Disparition d'un DD après netoyage Rootkit

[Wildcat]

Bonjour à tous,

Pas sure d'être dans la bonne section, mais allons y: suite à plusieurs soucis divers et varié, j'ai fait un scan de démarrage avec Avast qui m'a trouver un rootkit + 2 ou 3 autre malware et trojan. On supprime tous ça, et ça va déjà mieux.

Sauf que visiblement, ça a fait sauté des petites chose dans les clés de registres : il me redemandait d'activer windows entre autre... enfin, passons. Également page banches sur internet avec un connexion parfaitement opérationnelle : j'ai trouvé un petit logiciel très bien qui répare les "winsock" [WinsockxpFix.exe], et ça fonctionne bien à nouveau.

Sauf que... Sauf que j'ai un disque dur qui a "disparu". Il est visible dans le Bios, mais windows, l'est tout miro : le disque n'apparaît nulle part, ni dans le gestion des disque durs, ni dans le poste de travail.

En résumé :

CM Asus P5 N SLI
HD Sata (2 partitions dont une sur laquelle il y a windows)
HD IDE => c'est celui là qui n'est pas détecté sur canal IDE principal en Slave
CD + DVD (IDE évidement) sur une autre nappe => eux ils sont bien reconnu. Sont sur canal IDE secondaire

J'ai débrancher / rebrancher tous les disques, rien n'a changé.
J'ai essayer désactivation / activation des canaux IDE, mais ça n'a rien changé non plus.

Donc, je ne sais pas trop : est-ce que le rootkit a pu faire tant de "dégats" qu'XP ne voit plus ces petits? Est-ce que le nettoyage n'a pas été fait suffisamment en profondeur? Est-ce qu'il faut désinstaller les canaux IDE comme l'indique certains pour que windows re-détecte le disque tout seul?

Voilà, pas vraiment une aide pour une désinfection, mais besoin d'aide sur les conséquences de celle-ci...

D'avance, merci pour votre aide.

[Le Sanglier]

Bonjour,

essaye la commande Chkdsk via Démarrer/Exécuter avec une des options définies sur le lien suivant :

http://www.infoprat.net/astuces/windows ... chkdsk.php

@+

[ricouz]

Bonsoir

Je n'ai pas la solution à ton problème, mais je pense que le chkdsk ne peut pas fonctionner puisqu'il faut une lettre de lecteur ou un nom de volume.

Est-ce que tu vois le disque dans la gestion de l'ordinateur/gestion des disques (clic droit sur le poste de travail puis gérer)

2° piste peut-être, est-ce que dans gestion de l'ordinateur/gestion des périphériques, le controleur ATA/ATAPI IDE est bien détecté.

A+

[Wildcat]

Bonjour,

Merci pour la piste, mais déjà regardé : DD invisible dans gestion de disque, et, les contrôleurs ATA/ATAPI semblent OK : les lecteurs / graveur CD/DVD sont sur la nappe IDE secondaire et sont bien visible par XP... Et le contrôleur IDE Primaire apparaît bien lui aussi et est indiqué comme fonctionnant correctement... Ce DD apparaissait dans XP avant ma désinfection "sauvage", et plus après...

Comme ça apparaît dans BIOS, je ne pense pas à un problème Hardware. La désinfection a vraiment mis le bazar dans XP : comme indiqué, XP a redemandé à être activé, donc, les clé de registres ont été touchées. Je me demande si quelque chose d'autre dans le "coeur" d'XP n'a pas été touché, empêchant la détection de ce DD... Et je n'ai aucune, mais alors aucune envie de réinstaller XP...

Par contre, comme il apparaît dans le BIOS, j'ai son nom au p'tit père, mais pas sûre que ce soit le nom du volume, peut-être plutôt le nom "constructeur", parce que c'est un code avec lettres et chiffres: est-ce que ton chkdsk pourrait fonctionner quand même avec cette référence?

[Edit] Je viens d'avoir une idée : le DD fait plus de 137 Go... Peut-être faut-il réactivé la prise en charge (le truc LBA) dans les registre?
Je vais voir ça et je reviendrai vous dire


En attendant, si d'autres ont des idées, je prends

[Wildcat]

Re,

Bon, raté... En plus j'aurai dû m'en douter, le SATA de 500 Go est détecté, donc un "petit" IDE de 200 Go, il ne devrait pas y avoir de souci...
J'ai aussi essayé le branchement sur l'IDE secondaire, toujours rien, enfin OK dans le BIOS, mais rien dans XP...

