Enorme ralentissement du système (formatage => fermé)

pear · le 12 décembre 2008

Téléchargez Dr.Web CureIt sur le Bureau:

Imprimez ces instructions car , vous allez lancer le mode sans échec qui ne permet la connexion internet.

Redémarrez en mode sans échec.

Pour cela:

* Au redémarrage de l'ordinateur,Tapotez en alternance les touches [F8] et[F5] jusqu'à l'affichage du menu des options avancées de Windows.

* Sélectionnez "Mode sans échec" et validez].

* Choisir votre compte usuel,.

* Double cliquez drweb-cureit.exe puis sur Analyse ;

* Cliquez Ok à l'invite de l'analyse rapide.

Ce scan analyse les processus chargés en mémoire ;

Si des processus infectés sont trouvés, cliquez sur Oui pour tout".

une fenêtre s'ouvrira avec options pour "Commander" ou "50% de réduction" ; quitter en cliquant le "X"

* Lorsque le scan rapide est terminé, Cliquez sur le menu Options ->Changer la configuration ;

* Choisissez l'onglet Scanner, et décochez Analyse heuristique Cliquez "Ok"

* De retour à la fenêtre principale : cliquez pour activer Analyse complète;

* Cliquez le bouton avec flèche vertesur la droite,:le scan débutera.

* A l'invite "Désinfecter ?" lorsqu'un fichier est détecté,Cliquez Oui pour tout puis cliquez Désinfecter.

* Lorsque le scan sera complété, cliquez sur cette icône, à côté des fichiersdétectés:http://users.telenet.be/bluepatchy/miekiemoes/images/check.gif

* puis sur l'icône "Suivant", au dessous, et choisissez Déplacer en quarantaine l'objet indésirable

* Au menu principal de l'outil, au haut à gauche, cliquez sur le menu Fichier et choisissez Enregistrer le rapport qui se nommera DrWeb.csv

* Sauvegardez le rapport sur le Bureau.

* Fermez Dr.Web Cureit

* Redémarrez impérativement, car certains fichiers peuvent être déplacés/réparés au redémarrage.

* Copiez/Collez le contenu du rapport de Dr.Web dans la prochaine réponse.

mc19 · le 13 décembre 2008

Bonsoir après environ 23h d'analyse j'ai obtenu le rapport suivant

maconfservice.exe c:\program files\ma-config.com Probablement BACKDOOR.Trojan Irréparable.Supprimé.

Combo-Fix.exe\32788R22FWJFW\C.bat C:\Documents and Settings\patrick leschot\Bureau\Combo-Fix.exe Probablement BATCH.Virus

Combo-Fix.exe\32788R22FWJFW\psexec.cfexe C:\Documents and Settings\patrick leschot\Bureau\Combo-Fix.exe Program.PsExec.171

Combo-Fix.exe C:\Documents and Settings\patrick leschot\Bureau L'archive contient des éléments infectés Quarantaine.

Process.exe C:\Documents and Settings\patrick leschot\Bureau\Sdfix\SDFix\apps Tool.Prockill Quarantaine.

Mais explorer.exe est toujours très lent au démarrage, la barre de tâche va toujours autant lentement au démarrage, les processus utilisent toujours une quantité de mémoire énorme alors qu'avant ils n'utilisaient même pas la moitiés.....enfin voila je crois que j'ai tout dit

Je vous remercies pour le temps que vous utilisez pour m'aider à résoudre mon problème.

Modifié le 14 décembre 2008 par mc19

pear · le 14 décembre 2008

Très probablement bagle est toujours là, ce qui explique la lenteur de votre pc.

télécharger, sur le bureau

DirLook de jpshortstuff

* Double-cliquer sur DirLook.exe pour le lancer.

* Cocher Show Hidden Files et BBCode Ouput

* Copier le contenu ci-dessous dans le champ texte principal :

c:\documents and settings\patrick leschot\Application Data\drivers

* Cliquer sur le bouton DirLook pour lancer l'examen.

* Quand il est terminé, une fenêtre du Bloc-notes s'ouvre avec le résultat du scan.

Merci de poster ce rapport dans ta prochaine réponse. (Note : Le rapport peut aussi être trouvé dans C:\dl_log.txt)

Note : Il se peut que l'examen prenne du temps pour les gros répertoires.

Pour enlever les programmes utilisés pendant la procédure.

Télécharger ToolsCleaner2 de A.Rothstein

* Enregistrer ToolsCleaner2.exe sur le Bureau.

Sous Vista,Clic-droit > Exécuter en tant que Administrateur

* Double-cliquer dessus, puis cliquer sur Recherche --> Le programme va chercher les utilitaires installés

------> Il se peut que la fenêtre devienne blanche pendant le scan, c'est normal !

L'outil supprimera sans que vous ayez à intervenir.

* Copier-coller le contenu du rapport qui apparait dans la fenêtre blanche.

Réinstallez Combofix renommé en Karcher.exe comme plus haut $3.

Modifié le 14 décembre 2008 par pear

mc19 · le 14 décembre 2008

voila le rapport de Dirlook

DirLook.exe v2.0 by jpshortstuff

Log created at 16:43 on 14/12/2008

==================================

Contents of "c:\documents and settings\patrick leschot\Application Data\drivers"

Unable to find directory.

