infécté par hacktool.rootkit

Thanos · le 9 novembre 2005

salut galileo,BipBip

-Télécharge About:Buster : http://downloads.subratam.org/AboutBuster.zip

Dézippe dans un répertoire dédié place un raccourci sur le bureau et mets à jour

Va dans HijackThis -> Open the misc tools section -> Open Process Manager.

-Sélectionne: C:\WINDOWS\System32\amStats.exe -> clique sur Kill Process.

Cliques sur Back puis Scan, et coche ces lignes :

O4 - HKLM\..\Run: [amstats] C:\WINDOWS\System32\amStats.exe

O23 - Service: MSSQL (MSSQL2K6) - Unknown owner - C:\WINDOWS\sqlsrv.exe (file missing)

O23 - Service: hapcwlmxrudk (qybxfthq5) - Unknown owner - C:\WINDOWS\System32\srmpuoys5.exe (file missing)

Ferme toutes les fenêtres, tous les programmes et clique surFix checked

Redémarre en mode sans échec

-Supprime les fichiers/dossiers incriminés (s'ils existent encore) :

-C:\WINDOWS\System32\amStats.exe =>le fichier

Passe AboutBuster deux fois de suite.

Clique à chaque fois sur "Save log". Redémarre ton pc.

Colle ici les deux logs de About: Buster ainsi qu'un nouveau rapport hijackthis.

Un autre scan à faire:

-Symantec:

Choisir virus détection

BipBip07 · le 9 novembre 2005

A votre avis, ce virus a t il créé des dégats dans mon systeme?? Bipbip, tu disais que les parametres de mon firewall avaient été modifiés...que dois je faire pour éviter une nouvelle intrusion de ce machin?!! MERCI !

Pour remedier a ceci C.ingals te fera faire les mises a jour SP2 une fois ton PC désinfecté. Et te proposera des logiciels de protection&prévention gratuits.

galileo · le 10 novembre 2005

Bonjour a vous, me revoila...

Les manips sont faites et voici les résultats :

AboutBuster passage 1

AboutBuster 5.1, reference file 33

Scan started on [10/11/2005] at [14:25:33]

------------------------------------------------

No Ads Found!

------------------------------------------------

No Files Found!

------------------------------------------------

Scan was COMPLETED SUCCESSFULLY at 14:26:33

AboutBuster passage 2

AboutBuster 5.1, reference file 33

Scan started on [10/11/2005] at [14:27:51]

------------------------------------------------

No Ads Found!

------------------------------------------------

No Files Found!

------------------------------------------------

Scan was COMPLETED SUCCESSFULLY at 14:28:45

Et le rapport Hijackthis :

Logfile of HijackThis v1.99.1

Scan saved at 14:31:10, on 10/11/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccProxy.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe

C:\Program Files\Norton Internet Security\ISSVC.exe

C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe

C:\Program Files\Fichiers communs\Symantec Shared\SPBBC\SPBBCSvc.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\ewido\security suite\ewidoctrl.exe

C:\Program Files\Norton Internet Security\Norton AntiVirus\navapsvc.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Fichiers communs\Symantec Shared\CCPD-LC\symlcsvc.exe

C:\Program Files\Fichiers communs\Symantec Shared\Security Center\UsrPrmpt.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe

C:\WINDOWS\TPPALDR.EXE

C:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE

C:\Program Files\Stardock\ObjectDock\ObjectDock.exe

C:\Documents and Settings\Lorenzo\Bureau\HijackThis.exe

C:\WINDOWS\System32\wuauclt.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.wanadoo.fr/go/page_recherche/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: Norton Internet Security - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Program Files\Fichiers communs\Symantec Shared\AdBlocking\NISShExt.dll

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton Internet Security\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: Norton Internet Security - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Program Files\Fichiers communs\Symantec Shared\AdBlocking\NISShExt.dll

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton Internet Security\Norton AntiVirus\NavShExt.dll

O4 - HKLM\..\Run: [sSC_UserPrompt] C:\Program Files\Fichiers communs\Symantec Shared\Security Center\UsrPrmpt.exe

O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [TPP Auto Loader] C:\WINDOWS\TPPALDR.EXE

O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE"

O4 - Startup: ObjectDock.lnk = C:\Program Files\Stardock\ObjectDock\ObjectDock.exe

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: Créer un Favori de l'appareil mobile - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\INetRepl.dll

