ordinateur trop lent depuis quelques temps

Csk · le 2 septembre 2006

bonjour. depuis maintenant plusieurs mois mon ordinateur est tres lent(7-8 minutes au demarrage, blocage total quand j'utilise LimeWire).Je soupçonne que ce soit un trojan surtout que hijackthis avait detecté un certain "rock.exe" que j'ai éliminé avec "fix checked". Peu de temps apres, j'ai analysé mon disque dur avec avast! qui me l'a redetecté comme si l'éliminer avec hijack avait été inutile. peu etre aussi que je me trompe et que la lenteur de mon ordi est due à quelque chose d' autre... merci infiniment pour l'analyse de mon registre.

Logfile of HijackThis v1.99.1

Scan saved at 22:24:08, on 02/09/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\ACS.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\Program Files\TOSHIBA\ConfigFree\CFSvcs.exe

C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe

C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\Program Files\Mozilla FireFox\firefox.exe

C:\Program Files\MSN Messenger\msnmsgr.exe

C:\DOCUME~1\PLENAT\LOCALS~1\Temp\Répertoire temporaire 1 pour hijackthis.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll

O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5co...b?1117182026333

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmesse...pdownloader.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{E8EB6D04-195E-4C71-8046-02F236696488}: NameServer = 84.103.237.141 86.64.145.141

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll

O23 - Service: Atheros Configuration Service (ACS) - Unknown owner - C:\WINDOWS\system32\ACS.exe

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: ConfigFree Service (CFSvcs) - TOSHIBA CORPORATION - C:\Program Files\TOSHIBA\ConfigFree\CFSvcs.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe

O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe

Gof · le 2 septembre 2006

Bonsoir Csk

Messages: 1

Bienvenue sur les forums de Zebulon

Quelques liens pour t'aider à commencer dans l'utilisation de ce forum :

Limewire est un souci déja... Désinstalle le via le panneau de configuration>Ajout/Suppression de programmes. Lis ce lien pour voir comment s'infecter avec du P2P, lis celui-ci pour voir comment s'infecter rien qu'avec un client P2P sans même télécharger... Amuse toi à chercher limewire dans la page.

Rien d'apparent dans ton rapport. Fais ces quelques manipulations qui permettront d'y voir un peu plus clair.

***

- Copie-colle le texte suivant dans le bloc-notes:

regedit /a /e %systemdrive%\regkey.txt "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig"
notepad %systemdrive%\regkey.txt

del /q %systemdrive%\regkey.txt

Sauvegarde comme mslook.bat sur le Bureau :

Nom: mslook.bat
Type: Tous les fichiers

Localise mslook.bat sur le Bureau et double-clique dessus. Poste le contenu du bloc-notes. Quand tu fermes le bloc-notes, la fenêtre CMD se fermera et le fichier texte sera effacé.

***

- Télécharge Blacklight (de F-Secure); clique sur "I ACCEPT" au bas de la page. Sauvegarde le sur ton Bureau.

Double-clique blbeta.exe et accepte la licence; clique Scan puis Next
Tu verras une liste de fichiers détectés apparaître. Tu verras également un rapport, sur ton Bureau, nommé fsbl.xxxxxxx.log (les xxxxxxx sont des chiffres).
Copie et colle le contenu de ce rapport dans ta prochaine réponse.
NE PAS choisir l'option "Rename" de suite : nous devons analyser le rapport, car des fichiers légitimes peuvent être présents, tel wbemtest.exe

***

- Fais un scan en ligne avec Panda.

Et poste le rapport qu'il t'affichera à la fin :

pour cela, assure toi que IE est correctement configuré pour le scan en ligne comme indiqué ici.
Si tu n'y arrives pas, tu trouveras un tuto ici
Tu n'es pas obligé de donner ton email, tu peux utiliser une adresse jetable si tu le souhaites : adresse jetable
Je t'invite à bien lire le tuto pour comprendre comment sauvegarder le rapport et le poster dans ta prochaine réponse.

***

- Renomme Hijackthis.exe en csk.exe ; crée un raccourci sur le bureau.

Important: surtout, ne pas créer ce dossier HijackThis dans un répertoire temporaire. Il est nécessaire que tu le déplaces dans un dossier à son nom, à la racine du disque par exemple (c:\hijackthis\).
Reposte un log hijackthis en double-cliquant sur le fichier renommé.

A plus tard.

Csk · le 2 septembre 2006

merci pour les conseils. je suis en train de faire ce que vous m'avez dit. par contre pour l'analyse en ligne avec Panda ,je n'ai pas Internet Explorer, mais mozilla firefox. est-ce un probleme? merci.

Gof · le 2 septembre 2006

Oui, l'analyse en ligne ne fonctionne qu'avec IE. Ouvre le pour procéder à cette analyse.

Csk · le 2 septembre 2006

j'ai presque fini.... par contre avec IE les fenetres buguent un peu: elles ne s'affichent pas conpletement, elles sont "coupées" et j'espere que ca va pas etre un probleme pour selectionner "consulter le rapport"

Csk · le 2 septembre 2006

voila tout a été exécuté selon les ordres :

avec mslook.bat:

REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\services]

"ERSvc"=dword:00000002

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupfolder]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\AGRSMMSG]