rootkit sur disque dur externe HELP!

mercurefi · le 9 décembre 2005

bonjour a tous

ma config est win XP pro avec un gros disque dur LaCie 500Go externe sur lequel est stocke de la musique.

Apres plantage du disque externe passage des antivirus classiques puis des anti spyware

Rootkit revealer donne un rapport sur le C: comme suit :

C:\System Volume Information\_restore{70A3E616-66D7-4803-AA41-29F0EE01E7E7}\RP244\A0027483.ini 04/12/2005 10:23 879 bytes Hidden from Windows API.

C:\System Volume Information\_restore{70A3E616-66D7-4803-AA41-29F0EE01E7E7}\RP244\A0027484.mst 05/12/2005 23:18

Je ne suis pas vraiment sur que ce rapport soit significatif de la presence d'un rootkit sur le disque C:

merci de votre aide la dessus

par ailleurs j'ai ensuite passe Hijackthis sur ce meme disque C qui renvoie le rapport suivant ..... attention les yeux !!!!

Logfile of HijackThis v1.99.1

Scan saved at 21:46:59, on 09/12/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Webroot\Spy Sweepertrial\WRSSSDK.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.dell.ca/index.htm

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.dell.ca/index.htm

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\system32\dla\tfswshx.dll

O2 - BHO: McAfee Privacy Service Helper Object - {cc4b2ee5-4803-11d7-8a38-00b0d0c6b814} - C:\Program Files\McAfee\McAfee Privacy Service\GDIEHELP.DLL

O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} - c:\progra~1\mcafee.com\vso\mcvsshl.dll

O3 - Toolbar: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_04\bin\jusched.exe

O4 - HKLM\..\Run: [iAAnotif] C:\Program Files\Intel\Intel Application Accelerator\iaanotif.exe

O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [CTSysVol] C:\Program Files\Creative\SBAudigy2\Surround Mixer\CTSysVol.exe

O4 - HKLM\..\Run: [CTDVDDet] C:\Program Files\Creative\SBAudigy2\DVDAudio\CTDVDDet.EXE

O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE

O4 - HKLM\..\Run: [AsioReg] REGSVR32.EXE /S CTASIO.DLL

O4 - HKLM\..\Run: [updReg] C:\WINDOWS\UpdReg.EXE

O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla\tfswctrl.exe

O4 - HKLM\..\Run: [updateManager] "C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe" /r

O4 - HKLM\..\Run: [DVDLauncher] "C:\Program Files\CyberLink\PowerDVD\DVDLauncher.exe"

O4 - HKLM\..\Run: [MCUpdateExe] C:\PROGRA~1\mcafee.com\agent\McUpdate.exe

O4 - HKLM\..\Run: [MSKAGENTEXE] C:\PROGRA~1\McAfee\SPAMKI~1\MskAgent.exe

O4 - HKLM\..\Run: [VSOCheckTask] "c:\PROGRA~1\mcafee.com\vso\mcmnhdlr.exe" /checktask

O4 - HKLM\..\Run: [McAfee Guardian] C:\Program Files\McAfee\McAfee Shared Components\Guardian\CMGrdian.exe /SU

O4 - HKLM\..\Run: [MCAgentExe] c:\PROGRA~1\mcafee.com\agent\mcagent.exe

O4 - HKLM\..\Run: [VirusScan Online] "c:\PROGRA~1\mcafee.com\vso\mcvsshld.exe"

O4 - HKLM\..\Run: [MSKDetectorExe] C:\PROGRA~1\McAfee\SPAMKI~1\MSKDetct.exe /startup

O4 - HKLM\..\Run: [MPFTray] C:\PROGRA~1\McAfee.com\PERSON~1\MpfTray.exe

O4 - HKLM\..\Run: [MPFExe] C:\PROGRA~1\McAfee.com\PERSON~1\MpfTray.exe

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [start Natso Backup Pro 4.2] C:\Program Files\Natso Backup\natsobackup_pro.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [spySweeper] "C:\Program Files\Webroot\Spy Sweepertrial\SpySweeper.exe" /startintray

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [sB Audigy 2 Startup Menu] /L:FRN

