[Résolu] Suspicion de Rootkit

[rolandro]

Oui, je vais le faire.

 

En attendant j'ai observé qu'il n'y a pas d'icone IE sur mon bureau (administrateur), au cas où cette information serait utile.

 

 

 

Heure de la dernière exécution du diagnostic : 03/23/12 17:42:08 Diagnostic de la carte réseau

Détection de l'emplacement réseau

 

info Utilisation d'une connexion Internet à domicile

Identification de la carte réseau

 

error Code d'erreur de l'échec : 0x8007043C: Ce service ne peut pas être démarré en mode sans échec

 

Et au ca où ... également, voici un diagnostic que j'ai trouvé en tentant de me connecter comme vous me l'avez indiqué :

 

Diagnostic HTTP, HTTPS, FTP

Connectivité HTTP, HTTPS, FTP

 

warn HTTP: Erreur 12007 lors de la connexion à www.microsoft.com : The server name or address could not be resolved

warn FTP (passif): Erreur 12007 lors de la connexion à ftp.microsoft.com : The server name or address could not be resolved

warn HTTP: Erreur 12007 lors de la connexion à www.hotmail.com : The server name or address could not be resolved

warn FTP (actif): Erreur 12007 lors de la connexion à ftp.microsoft.com : The server name or address could not be resolved

warn HTTPS: Erreur 12007 lors de la connexion à www.microsoft.com : The server name or address could not be resolved

warn HTTPS: Erreur 12007 lors de la connexion à www.passport.net : The server name or address could not be resolved

error Impossible d'établir une connexion HTTP.

error Impossible d'établir une connexion HTTPS.

error Impossible d'établir une connexion FTP.

 

Malheureusement, je ne trouve ni Services ni Ndisuio dans CurrentControlSet

 

 

Démarrer->Exécuter->Regedit

Aller à HKLM->System->CurrentControlSet->Services->Ndisuio

chercher la valeur Start et vérifier que sa donnée vaut bien 2 (auto) ou 3(manuel)et non 4( Désactivé).

[rolandro]

Démarrer->Exécuter->Regedit

Aller à HKLM->System->CurrentControlSet->Services->Ndisuio

chercher la valeur Start et vérifier que sa donnée vaut bien 2 (auto) ou 3(manuel)et non 4( Désactivé).

 

Je ne trouve pas Services->Ndisuio dans HKLM->System->CurrentControlSet

 

Il y a Control avec Class, Print, video, et Enum avec HDAUDIO, PCI, ROOT, SW, USB, USBTOR, V1394

[rolandro]

Je précise qu'il n'y a pas HKLM mais HKEY et que ce que je vous ai énuméré est dans HKEY_CURRENT_CONFIG dans l'Editeur du Registre

[pear]

il n'y a pas HKLM mais HKEY

 

HKLM c'est HKEY_LOCAL_MACHINE

 

HKCU c'est HKEY_CURRENT_USER etc..

 

Démarrer->Exécuter->Regedit->Edition->Rechercher

tapez Ndisuio

 

F3 pour continuer la recherche si quelque chose est trouvé(notez où)

 

Sinon, le voici:

 

Pour Ndisuio

Vous devez créer un fichier .reg:

Clic droit sur un espace vide du bureau->Nouveau->Document texte

Copier/coller ce qui suit en vert

Windows Registry Editor Version 5.00

 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Ndisuio]

"Type"=dword:00000001

"Start"=dword:00000003

"ErrorControl"=dword:00000001

"Tag"=dword:0000000c

"ImagePath"=hex(2):73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,44,00,\

52,00,49,00,56,00,45,00,52,00,53,00,5c,00,6e,00,64,00,69,00,73,00,75,00,69,\

00,6f,00,2e,00,73,00,79,00,73,00,00,00

"DisplayName"="NDIS Usermode I/O Protocol"

"Group"="NDIS"

"Description"="NDIS Usermode I/O Protocol"

 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Ndisuio\Linkage]