==================================

=EOF=

et voila le rapport de combofix :

ComboFix 08-12-13.03 - patrick leschot 2008-12-14 17:03:18.6 - NTFSx86 DSREPAIR

Microsoft Windows XP Professionnel 5.1.2600.3.1252.33.1036.18.1023.510 [GMT 1:00]

Lancé depuis: c:\documents and settings\patrick leschot\Bureau\Karcher.exe

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

c:\temp\1cb

c:\temp\1cb\syscheck.log

c:\windows\system32\wugyinlv.dll

.

((((((((((((((((((((((((((((( Fichiers créés du 2008-11-14 au 2008-12-14 ))))))))))))))))))))))))))))))))))))

.

2015-03-12 19:36 . 2007-10-24 19:14 <REP> d-------- c:\program files\Rapidown

2008-12-14 15:06 . 2008-12-14 15:06 <REP> d--h----- c:\windows\system32\WLANProfiles

2008-12-14 15:06 . 2008-12-14 15:06 <REP> d--h----- C:\Settings

2008-12-14 15:06 . 2008-12-14 15:06 516 --a------ C:\Settings.ini

2008-12-14 13:33 . 2008-12-14 13:33 <REP> d-------- c:\program files\TweakXP 2

2008-12-14 13:33 . 2008-12-14 13:34 104 --a------ c:\windows\_vmtxp.ini

2008-12-13 23:07 . 2006-05-25 14:52 162,304 --a------ c:\windows\system32\ztvunrar36.dll

2008-12-13 23:07 . 2003-02-02 19:06 153,088 --a------ c:\windows\system32\UNRAR3.dll

2008-12-13 23:07 . 2005-08-26 00:50 77,312 --a------ c:\windows\system32\ztvunace26.dll

2008-12-13 23:07 . 2002-03-06 00:00 75,264 --a------ c:\windows\system32\unacev2.dll

2008-12-13 23:07 . 2006-06-19 12:01 69,632 --a------ c:\windows\system32\ztvcabinet.dll

2008-12-13 23:06 . 2008-12-13 23:07 <REP> d-------- c:\program files\Trojan Remover

2008-12-13 23:06 . 2008-12-13 23:06 <REP> d-------- c:\documents and settings\patrick leschot\Application Data\Simply Super Software

2008-12-13 23:06 . 2008-12-13 23:06 <REP> d-------- c:\documents and settings\All Users\Application Data\Simply Super Software

2008-12-12 23:50 . 2008-12-13 07:16 <REP> d-------- c:\documents and settings\patrick leschot\DoctorWeb

2008-12-12 21:50 . 2008-12-12 21:50 <REP> d-------- c:\windows\system32\wER

2008-12-12 21:50 . 2008-12-12 21:51 <REP> d-------- c:\windows\system32\TB

2008-12-12 21:50 . 2008-12-12 21:50 <REP> d-------- c:\temp\REX81

2008-12-12 21:50 . 2008-12-12 21:50 97,163 --a------ c:\temp\P2KT56.exe

2008-12-11 21:59 . 2008-12-12 08:55 <REP> d-------- C:\ComboFix

2008-12-11 19:31 . 2008-12-11 19:35 <REP> d-------- C:\ToolBar SD

2008-12-11 19:09 . 2008-12-11 19:09 <REP> d-------- C:\Backups

2008-12-11 17:20 . 2008-12-11 17:21 <REP> d-------- C:\rsit

2008-12-09 22:33 . 2008-12-09 22:33 <REP> d-------- c:\program files\Uniblue

2008-12-09 22:32 . 2008-12-09 22:33 <REP> d--h-c--- c:\documents and settings\All Users\Application Data\{B46E1EF5-0B37-4DB4-A4E2-9F2B41036185}

2008-12-09 18:06 . 2008-12-10 22:46 <REP> d-------- c:\program files\Mozilla Firefox 3.1 Beta 2

2008-12-02 21:36 . 2008-12-02 21:36 <REP> d-------- c:\documents and settings\patrick leschot\Application Data\Malwarebytes

2008-12-02 21:36 . 2008-12-02 21:36 <REP> d-------- c:\documents and settings\All Users\Application Data\Malwarebytes

2008-12-02 21:36 . 2008-12-03 19:52 38,496 --a------ c:\windows\system32\drivers\mbamswissarmy.sys

2008-12-02 21:36 . 2008-12-03 19:52 15,504 --a------ c:\windows\system32\drivers\mbam.sys

2008-12-02 21:35 . 2008-12-08 23:24 <REP> d-------- c:\program files\Malwarebytes' Anti-Malware

2008-12-02 21:12 . 2008-12-08 20:21 <REP> d-------- C:\Host

2008-12-02 21:07 . 2008-12-02 21:07 <REP> d-------- c:\program files\Enigma Software Group

2008-12-01 22:41 . 2008-12-01 22:47 <REP> d-------- c:\windows\system32\hdined32.nls.{00021401-0000-0000-C000-000000000046}