Pas d'autres idées por l'instant,

Dans l'attente de vos conseils,

D'avance merci.

[Le Sanglier]

Une idée comme ça

essaye Partition Magic

tuto: http://www.forum-aide.com/tutoriaux-inf ... t10.0.html

version d'évaluation : http://www.clubic.com/lancer-le-telecha ... magic.html

est ce que tu vois ton disque après l'installation de PM ?

malheureusement la version d'évaluation de PM ne permet pas d'enregistrer les modifications sur le disque et la version complète n'est pas donné.

des outils gratuits http://www.commentcamarche.net/faq/suje ... ic-gratuit

Bon courage.

[ricouz]

Re

Tu devrais essayer de supprimer le controleur Atapi IDE et ensuite de rebooter ta machine.
De toute manière il sera à nouveau détectée et peut-être le disque en même temps.
J'avais eu un problème un peu similaire avec un graveur de cd (mais pas à cause d'un rootkit)

Bon courage

[Wildcat]

Merci. Je vais essayé ça.

J'ai aussi un disque bootable Gparted, mais je flippe à chaque fois : quand ça formate, ça formate... Et si Gparted le trouve, je ne saurais pas quoi faire, car je ne veux pas le formater (trop de truc dessus)...

Et si Partition Magic le trouve, je fais quoi? Je ne comprends pas bien comment ça peut aider XP à voir ce DD

[nickW]

Bonsoir,

Comment as-tu supprimé ce "rootkit"?
Avec quel logiciel/quel outil?
As-tu conservé les rapports de nettoyage?
As-tu le nom de ce "rootkit"?
As-tu le nom des fichiers supprimés/mis en quarantaine?

A suivre,

[Wildcat]

Bonjour NickW,

Comment as-tu supprimé ce "rootkit"? -> Scan de démarrage Avast
Message comme quoi fichier était manqant (quelque chose comme csrss).
Scan Avast qui a détecter l'infection pendant le test mémoire
Scan de démarrage et j'ai demandé la suppression (et non la mise en quarantaine)

Avec quel logiciel/quel outil? -> Avast

As-tu conservé les rapports de nettoyage? -> Heureusement qu'Avast fait ça tout seul, je n'y avait pas pensé

Voici :

2008-11-08 21:19 PropriÈtaire
1932 Sign of "Win32:Trojan-gen {Other}" has been found in "C:\Windows\system32\drivers\csrss.exe" file.

2008-11-08 21:22 PropriÈtaire
3968 Sign of "Win32:Trojan-gen {Other}" has been found in "c:\windows\system32\drivers\csrss.exe" file.

2008-11-09 16:32 PropriÈtaire
1760 Sign of "Win32:Agent-AAZG [Rtk]" has been found in "D:\LaMule\Incoming\professeur layton et l'etrange village nds razorback.zip\Setup.exe" file.

2008-11-12 19:48 SYSTEM
1092 Sign of "Win32:Rootkit-gen [Rtk]" has been found in "G:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\ise32.exe" file. => C'est ce disque qui a disparu de l'affichage.

2008-11-13 12:13 PropriÈtaire
1084 Sign of "Win32:Trojan-gen {Other}" has been found in "D:\LaMule\Incoming\Alice Greenfingers 2.rar\Alice Greenfingers 2.exe" file.

Bon, c'est la honte parce que les troyen viennent de Download, et Antivir ne les a pas détecter. C'est pour ça que j'ai remis Avast...
Et c'est effectivement G: qui a disparu de l'affichage, je n'avais pas fait le rapprochement... G: n'est pourtant pas un disque "principal", plutôt utiliser pour stocker des photos, des documents... pas (peu) d'executables...

As-tu le nom de ce "rootkit"? -> je suppose que c'est ça : ise32.exe

As-tu le nom des fichiers supprimés/mis en quarantaine? -> supprimer, c'est ceux au dessus, par contre, j'ai regarder la quarantaine, et Avast indique que des "fichiers importants ont été sauvegardés" :

Kernel32.dll
Winsock.dll
Wsock32.dll

Par info, G: est ré-apparu hier en rallumant l'ordinateur, mais ce matin, il a à nouveau disparu...