O4 - Global Startup: AutoStart IR.lnk = C:\Program Files\WinTV\Ir.exe

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Barre Privacy - {cc4b2ee5-4803-11d7-8a38-00b0d0c6b814} - C:\Program Files\McAfee\McAfee Privacy Service\GDIEHELP.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {4ED9DDF0-7479-4BBE-9335-5A1EDB1D8A21} (McAfee.com Operating System Class) - http://download.mcafee.com/molbin/shared/m...83/mcinsctl.cab

O16 - DPF: {BCC0FF27-31D9-4614-A68E-C18E1ADA4389} (DwnldGroupMgr Class) - http://download.mcafee.com/molbin/shared/m...,20/mcgdmgr.cab

O20 - Winlogon Notify: WRNotifier - C:\WINDOWS\SYSTEM32\WRLogonNTF.dll

O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: Broadcom ASF IP monitoring service v6.0.4 (BAsfIpM) - Broadcom Corp. - C:\WINDOWS\System32\basfipm.exe

O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\System32\CTsvcCDA.exe

O23 - Service: McAfee Privacy Service (GuardDogEXE) - Unknown owner - C:\Program Files\McAfee\McAfee Privacy Service\GUARDDOG.EXE" /SERVICE (file missing)

O23 - Service: IAA Event Monitor (IAANTMon) - Intel Corporation - C:\Program Files\Intel\Intel Application Accelerator\iaantmon.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: iPodService - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: McAfee.com McShield (McShield) - Unknown owner - c:\PROGRA~1\mcafee.com\vso\mcshield.exe

O23 - Service: McAfee SecurityCenter Update Manager (mcupdmgr.exe) - McAfee, Inc - C:\PROGRA~1\McAfee.com\Agent\mcupdmgr.exe

O23 - Service: McAfee.com VirusScan Online Realtime Engine (MCVSRte) - Networks Associates Technology, Inc - c:\PROGRA~1\mcafee.com\vso\mcvsrte.exe

O23 - Service: McAfee Personal Firewall Service (MpfService) - McAfee Corporation - C:\PROGRA~1\McAfee.com\PERSON~1\MPFSERVICE.exe

O23 - Service: McAfee SpamKiller Server (MskService) - Networks Associates Technology. Inc. - C:\PROGRA~1\McAfee\SPAMKI~1\MSKSrvr.exe

O23 - Service: Webroot Spy Sweeper Engine (svcWRSSSDK) - Webroot Software, Inc. - C:\Program Files\Webroot\Spy Sweepertrial\WRSSSDK.exe

et la c 'est du chinois pour moi !!!!

si quelqu'un pouvait me dire si tout cela veut dire que je suis infecte par un rootkit ou pas...

et si malheureusement c'etait le cas une traduction de ces rapports pour me dire cmment me debarasser du rootkit m'interesse aussi.. ))

ensuite pour les plus courageux d'entre vous je veux bien une solution pour aller virer le rootkit qui est sur le disque externe !!!

hijackthis ne fonctionnant pas sur le disque dur externe je ne peux pas vous en donner le rapport ici !

merci de vote aide a tous

mercurefi

Thanos · le 9 décembre 2005

salut mercurefi et bienvenue sur le forum

-Ton rapport hijackthis ne montre rien d'infectieux.Par contre concernant ton DD externe,je ne peux pas te dire

grand chose, n'ayant aucun rapport à analyser!Tu parles de plantage du DD externe, que veux tu dire? as tu essayé de scanner le disque avec Spysweeper?(avec 500Mo ca risque d'être long!j'espère qu'il n'est pas plein!))

-Il faut faire attention avec l'interprétation du rapport de Rootkit revealer!Le rapport n'est pas complêt?Fais un scan en ligne de ton disque C,et poste le rapport stp:

http://www.pandasoftware.com/products/activescan.htm

Rafiot · le 10 décembre 2005

Salut charles ingals et mercurefi,

Si j'ai bien compris je fonctionnement d'un Rootkit :

Un rootkit se cache au niveau du système, je ne vois pas ce qu'il ferait sur ton disque externe.