2008-12-01 22:41 . 2008-12-01 22:47 <REP> d-------- c:\program files\burnatonce

2008-11-18 22:13 . 2008-11-18 22:17 <REP> d-------- c:\program files\IDoser v4

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2008-12-14 12:24 --------- d---a-w c:\documents and settings\All Users\Application Data\TEMP

2008-12-12 23:04 --------- d-----w c:\program files\ma-config.com

2008-12-12 07:56 --------- d-----w c:\program files\McAfee

2008-12-09 21:45 --------- d--h--w c:\program files\InstallShield Installation Information

2008-12-09 21:45 --------- d-----w c:\program files\NCSoft

2008-12-09 18:34 --------- d-----w c:\program files\eMule

2008-12-08 20:59 --------- d-----w c:\program files\SpeedFan

2008-12-08 20:43 --------- d-----w c:\documents and settings\LocalService\Application Data\SACore

2008-12-04 23:39 --------- d-----w c:\documents and settings\patrick leschot\Application Data\MiniLyrics

2008-12-02 21:46 --------- d-----w c:\program files\GemMasterFrench

2008-11-28 23:02 --------- d-----w c:\program files\DivX

2008-11-03 18:07 --------- d-----w c:\program files\Veoh Networks

2008-10-31 20:19 --------- d-----w c:\program files\ATI Technologies

2008-10-31 19:16 --------- d-----w c:\documents and settings\All Users\Application Data\ma-config.com

2008-10-27 17:15 --------- d-----w c:\program files\WinLemm

2008-10-24 14:42 --------- d-----w c:\program files\TuneUp Utilities 2008

2008-10-24 12:49 --------- d-----w c:\documents and settings\patrick leschot\Application Data\Atari

2008-10-24 12:10 --------- d-----w c:\program files\Fichiers communs\PocketSoft

2008-10-24 12:02 --------- d-----w c:\program files\Atari

2008-10-24 11:21 455,296 ----a-w c:\windows\system32\drivers\mrxsmb.sys

2008-10-24 10:20 --------- d-----w c:\program files\Microsoft Silverlight

2008-10-15 21:47 --------- d-----w c:\program files\Satellite TV for PC

2008-10-15 21:44 --------- d-----w c:\documents and settings\patrick leschot\Application Data\TVU Networks

2006-11-04 19:01 2,995,368 ----a-w c:\documents and settings\patrick leschot\SVGView.exe

2006-02-03 20:36 251 ----a-w c:\program files\wt3d.ini

2008-08-10 14:21 6,580 --sha-w c:\windows\system32\KGyGaAvL.sys

2008-07-04 20:37 32,768 --sha-w c:\windows\system32\config\systemprofile\Local Settings\Historique\History.IE5\MSHist012008070420080705\index.dat

.

((((((((((((((((((((((((((((( snapshot_2008-12-11_20.26.18.64 )))))))))))))))))))))))))))))))))))))))))

.

+ 2008-08-07 14:27:04 163,328 ----a-w c:\windows\ERUNT\SDFIXT\ERDNT.EXE

+ 2008-12-11 18:24:20 12,840,960 ----a-w c:\windows\ERUNT\SDFIXT\Users\00000001\ntuser.dat

+ 2008-12-11 18:24:20 49,152 ----a-w c:\windows\ERUNT\SDFIXT\Users\00000002\UsrClass.dat

- 2008-12-11 18:53:04 32,768 ----a-w c:\windows\system32\config\systemprofile\Cookies\index.dat

+ 2008-12-14 09:47:08 32,768 ----a-w c:\windows\system32\config\systemprofile\Cookies\index.dat

- 2008-12-11 18:53:04 32,768 ----a-w c:\windows\system32\config\systemprofile\Local Settings\Historique\History.IE5\index.dat

+ 2008-12-14 09:47:08 32,768 ----a-w c:\windows\system32\config\systemprofile\Local Settings\Historique\History.IE5\index.dat

+ 2008-12-14 09:47:08 32,768 --sha-w c:\windows\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\index.dat

.

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))

.

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"ctfmon.exe"="c:\windows\system32\ctfmon.exe" [2008-04-13 15360]

"USB Safely Remove"="c:\program files\USB Safely Remove\USBSafelyRemove.exe" [2008-07-29 3256320]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Dell QuickSet"="c:\program files\Dell\QuickSet\quickset.exe" [2005-09-01 684032]

"mcagent_exe"="c:\program files\McAfee.com\Agent\mcagent.exe" [2007-11-01 582992]

"ATIPTA"="c:\program files\ATI Technologies\ATI Control Panel\atiptaxx.exe" [2005-08-05 344064]

"IntelWireless"="c:\program files\Intel\Wireless\Bin\ifrmewrk.exe" [2004-10-30 385024]

"MskAgentexe"="c:\program files\McAfee\MSK\MskAgent.exe" [2007-11-26 141640]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-13 15360]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]

"NoViewOnDrive"= 0 (0x0)

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\IntelWireless]

2004-09-07 17:08 110592 c:\program files\Intel\Wireless\Bin\LgNotify.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\WB]

2001-12-20 23:34 24576 c:\program files\AlienGUIse\fastload.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]

