Security-X

Forum Security-X => Désinfections => Discussion démarrée par: Christtr le février 14, 2014, 19:58:06

Titre: Rootkit :(
Posté par: Christtr le février 14, 2014, 19:58:06
Bonjour à tous,

Ayant récupéré un portable en dépannage après que le mien ait eu un coup de foudre... J'ai demandé à une amie de vérifier s'il n'était pas infecté car des pubs assez envahissantes etc.

De fait, AdwCleaner a eu du boulot ! (le rapport reste dans un coin si vous en aviez besoin) Mais comme un certain nombre de logiciels n'était pas à jour dont l'antivirus (Avira à ce moment), l'amie a installé Avast et un scan complet a trouvé... un rootkit  :oups:
Avast a proposé un re-démarrage pour attaquer la bête au démarrage et là, plus de connexion internet donc plus de coup de mains puisque celui-ci s'effectue par TeamViewer comme vous le verrez forcément.

Je suis resté 24 h sans connexion jusqu'à ce qu'on puisse me la remettre en direct et donc, plutôt que de relancer un scan d'Avast qui pourrait avoir les mêmes suites... Pourriez-vous me dire ce qu'il reste à faire pour sécuriser ce pauvre portable ?

Merci d'avance  !

Christtr
Titre: Re : Rootkit :(
Posté par: hyunkel30 le février 14, 2014, 21:42:44
 :AAC Bonsoir Christtr,

Bienvenue sur Security-X,

On va regarder un peu tout cela, en faisant un premier diagnostic, pas d'inquiétude, cela ne touche à rien sur le système pour le moment :

Télécharge Farbar Recovery Scan Tool (http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/) (de Farbar) sur ton Bureau.

Attention: Tu dois lancer la version compatible avec ton système : 32 ou  64bits.

Sous IE9 ou IE10, le filtre SmartScreen déclenche une alerte. Cliquer sur Actions puis sur Exécuter quand même

Poste les deux rapports générés.

Titre: Re : Rootkit :(
Posté par: Christtr le février 14, 2014, 23:06:36
Merci Hyunkel !

Bon le 1er rapport : http://up.security-x.fr/file.php?h=R414af3d38b2837cad0cff54f77ac1cbd
et addition : http://up.security-x.fr/file.php?h=R5bdf7639eddea76df411c7c6b2b2413a

 :AAN
Titre: Re : Rootkit :(
Posté par: hyunkel30 le février 15, 2014, 09:48:13
Re,

Y'a encore du monde sur ce pc ...

Tu pourras me fournir l'alerte d'avast! concernant le rootkit ? (fichier et emplacement ciblé)


1) Désinstalle les programmes suivants dans ta liste des programmes (si présents) :

Note : Si tu rencontres une erreur passe au suivant et poursuis la procédure

- Auslogics BoostSpeed (pas ou peu utile)
- Driver Magician 3.68 (inutile, généralement purement commercial)

- FindRight (adware : logiciel publicitaire)
- Re-markit (idem)



/!\ Crée un point de restauration manuel avant d'appliquer le correctif - Tutoriel en images (http://forum.security-x.fr/windows-7/%28tutoriel%29-creer-un-point-de-restauration-sous-windows-7/) /!\

