[Terminé] Chargement de vos paramètres personnels ...

[Green Hornet]

bon comme je ne sais pas ce que je peux faire actuellement, je poste la liste des service que j'ai réussi à extraire:

 

Acquisition d'image Windows (WIA)

Aide et support

Appel de proc‚dure distante (RPC)

Assistance TCP/IP NetBIOS

Audio Windows

avast! Antivirus

avast! iAVS4 Control Service

AVG Anti-Spyware Guard

Client de suivi de lien distribu‚

Client DHCP

Client DNS

Configuration automatique sans fil

Connexion secondaire

Connexions r‚seau

D‚tection mat‚riel noyau

Emplacement prot‚g‚

Gestionnaire de comptes de s‚curit‚

Horloge Windows

Infrastructure de gestion Windows

Java Quick Starter

Journal des ‚v‚nements

Lanceur de processus serveur DCOM

Mises … jour automatiques

NMSAccessU

Notification d'‚v‚nement systŠme

NVIDIA Display Driver Service

Planificateur de tƒches

Plug-and-Play

Serveur

Service de rapport d'erreurs

Service de restauration systŠme

Services de cryptographie

Services IPSEC

Spouleur d'impression

Station de travail

SystŠme d'‚v‚nements de COM+

ThŠmes

T‚l‚phonie

VNC Server

WebClient

Windows Driver Foundation - User-mode Driver Framework

 

ainsi qu'un log HiJackThis au cas où vous y verriez quelque chose de suspect :

 

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 22:42:27, on 22/12/2008

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16735)

Boot mode: Safe mode with network support

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

C:\WINDOWS\Explorer.EXE

C:\Documents and Settings\Etienne\Bureau\HiJachThis\HiJackThis.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page =

 

http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.orange.fr

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL =

 

http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL =

 

http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page =

 

http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =

 

http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,First Home Page =

 

http://go.microsoft.com/fwlink/?LinkId=54843

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O1 - Hosts: [masqué par Green Hornet]

O1 - Hosts: [masqué par Green Hornet]

O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} -

 

C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: Java Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program

 

Files\Java\jre6\bin\ssv.dll

O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live -

 

{9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft

 

Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Java Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program

 

Files\Java\jre6\bin\jp2ssv.dll

O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program

 

Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll

O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe

O4 - HKLM\..\Run: [REGSHAVE] C:\Program Files\REGSHAVE\REGSHAVE.EXE /AUTORUN

O4 - HKLM\..\Run: [intelliPoint] "C:\Program Files\Microsoft IntelliPoint\point32.exe"

O4 - HKLM\..\Run: [Dell Photo AIO Printer 922] "C:\Program Files\Dell Photo AIO Printer

 

922\dlbtbmgr.exe"

O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe -CheckReg

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [WinVNC] "C:\Program Files\UltraVNC\WinVNC.exe" -servicehelper

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader

 

8.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE"

O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Program Files\DAEMON Tools Lite\daemon.exe" -autorun

O4 - HKCU\..\Run: [PC Suite Tray] "C:\Program Files\Nokia\Nokia PC Suite 7\PCSuite.exe" -onlytray

O4 - HKCU\..\Run: [Nokia.PCSync] "C:\Program Files\Nokia\Nokia PC Suite 7\PCSync2.exe" /NoDialog

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O4 - Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe

 

Gamma Loader.exe

O4 - Global Startup: Bug Shooting.lnk = C:\Program Files\Bug Shooting\BugShooting.exe

O8 - Extra context menu item: E&xporter vers Microsoft Excel -

 

res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000

O9 - Extra button: Créer un Favori de l'appareil mobile - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F}

 

- C:\Program Files\Microsoft ActiveSync\inetrepl.dll

O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Program

 

Files\Microsoft ActiveSync\inetrepl.dll

O9 - Extra 'Tools' menuitem: Créer un Favori de l'appareil mobile... -

 

{2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\inetrepl.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} -

 

C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network

 

Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} -

 

C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program

 

Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} -

 

C:\Program Files\Messenger\msmsgs.exe

O14 - IERESET.INF: START_PAGE_URL=http://www.unika.com

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) -

 

http://webscanner.kaspersky.fr/kavwebscan_unicode.cab

O16 - DPF: {A922B6AB-3B87-11D3-B3C2-0008C7DA6CB9} (InetDownload Class) -

 

https://media.pineconeresearch.com/ActiveX/...loadcontrol.cab

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) -

 

http://fpdownload2.macromedia.com/get/shoc...ash/swflash.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{595E5A47-BF58-4D9A-BF98-6A6F4B08AD8D}: NameServer =

 

192.168.1.1

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil

 

Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil

 

Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil

 

Software\Avast4\ashMaiSv.exe

O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil

 

Software\Avast4\ashWebSv.exe

O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG

 

Anti-Spyware 7.5\guard.exe

O23 - Service: Fonction Commande à distance d'iSeries Access for Windows (Cwbrxd) - IBM

 

Corporation - C:\WINDOWS\CWBRXD.EXE

O23 - Service: dlbt_device - Dell - C:\WINDOWS\system32\dlbtcoms.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program