"MSACM.CEGSM"= mobilev.acm

"msacm.ac3filter"= ac3filter.acm

"msacm.avis"= ff_acm.acm

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Démarrage rapide du logiciel HP Image Zone.lnk]

path=c:\documents and settings\All Users\Menu Démarrer\Programmes\Démarrage\Démarrage rapide du logiciel HP Image Zone.lnk

backup=c:\windows\pss\Démarrage rapide du logiciel HP Image Zone.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^HP Digital Imaging Monitor.lnk]

path=c:\documents and settings\All Users\Menu Démarrer\Programmes\Démarrage\HP Digital Imaging Monitor.lnk

backup=c:\windows\pss\HP Digital Imaging Monitor.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^MoneyPen.lnk]

path=c:\documents and settings\All Users\Menu Démarrer\Programmes\Démarrage\MoneyPen.lnk

backup=c:\windows\pss\MoneyPen.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Apoint]

--a------ 2004-09-13 17:33 155648 c:\program files\Apoint\Apoint.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\BJCFD]

--a------ 2002-12-16 19:26 376912 c:\program files\BroadJump\Client Foundation\CFD.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Corel Photo Downloader]

--a------ 2005-08-31 12:06 106496 c:\program files\Corel\Corel Photo Album 6\MediaDetect.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DAEMON Tools]

--a------ 2006-11-12 11:48 157592 c:\program files\DAEMON Tools\daemon.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\dla]

--a------ 2004-12-06 02:05 127035 c:\windows\system32\dla\tfswctrl.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DVDLauncher]

--------- 2005-02-23 17:19 53248 c:\program files\CyberLink\PowerDVD\DVDLauncher.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\H/PC Connection Agent]

--a------ 2004-02-24 09:20 401491 c:\program files\Microsoft ActiveSync\wcescomm.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\HP Software Update]

--a------ 2005-05-11 22:12 49152 c:\program files\HP\HP Software Update\hpwuSchd2.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ISUSPM Startup]

--a------ 2005-06-10 11:44 249856 c:\program files\Fichiers communs\InstallShield\UpdateService\ISUSPM.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ISUSScheduler]

--a------ 2005-06-10 11:44 81920 c:\program files\Fichiers communs\InstallShield\UpdateService\issch.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\iTunesHelper]

--a------ 2008-03-30 09:36 267048 c:\program files\iTunes\iTunesHelper.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\PCSuiteTrayApplication]

--a------ 2007-06-18 14:10 271360 c:\program files\Nokia\Nokia PC Suite 6\LaunchApplication.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Sony Ericsson PC Suite]

-ra------ 2005-10-26 16:17 159744 c:\program files\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched]

--a------ 2003-11-19 18:48 32881 c:\program files\Java\j2re1.4.2_03\bin\jusched.exe

[HKEY_LOCAL_MACHINE\software\microsoft\security center]

"AntiVirusDisableNotify"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\McAfeeAntiVirus]

"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\McAfeeFirewall]

"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"c:\\Program Files\\Microsoft ActiveSync\\wcescomm.exe"=

"c:\\Program Files\\CambridgeSoft\\ChemOffice2008\\ChemDraw\\ChemDraw.exe"=

"c:\\Program Files\\iTunes\\iTunes.exe"=

"c:\\Program Files\\Fichiers communs\\McAfee\\MNA\\McNASvc.exe"=

"c:\\Program Files\\Sony Ericsson\\Sony Ericsson Media Manager\\MediaManager.exe"=

"c:\\Program Files\\Winamp Remote\\bin\\Orb.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"%windir%\\system32\\sessmgr.exe"=

"c:\\Program Files\\eMule\\emule.exe"=

"c:\\Program Files\\Bonjour\\mDNSResponder.exe"=

"c:\\Program Files\\MSN Messenger\\msnmsgr.exe"=

"c:\\Program Files\\MSN Messenger\\livecall.exe"=

"c:\\Program Files\\TVersity\\Media Server\\MediaServer.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]

"3776:UDP"= 3776:UDP:Service de Media Center Extender

"3390:TCP"= 3390:TCP:Services Media Center à distance

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]

QWAVE REG_MULTI_SZ QWAVE

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs

UxTuneUp

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{822107a6-9438-11db-8d92-001422ea6527}]

\Shell\AutoRun\command - H:\setupSNK.exe

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{61E3FE32-07B9-4563-A3E0-2DE2D620FE10}]

c:\program files\PixiePack Codec Pack\InstallerHelper.exe

.

Contenu du dossier 'Tâches planifiées'

2008-12-12 c:\windows\Tasks\1-Click Maintenance.job

- c:\program files\TuneUp Utilities 2008\OneClick.exe [2008-06-20 08:23]

2008-12-11 c:\windows\Tasks\AppleSoftwareUpdate.job

- c:\program files\Apple Software Update\SoftwareUpdate.exe [2008-04-11 16:57]

2008-12-14 c:\windows\Tasks\Maintenance en 1 clic.job

- c:\program files\TuneUp Utilities 2008\OneClickStarter.exe [2008-06-20 08:23]

2008-11-15 c:\windows\Tasks\McDefragTask.job

- c:\progra~1\mcafee\mqc\QcConsol.exe [2007-12-04 12:32]

2008-11-01 c:\windows\Tasks\McQcTask.job

- c:\progra~1\mcafee\mqc\QcConsol.exe [2007-12-04 12:32]

.

