans le dossier. Une fenêtre noire est apparue une fraction de seconde lorsque j'ai lancé delRK.bat.

Je vais devoir déconnecter.

A demain j'espère, merci encore pour ton aide.

[dreamer9]

A ce stade, malwarebytes détecte encore tbwraged.sys ...

[Falkra]

Elimine, et refais un rapport Gmer : ne coche que "registry" et "services" cette fois, et poste le rapport.

[dreamer9]

Bonjour.

 

Je ne pourrai me reconnecter que demain ou ce soir tard.

 

MAlwarebytes n'a pas pu éliminer tbwraged.sys.

 

Gmer après son scan m'a alerté que le système était modifié par un rootkit.

 

 

 

GMER 1.0.15.15281 - http://www.gmer.net

Rootkit scan 2010-01-11 08:15:24

Windows 5.1.2600 Service Pack 2

Running: mrr1jbwg.exe; Driver: C:\DOCUME~1\HP_ADM~1\LOCALS~1\Temp\uxddqpob.sys

 

 

---- Services - GMER 1.0.15 ----

 

Service (*** hidden *** ) [bOOT] tbwraged <-- ROOTKIT !!!

 

---- Registry - GMER 1.0.15 ----

 

Reg HKLM\SYSTEM\ControlSet001\Services\tbwraged@Type 1

Reg HKLM\SYSTEM\ControlSet001\Services\tbwraged@Start 0

Reg HKLM\SYSTEM\ControlSet001\Services\tbwraged@ErrorControl 0

Reg HKLM\SYSTEM\ControlSet001\Services\tbwraged@Group Boot Bus Extender

Reg HKLM\SYSTEM\ControlSet002\Services\tbwraged@Type 1

Reg HKLM\SYSTEM\ControlSet002\Services\tbwraged@Start 0

Reg HKLM\SYSTEM\ControlSet002\Services\tbwraged@ErrorControl 0

Reg HKLM\SYSTEM\ControlSet002\Services\tbwraged@Group Boot Bus Extender

Reg HKLM\SYSTEM\CurrentControlSet\Services\tbwraged@Type 1

Reg HKLM\SYSTEM\CurrentControlSet\Services\tbwraged@Start 0

Reg HKLM\SYSTEM\CurrentControlSet\Services\tbwraged@ErrorControl 0

Reg HKLM\SYSTEM\CurrentControlSet\Services\tbwraged@Group Boot Bus Extender

Reg HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@AppInit_DLLs

Reg HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@DeviceNotSelectedTimeout 15

Reg HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@GDIProcessHandleQuota 10000

Reg HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@Spooler yes

Reg HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@swapdisk

Reg HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@TransmissionRetryTimeout 90

Reg HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@USERProcessHandleQuota 10000

Reg HKCU\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{9C060E5A-C0A2-D2AD-EA05-CD0AA6EBFAC5}

 

---- EOF - GMER 1.0.15 ----