[nickW]

Bonsoir,

Peux-tu faire ceci:

Étape 1: RegSearch (de Bobbi Flekman)
Télécharger RegSearch (clic droit sur le lien ci-dessous, enregistrer le fichier sur le Bureau):
http://www.xs4all.nl/~fstaal01/downloads/regsearch.zip
Décompresser cette archive dans un dossier qui lui sera réservé (par exemple, C:\RegSearch).


Étape 2: RegSearch (de Bobbi Flekman)
Lancer RegSearch par un double clic sur RegSearch.exe (dans le dossier C:\RegSearch).
Dans la zone "Enter search strings (case independent) and click OK"
saisir 28ABC5C0-4FCB-11CF-AAX5-81CX1C635612 sur la 1ère ligne

Ne rien saisir dans la zone "Enter string to exclude from results (optional)"

Vérifier que dans le paragraphe Search toutes les cases sont cochées.

Puis cliquer sur le bouton OK

Le programme recherche dans le Registre les éléments demandés.
Attendre, sans rien faire d'autre (durée: jusqu'à 15 minutes, ce qui semble bien long.....).
Il y a ensuite ouverture d'une fenêtre du Bloc-notes.
Dans cette fenêtre du Bloc-notes, vérifier dans le menu Format que l'option "Retour automatique à la ligne" n'est pas cochée.
Enregistrer ce fichier (Menu Fichier ---->Enregistrer sous..., donner le nom resultat-1.txt).

Fermer RegSearch en cliquant sur le bouton "Cancel"


Étape 3: Résultat
Envoyer en réponse:
*- le résultat de RegSearch (contenu du fichier resultat-1.txt)

A suivre,

[Wildcat]

Bonjour,

Et voici le résultat :

---------------------

Windows Registry Editor Version 5.00

; Registry Search 2.0 by Bobbi Flekman © 2005
; Version: 2.0.5.0

; Results at 2008-11-22 10:07:44 for strings:
; '28abc5c0-4fcb-11cf-aax5-81cx1c635612'
; Strings excluded from search:
; (None)
; Search in:
; Registry Keys Registry Values Registry Data
; HKEY_LOCAL_MACHINE HKEY_USERS


[HKEY_CURRENT_USER\Software\Microsoft\Active Setup\Installed Components\{28ABC5C0-4FCB-11CF-AAX5-81CX1C635612}]

; End Of The Log...

---------------------

C'est bon ou pas bon?

Merci pour ton aide

[nickW]

Bonsoir,

Peux-tu faire ceci:


Note: Ces instructions sont valables pour Windows XP, pas pour Windows Vista.


Au vu de la longueur de la procédure, je te conseille de l'imprimer, d'enregistrer la page dans un fichier HTML (c'est la meilleure solution), ou d'en sélectionner toutes les lignes puis de copier cette sélection dans un fichier texte sur ton PC (Note: tu n'auras pas accès à Internet et des redémarrages sont possibles).
Il faut exécuter toutes les étapes, sans interruption, dans l'ordre exact indiqué ci-dessous.
Si un élément te paraît obscur, demande des explications avant de commencer la désinfection.

Note: Ces manips doivent être effectuées en ayant ouvert une session avec les "droits Administrateur" (ne pas utiliser le profil utilisateur nommé "Administrateur" visible en mode sans échec).
Sous Windows XP, pour vérifier si un compte a les droits "Administrateur":
Démarrer---->Paramètres---->Panneau de configuration---->Comptes d'utilisateurs
A côté de l'icône représentant certains comptes (hormis celui nommé "Administrateur"), il est indiqué "Administrateur de l'ordinateur"
C'est l'un de ces comptes qu'il faudra utiliser en mode sans échec.


Étape 1: Affichage tous fichiers
Vérifier que ton PC affiche bien tous les fichiers
http://assiste.com.free.fr/p/comment/co ... aches.html


Étape 2: SDFix (de Andy Manchesta)
Télécharger SDFix.exe depuis l'un des trois liens ci-dessous:
http://downloads.andymanchesta.com/Remo ... /SDFix.exe
http://download.bleepingcomputer.com/an ... /SDFix.exe
http://sdfix.net/SDFix.exe
Enregistrer ce fichier sur le Bureau.
Faire un double clic sur SDFix.exe pour lancer l'extraction de l'outil dans un dossier SDFix placé à la racine de la partition système (par défaut "C:\").
A la fin de l'installation, une fenêtre du Bloc-notes s'ouvre pour afficher le contenu du fichier "Installed.txt". Fermer cette fenêtre du Bloc-notes.