------- Examen supplémentaire -------

.

uStart Page = www.google.com

uSearchMigratedDefaultURL = hxxp://www.google.com/search?q={searchTerms}&sourceid=ie7&rls=com.microsoft:en-US&ie=utf8&oe=utf8

uDefault_Search_URL = hxxp://www.google.com/ie

uInternet Settings,ProxyOverride = *.local

uSearchURL,(Default) = hxxp://www.google.com/search?q=%s

IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

WinCE Filter: image/bmp - {86F59FAE-FB3A-11D1-AA72-00C04FAE2D4B} - c:\program files\Microsoft ActiveSync\CENetFlt.dll

WinCE Filter: image/gif - {86F59FAE-FB3A-11D1-AA72-00C04FAE2D4B} - c:\program files\Microsoft ActiveSync\CENetFlt.dll

WinCE Filter: image/jpeg - {86F59FAE-FB3A-11D1-AA72-00C04FAE2D4B} - c:\program files\Microsoft ActiveSync\CENetFlt.dll

WinCE Filter: image/xbm - {86F59FAE-FB3A-11D1-AA72-00C04FAE2D4B} - c:\program files\Microsoft ActiveSync\CENetFlt.dll

WinCE Filter: text/asp - {6C5C3074-FFAB-11d1-8EC4-00C04F98D57A} - c:\program files\Microsoft ActiveSync\CENetFlt.dll

WinCE Filter: text/html - {6C5C3074-FFAB-11d1-8EC4-00C04F98D57A} - c:\program files\Microsoft ActiveSync\CENetFlt.dll

FF - ProfilePath - c:\documents and settings\patrick leschot\Application Data\Mozilla\Firefox\Profiles\wqx0ket5.default\

FF - prefs.js: browser.search.defaulturl - hxxp://search.conduit.com/ResultsExt.aspx?ctid=CT1361345&SearchSource=3&q=

FF - plugin: c:\documents and settings\patrick leschot\Application Data\Mozilla\Firefox\Profiles\wqx0ket5.default\extensions\{bb628310-0ab7-11db-9cd8-0800200c9a66}\plugins\nphardwaredetection.dll

FF - plugin: c:\program files\CambridgeSoft\ChemOffice2008\Chem3D\npChem3DPlugin.dll

FF - plugin: c:\program files\CambridgeSoft\ChemOffice2008\ChemDraw\NPCDP32.DLL

FF - plugin: c:\program files\DivX\DivX Content Uploader\npUpload.dll

FF - plugin: c:\program files\iTunes\Mozilla Plugins\npitunes.dll

FF - plugin: c:\program files\Java\j2re1.4.2_03\bin\NPJava11.dll

FF - plugin: c:\program files\Java\j2re1.4.2_03\bin\NPJava12.dll

FF - plugin: c:\program files\Java\j2re1.4.2_03\bin\NPJava13.dll

FF - plugin: c:\program files\Java\j2re1.4.2_03\bin\NPJava14.dll

FF - plugin: c:\program files\Java\j2re1.4.2_03\bin\NPJava32.dll

FF - plugin: c:\program files\Java\j2re1.4.2_03\bin\NPJPI142_03.dll

FF - plugin: c:\program files\Java\j2re1.4.2_03\bin\NPOJI610.dll

FF - plugin: c:\program files\ma-config.com\nphardwaredetection.dll

FF - plugin: c:\program files\Microsoft Silverlight\2.0.31005.0\npctrl.1.0.30716.0.dll

FF - plugin: c:\program files\Microsoft Silverlight\2.0.31005.0\npctrl.dll

FF - plugin: c:\program files\Veoh Networks\Veoh\Plugins\noreg\NPVeohVersion.dll

.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-12-14 17:24:09

Windows 5.1.2600 Service Pack 3 NTFS

Recherche de processus cachés ...

Recherche d'éléments en démarrage automatique cachés ...

Recherche de fichiers cachés ...

Scan terminé avec succès

Fichiers cachés: 0

**************************************************************************

.

--------------------- DLLs chargées dans les processus actifs ---------------------

- - - - - - - > 'winlogon.exe'(1196)

c:\windows\system32\Ati2evxx.dll

c:\program files\AlienGUIse\fastload.dll

c:\program files\Intel\Wireless\Bin\LgNotify.dll

- - - - - - - > 'explorer.exe'(4048)

c:\program files\McAfee\SiteAdvisor\saHook.dll

.