Code: [Sélectionner]
start
() C:\Program Files\Re-markit\Re-markit_wd.exe
ProxyEnable: Internet Explorer proxy is enabled.
ProxyServer: http=127.0.0.1:13828
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.awesomehp.com/web/?type=ds&ts=1392211276&from=tugs&uid=FUJITSUXMJA2160BHXG2_K94NT9728DP2&q={searchTerms}
SearchScopes: HKLM - DefaultScope value is missing.
SearchScopes: HKCU - DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = http://start.mysearchdial.com/results.php?f=4&q={searchTerms}&a=tele0103&cd=2XzuyEtN2Y1L1QzutDtDtByCyD0EtAyE0D0FyE0B0EyDyEyCtN0D0Tzu0CyByBtCtN1L2XzutBtFtBtFtCyDtFtCyCtAtCtN1L1CzutBtAtDtC1N1R&cr=785805208&ir=
SearchScopes: HKCU - {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = http://start.mysearchdial.com/results.php?f=4&q={searchTerms}&a=tele0103&cd=2XzuyEtN2Y1L1QzutDtDtByCyD0EtAyE0D0FyE0B0EyDyEyCtN0D0Tzu0CyByBtCtN1L2XzutBtFtBtFtCyDtFtCyCtAtCtN1L1CzutBtAtDtC1N1R&cr=785805208&ir=
BHO: FindRight - {2c774641-5504-46a8-b63f-6715ae3fe376} - C:\Program Files\FindRight\FindRightbho.dll (FindRight)
S4 Re-markit; C:\Program Files\Re-markit\Re-markit153.exe [180736 2014-02-12] ()
S2 Update FindRight; C:\Program Files\FindRight\updateFindRight.exe [80160 2014-02-05] ()
S2 Util FindRight; C:\Program Files\FindRight\bin\utilFindRight.exe [80160 2014-02-09] ()
2014-02-12 14:21 - 2014-02-12 17:02 - 00000000 ____D () C:\ProgramData\WPM
C:\Users\CHRISTOPHE\AppData\Local\Temp\avgnt.exe
C:\Users\Herminig\AppData\Local\Temp\avgnt.exe
Task: {3C094E66-730C-4393-ACC1-6DA52B138C87} - System32\Tasks\Re-markit_wd => C:\Program Files\Re-markit\Re-markit_wd.exe [2014-02-12] () <==== ATTENTION
Task: {71CB3A3B-5789-452E-8100-E59CC7A241D2} - System32\Tasks\Auslogics\BoostSpeed\Integrator\Scan and Repair => C:\Program Files\Auslogics\Auslogics BoostSpeed\BoostSpeed.exe [2012-02-22] (Auslogics)
Task: C:\Windows\Tasks\Re-markit_wd.job => C:\Program Files\Re-markit\Re-markit_wd.exe <==== ATTENTION
AlternateDataStreams: C:\ProgramData\TEMP:07BF512B
C:\Program Files\FindRight
C:\Program Files\Re-markit
end/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnement et endommager Windows /!\


Supprime toute trace de awesomehp dans la gestion des moteurs de recherche de Google Chrome :

Citer
Pour supprimer manuellement des moteurs de recherche dans le navigateur, suivez la procédure ci-dessous.

   1. Cliquez sur le menu Google Chrome (https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fstorage.googleapis.com%2Fsupport-kms-prod%2FSNP_2696434_en_v1&hash=fc66700ec2e3428b4396e4069d8aab95e9980a23) dans la barre d'outils du navigateur.
   2. Sélectionnez Paramètres, puis accédez à la section "Recherche".
   3. Cliquez sur Gérer les moteurs de recherche.
   4. Sélectionnez le moteur de recherche à supprimer, puis cliquez sur la croix (x) qui se trouve à la fin de la ligne.
Support Google Chrome (http://support.google.com/chrome/bin/answer.py?hl=fr&answer=95653)

--------------------------------------------------------------------------------------------

Supprime toute trace de awesomehp dans les préférences de démarrage de Google Chrome :

Support Google Chrome (https://support.google.com/chrome/answer/95314?hl=fr)

---------------------------------------------------------------------------------------------

Suis cette procédure pour Arrêter la synchronisation et supprimer les données de Google : (si tu possèdes un compte Google lié)

Citer
Supprimer des données synchronisées de votre compte Google

Vous pouvez supprimer les données synchronisées de votre compte Google à tout moment depuis votre tableau de bord Google Dashboard (http://www.google.com/dashboard).

