[Résolu] Suspicion de Rootkit

[rolandro]

Bonjour. Mon antivirus Avast me signale à chaque ouverture de mon ordinateur depuis quelques temps la présence possible d'un Rootkit, sous les termes de SCV : 9737 Win 32 : Root. Que puis-je faire pour éradiquer la Bête? Une amie m'a parlé de Combofix, mais j'ai lu sur le tutoriel de celui-ci qu'il ne fallait pas le manipuler à la légère. Or, le moins que l'on puisse dire est que je ne suis pas un as de l'informatique. Donc, qui pourra m'indiquer ce que je puis faire sera l'objet de toute ma gratitude.

Modifié le 3 mai 2012 par rolandro

[pear]

Bonjour,

 

Postez le rapport d'Avast, svp.

 

Lancez cet outil de diagnostic:

Téléchargez ZhpDiag de Coolman

Double-cliquer sur ZHPDiag.exe pour installer l'outil

Sur le bureau ,il y aura 3 icônes

 

Sous XP, double clic sur l'icône ZhpDiag

Sous Vista/7, faire un clic droit et Exécuter en tant qu'administrateur

 

Cliquez sur le tournevis et choisissez Tous

En cas de blocage, sur O80 par exemple, cliquez sur le tournevis pour le décocher

 

Clic sur la Loupe pour lancer le scan

Postez le rapport ZhpDiag.txt qui apparait sur le bureau

 

Comment poster les rapports

Copiez/collez tout ou partie des rapports dans un ou plusieurs messages.

Autre solution à privilégier pour un rapport lourd

Aller sur le site :Ci-Joint

Appuyez sur Parcourir et chercher les rapports sur le disque,

Cliquer sur Ouvrir

Cliquer sur Créer le lien CJoint,

>> dans la page suivante --> ,,

une adresse http//.. sera créée

Copier /coller cette adresse dans votre prochain message.

 

[rolandro]

Bonjour. Merci d'ores et déjà pour votre aide. J'ai fait un scan minutieux avec Avast, mais je n'arrive pas à saisir le rapport de scan pour le copier-coller.

 

Je vais essayer de le copier signe par signe :

 

Nom SVC: {9F37A269-496e-8514-E211CD791864}> C:\Program Files\Fichiers communs\Microsoft Shared\Triedit\{9F37A269-5C7E-496e-8514-E11CD791864}.sys Etat : Menace : Win:Rootkit-gen[Rtk]

 

Nom C:\Program Files\Fichiers communs\Microsoft Shared\riedit\9F37A269-5C7E-496e-8514-E11CD791864}.sys Etat : Menace : Win:Rootkit-gen[Rtk]

 

 

Nom C:\System Volume Information\atalog.wci\0000002.ps2 Etat : Menace : Win32-LUQ[Trj]

 

Nom Nom C:\Program Files\Fichiers communs\Microsoft Shared\Triedit\9F37A269-5C7E-496e-8514-E11CD791864;sys Etat : Menace : Win32:Rootkit-gen[Rtk]

 

Avast me suggère de les mettre en quarentaine.

 

 

Copier à la main est sujet à erreurs! J'espère ne pas m'être trompé.

 

 

Voilà pour la première étape.

Cordialement

[pear]

Le rapport Zhpdiag, svp.

 

 

Désinstaller la Restauration Système.

 

Poste de Travail->Propriétés->Restauration Système.

Cocher la case "Désactiver la Restauration sur tous les lecteurs".

Vous la décocherez par la suite et Redémarrerez

Un nouveau point de restauration sera créé au redémarrage.

Sous Vista:

Sous Windows 7

 

 

Télécharger sur le bureauOTM by OldTimer .

Double-clic sur OTM.exe pour le lancer.

Sous Vista,Clic droit sur le fichier ->Choisir Exécuter en tant qu' Administrateur

Dans le cadre gauche, "Paste Instructions...."

Copiez /Collez les lignes ci dessous) en vert:

 

:Files

C:\Program Files\Fichiers communs\Microsoft Shared\Triedit\{9F37A269-5C7E-496e-8514-E11CD791864}.sys

:Commands

[purity]

[emptytemp]

[Reboot]

Revenez dans OTM,

Clic droit sur la fenêtre "Paste Instructions for Items to be Moved" sous la barre jaune et choisir Coller(Paste).

Click le bouton rouge Moveit!

Fermez OTM

Votre Pc va redémarrer.

Rendez vous dans le dossier C:\_OTM\MovedFiles ,

ouvrez le dernier fichier .log

Copiez/collez en le contenu dans votre prochaine réponse

 

 

ensuite,Le rapport Zhpdiag, svp.

[rolandro]

J'ai fait le scan ZHP : j'ai créé le lien, mais où est-il???

 

je vous joins la copie du lien :

 

Lien CJoint.com BCrkxcnikoI

 

Bonne réception

[pear]

Ce n'est pas le rapport Zhpdiag.

 

Je l'attends ainsi que que celui d'Otm à passer avant.

[rolandro]

J'ai fait les manoeuvres OTM.exe mais l'ordi ne redémarre pas. Il reste allumé.

[rolandro]

Enfin, je veux dire qu'il n'a pas fait de redémarrage mais est resté tel quel.

[pear]

Je ne vois pas pourquoi

 

Coupez l'alimentation et redémarrez..

[rolandro]

J'ai fait moi-même un redémarrage.

 

Le problème vient peut-être du fait qu'OTM se referme au bout de quelques secondes.

Il y a aussi le fait qu'AVAST l'analyse à chaque fois et le signale pouvant être suspect bien que sans preuves et (je crois) le place dans le Sandbox

 

Voici ce que j'ai pu néanmoins copier dans "result"

 

All processes killed

Error: Unable to interpret <Files> in the current context!

Error: Unable to interpret <C:\Program Files\Fichiers communs\Microsoft Shared\Triedit\{9F37A269-5C7E-496e-8514-E11CD791864}.sys > in the current context!

========== COMMANDS ==========

 

[EMPTYTEMP]

 

User: Default User