RootKit sous Windows 7 : mode d’emploi

Windows 7 est l’archétype de l’évolution des systèmes d’exploitation vers des gigantesques boîtes noires. Là où les fichiers installés par Windows Xp sur votre système figuraient au format compressé dans le répertoire i386 du Cdrom d’installation, extractibles par l’utilitaire extract.exe, sachez que vous aurez bien du mal à les retrouver sur le DVD d’installation de Windows 7.

Le Format WIM : Windows IMaging

Alors que Microsoft avait utilisé jusqu’à présent le format CAB au niveau de ces CD et DVD d’installation, l’éditeur a développé un nouveau format d’image compressé : Windows IMaging. Contrairement aux formats orientés “secteur” tels que le format ISO, le format WIM est indépendant de la taille des blocs. Un même fichier y est stocké une seule fois dans plusieurs images de partition repérées par des numéros d’index différents. Ces images WIM peuvent être aisément rendues “bootables” ! C’est ainsi que sur le DVD D’installation de Windows 7, vous trouverez un fichier sources/boot.wim qui permet de booter le DVD.

Ces images au format WIM sont créées par l’utilitaire ImageX qui fonctionne en ligne de commande. GImageX vous permettra d’atteindre le même résultat à l’aide d’une interface graphique ! Pour les décompresser, vous pouvez utiliser 7-Zip qui existe également sous Linux.

Eradiquer le(s) RootKit(s)

Un RootKit est un dispositif logiciel qui modifie le fonctionnement de votre système par injection de code(s) malicieux au niveau, notamment, des fichiers d’amorçage de votre système. Cette liste de fichiers est fournie par le contenu du fichier c:\windows\ntbtlog.txt lorsque vous démarrez votre système par la touche F8 dans le mode “Inscrire les événements de démarrage dans le journal“. Le rootkit peut aussi avoir ajouté un driver spécifique.

Pour éradiquer le(s) RootKit(s) qui aurai(en)t altéré les fichiers vitaux de votre système, il suffit alors de les écraser par ceux qui sont contenus dans l’archive sources/install.wim du Dvd d’installation de Windows 7. Les fichiers français sont répertoriés à l’index 3 de l’archive Windows IMaging. Par 7-Zip ou par p7zip, récupérez alors la liste des fichiers des répertoires sources/install.wim/3/windows/system32 et sources/install.wim/3/windows/system32/drivers sur un disque ou une clé Usb externe.

A l’aide d’un LiveCD Linux, Bart PE ou Win Pe, écrasez alors les fichiers des répertoires C:\windows\system32 et c:\windows\system32\drivers par ceux récupérés de l’archive install.wim que vous avez stockés ou gravés sur un périphérique externe. Après avoir rebooté votre système, vous en serez quitte, dans la plupart des cas, pour exécuter une mise à jour  de votre système à l’aide Windows Update !

Même si cette opération requiert un haut niveau de technicité, reconnaissons qu’elle reste préférable en terme de temps passé à la réinstallation complète de votre système. Vous pouvez opter également pour la restitution d’une image de votre système obtenu, après installation, à l’aide de CloneZilla, outil de clonage qui s’exécute en mode LiveCD.