    1. Cliquez sur le menu Google Chrome (https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fstorage.googleapis.com%2Fsupport-kms-prod%2FSNP_2696434_en_v1&hash=fc66700ec2e3428b4396e4069d8aab95e9980a23) dans la barre d'outils du navigateur.
    2. Sélectionnez Connecté en tant que <votre adresse e-mail>.
    3. Dans la section "Connexion", cliquez sur Google Dashboard.
    4. Accédez à la section "Synchronisation de Google Chrome" du tableau de bord, puis cliquez sur Arrêter la synchronisation et supprimer les données de Google.

La synchronisation est désactivée, et toutes les données synchronisées qui ont été enregistrées dans votre compte Google sont supprimées. Elles sont toutefois conservées sur votre ordinateur. Cela signifie que des informations telles que les favoris, les applications et les extensions présentes sur l'ordinateur que vous utilisez n'apparaîtront pas si vous vous êtes connecté à Google Chrome depuis un autre ordinateur et avez activé la synchronisation sur celui-ci.
Support Google Chrome (https://support.google.com/chrome/answer/185277?hl=fr)
Titre: Re : Rootkit :(
Posté par: Christtr le février 15, 2014, 15:28:52
Et re-Merci Hyunkel !

Avant que j'oublie, vous saviez que MBAM bloque l'accès à SX ?  :oo

Alors :1  les 4 bouses sont éliminées
2 Est ce que ce "Filxog" est la réponse  ? http://up.security-x.fr/file.php?h=R69f602b7978551ba5970e4fb81774aed
3 Je n'utilise pas Chrome mais FF et n'arrive pas à virer ce" awesomehp" qui ne me plait effectivement pas  :oo

Bon week-end

Titre: Re : Rootkit :(
Posté par: hyunkel30 le février 15, 2014, 15:36:56
Re,

Citer
Avant que j'oublie, vous saviez que MBAM bloque l'accès à SX ?  :oo
Malheureusement oui, mais cela doit avoir été rectifié avec la dernière mise à jour ...

(à moins qu'ils aient de nouveau bloqué l'IP ...)


Ok pour fixlog.txt.

Citer
3 Je n'utilise pas Chrome mais FF et n'arrive pas à virer ce" awesomehp" qui ne me plait effectivement pas

Qu'est-ce que tu n'arrives pas à faire dans la procédure que je t'ai fournis ?


Pense à me donner ceci aussi s'il te plait :
Citer
Tu pourras me fournir l'alerte d'avast! concernant le rootkit ? (fichier et emplacement ciblé)

 :AAN
Titre: Re : Rootkit :(
Posté par: Christtr le février 15, 2014, 15:53:19
Citation de: hyunkel30 le février 15, 2014, 15:36:56
Re,

Citer
Avant que j'oublie, vous saviez que MBAM bloque l'accès à SX ?  :oo
Malheureusement oui, mais cela doit avoir été rectifié avec la dernière mise à jour ...

(à moins qu'ils aient de nouveau bloqué l'IP ...)
Il y a quelques minutes c'était encore le cas


Ok pour fixlog.txt.

Citer
3 Je n'utilise pas Chrome mais FF et n'arrive pas à virer ce" awesomehp" qui ne me plait effectivement pas

Qu'est-ce que tu n'arrives pas à faire dans la procédure que je t'ai fournis ?

Désolé, rien ne correspond à FF et je n'ai pas trouvé les correspondances sur le net


Pense à me donner ceci aussi s'il te plait :
Citer
Tu pourras me fournir l'alerte d'avast! concernant le rootkit ? (fichier et emplacement ciblé)

Là aussi, un mode d'emploi me serait utile. Je n'arrive pas à retrouver ce rapport  :NNN  :oups:

 :AAN
Titre: Re : Rootkit :(
Posté par: hyunkel30 le février 15, 2014, 19:59:38
Re,

Attention quand tu cites, là on s'y retrouvait plus ;)

Citer
Il y a quelques minutes c'était encore le cas

Met à jour ta base de donnée et/ou Malwarebyte's, le déblocage a eu lieu hier ou avant-hier. ;)


Citer
Désolé, rien ne correspond à FF et je n'ai pas trouvé les correspondances sur le net

Ah, je n'avais pas compris que c'était sous Firefox que tu avais encore le souci.
Par contre, dans le rapport, je ne vois pas de awesomehp pour Firefox justement, il n'y avait que des restes sous Chrome.

