(resolu) Le disque dur "travaille" alors que le pc n'est

jpt · le 8 mars 2010

Bonjour !

encore moi pour un autre sujet : Ma petite fille vient de récupérer le portable de ses parents ( reformaté et mis à jour )

Alors que le PC est en veille le disque dur " travaille ....j'ai fais un Ctrl Alt sup pour voir quelle tâche s'effectuait : rien de visible

Y aurait-il un programme "caché" ?

Ci-aprés log HJT

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 18:39:11, on 08/03/2010

Platform: Windows Vista SP2 (WinNT 6.00.1906)

MSIE: Internet Explorer v8.00 (8.00.6001.18882)

Boot mode: Normal

Running processes:

C:\Windows\system32\taskeng.exe

C:\Windows\system32\Dwm.exe

C:\Windows\Explorer.EXE

C:\Program Files\Windows Defender\MSASCui.exe

C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

C:\Windows\RtHDVCpl.exe

C:\Acer\Empowering Technology\eDataSecurity\eDSLoader.exe

C:\Acer\Empowering Technology\eAudio\eAudio.exe

C:\Program Files\Avira\AntiVir Desktop\avgnt.exe

C:\Program Files\Microsoft IntelliPoint\ipoint.exe

C:\Program Files\Windows Sidebar\sidebar.exe

C:\Windows\System32\rundll32.exe

C:\Users\garreyn\AppData\Local\Temp\RtkBtMnt.exe

C:\Windows\system32\taskeng.exe

C:\Program Files\Secunia\PSI\psi.exe

C:\Windows\system32\conime.exe

C:\Program Files\VS Revo Group\Revo Uninstaller\revouninstaller.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =

O1 - Hosts: ::1 localhost

O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll

O2 - BHO: ShowBarObj Class - {83A2F9B1-01A2-4AA5-87D1-45B6B8505E96} - C:\Windows\system32\ActiveToolBand.dll

O3 - Toolbar: Acer eDataSecurity Management - {5CBE3B7C-1E47-477e-A7DD-396DB0476E29} - C:\Windows\system32\eDStoolbar.dll

O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide

O4 - HKLM\..\Run: [synTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe

O4 - HKLM\..\Run: [eDataSecurity Loader] C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe

O4 - HKLM\..\Run: [eAudio] "C:\Acer\Empowering Technology\eAudio\eAudio.exe"

O4 - HKLM\..\Run: [PLFSet] rundll32.exe C:\Windows\PLFSet.dll,PLFDefSetting

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min

O4 - HKLM\..\Run: [intelliPoint] "C:\Program Files\Microsoft IntelliPoint\ipoint.exe"

O4 - HKCU\..\Run: [sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun

O4 - HKUS\S-1-5-19\..\Run: [sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [Acer Tour Reminder] C:\Acer\AcerTour\Reminder.exe (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [Acer Tour Reminder] C:\Acer\AcerTour\Reminder.exe (User 'Default user')

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000

O9 - Extra button: Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll

O9 - Extra 'Tools' menuitem: &Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL

O13 - Gopher Prefix:

O20 - AppInit_DLLs: eNetHook.dll

O23 - Service: Avira AntiVir Planificateur (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe

O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe

O23 - Service: eDSService.exe (eDataSecurity Service) - HiTRSUT - C:\Acer\Empowering Technology\eDataSecurity\eDSService.exe

O23 - Service: eLock Service (eLockService) - Acer Inc. - C:\Acer\Empowering Technology\eLock\Service\eLockServ.exe

O23 - Service: eNet Service - Acer Inc. - C:\Acer\Empowering Technology\eNet\eNet Service.exe

O23 - Service: eRecovery Service (eRecoveryService) - Acer Inc. - C:\Acer\Empowering Technology\eRecovery\eRecoveryService.exe

O23 - Service: eSettings Service (eSettingsService) - Unknown owner - C:\Acer\Empowering Technology\eSettings\Service\capuserv.exe

O23 - Service: Intel® PROSet/Wireless Event Log (EvtEng) - Intel® Corporation - C:\Program Files\Intel\WiFi\bin\EvtEng.exe

O23 - Service: Intel® Matrix Storage Event Monitor (IAANTMON) - Intel Corporation - C:\Program Files\Intel\Intel Matrix Storage Manager\IAANTMon.exe

O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe

O23 - Service: Ma-Config Service (maconfservice) - CybelSoft - C:\Program Files\ma-config.com\maconfservice.exe

O23 - Service: MobilityService - Unknown owner - C:\Acer\Mobility Center\MobilityService.exe

O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32\nvvsvc.exe

O23 - Service: Planificateur LiveUpdate automatique - Unknown owner - C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe (file missing)

O23 - Service: Intel® PROSet/Wireless Registry Service (RegSrvc) - Intel® Corporation - C:\Program Files\Common Files\Intel\WirelessCommon\RegSrvc.exe

O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\CyberLink\Shared Files\RichVideo.exe

O23 - Service: ePower Service (WMIService) - acer - C:\Acer\Empowering Technology\ePower\ePowerSvc.exe

O23 - Service: XAudioService - Conexant Systems, Inc. - C:\Windows\system32\DRIVERS\xaudio.exe

--

End of file - 5862 bytes

Dans l'attente de vos conseils...

