[Résolu] Hacktool.rootkit, moi aussi

le 21 juin 2005

donc, cyril7000,

tu peux recopier ce code et le fusionner, j'ai modifier les valeurs

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"C:\WINDOWS\system32\green.exe"=-

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"C:\WINDOWS\system32\green.exe"=-

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"C:\WINDOWS\system32\green.exe"=-

[HKEY_USERS\S-1-5-21-57989841-117609710-839522115-1004\Software\Microsoft\Search Assistant\ACMru\5603]
"000"=-

voila, en principe celui-ci devrait fonctionner

Modifié le 21 juin 2005 par tesgaz

Cyril7000 · le 21 juin 2005

Je viens de regarder "manuellement" dans la base de registre.

Dans les 3 premières clés, il n'y a pas de C:\WINDOWS\system32\green.exe

La 4è n'exite pas mais j'ai : [HKEY_USERS\S-1-5-21-57989841-117609710-839522115-500\Software\Microsoft\Search Assistant\ACMru\5603]

"000"=- ; (=> Différence notée en gras)

En revanche, en faisant une recherche dans la BDR, j'ai green.exe qui apparait ailleurs :

HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\ShellNoRoam\MuiCache

HKEY_USERS\S-1-5-18\Software\Microsoft\Windows\ShellNoRoam\MuiCache

A priori, ce sont les 2 seuls. Faut-il les enlever manuellement ?

D'autre part, j'ai essayé de fusionner le fichier dans la BDR après avoir remplacer \\ par \ mais je n'ai pas eu plus de succès.

Cyril7000 · le 21 juin 2005

Merci Tesgaz pour la modif du fichier. Je l'ai fait de mon côté mais je n'ai pas obtenu grand succès (il me semble que j'avais tout rectifié pourtant).

Je l'ai donc fait manuellement (pendant que tu postais les modif du fichier). Comme dis dans mon post précédent, green.exe ne se trouve plus au même endroit que la dernière fois. J'ai éteint le PC entre la mise en ligne du rapport de la BDR et la manip que j'ai fait : peut-être est-ce dû à celà. Je vais laisser mon PC infecté en veille jusqu'à demain en attendant votre réponse par rapport à mon post précédent (et oui, il faut bien aller refroidir les neurones).

Pour l'instant, je reste en mode sans échec administrateur en attendant que l'on finisse le ménage. Je ne veux pas "relancer" un/le fichier infectieux sur la machine et nous obligé à recommencer.

Bonne nuit.

Cyril

Modifié le 21 juin 2005 par Cyril7000

ipl_001 · le 21 juin 2005

Rebonsoir Cyril7000, tesgaz, rebonsoir à tous,

MUI a trait au système de Multilangage de Windows 2000 Pro et XP (version MUI) !

Je suis en train de rechercher sur l'Internet concernant green.exe, msdirectx.sys et quelques autres parasites semblables...

Voici quelques liens :

- http://www.thetechguide.com/forum/index.ph...838&mode=linear

- http://www.antisource.com/article.php/spyb...ebc08-msdirectx

- http://castlecops.com/t122048-Connection_f...constantly.html

- http://forum.hijackthis.de/showthread.php?p=26328

En particulier :

- PSkill.exe ( http://www.sysinternals.com/Utilities/PsKill.html ), un utilitaire d'arrêt de processus en ligne de commande écrit par Mark Russinovich, qui améliore le Kill.exe du Win2K Resource Kit en permettant une utilisation en remote !

De même PSTools

Ainsi qu'un batch de nettoyage de 'hpsebc08.exe' (arrêt processus, modif base de registres, suppression fichier) pouvant servir de modèle :

pskill.exe hpsebc08.exe

pause

reg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v "IPOT USB Service DRV32" /f

reg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce /v "IPOT USB Service DRV32" /f

reg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx /v "IPOT USB Service DRV32" /f

reg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices /v "IPOT USB Service DRV32" /f

pause

del %SystemRoot%\System32\hpsebc08.exe

pause

Cyril7000 · le 22 juin 2005

Bonjour Ipl_001, Tesgaz,

Je ne parle que très peu anglais. J'ai jeté un oeil sur les différents liens mais ils sont en anglais. Je ne sais donc pas trop quoi faire. Que me conseillez-vous ?

Par rapport à la base de registre et au "green.exe" qui ont déménagé, que faut-il faire ? (le PC est toujours en veille).

Cyril7000 · le 22 juin 2005

Bonsoir,

J'ai essayé de créer un batch en recopiant les lignes que tu m'as proposé (Ipl_001).

J'ai également téléchargé pskill et est installé pskill.exe sur le bureau avec le batch.

Si j'exécute pskill.exe, rien ne se passe.

Si j'exécute le batch, j'obtiens une fenêtre de commande DOS et une fenêtre "sous-système MS-DOS 16 bit : c:\...\hpsebc08.exe. C:\windows\system32\autoexec.nt. Le fichier système ne convient pas à l'exécution des applications MS-DOS ou Microsoft Windows" Et j'ai 2 boutons "ignorer" et " fermer" qui donne le même résultat.

Faut-il installé ces 2 exécutables dans un emplacement précis ?

Mon batch est-il faux ?

Cyril7000 · le 25 juin 2005

Bonjour à tous,

Après avoir rédemarrer l'ordi en mode normal à plusieurs reprises, tout semble fonctionner correctement. Je ne sais pas quelle manipulation a été efficace puisque j'en ai enchaîné plusieurs en mode sans échec mais, en tout cas, ça a résolu mon problème (+ un autre qui était une page internet "k-the-fbi-got-my-info" qui s'affichait à chaque démarrage).

Merci à tous.

ipl_001 · le 25 juin 2005

Bonjour Cyril7000, tesgaz, megataupe, Stonangel, bonjour à tous,

Je suis content que ton problème soit résolu !

J'essaie de parcourir à nouveau la discussion...

Si tu as plusieurs comptes Windows, je te conseille d'examiner maintenant ces autres comptes en démarrant chacun en mode sans échec et on postant un rapport HijackThis !

En effet, HijackThis regarde principalement HKey_Current_User (et parfois HKey_Local_Machine) et délaisse une partie de la base de Registres.

Il me semble par contre que Registry Search a recherché dans HKey_Users, ce qui est correct.

Ta recherche manuelle dans la BdR a également été faite dans l'ensemble !

Ensuite, il faudra que nous parlions prévention de manière à ce que ton système soit à l'abri des menaces !

Cyril7000 · le 5 juillet 2005

Bonsoir Ipl_001, bonsoir à tous,

Désolé d'avoir été aussi peu réactif à ton dernier post mais j'ai eu quelques soucis personnels et l'informatique est resté un peu de côté.

En mode sans échec, j'ai 2 comptes en plus du compte administrateur. Voici les rapports.

Rapport 1 © :

Logfile of HijackThis v1.99.1

Scan saved at 22:39:29, on 05/07/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\userinit.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll

O4 - HKLM\..\Run: [vptray] C:\PROGRA~1\SYMANT~1\vptray.exe

O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd

O4 - HKLM\..\Run: [VTTimer] VTTimer.exe

O4 - HKLM\..\Run: [intelliPoint] "C:\Program Files\Microsoft IntelliPoint\point32.exe"

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_02\bin\jusched.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [inCD] C:\Program Files\Ahead\InCD\InCD.exe

O4 - HKLM\..\Run: [iTunesHelper] C:\Program Files\iTunes\iTunesHelper.exe

O4 - HKLM\..\Run: [gcasServ] "C:\Program Files\Microsoft AntiSpyware\gcasServ.exe"

O4 - HKLM\..\Run: [type32] "C:\Program Files\Microsoft IntelliType Pro\type32.exe"

O4 - HKLM\..\Run: [AVGCtrl] C:\Program Files\AVPersonal\AVGNT.EXE /min

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [MoneyAgent] "C:\Program Files\Microsoft Money\System\Money Express.exe"

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: VIA RAID TOOL.lnk = C:\Program Files\VIA\RAID\raid_tool.exe

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_02\bin\npjpi150_02.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_02\bin\npjpi150_02.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedC...bin/AvSniff.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5co...b?1096402596986

O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedC...n/bin/cabsa.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmesse...pdownloader.cab

O20 - Winlogon Notify: NavLogon - C:\WINDOWS\System32\NavLogon.dll

O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE

O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE

O23 - Service: DefWatch - Symantec Corporation - C:\PROGRA~1\SYMANT~1\DefWatch.exe

O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido\security suite\ewidoctrl.exe

O23 - Service: InCD Helper (InCDsrv) - Ahead Software AG - C:\Program Files\Ahead\InCD\InCDsrv.exe

O23 - Service: Intel File Transfer - Intel® Corporation - C:\WINDOWS\system32\cba\xfr.exe

O23 - Service: Intel PDS - Intel® Corporation - C:\WINDOWS\system32\cba\pds.exe

O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: Symantec AntiVirus Client (Norton AntiVirus Server) - Symantec Corporation - C:\PROGRA~1\SYMANT~1\Rtvscan.exe

Rapport 2 (L) :