C'est où dans firefox que tu le vois encore ?
Moteur de recherche ?
Page de démarrage ?
Nouvel onglet ?


Citer
Là aussi, un mode d'emploi me serait utile. Je n'arrive pas à retrouver ce rapport

Tu ouvres l'interface d'Avast!
Menu "Scan"
En bas "Historique d'analyse"
Tu regardes le dernier scan et me donne l'info, c'est à dire le nom du fichier détecté et son emplacement.

 :AAN
Titre: Re : Rootkit :(
Posté par: Christtr le février 16, 2014, 09:45:35
Bonjour,

Je prends la main pour Christtr qui a dû s'absenter. Malheureusement, je ne sais pas si on va pouvoir faire grand chose car il m'a connectée sur une autres session...

Ce matin, il m'a appelée car il ne pouvait plus rien ouvrir sur sa session (ni Firefox, ni sa messagerie, ni TeamViewer) il avait chaque fois un message d'erreur "impossible d'ouvrir..." et il a fait mention à un moment de "paramètres de sécurité" mais je n'ai pu avoir le message exact.
Son fils est ensuite intervenu et je viens d'apprendre qu'il avait désinstallé Avast en pensant que ça pouvait venir de l'anti-virus... Du coup on ne récupèrera jamais l'historique  :oo

Ayant pu accéder à une autre session sur laquelle tout fonctionne je suis sur son ordi via TeamViewer.

Je peux réinstaller Avast et relancer une analyse ? ... J'ai un peu peur qu'on ait le même problème que la première fois (après l'analyse Avast avait demandé à re-démarrer l'ordinateur pour analyser les secteurs de démarrage et suite à celà l'ordi s'était éteint - impossible à rallumer jusqu'à ce que son fils intervienne). De toutes façons, je serais "jetée" et comme il ne sera pas là pour me donner un autre code d'accès... Je vais attendre un peu pour faire ça !

Pour Awesomeph, c'est bien sous FF qu'il apparaît : comme "moteur de recherche"
Au passage, Chrome, je le lui avais désinstallé (pas complètement manifestement) il ne l’utilise pas et je cherchais à faire de la place car son "ordinateur était lent"...

C'est moi qui avais installé Avast. Celui-ci n'ayant rien trouvé lors d'une analyse rapide mais annoncé un rootkit (dont je n'ai pas noté le nom  :oups:) lors d'une analyse approfondi.

Je suppose qu'il ne servirait à rien de relancer FRST de cette session ?

Merci







Titre: Re : Rootkit :(
Posté par: hyunkel30 le février 16, 2014, 10:00:13
Bonjour celuiquiareprislamainpourChristtr  ;)

Le problème vient d'un souci avec le script de l'outil FRST en partie, qu'on va tenter de corriger.

Nous allons restaurer le système sur le point créé avant le script.
Si tu peux accéder à la restauration système sous ta session actuelle, fais la procédure depuis cette session, sinon on le fera autrement :

Restaure le système :
http://www.chantal11.com/2010/05/restauration-systeme-a-une-date-anterieure-windows-7/

Choisi le point créé le hier vers 10h probablement

Si la restauration fonctionne, il retrouvera les accès sur sa session, et nous reprendrons alors.

Si tu rencontres un problème pour restaurer, vient me le dire et m'expliquer lequel.

 :AAN
Titre: Re : Rootkit :(
Posté par: TCM le février 16, 2014, 21:02:52
Bonsoir Hyunkel,

Bon, la restauration a été faite mais pas d'accès à sa session pour autant...