 

Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program

 

Files\Java\jre6\bin\jqs.exe

O23 - Service: NMSAccessU - Unknown owner - C:\Program Files\CDBurnerXP\NMSAccessU.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation -

 

C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe

O23 - Service: VNC Server (winvnc) - www.ultravnc.fr - C:\Program Files\UltraVNC\WinVNC.exe

 

--

End of file - 7691 bytes

Modifié le 22 décembre 2008 par Green Hornet

[pear]

Bonjour,

Dans hijackthis, cochez puis fix checked

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O16 - DPF: {A922B6AB-3B87-11D3-B3C2-0008C7DA6CB9} (InetDownload Class) -

Supprimer Ctfmon

Suppression des fonctionnalités Modes d'entrée utilisateur complémentaires des Services de texte

Démarrer-> Panneau de configuration.

-> Options régionales, date, heure et langue,

-> Options régionales et linguistiques.

Sous l'onglet Langues, cliquez sur Détails.

Sous Services installés, sélectionnez chaque élément d'entrée répertorié,

->cliquez sur Supprimer pour supprimer l'élément en question.

Tous les éléments doivent être supprimés, un par un, à l'exception du service d'entrée suivant :

Français (France) – clavier : Français

Ensuite

Démarrer->Exécuter ->

Taper:

Regsvr32.exe /u msimtf.dll

Cliquez sur OK.

Répétez pour le fichier Msctf.dll.

 

# vous devez désactiver la protection en temps réel, de votre antivirus qui détecte certains composants de ce logiciel comme néfastes.

* Pour cela, faites un clic droit sur l'icône en bas à droite à côté de l'horloge.

Si vous utilisez Spybot

Pour désactiver TeaTimer qui ne set à rien et peut faire échouer une désinfection:!

Afficher d'abord le Mode Avancé dans SpyBot

->Options Avancées :

- >menu Mode, Mode Avancé.

Une colonne de menus apparaît dans la partie gauche :

- >cliquer sur Outils,

- >cliquer sur Résident,

Dans Résident :

- >décocher Résident "TeaTimer" pour le désactiver.

Télécharger SDFix par AndyManchesta

et le sauvegarder sur le Bureau.

Double cliquer sur SDFix.exe et choisir Install pour l'extraire

SDFix s'installe à la racine de la partition système (par défaut, Généralement C:). .

 

Redémarrer en mode sans échec

 

* Ouvrir le dossier SDFix qui vient d'être créé dans le répertoire C:\ et double clic sur RunThis.bat pour lancer le script.

* Appuyer sur Y pour commencer le processus de nettoyage.

* Il va supprimer les services et les entrées du Registre de certains trojans trouvés puis demandera d'appuyer sur une touche pour redémarrer.

 

Si Sdfix ne se lance pas

1)Démarrer->Exécuter

Copiez/collez :

%systemroot%\system32\cmd.exe /K %systemdrive%\SDFix\apps\FixPath.exe

cliquez ok, et validez.

Redémarrez et essayez de nouveau de lancer Sdfix.

 

2)Si vous avez le message Cette commande a été désactivée par votre Administrateur

Appuyez sur une touche pour continuer:

Démarrer->Exécuter

Copiez/Collez

%systemdrive%\SDFix\apps\swreg IMPORT %systemdrive%\SDFix\apps\Enable_Command_Prompt.reg

Validez

Relancez Sdfix

 

* Le redémarrage sera plus lent qu'à l'accoutumée car l'outil va continuer à s'exécuter et supprimer des fichiers.

* Après le chargement du Bureau, l'outil terminera son travail et affichera Finished.

* Appuyer sur une touche pour finir l'exécution du script et charger les icônes du Bureau.

* Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt

* Postez le rapport ici.

 

 

 

 

Services pouvant être désactivés

 

Assistance TCP/IP NetBIOS

Client de suivi de lien distribué

Client DHCP,si vous avez une ip fixe->Windows Driver Foundation - User-mode Driver Framework

Client DNS, surtout si vous vous protégez avec un Hosts->http://www.malekal.com/tutorial_HOSTS_Manager.php

Connexion secondaire, équivalent Runas, inutile avec Process explorer->http://speedweb1.free.fr/frames2.php?page=outils7

Détection matériel noyau

Horloge Windows

Infrastructure de gestion Windows

Java Quick Starter ?

NMSAccessU->Manuel

NVIDIA Display Driver Service

Service de rapport d'erreurs

VNC Server?->Serveur àdistance ?

WebClient

Windows Driver Foundation - User-mode Driver Framework? est-ce nécessaire?

 

D'autres renseignements pour optimiser vos services:

http://speedweb1.free.fr/frames2.php?page=service4

 

A propos des Mises à jour:

Ces services doivent être lancés,mais,inutiles en dehors de besoin précis, ils ne le sont toujours:

Mise à jour Automatique(Wuauserv)

Service de cryptographie(Cryptsvc)

Service de Tranfert Intelligent(Bits)

Windows Installer(MSIServer)

 

Voici un fichier .bat pour les lancer et activer:

A copier coller dans le bloc notes et enregistrer Sous RestoMaj.bat , cela fait, double clic pour le lancer.

