execution d'explorer.exe impossible

[infameus]

Bonjour,

j'ai installé aujourd'hui un programme qui malheureusement était vérolé, et depuis impossible de démarrer le process explorer.exe (en résumé j'ai qu'un fond d'écran sur mon bureau). J'ai essayé de le lancer manuellement grace au gestionnaire de tache mais il se referme moins d'une seconde apres. Mon Avast ni voit que du feu, j'ai fais un scan sur House call de trend micro qui me detecte un truc inconnu (POSSIBLE_VUNDO-1) mais apres plusieurs suppression de dll pourries dans /windows/system32/ et plusieur scan, le truc reviens. J'ai tenté de lancer les outils de suppression Vundo sur secuser, mais ca na pas l'air d'etre cà.

Voici le log de Hijack :

 

Logfile of HijackThis v1.99.1

Scan saved at 15:28:29, on 09/07/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Comodo\CBOClean\BOCORE.exe

C:\WINDOWS\system32\oodag.exe

C:\Program Files\MGE\PersonalSolutionPac\BIL.EXE

C:\Program Files\MGE\PersonalSolutionPac\CILUSB.EXE

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\WINDOWS\system32\taskmgr.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.EXE

C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\ccc.exe

C:\Documents and Settings\infame\Bureau\FixVundo.exe

C:\Program Files\Hijackthis Version Française\VERSION TRADUITE ORIGINALE.EXE

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.fr/ie

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.fr

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.google.fr/ie

R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.google.fr/keyword/%s

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.google.fr/

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {6ED63687-EB85-4687-A8D0-17E9792B20CA} - C:\WINDOWS\system32\urqrrqo.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll

O2 - BHO: (no name) - {933AD971-D927-4F3D-ABF0-65B386B8C641} - C:\WINDOWS\system32\ssqpn.dll (file missing)

O2 - BHO: (no name) - {C8B55394-74F8-43CC-AFBA-0E2A90EFEA35} - C:\WINDOWS\system32\mllmn.dll

O4 - HKLM\..\Run: [startCCC] C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe

O4 - HKLM\..\Run: [pspNetSystray] C:\Program Files\MGE\PersonalSolutionPac\mgenetsystray.exe

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [H2O] C:\Program Files\SyncroSoft\Pos\H2O\cledx.exe

O4 - HKLM\..\Run: [OODefragTray] C:\WINDOWS\system32\oodtray.exe

O4 - HKLM\..\Run: [Ai Quicker Help] "C:\Program Files\ASUS\ASUS DH Remote\AsRc.exe"

O4 - HKLM\..\Run: [bOC-424] C:\PROGRA~1\Comodo\CBOClean\BOC424.exe

O4 - HKCU\..\Run: [steam] "d:\jeux\steam\steam.exe" -silent

O4 - HKCU\..\Run: [ccleaner] "C:\Program Files\CCleaner\ccleaner.exe" /AUTO

O4 - Global Startup: ASUS WiFi-AP Solo.lnk = ?

O4 - Global Startup: DMX 6fire 2496 ControlPanel.lnk = ?

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll

O10 - Unknown file in Winsock LSP: c:\program files\bonjour\mdnsnsp.dll

O17 - HKLM\System\CCS\Services\Tcpip\..\{2974B108-EC7E-47BE-9BC7-E3F66B538BE8}: NameServer = 192.168.0.254

O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Program Files\Fichiers communs\Microsoft Shared\Help\hxds.dll

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL

O18 - Filter hijack: text/xml - {807563E5-5146-11D5-A672-00B0D022E945} - C:\PROGRA~1\FICHIE~1\MICROS~1\OFFICE12\MSOXMLMF.DLL

O20 - Winlogon Notify: mllmn - C:\WINDOWS\system32\mllmn.dll

O20 - Winlogon Notify: ssqpn - C:\WINDOWS\system32\ssqpn.dll (file missing)

O20 - Winlogon Notify: urqrrqo - C:\WINDOWS\SYSTEM32\urqrrqo.dll

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: BOCore - COMODO - C:\Program Files\Comodo\CBOClean\BOCORE.exe

O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Fichiers communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe

O23 - Service: MGE Service module - Unknown owner - C:\Program Files\MGE\PersonalSolutionPac\RunSC.exe

O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe

 

--> ssqpn.dll était un des fichiers vérolé donc "couic" !

Voilà, je vous donnerez de plus ample détails au fur et à mesure de mes recherches. Merci.

[infameus]

D'apres le log d'Hijack le problème semble venir de faux fichier (dll) lancé par winlogon...

[infameus]

Bon, j'ai lancer un VundoFix 6.5.4 de atribune.org qui ma basardé les dlls et depuis ca à l'air de refonctionner.

Ca devait etre une nouvelle version de Vundo, mais je dois etre le seul à qui ca empechait le démarrage d'explorer.exe .

Si ca peut etre utile à d'autre ...

[Thanos]

salut

 

Je vois que tu as détecté et utilisé le bon outil tout seul

Ceci dit, je te conseille à titre de vérification, de poster un nouveau rapport hijackthis ainsi que le rapport de VundoFix que tu trouveras ici > C:\VundoFix.txt

certaines variantes de Vundo sont résistantes et il faut parfois utiliser d'autres méthodes! n'hésite pas !