Et là, plus d'accès à internet à partir de la session 2  :III

Je ne sais plus quoi faire

 :-*
Titre: Re : Rootkit :(
Posté par: TCM le février 16, 2014, 21:36:02
Re,

De nouveau accès, j'ai lancé MBAM juste pour tester.. Il a trouvé et éradiqué une petite bouse (C:\Users\CHRISTOPHE\AppData\Local\Temp\1c3d4243-b943-4ca3-819c-df39be644b55\software\Re-markit_2040-2082.exe (PUP.Optional.Bundler) mais bon...

Titre: Re : Rootkit :(
Posté par: hyunkel30 le février 16, 2014, 21:37:05
Re ;) TCM se dévoile ...

Lorsque tu dis "de nouveau accès", c'est à sa session ou pas ?
On peut de nouveau travailler dessus ?
Titre: Re : Rootkit :(
Posté par: TCM le février 16, 2014, 21:46:33
Hélas non, c'est la session 2 seulement  :oo
Titre: Re : Rootkit :(
Posté par: hyunkel30 le février 16, 2014, 21:50:37
Re,

Pas d'accès à sa session du tout, ou accès, mais l'erreur "impossible..." dès que tu veux utiliser/lancer quelque chose ?
Titre: Re : Rootkit :(
Posté par: TCM le février 16, 2014, 21:57:32
Difficile à affirmer vu que je ne suis pas sur place.
D'après lui, toujours des messages d'erreur genre "impossible d'accéder..." ( j'ai demandé de re-démarrer l'ordi pour vérifier entre temps)

Donc là je suis via TemViewer sur la session 2  :AAG
Titre: Re : Rootkit :(
Posté par: hyunkel30 le février 16, 2014, 22:20:19
Re,

ça va être super compliqué de gérer cela via Teamviewer ...

On va tester un truc, à faire sous cette seconde session :

Télécharge Farbar Recovery Scan Tool (http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/dl/81/) (de Farbar) sur ton Bureau.

Code: [Sélectionner]
start
Restore From Backup: software
Restore From Backup: system
end/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnement et endommager Windows /!\
Titre: Re : Rootkit :(
Posté par: TCM le février 16, 2014, 22:47:08
http://up.security-x.fr/file.php?h=R3c5e293cb27a0ea701f7f8a58cb78d6e

 :AAF
Titre: Re : Rootkit :(
Posté par: hyunkel30 le février 16, 2014, 22:56:33
Re,

ceci est un Scan  ;D

J'ai demandé un Fix ;)
Titre: Re : Rootkit :(
Posté par: TCM le février 17, 2014, 05:34:37
Désolée, j'avais perdu la main entre temps. J'appelle Christtr cet après-midi

 :-*

Un passage rapide ce matin mais je ne peux pas lancer le fix (no fixlist.txt found) c'est avec le précédent fix que je suis censée le lancer ?
Titre: Re : Rootkit :(
Posté par: hyunkel30 le février 17, 2014, 09:58:39
Re,

Oui, faut créer le fichier texte fixlist.txt, et l'enregistrer dans le même dossier que FRST (tu l'as laissé dans le dossier "téléchargement" à priori ;)
Titre: Re : Rootkit :(
Posté par: TCM le février 17, 2014, 11:31:44
Hello Hyunkel,

Voici le nouveau fixlog : http://up.security-x.fr/file.php?h=R0ef2469b934f20e876e6426fa406eb83

Bonne journée !

 :-*
Titre: Re : Rootkit :(
Posté par: hyunkel30 le février 17, 2014, 11:51:35
Re,

Heuuu ... on doit mal se comprendre  ;D

C'est ceci que tu dois faire :
http://forum.security-x.fr/desinfections/rootkit-(/msg113513/#msg113513

Là tu m'as fait le fix initial ;)
Titre: Re : Rootkit :(
Posté par: TCM le février 17, 2014, 12:52:13
ça m'apprendra à faire 4 trucs en même temps  >:(

Ceci dit, ça me donne ça : Error: The restore operation should be done in the recovery mode.
Euh... et le recovery mode sous 7 c'est comme le mode sans échec ?