------------------------ Autres processus actifs ------------------------

.

c:\windows\system32\ati2evxx.exe

c:\program files\Intel\Wireless\Bin\ZCfgSvc.exe

c:\program files\Intel\Wireless\Bin\EvtEng.exe

c:\program files\Intel\Wireless\Bin\S24EvMon.exe

c:\program files\Intel\Wireless\Bin\WLKEEPER.exe

c:\windows\system32\ati2evxx.exe

c:\program files\Lavasoft\Ad-Aware\aawservice.exe

c:\progra~1\Intel\Wireless\Bin\1XConfig.exe

c:\program files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

c:\program files\Bonjour\mDNSResponder.exe

c:\windows\ehome\ehrecvr.exe

c:\windows\ehome\ehSched.exe

c:\program files\McAfee\SiteAdvisor\McSACore.exe

c:\progra~1\McAfee\MSC\mcmscsvc.exe

c:\progra~1\FICHIE~1\McAfee\MNA\McNASvc.exe

c:\progra~1\FICHIE~1\McAfee\McProxy\McProxy.exe

c:\program files\McAfee\VirusScan\Mcshield.exe

c:\program files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE

c:\program files\McAfee\MSK\msksrver.exe

c:\program files\Fichiers communs\Nero\Nero BackItUp 4\NBService.exe

c:\windows\system32\netdde.exe

c:\program files\Dell\NicConfigSvc\NicConfigSvc.exe

c:\program files\CDBurnerXP\NMSAccessU.exe

c:\windows\system32\HPZipm12.exe

c:\program files\Intel\Wireless\Bin\RegSrvc.exe

c:\windows\ehome\RMSvc.exe

c:\windows\ehome\McrdSvc.exe

c:\program files\Canon\CAL\CALMAIN.exe

c:\windows\system32\dllhost.exe

c:\progra~1\McAfee\VIRUSS~1\mcsysmon.exe

c:\program files\McAfee\MPF\MpfSrv.exe

c:\progra~1\McAfee\MSC\mcuimgr.exe

.

**************************************************************************

.

Heure de fin: 2008-12-14 17:42:46 - La machine a redémarré

ComboFix-quarantined-files.txt 2008-12-14 16:41:47

ComboFix2.txt 2008-12-12 19:07:54

ComboFix3.txt 2008-12-12 08:54:55

ComboFix4.txt 2008-03-23 11:45:18

Avant-CF: 13'973'422'080 octets libres

AprÞs-CF: 13,975,662,592 octets libres

296 --- E O F --- 2008-12-11 14:38:42

Quand je vais voir dans gestionnaire de tache -> performance , 58processus ouvert + uc utilisé = 98-100% , pourquoi?? pourtant je n'ai rien de très gourmand qui devrait fonctionner, mais mes processus habituels montent très haut

exemples :

- svchost.exe (10x) = 3948-26432ko

- explorer.exe= 11992ko

- ZCfgSvc.exe= 9328ko

- services.exe= 4100ko

- WLKEEPER.exe= 5220ko

- aawservice.exe = 1632ko

- AppleMobileDeviceService.exe= 2672ko

- Ati2evxx.exe (2x) = 2836-5088ko

- Atiptaxx = 5712ko

- Calmain.exe = 3172ko

- csrss.exe = 4404ko

- dllhost.exe = 6784ko

- ehrecvr.exe = 5232ko

- mcmacsvc.exe = 5312ko

- MpfSrv.exe = 5132ko

- NBService.exe = 7156ko

- ...

presque tout mes processus dépasse les 1000 voir les 2000 ko d'utilisation mémoire (4 services en dessous de 1000ko : Processus inactif, mcagent.exe, System, smss.exe ; + 4 services en dessous de 2000ko : aawservice.exe, lsass.exe, wbload.exe, McProxy.exe)

Je ne sais pas si ça peut vous aider ( je ne pense pas vraiment) mais c'était juste pour signaler. Un problème dans le registre qui aurait pus dérégler tout ces processus? une infection du registre?

Modifié le 14 décembre 2008 par mc19

pear · le 15 décembre 2008

Bonjour,

Combo, Nettoyage

# Déconnectez-vous du net et désactivez l'antivirus (juste le temps de la procédure !)

Connecter tous les disques amovibles (disque dur externe, clé USB…).

Dans certaines circonstances , le Mode sans échec peut être nécessaire

Ouvrez Combofix

# Dans le bloc-note ,copiez-collez ces lignes :

Killall::

File::

c:\program files\wt3d.ini

c:\temp\REX81

c:\temp\P2KT56.exe

* Attention, ce code a été rédigé spécialement pour cet utilisateur, il serait dangereux de le réutiliser dans d'autres cas !

Enregistrez-le en lui donnant le nom CFScript.txt

* Faire un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe

* Au message qui apparait dans une fenêtre bleue ( Type 1 to continue, or 2 to abort) , taper 1 puis valider.

* Patienter le temps du scan.Le bureau va disparaitre à plusieurs reprises: c'est normal!

Ne toucher à rien tant que le scan n'est pas terminé.

* Une fois le scan achevé, un rapport va s'afficher: poster son contenu.

* Si le fichier n'apparait pas, il se trouve ici > C:\ComboFix.txt

Pour enlever les programmes utilisés pendant la procédure.

Télécharger ToolsCleaner2 de A.Rothstein

* Enregistrer ToolsCleaner2.exe sur le Bureau.

Sous Vista,Clic-droit > Exécuter en tant que Administrateur

* Double-cliquer dessus, puis cliquer sur Recherche --> Le programme va chercher les utilitaires installés

------> Il se peut que la fenêtre devienne blanche pendant le scan, c'est normal !

L'outil supprimera sans que vous ayez à intervenir.