@echo off

sc config BITS start= auto

sc config cryptsvc start= auto

sc config wuauserv start= auto

sc config MSIServer start= auto

net start BITS

net start WUAUSERV

net start cryptsvc

net start MSIServer

 

ET un autre pour les désactiver après usage:

@echo off

net stop BITS

net stop WUAUSERV

net stop cryptsvc

net stop MSIServer

 

sc config BITS start= disabled

sc config cryptsvc start= disabled

sc config wuauserv start= disabled

sc config MSIServer start= disabled

Modifié le 23 décembre 2008 par pear

[Green Hornet]

Troisième méthode: avec Linux

 

Il faut créer un live cd linux et démarrer dessus.

Cela n'écrit rein dur le disque. Le contenu du CD est uniquement chargé en mémoire.

Récupérer l'image de la distribution linux ici, par exemple avec Knoppix :

http://gulus.usherbrooke.ca/pub/di [...] -04-EN.iso

La graver sur un cd (choix graver une image dans le logiciel de gravure)

Démarrer sur le cd

A l'invite boot taper knoppix lang=fr (attention le clavier est en QWERTY) puis valider par ENTREE pour passer l'interface en français

Une fois sur le bureau faire un clic droit sur l'icône symbolisant un disque dur et choisir Monter

Refaire un clic droit et choisir cette fois "Changer le mode de lecture/écriture" répondre OK à la demande de confirmation affichée

Double cliquer sur l'icône du disque et se rendre dans le dossier c:\windows\repair - clic droit sur le fichier sam COPIER

Se rendre dans le dossier c:\windows\system32\config

clic droit sur le fichier sam (celui sans extension) existant - RENOMMER en ajoutant l'extension .old

Clic droit dans un espace vierge de la fenêtre puis COLLER le fichier sam récupéré précédemment

Fermer la fenêtre - Redémarrer l'ordinateur

Enlever le cd du lecteur

 

Voir si l'accès à windows est à nouveau possible

 

Bonsoir,

 

J'en suis arrivé au point d'essayer la méthode avec un CD de Linux Live et le résultat est le suivant :

 

au démarrage de la bête, j'obtiens le message suivant :

 

lsass.exe - Erreur système

L'initialisation du Gestionnaire de comptes de sécurité a échoué en raison de l'erreur suivante : Un périphérique attaché au système ne fonctionne pas correctement. Statut de l'erreur : 0xc0000001. Cliquez sur OK pour quitter le système et redémarrez en mode sans échec. Consultez le journal des évènements pour obtenir des informations plus détaillés.

 

j'ai donc cliqué sur OK et en mode sans échec j'obtiens le même résultat ... je vais remettre le CD Linux Live pour booter dessus, remettre le fichier SAM renommé à sa place pour voir si je peux voir le journal des évènements et reviens vers vous quoi qu'il en soit ...

[Green Hornet]

aucun évènement n'apparait à l'heure des 2 redémarrages ...

j'ai enchainé avec les nettoyage HiJackThis et SDFix, celui-ci se poursuivant à l'heure où je poste (après presque 1h de redémarrage) ...

 

suite au prochain épisode

[Green Hornet]

à mon avis SDF est terminé mais le PC ne va pas mieux ...

[Green Hornet]

j'ai fini par redémarrer le PC, rouvert une session en mode classique, SDFix a reprise son boulot toute l'après midi mais rien n'a fonctionné ... j'ai pu utiliser le PC 5 minutes jusqu'à ce que tout recoince à nouveau ...

 

je redémarre en mode sans échec pour voir si SDFix pourra finir son job ...

[Green Hornet]

à cours d'idée et résigné je tente la création d'un CD Windows XP depuis mon installation existante via le tuto suivant : http://www.commentcamarche.net/faq/sujet-5...c-grande-marque

 

si ça fonctionne ça sera la fête à la maison, sinon ça sera la fin de WindowsXP sur ce PC ...

 

si quelqu'un d'entre vous a une dernière idée pouvant m'éviter cela ça sera génial sinon, ça me fera un passage vers un nouveau PC sous Vista (chose que je n'espérai pas faire) et celui-ci migrera vers Ubuntu

[Green Hornet]

ça ne sera pas la fête, la version présente dans mon répertoire I386 possède déjà un SP1, impossible d'y mettre le SP3 via Nlite, le CD a pu être gravé et semble fonctionné mais me demande la disquette du SP1 ... voili voilou c'est la fête à la maison ... ultime tentative demain avec un assembleur du coin et sinon, nouveau PC (une belle bête pour tenir longtemps) et une Ubuntu sur celui-ci ... ça m'emmerde, XP je l'aimais bien, j'ai peur de détester Vista même si il est beau ...

[Green Hornet]

un nouveau pc et ça repart, Vista me surprend, comme quoi il ne faut pas uniquement lire les avis ... une bonne journée de récupération de données devant moi, accompagnée d'une semaine de migration vers Ubuntu pour le bon vieux P4 et ça repart comme en 40

 

encore merci pour votre aide

 

bonne année à toutes et à tous