Trojan Rdriv.sys

pad74 · Message par **pad74** » 27 déc. 2005, 16:08

Bonjour à tous,

Mon antivirus AVG détecte le virus rdriv.sys

J’ai vu sur pas mal de forum qu’il n’existait pas une solution miracle pour le détruire et qu’à priori, aucun antivirus ne pouvait le supprimer.

J’ai donc envoyé un scan HijackThis, je voulais savoir si je pouvais avoir votre aide.

D’avance, je vous remercie.

Logfile of HijackThis v1.99.1
Scan saved at 15:58:29, on 27/12/2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\System32\Ati2evxx.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\system32\Ati2evxx.exe
C:\WINNT\Explorer.EXE
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
C:\Program Files\Analog Devices\SoundMAX\SMTray.exe
C:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\WkUFind.exe
C:\Program Files\Spy Emergency 2005\SpyEmergency.exe
C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
C:\Program Files\Pinnacle\Shared Files\Programs\Scheduler\PCLEScheduler.exe
C:\Program Files\Reality Fusion\Reality Fusion GameCam SE\Program\RFTRay.exe
C:\Program Files\Webshots\WebshotsTray.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\Program Files\Kerio\Personal Firewall\persfw.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\WINNT\System32\svchost.exe
C:\Program Files\Internet Explorer\iexplore.exe
D:\Mes logiciels\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O4 - HKLM\..\Run: [Smapp] C:\Program Files\Analog Devices\SoundMAX\SMTray.exe
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINNT\System32\PSDrvCheck.exe -CheckReg
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINNT\system32\NeroCheck.exe
O4 - HKCU\..\Run: [SpyEmergency] "C:\Program Files\Spy Emergency 2005\SpyEmergency.exe"
O4 - HKCU\..\Run: [eMuleAutoStart] C:\Program Files\eMule\emule.exe -AutoStart
O4 - Startup: Webshots.lnk = C:\Program Files\Webshots\WebshotsTray.exe
O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
O4 - Global Startup: Pinnacle Scheduler.lnk = ?
O4 - Global Startup: Reality Fusion GameCam SE.lnk = ?
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINNT\System32\Shdocvw.dll
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/downloads/kws/kav...can_unicode.cab
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINNT\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINNT\system32\ati2sgag.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: MicroSoft Media Tools - Unknown owner - C:\WINNT\MSmedia.exe
O23 - Service: Kerio Personal Firewall (PersFw) - Kerio Technologies - C:\Program Files\Kerio\Personal Firewall\persfw.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

Message par **Malouk** » 27 déc. 2005, 16:47

Bonjour,

Essaie a-squared Free, apparement, il sait le supprimer.

pad74 · Message par **pad74** » 27 déc. 2005, 17:09

Malouk a écrit : Bonjour,

Essaie a-squared Free, apparement, il sait le supprimer.

Bonjour Malouk,
c'est une des premières chose que j'ai fait avec ce logiciel. Mais il ne me l'a pas détecté. Ou alors en tout cas pas suprimé

Message par **Malouk** » 27 déc. 2005, 17:16

Essaie rdrivRem.zip

Le dézipper et l'exécuter en mode sans échec.

pad74 · Message par **pad74** » 27 déc. 2005, 17:47

Malouk a écrit : Essaie rdrivRem.zip

Le dézipper et l'exécuter en mode sans échec.

j'ai essayé ton utilitaire mais lorsque j'ouvre le bloc note journal des opérations, il me met ça :

rdriv.sys PRESENT!
ItunesMusic.exe NOT PRESENT!
wkssvc.exe NOT PRESENT!

~~~~~~~~~~~~~ Post run File Check ~~~~~~~~~~~~~

rdriv.sys NOT PRESENT!
ItunesMusic.exe NOT PRESENT!
wkssvc.exe NOT PRESENT!

Par contre quand je relance AVG, il me le retrouve et le virus est à nouveau présent.

Message par **Malouk** » 27 déc. 2005, 17:58

Après recherche, il smble qu' il y ai plusieurs chose à faire pour le supprimer.

- Télécharger rdrivRem.zip.

- Télécharger CleanUp40.

- Installer et mettre à jour Ewido.

- Redémarrer en mode sans échec.

- Exécuter rdrivRem.bat.

- Lancer CleanUp et répondre oui quand il à fini.

- Redémarrer.

- Lancer ewido et coller le rdriv.txt qui a été généré.

pad74 · Message par **pad74** » 27 déc. 2005, 18:16

Malouk a écrit : Après recherche, il smble qu' il y ai plusieurs chose à faire pour le supprimer.

- Télécharger rdrivRem.zip.

- Télécharger CleanUp40.

- Installer et mettre à jour Ewido.

- Redémarrer en mode sans échec.

- Exécuter rdrivRem.bat.

- Lancer CleanUp et répondre oui quand il à fini.

- Redémarrer.

- Lancer ewido et coller le rdriv.txt qui a été généré.

j'essaie ça dans la soirée.

Un grand merci pour ton attention

Je te tiens au courant

pad74 · Message par **pad74** » 27 déc. 2005, 21:29

J'ai l'impression que le simple fait d'avoir installé et mis à jour Ewido m'a permis d'enlever le trojan.

Je vais voir comment le pc se comporte dans les jours à venir. Je viendrai faire un état des lieux ici

Un grand merci ! B)