Désolée, je ne sais vraiment plus rien  :NNN
Titre: Re : Rootkit :(
Posté par: hyunkel30 le février 17, 2014, 14:03:55
Re,

Ok, alors il faut le faire dans le mode recovery effectivement ;)

à suivre :

Sur un pc/une session fonctionnel :
Télécharge Farbar Recovery Scan Tool x64 (http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/) (de Farbar) et enregistre-le sur une clé USB.

Note : si le téléchargement ne démarre pas automatiquement, cliquer sur "click here"

Code: [Sélectionner]
Restore From Backup: software
Restore From Backup: system
NOTE: Ces lignes ont été écrites spécialement pour cet utilisateur, pour être utilisées exclusivement sur ce PC. Exécuter ces instructions sur une autre machine pourrait endommager le système d'exploitation.

Sur le pc bloqué :

Branche la clé USB dans le PC.

Ouvre les Options de récupération système.

Pour ouvrir les Options de récupération système depuis les Options de démarrage avancées:
Dans le menu Options de récupération système tu verras les options suivantes:
Réparation du démarrage
Restaurer le système
Restauration de l'ordinateur Windows
Outil Diagnostics de la mémoire Windows
Invite de commandes
Titre: Re : Rootkit :(
Posté par: TCM le février 17, 2014, 15:05:55
Re Hyunkel

C'est bien TeamViewer mais ça ne fait pas encore le café  :hi:
Pour info, je viens... d'envoyer par voie postale une clé USB à Christtr (il n'avait pas de PC propre sous la main) donc pas de nouvelles avant demain dans le meilleur des cas.

 :-*


Titre: Re : Rootkit :(
Posté par: hyunkel30 le février 17, 2014, 18:57:32
Re,

OK, dommage pour lui surtout ...
La clé USb tu l'as préparée avec FRST et le script déjà ou pas ?
Titre: Re : Rootkit :(
Posté par: TCM le février 17, 2014, 19:51:25
Citation de: hyunkel30 le février 17, 2014, 18:57:32
La clé USb tu l'as préparée avec FRST et le script déjà ou pas ?

Oui je lui ai livrée "prête à servir" et je lui ai mis un tirage papier de tes instructions. Il doit m'appeler après avoir tout reçu pour guidage par téléphone si besoin était.

Voili

Ah si, et je lui ai mis Avast sur cette deuxième session (je n'étais pas trop fière de lui envoyer une vieille clé que je n'ai pas eu le temps de vérifier avant la levée postale... manquerait plus que... !)

biz Maître à bientôt
Titre: Re : Rootkit :(
Posté par: TCM le février 18, 2014, 12:18:53
Re-Hyunkel

La désinfection va attendre encore quelque temps  :AAG

Aller à l'invite de commandes a été assez "compliqué" et un message abscons (= je n'ai rien compris) apparait ensuite...
Bref, Christtr peut continuer à bosser sur les urgences avec ce portable pourri, doit récupérer son ordi réparé ce soir ou demain et on doit se voir vendredi : il m'apportera alors la bête vérolée sur laquelle j'essaierai moi-même de suivre tes consignes.
Entre temps, il envoie le minimum de messages extérieurs, évite d'utiliser des mp et ne va sur aucun site sensible genre banque of course.

Je reprends donc contact ce week-end seulement pour la suite. Sorry !  :'(

 :-*

Titre: Re : Rootkit :(
Posté par: hyunkel30 le février 18, 2014, 13:50:34
Re,

Pas de souci ;)

Y'a pas de risque à l’utilisation du pc, j'ai pas vu trace d'infection dangereuse, je pense que l'alerte d'Avast! était un faux-positif

 :AAN
Titre: Re : Rootkit :(
Posté par: TCM le février 24, 2014, 13:36:52
Bonjour Hyunkel,

Me revoilà  :AAC

Bon, j'ai récupéré le portable de Christtr, refait une clé et...