"Bind"=hex(7):5c,00,44,00,65,00,76,00,69,00,63,00,65,00,5c,00,7b,00,32,00,36,\

00,39,00,32,00,36,00,39,00,43,00,46,00,2d,00,46,00,43,00,39,00,31,00,2d,00,\

34,00,34,00,33,00,45,00,2d,00,42,00,35,00,36,00,33,00,2d,00,34,00,39,00,31,\

00,34,00,31,00,43,00,45,00,36,00,46,00,38,00,44,00,39,00,7d,00,00,00,00,00

"Route"=hex(7):22,00,7b,00,32,00,36,00,39,00,32,00,36,00,39,00,43,00,46,00,2d,\

00,46,00,43,00,39,00,31,00,2d,00,34,00,34,00,33,00,45,00,2d,00,42,00,35,00,\

36,00,33,00,2d,00,34,00,39,00,31,00,34,00,31,00,43,00,45,00,36,00,46,00,38,\

00,44,00,39,00,7d,00,22,00,00,00,00,00

"Export"=hex(7):5c,00,44,00,65,00,76,00,69,00,63,00,65,00,5c,00,4e,00,64,00,69,\

00,73,00,75,00,69,00,6f,00,5f,00,7b,00,32,00,36,00,39,00,32,00,36,00,39,00,\

43,00,46,00,2d,00,46,00,43,00,39,00,31,00,2d,00,34,00,34,00,33,00,45,00,2d,\

00,42,00,35,00,36,00,33,00,2d,00,34,00,39,00,31,00,34,00,31,00,43,00,45,00,\

36,00,46,00,38,00,44,00,39,00,7d,00,00,00,00,00

 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Ndisuio\Security]

"Security"=hex:01,00,14,80,90,00,00,00,9c,00,00,00,14,00,00,00,30,00,00,00,02,\

00,1c,00,01,00,00,00,02,80,14,00,ff,01,0f,00,01,01,00,00,00,00,00,01,00,00,\

00,00,02,00,60,00,04,00,00,00,00,00,14,00,fd,01,02,00,01,01,00,00,00,00,00,\

05,12,00,00,00,00,00,18,00,ff,01,0f,00,01,02,00,00,00,00,00,05,20,00,00,00,\

20,02,00,00,00,00,14,00,8d,01,02,00,01,01,00,00,00,00,00,05,0b,00,00,00,00,\

00,18,00,fd,01,02,00,01,02,00,00,00,00,00,05,20,00,00,00,23,02,00,00,01,01,\

00,00,00,00,00,05,12,00,00,00,01,01,00,00,00,00,00,05,12,00,00,00

 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Ndisuio\Enum]

"0"="Root\\LEGACY_NDISUIO\\0000"

"Count"=dword:00000001

"NextInstance"=dword:00000001

sans ligne blanche au début.mais une à la fin

Fichier ->Enregistrez sous..

Clic sur bureau à gauche

Dans [bType de fichier][/b]->Tous les fichiers

Dans Nom->regis.reg.

Allez sur le bureau

Votre ficher ressemble à ceci

Cliquez droit sur le fichier ->fusionner

Acceptez la modification du Régistre:

 

Si vous ne pouvez pas fusionner ou que vous avez un message du genre "n'est pas un fichier de régistre valide",

C'est parce que vous avez fait une erreur.

 

Les plus courantes:

 

Il faut une ligne blanche après Windows Registry Editor mais pas avant

Le fichier doit s'appeler regis.reg et non regis.reg.txt

Il faut une ligne blanche après le texte en vert

Dans la case Type vous devez choisir "Tous les Fichiers

Modifié le 25 mars 2012 par pear

[rolandro]

Ayant fait Démarrer->Exécuter->Regedit->Edition->Rechercher

tapez Ndisuio

 

 

Je suis arrivé sur Editeur du Registre où il ya en deux tableaux : une grande quantité de dossiers que je ne peux relever à gauche ; à droite seulement 4 "choses" commençant par une icone ab rouge sur fond blanc. Le dernier étant :

 

ab Upperbind REG_MULTI_SZ Ndisuio RasPppoe Tcpip

 

Que dois-je faire après cela? F3? Et ensuite? je vois que vous me redonnez la procédure pour faire regis.reg. Nous l'avons déjà faite et elle se trouve sur mon bureau ; devrai-je la refaire?