Étape 3: Mode sans échec
Faire redémarrer le PC en mode sans échec en utilisant la méthode F8 (F5 sur certains PCs). Impératif: ne pas utiliser la méthode "msconfig"!
Voir http://assiste.com.free.fr/p/comment/co ... echec.html
Fermer le plus possible de fenêtres.
Pas de connexion Internet ouverte, pas d'Internet Explorer ouvert.


Étape 4: SDFix
Ouvrir le dossier SDFix qui a été créé à la racine de la partition système, et faire un double clic sur RunThis.bat pour lancer l'outil.



Appuyer sur la touche Y puis faire Entrée, pour lancer l'exécution.
Selon l'infection détectée, un redémarrage immédiat est parfois nécessaire. Accepter, et faire redémarrer le PC en mode sans échec.
L'outil va supprimer les services de certains trojans, effectuer aussi quelques réparations du Registre. Ensuite, il demandera d'appuyer sur une touche pour faire redémarrer le PC.
Appuyer sur n'importe quelle touche pour faire redémarrer le PC (en mode normal).
Le système va mettre plus de temps que d'habitude pour redémarrer car l'outil va continuer à s'exécuter et supprimer des fichiers.
Après le chargement du Bureau, l'outil va terminer le nettoyage puis afficher Finished.



Appuyer sur n'importe quelle touche pour fermer l'outil et charger les icônes du Bureau.
Une fenêtre du Bloc-notes va s'ouvrir, affichant le rapport de SDFix.
Fermer cette fenêtre.

Envoyer en réponse:
*- le rapport de SDFix (contenu du fichier Report.txt situé dans le dossier SDFix)

A suivre,

[Wildcat]

Bonsoir,

Bon, ben, je ne sais ps bien ce que ce logiciel a fait, mais le disque G: est réapparu

Je post tout de même le rapport :

-----------------------

SDFix: Version 1.240
Run by Propriétaire on 2008-11-24 at 19:22

Microsoft Windows XP [version 5.1.2600]
Running From: C:\SDFix

Checking Services :


Restoring Default Security Values
Restoring Default Hosts File

Rebooting

Service asc3550p - Deleted after Reboot

Checking Files :

No Trojan Files Found






Removing Temp Files

ADS Check :



Final Check :

catchme 0.3.1361.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-11-24 19:26:32
Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden services & system hive ...

scanning hidden registry entries ...

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""
"DeviceNotSelectedTimeout"="15"
"GDIProcessHandleQuota"=dword:00002710
"Spooler"="yes"
"swapdisk"=""
"TransmissionRetryTimeout"="90"
"USERProcessHandleQuota"=dword:00002710
"SecureDesktop"=dword:00000000

scanning hidden files ...

scan completed successfully
hidden processes: 0
hidden services: 0
hidden files: 0


Remaining Services :




Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"="C:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe:*:Enabled:Windows Live Messenger"
"C:\\Program Files\\eMule\\emule.exe"="C:\\Program Files\\eMule\\emule.exe:*:Enabled:eMule"
"C:\\Program Files\\Philips\\Intelligent Agent\\Philips Intelligent Agent.exe"="C:\\Program Files\\Philips\\Intelligent Agent\\Philips Intelligent Agent.exe:*:Enabled:Philips Intelligent Agent"
"C:\\Program Files\\AOL 9.0a\\waol.exe"="C:\\Program Files\\AOL 9.0a\\waol.exe:*:Enabled:AOL 9.0a"
"C:\\Program Files\\AOL 9.0b\\waol.exe"="C:\\Program Files\\AOL 9.0b\\waol.exe:*:Enabled:AOL"
"C:\\Program Files\\Fichiers communs\\AOL\\Loader\\aolload.exe"="C:\\Program Files\\Fichiers communs\\AOL\\Loader\\aolload.exe:*:Enabled:AOL Loader"
"C:\\Program Files\\Fichiers communs\\AOL\\1203422821\\ee\\aolsoftware.exe"="C:\\Program Files\\Fichiers communs\\AOL\\1203422821\\ee\\aolsoftware.exe:*:Enabled:AOL Services"
"C:\\Program Files\\AIM6\\aim6.exe"="C:\\Program Files\\AIM6\\aim6.exe:*:Enabled:AIM"
"C:\\WINDOWS\\winlogon.exe"="C:\\WINDOWS\\winlogon.exe"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\\Program Files\\AOL 9.0b\\waol.exe"="C:\\Program Files\\AOL 9.0b\\waol.exe:*:Enabled:AOL"