Je bloque à l'exécution de l'outil.
Après avoir tapé e:\frst64 j'ai le message : "e:\frst64 n'est pas reconnu en tant que commande interne ou externe, un programme exécutable ou un fichier de commandes."
 :-\
La clé est bien sous e:\ j'ai vérifié et contient bien FRST.exe et le dernier fixlist

Précision : pour le compte d'utilisateur à réparer, j'ai -évidemment ?- choisi celui de Christ

Je fais quoi chef ?   :AAN
(je peux peut-être vérifier que le problème ne vient pas de la clé sur mon propre ordi mais je n'ai pas trop envie d'y mettre la zone ?)

 :-*
Titre: Re : Rootkit :(
Posté par: hyunkel30 le février 24, 2014, 14:01:19
Re,

Citer
contient bien FRST.exe et le dernier fixlist

Tu dois changer la commande en e:\frst (ou e:\frst.exe) puisque tu n'as pas la version 64 mais 32 bits ;)
Titre: Re : Rootkit :(
Posté par: TCM le février 24, 2014, 15:23:28
Re

Bon sang mais c'est bien sûr ! 64 pour 64 bits  :oups:

Voici le fixlog

Fix result of Farbar Recovery Tool (FRST written by Farbar) (x86) Version: 23-02-2014 02
Ran by SYSTEM at 2014-02-24 15:18:47 Run:4
Running from E:\
Boot Mode: Recovery

==============================================

Content of fixlist:
*****************
Restore From Backup: software
Restore From Backup: system
*****************

Software hive was renamed to software.old
Software hive was successfully restored from backup.
System hive was renamed to system.old
System hive was successfully restored from backup.

==== End of Fixlog ====

ça semble tout bon  :AAF

Je lui réinstalle Avast et lance un scan complet pour voir s'il retrouve ce faux-positif ?

Merci !!!
Titre: Re : Rootkit :(
Posté par: hyunkel30 le février 24, 2014, 19:02:01
Re,

Tu as de nouveau accès à sa session ?

Citer
Je lui réinstalle Avast et lance un scan complet pour voir s'il retrouve ce faux-positif ?

Oui, pourquoi pas. ;)

Il faudra aussi me refaire ceci pour vérification :

Télécharge Farbar Recovery Scan Tool (de Farbar) sur ton Bureau.

Attention: Tu dois lancer la version compatible avec ton système : 32 ou  64bits.

Clique ici pour la version 32 bits (http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/dl/81/)
Clique ici pour la version 64 bits (http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/dl/82/)

Info : comment savoir quelle version j'utilise ? (http://windows.microsoft.com/fr-fr/windows7/find-out-32-or-64-bit)

Sous IE9 ou IE10, le filtre SmartScreen déclenche une alerte. Cliquer sur Actions puis sur Exécuter quand même

Poste les deux rapports générés.

Titre: Re : Rootkit :(
Posté par: TCM le février 24, 2014, 20:40:45
Re,

Je bute à chaque pas... Temps que je m'y remette sans doute !

Bon là, je ne peux pas accéder à internet via ce portable. Pas une question de réseau -bien connecté sur le wi-fi- plutôt de paramètres de sécurité à la c*...
Je vais attendre demain (un rapport à poster avant 00:00) et poser la question dans la section ad'hoc grrrrr

Sorry  :-X

 :-*


Titre: Re : Rootkit :(
Posté par: hyunkel30 le février 24, 2014, 23:22:21
Re,

Juste, déjà réponds à ma question  ;D

Citer
Tu as de nouveau accès à sa session ?

Pour le reste, il suffit de télécharger depuis ton propre pc et transférer via la clé usb ;)
(si bien entendu, tu as accès à sa session ...  :NNN )
Titre: Re : Rootkit :(
Posté par: TCM le février 25, 2014, 01:56:31
Message à supprimer
Titre: Re : Rootkit :(
Posté par: TCM le février 25, 2014, 02:04:40
Message à supprimer - dsl
Titre: Re : Re : Rootkit :(
Posté par: TCM le février 25, 2014, 02:06:24
Yes Hyunkel,

Oui, j'ai accès à sa session ! en partie du moins
C'est déjà génial ok merci  :miam:

Télécharger via mon ordi, évidemment. Mais je voudrais le lui rendre "propre et fonctionnel" et ce n'est pas le cas si la bécane ne peut aller sur le net...