Les logiciel de détection des Rootkits sont assez limités actuellement ; il faut placer les logs de Rootkit revealer au meme niveau que les logs HJT : laisser les pros s'en occuper .

mercurefi · le 10 décembre 2005

salut mercurefi et bienvenue sur le forum

-Ton rapport hijackthis ne montre rien d'infectieux.Par contre concernant ton DD externe,je ne peux pas te dire

grand chose, n'ayant aucun rapport à analyser!Tu parles de plantage du DD externe, que veux tu dire? as tu essayé de scanner le disque avec Spysweeper?(avec 500Mo ca risque d'être long!j'espère qu'il n'est pas plein!))

-Il faut faire attention avec l'interprétation du rapport de Rootkit revealer!Le rapport n'est pas complêt?Fais un scan en ligne de ton disque C,et poste le rapport stp:

http://www.pandasoftware.com/products/activescan.htm

mercurefi · le 10 décembre 2005

hello charles ingals et Rafiot et surtout merci pour votre aide

Je suis tout à fait d'accord avec vous pour le fait qu'un rootkit n'a pas sa place dans un disqu externe mais bon....

après moult lancements de vérifs divers (inutile de dire que ça prend des heures sur mon disque externe..) voici le résultat des courses :

disque c:

- rien d'après antivir (mcafee non plus)

- rien d'après activescan

- rien d'après spy sweeper

- le rapport hijackthis vous l'avez vu et il semble correct

- rootkit revealer renvoie le rapport que j'ai posté hier soir :

C:\System Volume Information\_restore{70A3E616-66D7-4803-AA41-29F0EE01E7E7}\RP244\A0027483.ini 04/12/2005 10:23 879 bytes Hidden from Windows API.

C:\System Volume Information\_restore{70A3E616-66D7-4803-AA41-29F0EE01E7E7}\RP244\A0027484.mst 05/12/2005 23:18

disque externe (a se gâte) :

- rien d'après antivir

- rien d'après activescan

- le rapport rootkit revealer affiche des kilomètres de fichiers (à vrai dire tous je pense)

- spy sweeper affiche ceci = potentially rootkit-masked files" 390 traces au total (ça va croissant à chaque lancement....)

- je n'ai pas lancé hijackthis car j'ai lu qu'il fallait le lancer sur le c

les symptomes du k = presque la totalité des fichiers en fait sont masqués par l'explorer en mode normal. En affichage intégral ils sont planqués dans des repertoires found000 (001, 002...)\dir001 (002,003....).

Les checkdisk et scandisk se plantent lamentablement et n'arrivent pas à tout récuperer (on peut se demander d'ailleurs s'ils n'agravent pas le problème)

vous savez tout... je tente un norton utilities en espérant que ça ne va pas rajouter une couche au problème...

mercurefi

megataupe · le 10 décembre 2005

C:\System Volume Information\_restore{70A3E616-66D7-4803-AA41-29F0EE01E7E7}\RP244\A0027483.ini 04/12/2005 10:23 879 bytes Hidden from Windows API.

Bonjour mercurefi. Comme tes dossiers restore semblent bien être infectés,

il serait peut être judicieux de désactiver la restauration système sur tous

les disques et de repasser ensuite un scan d'Ewido et de ton antivirus, tout

ceci en mode sans échec.

Désactiver la restauration systéme

mercurefi · le 11 décembre 2005

Hello Megataupe !

je te donne les news de la bataille qui a duré jusqu'à la moitié de la nuit =

on a tout fait !!! mais alors tout !

desaction de la restauration, ewido & antivir => NADA ! rien ! sauf un seul et unique cookie chargé en même temps qu'ewido... qui s'en est occupé tout seul d'ailleurs pour le nettoyage. Antivir lui, ne trouve que des traces sur le c et rien sur le K

on a lancé norton utilities qui s'est lamentablement endormi sur disque externe...

on a même branché le DD externe sur un portable "formatable en cas de besoin". Les fichiers sont toujours illisibles.. et re ewido et re antivir (pour le coup ça prend des heures car le portable n'est pas de toute première jeunesse)...

et alors là on ne sait plus.... fichiers toujours illisibles... le C a l'air de bien se comporter... :-P

On en est à se demander si on ne va pas formater le K (pour faire plaisir à spy sweeper qui nous a annoncé il y a 2 jours 390 traces de rootkit) et le rebrancher sur le C (tout en priant pour que rootkt revealer se soit trompé sur les 2 problèmes sur restore du c)

quelqu'un a une idée de génie avant le carnage ???