* Copier-coller le contenu du rapport qui apparait dans la fenêtre blanche.[/color

Nettoyezles fichiers temporaires:

Télécharger AtfCleaner

et lancez le en tant qu'Administrateur

Pour activer la commande "Exécuter en tant que "sur les raccourcis , si vous n'avez pas les droits Administrateur:

1. Cliquez avec le bouton droit sur l'icône du raccourci, puis cliquez sur Propriétés.

2. Sur l'onglet Raccourci, cliquez sur Paramètres avancés.

3. Activez la case à cocher suivante :

"Cette option peut vous autoriser à exécuter ce raccourci en tant qu'autre utilisateur ou à continuer en tant que vous-même tout en protégeant votre ordinateur et vos données de programmes non autorisés"

Pour activer la commande" Exécuter en tant que" sur des objets qui ne sont pas des raccourcis :

1. Appuyez sur la touche Maj et maintenez-la enfoncée.

2. Cliquez avec le bouton droit sur l'objet que vous souhaitez ouvrir.

3. Cliquez sur Exécuter en tant que.

4. Dans la boîte de dialogue Exécuter en tant que, cliquez sur l'option" L'utilisateur suivant et tapez les références du nom d'utilisateur et mot de passe."

Si vous n'avez pas de mot de passe , validez

Si cela ne s'exécutait pas:

Démarrer ->Exécuter->Services.msc->Connexion secondaire->Démarrage Manuel

Réessayer

58processus ouvert

Vous devriez en avoir une vingtaine, tout au plus.

Il vous fait optimiser le démarrage et les services:

La cause la plus courante des lenteurs d'un pc est une infection.

Commencez donc par faire un scan en ligne pour en vérifier la santé.

Seconde précaution:

Une valeur du régistre peut avoir été modifiée (souvent par un malware)

Démarrer->Exécuter->saisir regedit

Aller la clé HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SessionManager

Vérifier que la valeur Chaîne Multiple nommée BootExecute existe et

contient au moins la donnée de valeur autocheck autochk * correctement saisie,

avec un espace entre le k et le *et rien d'autre .

Sinon supprimer tout ce qui suit le *.

En cas d'absence de la valeur, la recréer.

1)Alléger le démarrage

Il faut savoir que RIEN , dans Msconfig(clés 04 dans Hijackthis),n'est nécessaire au système.

Beaucoup de programmes y installent un raccourci pour qu'ils soient lancés dès le démarrage du système,

avec pour conséquence la lenteur ou le ralentissement du Démarrage.

C'est seulement par prudence,pour éviter des oublis dommageables,que l'on recommande de garder les protections qui y sont(Parefeu,1 antivirus, 1 antispyware)

et parfois la connexion.

Tout le reste sera lancé en cas de besoin.

Bien sûr,pour des raisons de confort personnel,on peut négliger ces recommandations.

Pour corriger cela:

dans hijackthis,cocher les lignes o4 à supprimer, puis fixchecked

ou Par Démarrer->Exécuter->Msconfig->Démarrage

ou,mieux Spybot->Outils->Démarrages ou Ccleaner ou jv16(Outils registre->Liste de démarrage)

il suffit de décocher pour

Supprimer TOUT ,sauf Parefeu,Antivirus,Connexion Internet,Résidents antimalwares

Il suffira de recocher en cas d'erreur ou de regret.

Ne garder qu'une seule toolbar

Supprimer Ctfmon

Suppression des fonctionnalités Modes d'entrée utilisateur complémentaires des Services de texte

Démarrer-> Panneau de configuration.

-> Options régionales, date, heure et langue,

-> Options régionales et linguistiques.

Sous l'onglet Langues, cliquez sur Détails.

Sous Services installés, sélectionnez chaque élément d'entrée répertorié,

->cliquez sur Supprimer pour supprimer l'élément en question.

Tous les éléments doivent être supprimés, un par un, à l'exception du service d'entrée suivant :

Français (France) – clavier : Français

Ensuite

Démarrer->Exécuter ->

Taper:

Regsvr32.exe /u msimtf.dll

Cliquez sur OK.

Répétez pour le fichier Msctf.dll.

Vaccination Spybot

Si ,dans Spybot S&D vous avez vacciné, allez à l'onglet "vaccination"

cliquez sur "Vaccination" dans la colonne sur la gauche :

Cliquez sur annuler (la flèche bleue) pour annuler la vaccination.

2)Optimiser les services en désactivant ceux qui sont inutiles ou dangereux.

Pour cela,suivez ce lien:http://speedweb1.free.fr/frames2.php?page=service4

***Acquisition d'image Windows (WIA)(Ceci n'est pas toujours nécessaire)

Arrêtez le service WIA.

Cliquez avec le bouton droit sur Acquisition d'image Windows (WIA)-> Arrêter.

Mettez le en Manuel

***Le service Nvidia Display driver est inutile:arrêtez le et mettez le en Désactivé.

Dns et Fichier Hosts

Si, comme souvent recommendé, vous avez optimisé votre fichier Hosts pour vous protéger de sites dangereux,

Il faut absolument désactiver le service Client DNS

3)Nettoyer Xp:Vider les fichiers temporaires(Ccleaner), supprimer les fichiers inutiles(EasyCleaner, sauf doublons, danger),les clés obsolètes(Jv16)

4)Défragmenter:Jkdefrag,PowerDefrag, AuslogicDefrag(gratuits et efficaces)

5)Désactiver l'indexation des fichiers

Poste de travail->clic droit sur chacune des partitions de disque dur.

