rootkit possible ? pas de port svchost 135! - aucun utilisateur dans gestionaire tache!... une idée ?????

Bonjour

J'ai depuis quelques jours un soucis qui semble être un rootkit possible
avec comme symptome :
- Aucune connection ouverte/visible par svchost sur le port EPMAP (135). je
n'ai
pas bloque volontairement l'utilisation de ce port sur ce pc. svchost est
bien en memoire.
- Les connections SVCHOST sont visibles lors des maj win update
- Le gestionnaire de tache ne montre AUCUN utilisateur/session ouverte alors
que j'ai bien ouvert une session
- Les processus tournent sous aucun nom d'utilisateur/system/auth.nt ou
autre. Seul NULL (processus inactif) tourne sous SYSTEME.

Config : XP SP2 + maj Firewall : Kerio 4.3.744 - Antivirus : AOL Antivirus
(moteur Kaspersky) - Spybot S&D - AVG AntiSpy ..

je ne trouve aucun process bizarre
les rapport hjackthis2 / a2hijack / codestuff / autorun sysinternals sont
clean

Gmer / Darkspy / Seem / Icesword ne trouvent que les hook normaux de klif
(kaspersky) ; fwdr/khips (kerio) et guard (Avg AntiSpyware)
les autres rootkit blacklight/panda/mcafee/ ne voient rien

seul Rku trouve une injection inline [unknown_code_page] :
ndis.sys-->NdisMIndicateStatus, Type: Inline - DirectJump at address
0xF83C9A5F hook handler located in [fwdrv.sys]
ntoskrnl.exe-->FsRtlCheckLockForReadAccess, Type: Inline - RelativeJump at
address 0x80503C29 hook handler located in [klif.sys]
ntoskrnl.exe-->IoCreateDevice, Type: EAT modification at address 0x806818F4
hook handler located in [unknown_code_page]
ntoskrnl.exe-->IoIsOperationSynchronous, Type: Inline - RelativeJump at
address 0x804E8752 hook handler located in [klif.sys]
ntoskrnl.exe-->SwapContext, Type: Inline - RelativeJump at address
0x804DB92E hook handler located in [klif.sys]
tcpip.sys-->ndis.sys-->NdisCloseAdapter, Type: IAT modification at address
0xF42AFF28 hook handler located in [fwdrv.sys]
tcpip.sys-->ndis.sys-->NdisOpenAdapter, Type: IAT modification at address
0xF42AFF54 hook handler located in [fwdrv.sys]
tcpip.sys-->ndis.sys-->NdisRegisterProtocol, Type: IAT modification at
address 0xF42AFF60 hook handler located in [fwdrv.sys]
tcpip.sys-->ntoskrnl.exe-->IoCreateDevice, Type: IAT modification at address
0xF42AFF88 hook handler located in [unknown_code_page]
wanarp.sys-->ndis.sys-->NdisCloseAdapter, Type: IAT modification at address
0xF86BBB4C hook handler located in [fwdrv.sys]
wanarp.sys-->ndis.sys-->NdisDeregisterProtocol, Type: IAT modification at
address 0xF86BBB1C hook handler located in [fwdrv.sys]
wanarp.sys-->ndis.sys-->NdisOpenAdapter, Type: IAT modification at address
0xF86BBB3C hook handler located in [fwdrv.sys]
wanarp.sys-->ndis.sys-->NdisRegisterProtocol, Type: IAT modification at
address 0xF86BBB28 hook handler located in [fwdrv.sys]
wanarp.sys-->ntoskrnl.exe-->IoCreateDevice, Type: IAT modification at
address 0xF86BBC08 hook handler located in [unknown_code_page]


Une probable modif de kernel32 ?
ListDLLs v2.25 - DLL lister for Win9x/NT
Copyright (C) 1997-2004 Mark Russinovich
Sysinternals - www.sysinternals.com
explorer.exe pid: 620
Command line: C:\WINDOWS\Explorer.EXE
Base Size Version Path
*** Loaded C:\WINDOWS\system32\kernel32.dll differs from file image:
*** File timestamp: Wed Jul 05 12:56:38 2006
*** Loaded image timestamp: Wed Jul 05 12:56:39 2006
*** 0x7c800000 0x104000 5.01.2600.2945 C:\WINDOWS\system32\kernel32.dll

si quelqu'un a cette version de kernel32
version : 5.1.2600.2945 (xpsp_sp2_gdr.060704-2349)
merci de verifier que les hash correspondent :
Md5 =: CE4AF1FA47A29ADF97CB107775CE395C
Sha1 = 9101E33663A168326921A0325E7FC0ED9C0F50E7

un sniff du reseau ne trouve rien de particulier !

merci pour toute suggestion .


elarifr