Bon mais tu as raison, ça ne semble plus le même sujet. Sauf que quand je veux lancer FRST à partir de ma clé pour faire un scan j'ai le même message que quand je veux aller télécharger Avast ou FRST sur internet : "Vos paramètres de sécurité Internet (je suis bien sur ma clé) ont interdit l'ouverture de un ou plusieurs fichiers"  :AAG

Donc, je dirais que j'ai accès à sa session mais ne peux pas y faire grand chose ?

Maintenant que j'ai testé à partir de la clé, je me dis que le problème n'est peut-être pas du ressort de la section réseaux&Cie ?
Quelque chose de pas clair dans la récup de la session plutôt ?

 :-*


Edit : Suis-je bête ! C'était ça le message dont il parlait au début ! Ces "paramètres de sécurité"  qui lui bloquaient l'accès aussi bien à internet qu'à TeamViewer. Bon, on est bien sur le même souci donc  ;)
Titre: Re : Rootkit :(
Posté par: hyunkel30 le février 25, 2014, 09:20:06
Re,

Oui, tu retombes sur le message induits par le script initial.

Donc, maintenant que tu as regagné l'accès, dis-moi si tu peux lancer la restauration système ou pas ?
Normalement, tu ne pourras pas.

Il faudrait retourner en mode recovery (celui d'où tu as lancé FRST en invite de commande depuis la clé)
Mais au lieu de choisir "invite de commande", choisir l'option restaurer le système
Et regarder si tu trouves un point assez éloigné, avant le début de la prise en charge
(avant le 14 février quoi)
Puis lancer la restauration système.

Je t'avoue que vous êtes trois cas comme celui-ci :
- l'un, la restauration système à suffit
- le second, comme toi, on a tourné enrond et il a disparu ensuite, probablement lassé, il a du formater
- toi, pareil, restauration suffit pas, et on tourne en rond. Je te le cache pas, je pense que cela va probablement finir par une réinstallation du système.
Titre: Re : Rootkit :(
Posté par: TCM le avril 12, 2014, 00:03:51
Désolée Hyunkel, je viens de réaliser que je n'avais jamais donné de nouvelles  :-[

L'ordi du pauvre Christtr s'était bien trouvé dans le 3ème cas de figure : j'avais essayé plusieurs points de restauration sans succès.

A l'époque, j'hésitais pour la réinstallation du système -d'une part, je ne savais ce qu'il aurait fallu tenter de sauvegarder (si possible !), d'autre part comme il y avait un accès "normal" via une autre session... - Mais je n'ai pas eu longtemps à me poser la question puisqu'il m'a fallu redonner l'ordi.

Je vais quand même indiquer "Résolu" dans le titre même si ce n'est pas vraiment le cas pour indiquer que le chapitre est clos.

En tout cas, merci une fois de plus pour tout ce que tu as fait ; tu n'y peux évidement rien quand un log foire et ça ne t'a pas empêché d'y passer un temps fou


Edit - Ah zut non, je ne peux pas mettre "Résolu" dans le titre, la création avait été faite par Christtr et à partir de son IP. Peux pas non plus lui demander de le faire, il a rendu l'ordi à ceux qui le lui avait prêté et je doute qu'il ait conservé un lien sur ce topic
 :AAF
Titre: Re : Rootkit :(
Posté par: hyunkel30 le avril 12, 2014, 15:50:07
Salut ;)

On s'en fiche du résolu, en plus cela ne l'est pas de toute manière.

Aucun des cas n'a pu être réglé de toute manière à posteriori, l'un des trois à disparu depuis, l'autre à formaté, et toi aussi.

On a jamais pu comprendre d'où venait le souci non plus qui ne s'est jamais reproduit ...

 :AAN