O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\INetRepl.dll

O9 - Extra 'Tools' menuitem: Créer un Favori de l'appareil mobile... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\INetRepl.dll

O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll

O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll

O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedC...bin/AvSniff.cab

O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedC...n/bin/cabsa.cab

O21 - SSODL: IconPackager Repair - {1799460C-0BC8-4865-B9DF-4A36CD703FF0} - C:\WINDOWS\system32\iprepair.dll

O23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccProxy.exe

O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe

O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido\security suite\ewidoctrl.exe

O23 - Service: ISSvc (ISSVC) - Symantec Corporation - C:\Program Files\Norton Internet Security\ISSVC.exe

O23 - Service: MSSQL (MSSQL2K6) - Unknown owner - C:\WINDOWS\sqlsrv.exe (file missing)

O23 - Service: Service Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:\Program Files\Norton Internet Security\Norton AntiVirus\navapsvc.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: hapcwlmxrudk (qybxfthq5) - Unknown owner - C:\WINDOWS\System32\srmpuoys5.exe (file missing)

O23 - Service: SAVScan - Symantec Corporation - C:\Program Files\Norton Internet Security\Norton AntiVirus\SAVScan.exe

O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SPBBC\SPBBCSvc.exe

O23 - Service: Symantec Core LC - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\CCPD-LC\symlcsvc.exe

O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe

J'ai fait disparaitre Amstats.exe en mode sans echec, il semble avoir totalement disparu.

Un scan orton "interne" n'a révélé aucune anomalie, je balance a présent le test en ligne..

@ bipbip : La màj vers SP2

m'avait occasionnée de nombreux dysfonctionnements, notament au niveau de l'utilisation de certains programmes clés, c'est la raison pour laquelle j'étais revenu sur SP1... J'éspere ne pas rencontrer les mêmes soucis en retentant cette experience!! Et surtout merci à vous deux pour votre aide précieuse, je me répète, mais vraiment c tres sympa.

Je viens de me rendre compte que ces deux lignes sont toujours là dans le rapport Hijackthis :

O23 - Service: hapcwlmxrudk (qybxfthq5) - Unknown owner - C:\WINDOWS\System32\srmpuoys5.exe (file missing)

O23 - Service: MSSQL (MSSQL2K6) - Unknown owner - C:\WINDOWS\sqlsrv.exe (file missing)

Je retente l'opération de suppression comme indiquée par Charles Ingals

Modifié le 10 novembre 2005 par galileo

galileo · le 10 novembre 2005

Voilà, le scan en ligne a été fait, résultat :

81148 files scanned, 0 file(s) infected on your disk drives.

No viruses were detected in memory.

Your computer is free of known threats. Virus Detection does not check compressed files.

Your computer appears safe for now. For real-time protection from viruses, hackers and privacy threats, upgrade to Norton Internet Security™.

je rappelle que le scan de norton sur mon pc n'a rien indiqué d'anormal non plus.

galileo · le 13 novembre 2005

dois je considérer que je mon pc est "clean" désormais?? merci

BipBip07 · le 13 novembre 2005

Apparament ton PC est propre hormis la BdR suite a ces 2 lignes:

O23 - Service: hapcwlmxrudk (qybxfthq5) - Unknown owner - C:\WINDOWS\System32\srmpuoys5.exe (file missing)
O23 - Service: MSSQL (MSSQL2K6) - Unknown owner - C:\WINDOWS\sqlsrv.exe (file missing)

Si tu le souhaites fait ceci:

Télécharger http://www.bleepingcomputer.com/files/regsearch.php

- dézipper dans un répertoire dédié tel que C:\Program Files

- double clique sur RegSearch.exe

- copie colle le nom du « programme malicieux* » Service dans la zone de recherche et clique sur OK

- après recherche, le bloc-notes ouvre une fenêtre avec toutes les instances trouvées

- le fichier est en outre sauvegardé dans le même répertoire que celui de RegSearch

- copie-colle le contenu de la fenêtre dans un post, ici

- ferme le bloc-notes

- ferme RegSearch par Cancel

* faire cette manipulation pour les mots suivant:

sqlsrv
srmpuoys5
hapcwlmxrudk
MSSQL2K6

galileo · le 15 novembre 2005

REGEDIT4

; Registry Search by Bobbi Flekman

; Version: 1.0.2.1

; Results at 15/11/2005 20:41:32 for strings:

; 'sqlsrv'

; Strings excluded from search:

; (None)

; Search in:

; Registry Keys Registry Values Registry Data

; HKEY_LOCAL_MACHINE HKEY_USERS

[HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBCINST.INI\SQL Server]

"Driver"="C:\\WINDOWS\\System32\\SQLSRV32.dll"

[HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBCINST.INI\SQL Server]

"Setup"="C:\\WINDOWS\\System32\\sqlsrv32.dll"

[HKEY_USERS\S-1-5-21-1220945662-1004336348-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Applets\Wordpad\Recent File List]

"File2"="C:\\Documents and Settings\\Lorenzo\\Bureau\\manip sqlsrv.rtf"

[HKEY_USERS\S-1-5-21-1220945662-1004336348-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSaveMRU\rtf]

"a"="C:\\Documents and Settings\\Lorenzo\\Bureau\\manip sqlsrv.rtf"

; End Of The Log...

REGEDIT4

; Registry Search by Bobbi Flekman

; Version: 1.0.2.1

; Results at 15/11/2005 20:44:18 for strings:

; 'srmpuoys5'

; Strings excluded from search:

; (None)

; Search in:

; Registry Keys Registry Values Registry Data

; HKEY_LOCAL_MACHINE HKEY_USERS

; End Of The Log...

REGEDIT4

; Registry Search by Bobbi Flekman

; Version: 1.0.2.1

; Results at 15/11/2005 20:46:21 for strings:

; 'hapcwlmxrudk'

; Strings excluded from search:

; (None)

; Search in:

; Registry Keys Registry Values Registry Data

; HKEY_LOCAL_MACHINE HKEY_USERS

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_QYBXFTHQ5\0000]

"DeviceDesc"="hapcwlmxrudk"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\qybxfthq5]

"DisplayName"="hapcwlmxrudk"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_QYBXFTHQ5\0000]

"DeviceDesc"="hapcwlmxrudk"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\qybxfthq5]

"DisplayName"="hapcwlmxrudk"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_QYBXFTHQ5\0000]

"DeviceDesc"="hapcwlmxrudk"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\qybxfthq5]

"DisplayName"="hapcwlmxrudk"

; End Of The Log...

REGEDIT4

; Registry Search by Bobbi Flekman

; Version: 1.0.2.1

; Results at 15/11/2005 20:48:27 for strings:

; 'mssql2k6'

; Strings excluded from search:

; (None)

; Search in:

; Registry Keys Registry Values Registry Data

; HKEY_LOCAL_MACHINE HKEY_USERS

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_MSSQL2K6]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_MSSQL2K6\0000]

"Service"="MSSQL2K6"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\MSSQL2K6]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\MSSQL2K6\Security]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\MSSQL2K6\Enum]

"0"="Root\\LEGACY_MSSQL2K6\\0000"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_MSSQL2K6]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_MSSQL2K6\0000]

"Service"="MSSQL2K6"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\MSSQL2K6]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\MSSQL2K6\Security]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MSSQL2K6]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MSSQL2K6\0000]

"Service"="MSSQL2K6"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MSSQL2K6]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MSSQL2K6\Security]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MSSQL2K6\Enum]

"0"="Root\\LEGACY_MSSQL2K6\\0000"

; End Of The Log...

Voilà, j'espere que c'était ça que tu demandais bipbip

BipBip07 · le 15 novembre 2005

En mode sans chec:

Copier la citation ci-dessous dans un fichier fix.txt (bloc notes) l’enregistrer sous c:\ puis changer l’extension en fix.reg et double cliquer sur fix.reg

Attention pas de ligne vierge avantREGEDIT4 et une ligne vierge aprés la derniere ligne.

REGEDIT4

[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_QYBXFTHQ5]

[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_QYBXFTHQ5]

[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_QYBXFTHQ5]

[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\qybxfthq5]

[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\qybxfthq5]

[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\qybxfthq5]

[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_MSSQL2K6]

[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\MSSQL2K6]

[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_MSSQL2K6]

[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\MSSQL2K6]

[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MSSQL2K6]

[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MSSQL2K6]

Redémarrer et poser un rapport HJT.

galileo · le 18 novembre 2005

Voilà c fait

Logfile of HijackThis v1.99.1

Scan saved at 20:22:21, on 17/11/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccProxy.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe

C:\Program Files\Norton Internet Security\ISSVC.exe

C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe

C:\Program Files\Fichiers communs\Symantec Shared\SPBBC\SPBBCSvc.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe

C:\WINDOWS\system32\userinit.exe