Remaining Files :



Files with Hidden Attributes :

Fri 9 Apr 2004 54,384 A..H. --- "C:\Program Files\AOL 9.0\aolphx.exe"
Mon 10 May 2004 156,784 A..H. --- "C:\Program Files\AOL 9.0\aoltray.exe"
Fri 9 Apr 2004 31,344 A..H. --- "C:\Program Files\AOL 9.0\RBM.exe"
Fri 9 Apr 2004 54,384 A..H. --- "C:\Program Files\AOL 9.0a\aolphx.exe"
Mon 10 May 2004 156,784 A..H. --- "C:\Program Files\AOL 9.0a\aoltray.exe"
Fri 9 Apr 2004 31,344 A..H. --- "C:\Program Files\AOL 9.0a\RBM.exe"
Fri 9 Apr 2004 54,384 A..H. --- "C:\Program Files\AOL 9.0b\aolphx.exe"
Mon 10 May 2004 156,784 A..H. --- "C:\Program Files\AOL 9.0b\aoltray.exe"
Fri 9 Apr 2004 31,344 A..H. --- "C:\Program Files\AOL 9.0b\RBM.exe"
Wed 22 Oct 2008 949,072 A.SHR --- "C:\Program Files\Spybot - Search & Destroy\advcheck.dll"
Wed 22 Oct 2008 962,896 A.SHR --- "C:\Program Files\Spybot - Search & Destroy\Tools.dll"
Wed 26 Mar 2008 4,348 A.SH. --- "C:\Documents and Settings\All Users\DRM\DRMv1.bak"
Mon 4 Oct 2004 417,792 A..H. --- "C:\Program Files\Canon\Canon Setup Utility 2.0\Maint.exe"
Thu 27 May 2004 61,440 A..H. --- "C:\Program Files\Canon\Canon Setup Utility 2.0\uinstrsc.dll"
Mon 3 Mar 2008 0 A.SH. --- "C:\Documents and Settings\All Users\DRM\Cache\Indiv01.tmp"
Mon 12 Feb 2007 3,096,576 A..H. --- "C:\Documents and Settings\Propri‚taire\Application Data\U3\temp\Launchpad Removal.exe"

Finished!

-----------------------

J'espère que c'est fini, et que ce petit SDFix a aussi résolu une autre "infection" qui s'est manifestée hier : de nouveau obligée de faire un scan de démarrage avec Avast :

2008-11-20 19:29 SYSTEM 1092 Sign of "Win32:Swizzor-N [Trj]" has been found in "D:\LaMule\Incoming\Build a-lot 3 Passport to Europe no serial(crack).rar\wrar380.exe\INSTAL~1.EXE\[UPX]" file.
-> J'ai supprimé

En tout cas, très efficace :-) En espérant que mon G: ne disparaisse pas demain en rallumant l'ordinateur

[nickW]

Bonsoir,

Ton PC était infecté. SDFix l'a nettoyé.

SDFix est un outil puissant qu'il ne faut pas utiliser "n'importe quand" pour nettoyer "n'importe quoi".

Il ne faut pas le conserver sur ton PC: il est mis à jour très souvent.

Note importante:
Si tu avais créé un fichier hosts personnalisé, ce dernier a été effacé car il était endommagé. Il faut le re-créer.


A quoi te sert eMule (à part récolter des cochoncetés sur ton PC)?


A suivre,

[Wildcat]

Bonsoir,

Bon, ben... G: a encore disparu...

Faut-il refaire toute la manip?

Et qu'est-ce qu'un fichier hosts personalisé?

Et pour la mule... Perso suis passée sur mac , entre autre pour éviter ce genre de problème, mais difficile de convertir toute la famille

D'avance merci pour ton aide,