Un grand merci

jpt

Modifié le 11 mars 2010 par jpt

Tibonhomme · le 9 mars 2010

Bonjour jpt,

Alors que le PC est en veille le disque dur " travaille ....

Cela n'est pas forcément le signe d'une infection, des programmes pouvant tourner en tâche de fond.

Mais nous allons y regarder de plus près, car quelque chose ne me plaît guère :

O2 - BHO: ShowBarObj Class - {83A2F9B1-01A2-4AA5-87D1-45B6B8505E96} - C:\Windows\system32\ActiveToolBand.dll

ActiveToolBand.dll appartient à Acer\Empowering Technology\eDataSecurity et je suis surpris de le voir dans system32. Là, je pense plutôt à un Adware-BHO.

Nous allons faire un contrôle. Si des indésirables demeurent, je t'orienterai vers la section appropriée.

1 - Télécharge Malwarebytes' Anti-Malware (MBAM) en version gratuite (Download free version) : http://www.malwarebytes.org/mbam.php

Ce logiciel, très efficace en analyse à la demande, est à garder. La version payante apporte en plus un module résident avec protection contre des IP malveillantes, et des mises à jours automatiques.

En cas de problème de mise à jour au paragraphe suivant : Télécharger directement les mises à jour ici : http://mbam.malwarebytes.org/database/mbam-rules.exe

Connecter tous les supports amovibles utilisés (clés usb, disques durs externes etc.) avant de lancer l'analyse.

La mise à jour est à effectuer systématiquement avant chaque analyse avec la version gratuite.

* Double clique sur le fichier téléchargé pour lancer le processus d'installation (sous Vista - lancer MBAM par clic droit / Exécuter en tant qu'administrateur)

* Dans l'onglet Mise à jour, clique sur le bouton Recherche de mise à jour, si le pare-feu demande l'autorisation à MBAM de se connecter, accepte

* Une fois la mise à jour terminée, rends-toi dans l'onglet Recherche

* Sélectionne Exécuter un examen complet

* Clique sur Rechercher

* L'analyse démarre, elle peut demander du temps, cela est normal

* A la fin de l'analyse, un message s'affiche : "L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés."

* Clique sur Ok pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi.

* Ferme tes navigateurs.

* Si des malwares ont été détectés, clique sur Afficher les résultats.

Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.

* MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Copie-colle ce rapport dans ta prochaine réponse.

Si MBAM demande à redémarrer le pc, fais-le.

Ne pas vider la quarantaine de MBAM sans avis (en cas de faux-positifs toujours possibles.)

2 - Exécute un examen complet avec Antivir et copie-colle la totalité du rapport dans ton prochain message.

3 - Nous allons essayer d'y voir un peu plus clair, et en profondeur.

Télécharge Random's System Information Tool (RSIT) de random/random : http://images.malwareremoval.com/random/RSIT.exe

* Double-clique sur RSIT.exe afin de lancer RSIT (sous Vista - lancer RSIT par clic droit / Exécuter en tant qu'administrateur).

* A l'écran Disclaimer, clique sur Continuer

* Si l'outil HijackThis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera. Accepter la licence.

* Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront. Copie-colle le contenu de log.txt (affiché à l'écran) puis celui de info.txt (réduit dans la Barre des Tâches) dans ton prochain message. Si ces fichiers sont trop longs, mets-les dans 2 messages successifs.

* Si tu ne vois pas ces deux rapports, tu les trouveras dans le dossier C:\rsit

Important : pour sélectionner tout le texte une fois dans le rapport texte, appuie sur les touches [Ctrl] + [A], puis clic droit / copier. une fois dans ton nouveau message sur le forum, clic droit puis coller à l'endroit où tu veux coller l'intégralité du texte.

Au cas où - tutoriel installation et génération des rapports RSIT : http://aide-malware.forumactif.net/tutorie...ol-rsit-t29.htm

J'attends donc ton prochain message avec les 4 rapports, d'abord celui de MBAM puis celui d'Antivir, et ensuite les 2 de RSIT.

A te lire

Modifié le 9 mars 2010 par Tibonhomme

jpt · le 9 mars 2010

bonjour "Tibonhomme" et merci pour ton aide...

Voici le premier rapport (mbam )

Malwarebytes' Anti-Malware 1.44

Version de la base de données: 3840

Windows 6.0.6002 Service Pack 2

Internet Explorer 8.0.6001.18882

09/03/2010 17:21:21

mbam-log-2010-03-09 (17-21-21).txt

Type de recherche: Examen complet (C:\|D:\|)

Eléments examinés: 213464

Temps écoulé: 1 hour(s), 24 minute(s), 29 second(s)

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 0

Clé(s) du Registre infectée(s): 0

Valeur(s) du Registre infectée(s): 0

Elément(s) de données du Registre infecté(s): 0

Dossier(s) infecté(s): 0

Fichier(s) infecté(s): 0

Processus mémoire infecté(s):