Bonne journée

megataupe · le 11 décembre 2005

Bon, on va tenter l'opération "virer les fantômes"

Imprime ces instructions, ou colle-les dans un fichier texte, pour lecture en Sans Échec.

Télécharge AproposFix (de Swandog46) du lien suivant :

http://swandog46.geekstogo.com/aproposfix.exe

Sauvegarde-le sur ton Bureau, mais ne le lance pas.

Redémarre en mode Sans Échec, et voici comment :

1) Redémarre ton ordi

2) Tapote la touche F8 immédiatement, juste après le "Bip"

3) Tu verras un écran avec options de démarrage apparaître

4) Choisi la première option : Sans Échec, et valide avec "Entrée"

5) Choisi ton compte régulier, et non Administrateur

Double-clique sur aproposfix.exe et décompresse-le sur ton Bureau. Ouvre le dossier "aproposfix" situé sur ton Bureau et lance RunThis.bat. Suis la procédure qui s'affiche.

Quand l'outil aura terminé son travail, redémarre en mode Normal, poste un nouveau rapport HijackThis! ainsi que tout le contenu du fichier log.txt situé dans le dossier "aproposfix".

mercurefi · le 11 décembre 2005

Bon, on va tenter l'opération "virer les fantômes"

Imprime ces instructions, ou colle-les dans un fichier texte, pour lecture en Sans Échec.

Télécharge AproposFix (de Swandog46) du lien suivant :

http://swandog46.geekstogo.com/aproposfix.exe

Sauvegarde-le sur ton Bureau, mais ne le lance pas.

Redémarre en mode Sans Échec, et voici comment :

1) Redémarre ton ordi

2) Tapote la touche F8 immédiatement, juste après le "Bip"

3) Tu verras un écran avec options de démarrage apparaître

4) Choisi la première option : Sans Échec, et valide avec "Entrée"

5) Choisi ton compte régulier, et non Administrateur

Double-clique sur aproposfix.exe et décompresse-le sur ton Bureau. Ouvre le dossier "aproposfix" situé sur ton Bureau et lance RunThis.bat. Suis la procédure qui s'affiche.

Quand l'outil aura terminé son travail, redémarre en mode Normal, poste un nouveau rapport HijackThis! ainsi que tout le contenu du fichier log.txt situé dans le dossier "aproposfix".

Merci pour ta réponse super rapide, c'est sympa...

en revanche mes manips à moi vont être plus longues puisque mon chéri a laissé le K sur le portable qui date de cromagnon... Donc il faut que je double les manips..

En revanche j'ai l'avantage d'avoir un 2ème portable (qui ne doit surtout pas être infecté) à portée de main pour suivre tes instructions.

Je m'y mets

A+

mercurefi

mercurefi · le 11 décembre 2005

Megataupe, voici les rapport pour le C :

APROPOFIX =

Log of AproposFix v1

************

Running from directory:

C:\Documents and Settings\Salon\Bureau\aproposfix

************

Registry entries found:

************

No service found!

Removing hidden folder:

No folder found!

Deleting files:

Backing up files:

Done!

Removing registry entries:

REGEDIT4

Done!

Finished!

HIJACKTHIS =

Logfile of HijackThis v1.99.1

Scan saved at 13:21:22, on 11/12/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\DOCUME~1\Salon\LOCALS~1\Temp\Rar$EX00.672\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.dell.ca/index.htm

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.dell.ca/index.htm

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\system32\dla\tfswshx.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O2 - BHO: McAfee Privacy Service Helper Object - {cc4b2ee5-4803-11d7-8a38-00b0d0c6b814} - C:\Program Files\McAfee\McAfee Privacy Service\GDIEHELP.DLL

O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} - c:\progra~1\mcafee.com\vso\mcvsshl.dll

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe