Analyses de sécurité font planter mon système

[thib1984]

Combofix est désinstallé.

Je vais tenter de réinstaller mes anciens drivers et BIOS...

 

Pas de CD Xp familiale (un pro, par contre mais ce n'est donc pas la bonne version)

Pour la place, ce sont des disques ssd d'un eeepc donc 4 go/8go (2 disques)

Il me reste 1 go/3go (respectivement)

 

Merci de votre aide... J'attends votre retour.

[pear]

Bonsoir,

Si cela peut vous aider;

 

Pour gagner de la place:

 

Le plus rentable:

 

Déplacer Mes Documents:

 

Déplacer les fichiers temporaires:

 

pour Internet Explorer,voyez dans ses options.

 

pour ce qui est des fichier TMP de maniere générale,

Il y a une variable d'environement:

Click droit sur le post de travail->Propriété->Avancé->Variable d'environnement.

et remplacer c:\temp et tmp par E:\temp E:\tmp si vous choisissez la partition E:

 

Déplacer le swap

, mais seulement sur un autre disque.

Une autre partition du même disque serait sans intérêt.

 

Certains déplacent aussi le program files.

C'est très risqué et source de disfonctionnements

Le principal problème est qu'en cas de réinstallation de Xp, il faut tout recommencer, et de plus certains programmes font la grimace.

Ceci dit , c'est possible, même si cela ne sert pas à grand chose.

Voyez là, et lisez les commentaires:

http://www.generation-nt.com/astuces/comme...des-programmes/

 

SoftwareDistribution

Il existe dans le dossier %systemroot% (C:\windows par défaut) un sous

dossier "SoftwareDistribution" qui contient tous les fichiers de mises à

jour automatiques de Windows, que ce soit à l'aide de Windows Update ou d'un

serveur W SUS (en entreprise).

Ces fichiers, une fois la MAJ effectuée, ne servent plus à rien, mais par

contre au bout d'un moment occupent une place phénoménale!

 

Donc on peut récupérer beaucoup de place en supprimant les fichiers devenus

inutiles.

Mais bien sûr il ne faut pas faire n'importe quoi, et certains fichiers ne

sont pas supprimables par défaut car ils sont en cours d'utilisation par le

service WUAUSERV (Windows Update).

 

Les manips (préconisées par MS) sont (pour info) les suivantes, afin de

vider "proprement" ce dossier et sans "injurebox", :

==

- stopper momentanément le service "Windows Update"

par la commande

 

cmd /k net stop wuauserv

- ouvrir le dossier %systemroot%\SoftwareDistribution\DataStore

 

- supprimer le contenu du sous-dossier "Logs"

 

- supprimer le fichier "DataStore.edb" (gros fichier!)

Cela signifie que l'HISTORIQUE des "Windows Update"

sera effacé (on peut vivre sans !!!)

 

- ouvrir le dossier %systemroot%\SoftwareDistribution\Download

et supprimer TOUT son contenu.

 

- vider la corbeille si nécessaire

 

- redémarrer "Windows Update" par la commande

cmd /k net start wuauserv

[thib1984]

Merci des conseils

 

En l occurence j en avais deja applique pas mal...

 

Mes programmes sont, si l installateur me le permet, installe sur le deuxieme disque dur.

Mes documents, mes dossiers temp, software distribution (avec le programme juction.exe, je ne sais pas si tu connais qui permet les liens symboliques) sont places sur le troisieme (une carte sd).

Sur C, j ai uniquement le dossier Windows, documents and settings (sans Mes documents), et quelques programmes.

 

Bref, au niveau de la place, j ai fait du mieux que je pouvais.

 

Je commence a me demander si le souci ne serait pas materiel, ou lie aux pilotes

[thib1984]

Je me permets de upper, j'aurai le temps ce week-end de faire les tests que vous me conseillerez...

Je pense a formater le pc mais ca serait petit bras non?

[thib1984]

Voici ce que me donne antivir avant de planter avec le reste du PC

 

 

 

 

Avira AntiVir Personal

Report file date: mercredi 14 avril 2010 14:39

 

Scanning for 1987196 virus strains and unwanted programs.

 

The program is running as an unrestricted full version.

Online services are available:

 

Licensee : Avira AntiVir Personal - FREE Antivirus

Serial number : 0000149996-ADJIE-0000001

Platform : Windows XP

Windows version : (Service Pack 3) [5.1.2600]

Boot mode : Normally booted

Username : SYSTEM

Computer name : EEEPC1984

 

Version information:

BUILD.DAT : 10.0.0.561 32098 Bytes 18/03/2010 15:46:00

AVSCAN.EXE : 10.0.2.3 433832 Bytes 07/03/2010 15:57:10

AVSCAN.DLL : 10.0.2.2 45928 Bytes 02/03/2010 10:48:47

LUKE.DLL : 10.0.2.3 104296 Bytes 07/03/2010 16:33:04

LUKERES.DLL : 10.0.0.1 12648 Bytes 10/02/2010 21:40:49

VBASE000.VDF : 7.10.0.0 19875328 Bytes 06/11/2009 07:05:36

VBASE001.VDF : 7.10.1.0 1372672 Bytes 19/11/2009 17:27:49

VBASE002.VDF : 7.10.3.1 3143680 Bytes 20/01/2010 15:37:42

VBASE003.VDF : 7.10.3.75 996864 Bytes 26/01/2010 14:37:42

VBASE004.VDF : 7.10.4.203 1579008 Bytes 05/03/2010 09:29:03

VBASE005.VDF : 7.10.4.204 2048 Bytes 05/03/2010 09:29:03

VBASE006.VDF : 7.10.4.205 2048 Bytes 05/03/2010 09:29:03

VBASE007.VDF : 7.10.4.206 2048 Bytes 05/03/2010 09:29:03

VBASE008.VDF : 7.10.4.207 2048 Bytes 05/03/2010 09:29:03

VBASE009.VDF : 7.10.4.208 2048 Bytes 05/03/2010 09:29:03

VBASE010.VDF : 7.10.4.209 2048 Bytes 05/03/2010 09:29:03

VBASE011.VDF : 7.10.4.210 2048 Bytes 05/03/2010 09:29:03

VBASE012.VDF : 7.10.4.211 2048 Bytes 05/03/2010 09:29:03

VBASE013.VDF : 7.10.4.242 153088 Bytes 08/03/2010 13:43:21

VBASE014.VDF : 7.10.5.17 99328 Bytes 10/03/2010 13:24:21

VBASE015.VDF : 7.10.5.44 107008 Bytes 11/03/2010 15:41:40

VBASE016.VDF : 7.10.5.69 92672 Bytes 12/03/2010 07:25:53

VBASE017.VDF : 7.10.5.91 119808 Bytes 15/03/2010 07:39:58

VBASE018.VDF : 7.10.5.121 112640 Bytes 18/03/2010 11:01:24

VBASE019.VDF : 7.10.5.138 139776 Bytes 18/03/2010 18:16:30

VBASE020.VDF : 7.10.5.164 113152 Bytes 22/03/2010 18:16:31

VBASE021.VDF : 7.10.5.182 108032 Bytes 23/03/2010 18:16:32

VBASE022.VDF : 7.10.5.199 123904 Bytes 24/03/2010 18:16:33

VBASE023.VDF : 7.10.5.217 279552 Bytes 25/03/2010 18:16:42

VBASE024.VDF : 7.10.5.234 202240 Bytes 26/03/2010 18:16:50

VBASE025.VDF : 7.10.5.254 187904 Bytes 30/03/2010 18:16:52

VBASE026.VDF : 7.10.6.18 130560 Bytes 01/04/2010 18:16:53

VBASE027.VDF : 7.10.6.34 136192 Bytes 06/04/2010 18:16:55

VBASE028.VDF : 7.10.6.44 232448 Bytes 07/04/2010 18:17:03

VBASE029.VDF : 7.10.6.45 2048 Bytes 07/04/2010 18:17:03

VBASE030.VDF : 7.10.6.46 2048 Bytes 07/04/2010 18:17:03

VBASE031.VDF : 7.10.6.55 101376 Bytes 09/04/2010 18:17:04

Engineversion : 8.2.1.210

AEVDF.DLL : 8.1.1.3 106868 Bytes 13/02/2010 10:16:21

AESCRIPT.DLL : 8.1.3.24 1282425 Bytes 11/04/2010 18:17:39

AESCN.DLL : 8.1.5.0 127347 Bytes 25/02/2010 16:38:41

AESBX.DLL : 8.1.2.1 254323 Bytes 17/03/2010 09:09:47

AERDL.DLL : 8.1.4.3 541043 Bytes 17/03/2010 09:09:47

AEPACK.DLL : 8.2.1.1 426358 Bytes 11/04/2010 18:17:35

AEOFFICE.DLL : 8.1.0.41 201083 Bytes 17/03/2010 09:09:46

AEHEUR.DLL : 8.1.1.16 2503031 Bytes 11/04/2010 18:17:33

AEHELP.DLL : 8.1.11.3 242039 Bytes 11/04/2010 18:17:18

AEGEN.DLL : 8.1.3.6 373108 Bytes 11/04/2010 18:17:17

AEEMU.DLL : 8.1.1.0 393587 Bytes 10/11/2009 07:04:22

AECORE.DLL : 8.1.13.1 188790 Bytes 11/04/2010 18:17:15

AEBB.DLL : 8.1.0.3 53618 Bytes 10/09/2009 10:15:06

AVWINLL.DLL : 10.0.0.0 19304 Bytes 14/01/2010 10:03:38

AVPREF.DLL : 10.0.0.0 44904 Bytes 14/01/2010 10:03:35

AVREP.DLL : 10.0.0.8 62209 Bytes 18/02/2010 14:47:40

AVREG.DLL : 10.0.1.2 52072 Bytes 29/01/2010 09:47:41

AVSCPLR.DLL : 10.0.2.3 83304 Bytes 07/03/2010 16:02:30

AVARKT.DLL : 10.0.0.13 227176 Bytes 07/03/2010 15:48:41

AVEVTLOG.DLL : 10.0.0.8 203112 Bytes 26/01/2010 07:53:30

SQLITE3.DLL : 3.6.19.0 355688 Bytes 28/01/2010 10:57:58

AVSMTP.DLL : 10.0.0.17 63848 Bytes 16/03/2010 13:38:56

NETNT.DLL : 10.0.0.0 11624 Bytes 19/02/2010 12:41:00

RCIMAGE.DLL : 10.0.0.26 2550120 Bytes 28/01/2010 11:10:20

RCTEXT.DLL : 10.0.46.0 97128 Bytes 05/03/2010 08:09:41

 

Configuration settings for the scan:

Jobname.............................: Complete system scan

Configuration file..................: d:\program files\avira\antivir desktop\sysscan.avp

Logging.............................: low

Primary action......................: interactive

Secondary action....................: ignore

Scan master boot sector.............: on

Scan boot sector....................: on

Boot sectors........................: C:, D:, E:,

Process scan........................: on

Extended process scan...............: on

Scan registry.......................: on

Search for rootkits.................: on

Integrity checking of system files..: off

Scan all files......................: All files

Scan archives.......................: on

Recursion depth.....................: 20

Smart extensions....................: on

Macro heuristic.....................: on

File heuristic......................: medium

 

Start of the scan: mercredi 14 avril 2010 14:39

 

Starting search for hidden objects.

c:\windows\repair\backup\servicestate\configdirectory\internet.evt

c:\WINDOWS\repair\Backup\ServiceState

[NOTE] The file is not visible.

c:\windows\repair\backup\servicestate\configdirectory\tempkey.log

c:\WINDOWS\repair\Backup\ServiceState

[NOTE] The file is not visible.

c:\windows\repair\backup\servicestate\configdirectory\userdiff

c:\WINDOWS\repair\Backup\ServiceState

[NOTE] The file is not visible.

c:\windows\repair\backup\servicestate\configdirectory\userdiff.log

c:\WINDOWS\repair\Backup\ServiceState

[NOTE] The file is not visible.

c:\windows\repair\backup\servicestate\eventlogs\appevent.evt

c:\WINDOWS\repair\Backup\ServiceState

[NOTE] The file is not visible.

c:\windows\repair\backup\servicestate\eventlogs\secevent.evt

c:\WINDOWS\repair\Backup\ServiceState

[NOTE] The file is not visible.

c:\windows\repair\backup\servicestate\eventlogs\sysevent.evt

c:\WINDOWS\repair\Backup\ServiceState

[NOTE] The file is not visible.

c:\windows\repair\backup\servicestate\removablestoragemanager\ntmsdata

c:\WINDOWS\repair\Backup\ServiceState

[NOTE] The file is not visible.

c:\windows\repair\backup\servicestate\removablestoragemanager\ntmsreg

c:\WINDOWS\repair\Backup\ServiceState

[NOTE] The file is not visible.

c:\windows\repair\backup\servicestate\configdirectory

c:\WINDOWS\repair\Backup\ServiceState

[NOTE] The directory is not visible.

c:\windows\repair\backup\servicestate\eventlogs

c:\WINDOWS\repair\Backup\ServiceState

[NOTE] The directory is not visible.

c:\windows\repair\backup\servicestate\removablestoragemanager

c:\WINDOWS\repair\Backup\ServiceState

[NOTE] The directory is not visible.

 

The scan of running processes will be started

Scan process 'rsmsink.exe' - '28' Module(s) have been scanned

Scan process 'avscan.exe' - '65' Module(s) have been scanned

Scan process 'WINWORD.EXE' - '57' Module(s) have been scanned

Scan process 'msdtc.exe' - '39' Module(s) have been scanned

Scan process 'dllhost.exe' - '58' Module(s) have been scanned

Scan process 'dllhost.exe' - '44' Module(s) have been scanned

Scan process 'vssvc.exe' - '47' Module(s) have been scanned

Scan process 'avcenter.exe' - '60' Module(s) have been scanned

Scan process 'wscntfy.exe' - '13' Module(s) have been scanned

Scan process 'alg.exe' - '32' Module(s) have been scanned

Scan process 'wuauclt.exe' - '41' Module(s) have been scanned

Scan process 'igfxext.exe' - '17' Module(s) have been scanned

Scan process 'avgnt.exe' - '47' Module(s) have been scanned

Scan process 'SOUNDMAN.EXE' - '20' Module(s) have been scanned

Scan process 'RTHDCPL.EXE' - '34' Module(s) have been scanned

Scan process 'svchost.exe' - '37' Module(s) have been scanned

Scan process 'igfxsrvc.exe' - '20' Module(s) have been scanned

Scan process 'igfxtray.exe' - '23' Module(s) have been scanned

Scan process 'hkcmd.exe' - '22' Module(s) have been scanned

Scan process 'igfxpers.exe' - '19' Module(s) have been scanned

Scan process 'AsAcpiSvr.exe' - '33' Module(s) have been scanned

Scan process 'svchost.exe' - '33' Module(s) have been scanned

Scan process 'sched.exe' - '43' Module(s) have been scanned

Scan process 'ETDCtrl.exe' - '27' Module(s) have been scanned

Scan process 'spoolsv.exe' - '61' Module(s) have been scanned

Scan process 'Explorer.EXE' - '89' Module(s) have been scanned

Scan process 'svchost.exe' - '36' Module(s) have been scanned

Scan process 'svchost.exe' - '27' Module(s) have been scanned

Scan process 'svchost.exe' - '160' Module(s) have been scanned

Scan process 'btwdins.exe' - '19' Module(s) have been scanned

Scan process 'svchost.exe' - '38' Module(s) have been scanned

Scan process 'svchost.exe' - '50' Module(s) have been scanned

Scan process 'avshadow.exe' - '24' Module(s) have been scanned

Scan process 'avguard.exe' - '53' Module(s) have been scanned

Scan process 'lsass.exe' - '57' Module(s) have been scanned

Scan process 'services.exe' - '26' Module(s) have been scanned

Scan process 'winlogon.exe' - '64' Module(s) have been scanned

Scan process 'csrss.exe' - '14' Module(s) have been scanned

Scan process 'smss.exe' - '2' Module(s) have been scanned

 

Starting master boot sector scan:

Master boot sector HD0

[iNFO] No virus was found!

Master boot sector HD1

[iNFO] No virus was found!

Master boot sector HD2

[iNFO] No virus was found!

 

Start scanning boot sectors:

Boot sector 'C:\'

[iNFO] No virus was found!

Boot sector 'D:\'

[iNFO] No virus was found!

Boot sector 'E:\'

[iNFO] No virus was found!

 

Starting to scan executable files (registry).

The registry was scanned ( '365' files ).

 

 

Starting the file scan:

 

Begin scan in 'C:\'

 

 

End of the scan: mercredi 14 avril 2010 15:08

Used time: 28:28 Minute(s)

 

The scan has been canceled!

 

1457 Scanned directories

41778 Files were scanned

0 Viruses and/or unwanted programs were found

0 Files were classified as suspicious

0 files were deleted

0 Viruses and unwanted programs were repaired

0 Files were moved to quarantine

0 Files were renamed

0 Files cannot be scanned

41778 Files not concerned

397 Archives were scanned

0 Warnings

0 Notes

218224 Objects were scanned with rootkit scan

12 Hidden objects were found

 

 

 

 

 

 

12 objets cachés... c'est grave?

[pear]

Bonjour,

12 objets cachés... c'est grave?

 

Ca peut l'être.

 

Télécharger gmer

 

- Cliquer sur le bouton "Download EXE"

- Sauvegardez sur le Bureau.

- Collez et sauvegardez ces instructions dans un fichier texte ou imprimez-les, car il faudra fermer le navigateur.

Avant toute utilisation de GMER, veuillez désactiver votre antivirus, antispyware sous peine de crash.

 

- Fermez les fenêtres de navigateur ouvertes.

- Lancez le fichier téléchargé par double clic(le nom comporte 8 chiffres/lettres aléatoires) ;

- Si l'outil lance un warning d'activité de rootkit et demande de faire un scan ; cliquez "NO"

- Dans la section de droite de la fenêtre de l'outil, Vérifiez que soient décochées les options suivantes :

Sections

Show All

- Cliquez sur le bouton "Scan" et patientez (cela peut prendre 10 minutes ou +)

Il peut arriver que GMER plante sans raison apparente.

Vous pouvez essayer ceci : décocher "Devices" dans un premier temps et repasser l'outil ;

si ça coince toujours, décocher en plus "Files" et ré-essayez un scan.

Lorsque les informations sur le scan s'affichent , les éléments détectés comme rootkit apparaissent en rouge dans chaque section.

 

Le bouton Copy permet de récupérer le résultat pour effectuer un copier/coller.

Le bouton Save permet l'enregistrement du rapport sur votre disque au format texte.

 

 

Collez le résultat dans un prochain message

Modifié le 24 avril 2010 par pear

[thib1984]

Voici le rapport,

au point ou j'en suis, je pense qu'on peut faire du zele et enlever tout ce qui vous paraitrait suspect.

 

A noter, qu'en mode sans échec, une analyse, un transfert ou quoique finissent également par un bug.

 

 

 

GMER 1.0.15.15281 - http://www.gmer.net

Rootkit scan 2010-04-24 12:48:09

Windows 5.1.2600 Service Pack 3

Running: 8yeorvvu.exe; Driver: C:\pwldrpoc.sys

 

 

---- System - GMER 1.0.15 ----

 

SSDT cfrmd.sys (COMODO Safe Delete Filter/COMODO Security Solutions Inc.) ZwCreateKey [0xF73CB82E]

SSDT F7B9F20C ZwCreateThread

SSDT cfrmd.sys (COMODO Safe Delete Filter/COMODO Security Solutions Inc.) ZwDeleteKey [0xF73CC53A]

SSDT cfrmd.sys (COMODO Safe Delete Filter/COMODO Security Solutions Inc.) ZwDeleteValueKey [0xF73CBF4E]

SSDT F7B9F22A ZwLoadKey

SSDT cfrmd.sys (COMODO Safe Delete Filter/COMODO Security Solutions Inc.) ZwOpenKey [0xF73CBACC]

SSDT F7B9F1F8 ZwOpenProcess

SSDT F7B9F1FD ZwOpenThread

SSDT cfrmd.sys (COMODO Safe Delete Filter/COMODO Security Solutions Inc.) ZwQueryValueKey [0xF73CBD52]

SSDT F7B9F234 ZwReplaceKey

SSDT F7B9F22F ZwRestoreKey

SSDT cfrmd.sys (COMODO Safe Delete Filter/COMODO Security Solutions Inc.) ZwSetValueKey [0xF73CC2CA]

 

---- Devices - GMER 1.0.15 ----

 

AttachedDevice \FileSystem\Ntfs \Ntfs cfrmd.sys (COMODO Safe Delete Filter/COMODO Security Solutions Inc.)

AttachedDevice \FileSystem\Fastfat \Fat cfrmd.sys (COMODO Safe Delete Filter/COMODO Security Solutions Inc.)

AttachedDevice \FileSystem\Fastfat \Fat fltMgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)

 

---- EOF - GMER 1.0.15 ----

[pear]

Gmer n'a rien vu:

 

Recherche de rootkit

Télécharger The Avenger par Swandog46 sur le Bureau.

 

Cliquez Enregistrer

Cliquer sur Bureau

Fermer la fenêtre:

Dézipper:par clic droit->Extraire ici:

Fermez toutes les fenêtres et toutes les applications en cours,

puis double-cliquez sur l'icône placée sur votre bureau(L'Epée):

 

The Avenger sait rechercher des rootkits cachés(par définition) .

Pour pour activer cette fonction:

Vérifiez que la case "Scan for rootkits[/b" est bien cochée.( Elle l'est par défaut).

 

Ne pas autoriser The Avenger à désactiver automatiquement tous les rootkits qu'il trouve.

 

Cliquez sur exécute.

la recherche de rootkits se fera au redémarrage , avant l'installation de Windows.

Un fichier log s'ouvrira que vous pourrez retrouver ici : C:\avenger.txt

Copiez /collez le résultat dans votre réponse.

[thib1984]

Et voici le rapport....

 

Rien

 

 

 

Logfile of The Avenger Version 2.0, © by Swandog46

http://swandog46.geekstogo.com

 

Platform: Windows XP

 

*******************

 

Script file opened successfully.

Script file read successfully.

 

Backups directory opened successfully at C:\Avenger

 

*******************

 

Beginning to process script file:

 

Rootkit scan active.

No rootkits found!

 

 

Completed script processing.

 

*******************

 

Finished! Terminate.

[pear]

Eh bien, aucun de vos objets cachés ne serait un rookit !

Ce serait rassurant.

 

Pour le confirmer:

Recherche de rootkit

Téléchargez RootRepeal

Désactiver les modules résidents:l'antivirus,antispyware ,Parefeu

 

Vous devez avoir les droits Administrateur

 

Installez RootRepeal , cliquez sur *Settings->Options*

Onglet "Général Cochez->Only suspicious ..

. [Driver scan] ... [Files scan] ... [Processes scan] ... [sSDT scan] (v. 1.1.0)

aucune raison de changer les paramètres standards.

 

Dans le [ File Scan ] l'option [X] [ Check for file size differences ] est celle qui permet la détection des fichiers dont la taille a été modifiée comme le fait par exemple le rootkit "Rustock.C". Il est donc fortement conseillé de ne pas la désactiver.

 

Dans le [ SSDT scan ], l'option [X] [ Check for hooked SYSENTER/INT 2E ] permet le scan des appels au système par SYSENTER ou INT 2E.

 

Choix des scans (boutons de sélection en bas, à gauche).

 

Chaque option comporte deux boutons [ Scan ] pour lancer l'analyse et [ Save Report ]qui permet d'enregistrer le rapport au format « .txt » dans le répertoire choisi (éventuellement dans le répertoire de démarrage de RootRepeal).

 

[ Report ]permet d'enchaîner plusieurs ou toutes les fonctions précédentes.

Cliquez [select scan]

Dans la fenêtre qui s'ouvre, sélectionner les options à exécuter(Cochez tout).

 

Un choix des partitions du disque est possible dans la fenêtre [select drives].

Cliquez sur Save Report

Lancez le scan,

Si RootRepeal ne trouve rien , il affichera ceci:

 

ROOTREPEAL © AD, 2007-2009

==================================================

Scan Start Time: 2009/08/04 18:47

Program Version: Version 1.3.2.0

Windows Version: Windows XP SP3

==================================================

 

Drivers

-------------------

Name: rootrepeal.sys

Image Path: C:\WINDOWS\system32\drivers\rootrepeal.sys

Address: 0xEB27E000 Size: 49152 File Visible: No Signed: -

Status: -

==EOF==

Modifié le 24 avril 2010 par pear