Allez dans les propriétés et désactivez Autoriser l'indexation de ce disque

Cliquez sur Appliquer puis sur OK.

Une nouvelle fenêtre s’ouvrira et vous devrez sélectionner Appliquer à tous les sous-dossiers et fichiers.

ZCfgSvc.exe

WLKEEPER.exe

drivers Intel .peut-être à mettre à jour.

mcmacsvc.exe

MpfSrv.exe

McAfee très gourmand

NBService.exe service nero de gravure de backups: est ce bien nécessaire?

Bagle a la réputation de détruire les protections.

Il vous faut donc désinstaller McAfee proprement:

Désinstallation McAfee

1.Téléchargez et exécutez MCPR.exe

2. Cliquez sur Enregistrer et enregistrez le fichier dans n'importe quel dossier sur votre ordinateur.

3. Recherchez le dossier où est enregistré le fichier.

4. Assurez-vous que toutes les fenêtres McAfee sont fermées.

5. Double-cliquez sur MCPR.exe pour exécuter l'outil de suppression.

Remarque : les utilisateurs de Windows Vista doivent cliquer avec le bouton droit sur MCPR.EXE et sélectionner Exécuter en tant qu'administrateur.

6. Redémarrez votre ordinateur après l'affichage du message CleanUp Successful (Nettoyage réussi).

Votre produit McAfee ne sera pas entièrement supprimé tant que vous n'aurez pas redémarré.

Je vous propose de remplacer mcAfee par Antivir:

Télécharger Avira AntiVir Personal Edition en Anglais

Télécharger Avira AntiVir Personal Edition en Français

NB : le choix d'Antivir comme antivirus à utiliser dans le cadre de cette procédure, a reposé sur les critères suivants :

--- failles de votre antivirus qui a laissé passer des malwares

--- En mode sans échec ,seuls les processus systèmes sont lancés.Il est donc plus facile de supprimer les infections

--- Antivir peut-être installé et désinstallé facilement

--- Antivir est reconnu pour son efficacité en mode sans échec

Paramètres conseillés

Clic droit sur le parapluie---------------------->Configure-Configurer

Cliquer Expert mode----------------------------->Scan-Recherche:

Cocher: ----------------------------------------------->All files -Tous les Fichiers

Additionnal Settings-Autres réglages:--->tout cocher

Clic sur Scan+ -Recherche+

Action for concerning files -Action en cas de résultat positif:

Cocher-------------------------------------------------->Copie file to quarantine before action-Copier le fichier dans la quarantaine avant l'action:

Primary action-Action principale............>: Repair :Réparer ( au cas ou ce serait un fichier système corrompu)

Secondary action.-Action secondaire...>.: Delete-Supprimer ( s'il y a détection, autant supprimer. une sauvegarde sera dans la quarantaine)

Désactivez votre antivirus actuel

Redémarrez en mode sans échec.

Lancez le scan

Postez le rapport

Java n'est pas à jour,donc moins sécurisé.

Téléchargez JavaRa.zip de Paul 'Prm753' McLain et Fred de Vries.

* Décompressez le fichier sur le bureau (clic droit > Extraire tout)

* Double-cliquer sur le répertoire JavaRa

* Puis double-cliquer sur le fichier JavaRa.exe (le exe peut ne pas s'afficher)

* Cliquez sur Search For Updates

* Sélectionner Update Using jucheck.exe puis cliquer sur Search

* Autorisez le processus à se connecter s'il le demande, cliquer sur Install et suivre les instructions d'installation qui prennent quelques minutes.

* L'installation est terminée, revenez à l'écran de JavaRa et cliquez sur Remove Older Versions

* Cliquez sur Oui pour confirmer. Laissez travailler et cliquez ensuite sur Ok, puis une deuxième fois sur Ok.

* Un rapport va s'ouvrir à copier-coller dans la prochaine réponse.

* Fermer l'application

Note : le rapport se trouve aussi à la racine de la partition système, en général C:\ sous le nom JavaRa.log .

Modifié le 15 décembre 2008 par pear

mc19 · le 17 décembre 2008

Voila je poste enfin,

je n'avais pas accès a mon portable en ce début de semaine.

J'ai obtenu ce log avec combofix:

ComboFix 08-12-13.03 - patrick leschot 2008-12-15 17:11:53.7 - NTFSx86

Microsoft Windows XP Professionnel 5.1.2600.3.1252.33.1036.18.1023.482 [GMT 1:00]

Lancé depuis: c:\documents and settings\patrick leschot\Bureau\Karcher.exe

Commutateurs utilisés :: c:\documents and settings\patrick leschot\Bureau\CFScript.txt

* Un nouveau point de restauration a été créé

.

((((((((((((((((((((((((((((( Fichiers créés du 2008-11-15 au 2008-12-15 ))))))))))))))))))))))))))))))))))))