Modifié le 25 mars 2012 par rolandro

[pear]

je vois que vous me redonnez la procédure pour faire regis.reg. Nous l'avons déjà faite et elle se trouve sur mon bureau ; devrai-je la refaire?

 

Attention, le contenu n'est plus le même.

Par sécurité,pour éviter toute confusion, renommez la seconde procédure , par exemple regis2.reg

[rolandro]

Bonjour . J'ai fusionné le regis.reg

[pear]

Redémarrez et testez votre connexion

[rolandro]

J'ai essayé avec une application car je n'ai plus d'icone IE ni sur mon bureau ni dans la barre des tâches (d'ailleurs je n'ai pas de barre des tâches, seulement l'horloge au bas de l'écran à droite et "démarrer" à gauche(est-ce parce que je suis toujours en mode "administrateur"?), et cela "plante" l'ordi en boucle sur un message :

 

Une erreur réseau est survenue ("(10050)" sur le socket "error").

 

à la suite duquel je dois éteindre l'appareil par l'interrupteur

Modifié le 26 mars 2012 par rolandro

[pear]

je n'ai plus d'icone IE

 

Pour lancer IE:

 

Clic droit sur la barre de tâches->Gestionnaire de tâches->Nouvelle tâche->iexplore.exe

 

ou encore:

>Program files->Internet Explorer->iexplore

clic droit dessus pour le lancer

clic gauche->Raccourci

vous déplacez le raccourci sur le bureau ou dans le fichier Quiklaunch

 

1)Pour recréer le raccourci Bureau dans la Barre de lancement rapide(ou télécharger le):

a) Par copie de fichier:

Lancer une recherche sur le lecteur système en indiquant comme nom de fichier "bureau.scf".

Copier le fichier trouvé dans le dossier

"C:\Documents and Settings\NomUtilisateur\Application Data\Microsoft\Internet Explorer\Quick Launch".

 

b) Si le fichier reste introuvable, voici une méthode pour le recréer:

Dans le répertoire

"C:\Documents and Settings\NomUtilisateur\Application Data\Microsoft\Internet Explorer\Quick Launch", cliquer du bouton droit dans un espace libre de la fenêtre de droite.

Choisir Nouveau - Document texte.

Le renommer bureau.scf SANS L'EXTENSION '.TXT'.

* Ouvrir ce nouveau document et insérer les lignes suivantes:

[shell]

Command=2

IconFile=explorer.exe,3

[Taskbar]

Command=ToggleDesktop

 

* Enregistrer les modifications.

 

2)Au démarrage XP vous pouvez remarquer l'un des problèmes suivants :

Le pointeur se transforme en sablier lorsque vous le déplacez au-dessus de la barre des tâches.

Certains icônes ne s'affichent pas dans la zone de notification.

Lorsque vous cliquez sur Démarrer, rien ne se produit.

Le bouton Démarrer ne fonctionne pas pendant plusieurs minutes et il fonctionne ensuite.

Lorsque vous redémarrez l'ordinateur, les icônes dans la zone de notification sont manquantes.

Si vous fermez la session et ouvrez une session avec le même compte d'utilisateur, les icônes apparaissent.

Lorsque vous cliquez sur une icône dans la Barre de lancement rapide après immédiatement avoir démarré l'ordinateur, le pointeur se transforme en un sablier.

 

Ce comportement peut être dû au service Simple Service Discovery Protocol (SSDP)

Pour résoudre ce problème ,désactivez le service de Découverte SSDP

Démarrer->Exécuter->services.msc

 

3)La barre delancement rapide disparait à chaque démarrage:

Cliquez sur Démarrer/Exécuter puis saisissez : ie4uinit.exe

Le dossier \Documents and Settings\Nom_Utilisateur\Application Data\Microsoft\Internet Explorer\Quick Launch sera automatiquement recréé.

Si cela ne suffit pas exécutez ces deux commandes :

regsvr32 /s /i shell32.dll

regsvr32 /s /i browseui.dll

D'après Hotline-pc.org

 

message relatif à un pb de socket

 

Vous pouvez préciser ?

Modifié le 26 mars 2012 par pear