Infestation par rootkit

[searcher41]

Je te donne les résultats pour roguekiller :

 

il s'est lancé, et apparemment il a trouvé en processus malicieux : "svchost.exe" 2 fois avec écrit en bout de ligne "KILLED [term proc]"

 

je fais quand même "supprimer" ?

 

(si le live cd est ma dernière option, as tu un petit tuto pour me donner du courage ? rootkit ou virus selon toi ? en tous cas merci pour ton aide jusqu'ici !!)

[Apollo]

Montre-moi le rapport généré par RogueKiller stp.

 

Tu as un tuto pour le live cd ici: Tutorial : le mode d'emploi de Comment fonctionne Kaspersky Rescue Disk 03.12.2011 Fr

[searcher41]

bah je n'ai pas de rapport, roguekiller n'est pas fermé, j'ai le choix entre 1.recherche 2.supprimer 3.hostraz 4.proxyraz 5.dnsraz 6.raccourcisraz -> tu me confirmes, je fais 2 ?

 

le rapport doit apparaître sur le bureau ? excuse moi pour la lourdeur, je te laisse tranquille pour ce soir après ca si tu veux x)

[Apollo]

Si l'outil a détecté des saletés, évidemmment qu'il faut taper mode 2 (mode remove).

 

Tu auras alors le rapport. (sur le C:\ )

[searcher41]

ok désolé, ca y est, rapport sur le bureau, j'ai ca :

 

RogueKiller V6.1.12 [02/12/2011] par Tigzy

mail: tigzyRK<at>gmail<dot>com

Remontees: [RogueKiller] Remontées (1/38)

Blog: tigzy-RK

 

Systeme d'exploitation: Windows Vista (6.0.6000 ) 32 bits version

Demarrage : Mode normal

Utilisateur: steeve [Droits d'admin]

Mode: Suppression -- Date : 08/12/2011 00:33:44

 

¤¤¤ Processus malicieux: 2 ¤¤¤

[sVCHOST] svchost.exe -- C:\Windows\system32\svchost.exe -> KILLED [TermProc]

[sVCHOST] svchost.exe -- C:\Windows\system32\svchost.exe -> KILLED [TermProc]

 

¤¤¤ Entrees de registre: 3 ¤¤¤

[sUSP PATH] HKCU\[...]\Run : TtdBlvrm (C:\Users\steeve\AppData\Local\lnlobviv\ttdblvrm.exe) -> DELETED

[HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REPLACED (0)

[HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0)

 

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

 

¤¤¤ Driver: [LOADED] ¤¤¤

SSDT[190] : NtOpenKeyTransacted @ 0x8253927B -> HOOKED (\??\C:\Users\steeve\AppData\Local\Temp\bfblosky.sys @ 0x991F2604)

SSDT[189] : NtOpenKey @ 0x8253921F -> HOOKED (\??\C:\Users\steeve\AppData\Local\Temp\bfblosky.sys @ 0x991F2562)

SSDT[65] : NtCreateKeyTransacted @ 0x825375CD -> HOOKED (\??\C:\Users\steeve\AppData\Local\Temp\bfblosky.sys @ 0x991F2708)

SSDT[64] : NtCreateKey @ 0x8253756A -> HOOKED (\??\C:\Users\steeve\AppData\Local\Temp\bfblosky.sys @ 0x991F26AC)

 

¤¤¤ Infection : ¤¤¤

 

¤¤¤ Fichier HOSTS: ¤¤¤

::1 localhost

 

 

Termine : << RKreport[1].txt >>

RKreport[1].txt

 

je reconnais ttdblvrm et bfblosky ce sont les tous premiers fichiers identifiés par antivir !!

[Apollo]

Oui, on va tenter avec Combofix mais il est essentiel que tu le renommes comme je le dis ci-après; si tu n'as pas accès, je l'hébergerais.

 

ComboFix ne doit pas être utilisé comme un outil de diagnostic, il ne doit être employé que sur demande expresse d'un conseiller formé à cet outil et sous son contrôle. Cet outil peut être dangereux!

 

Désactiver les protections (antivirus, firewall, antispyware).

Si vous ne savez pas comment faire, reportez-vous à cet article.

 

Connecter les supports amovibles (clé usb et autres) avant de procéder.

 

TUTO Officiel

 

Fais un clic droit ICI

• Dans le menu qui se déroule, choisis "Enregistrer la cible du lien sous" (si tu utilises Firefox) et "Enregistrer la cible sous" (si tu utilises Internet Explorer)
  
• Une fenêtre va s'ouvrir: dans le champs Nom du fichier (en bas ), tape ceci plop
   
  exemple:
   
  
• On va enregistrer ce fichier sur le Bureau: pour cela, sur le panneau de gauche, clique sur le Bureau.
   
  
• Clique enfin sur le bouton Enregistrer en bas de page à droite.
  
• Assure toi que tous les programmes sont fermés avant de lancer le fix!
  
• Fait un double clique sur plop.
  
• Si la console de récupération n'est pas installée sur un XP, ComboFix va proposer de l'installer: Accepte!
   
  
   
  
• Clique sur Oui au message de Limitation de Garantie qui s'affiche.
  
• Il est possible que ton parefeu te demande si tu acceptes ou non l'accès de nircmd.cfexe à la zone sure: accepte!
  
• Note: Ne ferme pas la fenêtre qui vient de s'ouvrir , tu te retrouverais avec un bureau vide !
  
• Lorsque le scan est terminé, un rapport sera généré : poste en le contenu dans ton prochain message.
  

 

Si tu perds la connexion après le passage de ComboFix, voici comment la réparer ICI.

 

NB: Si malgré tout, tu ne parviens pas à réparer la connexion, lis ce sujet stp.

 

Si le message: "Tentative d'opération non autorisée sur une clé du Registre marquée pour suppression".

apparaissait, redémarrer le pc.

 

[searcher41]

euh "connecter les supports amovibles" ? genre je peux connecter mon DDE au cas où il aurait été infecté ?

 

Je prépare le combo fix

[Apollo]

Les supports amovibles concernent tout ce qui est support de stockage usb, comme clés, mp3, disque externe etc.

 

Si tu n'accèdes pas au site combofix: Download plop.exe from Sendspace.com - send big files the easy way

 

Il doit impérativement être enregistré sur le bureau et nulle-part ailleurs.

 

@++

[Apollo]

Important: si combofix signalait: "il est dangereux de continuer", c'est qu'il y a bel et bien un virus du genre Ramnit ou Virut.

 

Dans ce cas, il faudra utiliser le live cd.

 

@++

[searcher41]

je donne les infos en direct :

ok scan en cours, dans une invite de commande à fond bleu :

il a tenté le point de restauration

il me dit ensuite terminé : étape 1 ; terminée : étape 2 ...

 

et donc s'il dit que c'est dangereux cette fois-ci je fais rien , on est d'accord ^^ ?

 

arrivée étape 50 puis :

"suppression de fichiers"

puis le pc coupe d'un coup comme si je l'avais éteint au doigt et redémarre.

j'ai mon message "windows pas arrêté correctement" je chosi "démarrer en mode normal" et me voilà de nouveau sur mon écran de login ...

 

je vais voir si la boucle recommence du coup

 

 

ouïe je me trouve sur écran sans wallpaper ni icônes avec une alerte avira pour ramnit !!

Modifié le 8 décembre 2011 par searcher41