Blocage du gestionnaire des tâches après la connexion internet

Stef88 · le 18 décembre 2005

Bonjour,

J'ai actuellement un problème avec le gestionnaire des tâches et malgré les différens posts existants à ce sujet, je n'ai pas trouvé la solution à mon problème

Symptôme : lorsque je fais CTRL ALT SUPPR le gestionnaire se lance (visible dans pcrview) mais reste sous la forme de l'icone verte dans la barre des tâches.

Ca se passe en général après 5 min de connexion sur internet. Hors connexion je n'ai pas encore eu le problème.

Je précise que MSCONFIG et REGEDIT fonctionnent parfaitement (cf certains virus qui bloquent ces trois programmes)

Lorsque le gestionnaire est bloqué, ça engendre d'autres problèmes, par exemple la sauvegarde du log de Hijackthis n'est pas possible, certaines appli rament..etc)

J'ai fait un scan complet en mode sans échec et en mode normal avec ad-aware et avast mis à jour, désactivé la resto système, rien de rien

J'ai aussi fait un tour sur le registre au niveau des run services et c'est vide

Bref je suis un peu perdu, je ne vois plus trop quoi faire.

Merci de votre aide

Je vous laisse mon dernier log Hijackthis bien que je ne vois pas de process douteux mais bon je suis loin d'être un pro dans ce domaine...

Logfile of HijackThis v1.99.1

Scan saved at 00:30:06, on 19/12/2005

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\System32\cisvc.exe

C:\Program Files\Executive Software\DiskeeperLite\DKService.exe

C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\System32\nvsvc32.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe

C:\WINDOWS\System32\WF2K.EXE

C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\Program Files\Alcatel\SpeedTouch USB\Dragdiag.exe

C:\Program Files\Analog Devices\SoundMAX\Smtray.exe

C:\Program Files\Microsoft Hardware\Mouse\point32.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Java\j2re1.4.2_05\bin\jusched.exe

C:\PROGRA~1\MICROS~2\GAMECO~1\common\swtrayv4.exe

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\WINDOWS\System32\rundll32.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\WINDOWS\System32\msiexec.exe

C:\Program Files\Téléchargement PHOTOWAYS\Photoways.exe

C:\WINDOWS\System32\cidaemon.exe

F:\Downloads\Utilitaires\Antivirus\fHijackThis.exe

C:\WINDOWS\System32\MsiExec.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.fr/0SESA/frfr?http://g.msn.fr/0SEFRFR/SAOS01

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://home.free.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: CInterfaceObj Object - {58F07DD3-924D-4141-BC74-299F523A95F1} - C:\WINDOWS\pxwma.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll

O2 - BHO: IEHlprObj Class - {CD4C3CF0-4B15-11D1-ABED-709549C10000} - C:\Program Files\Go!Zilla\GoIEHlp.dll (file missing)

O3 - Toolbar: My &Search Bar - {014DA6C9-189F-421a-88CD-07CFE51CFF10} - C:\Program Files\MySearch\bar\1.bin\S4BAR.DLL (file missing)

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [WinFoxV2] C:\WINDOWS\System32\WF2K.EXE

O4 - HKLM\..\Run: [WinFast2KLoadDefault] rundll32.exe wf2kcpl.dll,DllLoadDefaultSettings

O4 - HKLM\..\Run: [speedTouch USB Diagnostics] "C:\Program Files\Alcatel\SpeedTouch USB\Dragdiag.exe" /icon

O4 - HKLM\..\Run: [smapp] C:\Program Files\Analog Devices\SoundMAX\Smtray.exe

O4 - HKLM\..\Run: [POINTER] point32.exe

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_05\bin\jusched.exe

O4 - HKLM\..\Run: [sideWinderTrayV4] C:\PROGRA~1\MICROS~2\GAMECO~1\common\swtrayv4.exe

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto

O4 - HKCU\..\Run: [NVIEW] rundll32.exe nview.dll,nViewLoadHook

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE

O8 - Extra context menu item: &Traduire à partir de l'anglais - res://c:\program files\google\GoogleToolbar1.dll/cmwordtrans.html

O8 - Extra context menu item: Download with Go!Zilla - file://C:\Program Files\Go!Zilla\download-with-gozilla.html

O8 - Extra context menu item: Pages liées - res://c:\program files\google\GoogleToolbar1.dll/cmbacklinks.html

O8 - Extra context menu item: Pages similaires - res://c:\program files\google\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: Recherche &Google - res://c:\program files\google\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://c:\program files\google\GoogleToolbar1.dll/cmcache.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll

O9 - Extra button: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Program Files\ICQ\ICQ.exe

O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Program Files\ICQ\ICQ.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll

O14 - IERESET.INF: START_PAGE_URL=http://home.free.fr/

O16 - DPF: Interface Chat Voila - http://chat5.x-echo.com/version3/Applet/vchatsign.cab

O16 - DPF: Radar - http://demo.cedemo.com/php3/Radar.cab

O16 - DPF: teleir_cert - https://static.ir.dgi.minefi.gouv.fr/secure...teleir_cert.cab

O16 - DPF: Yahoo! Chat - http://us.chat1.yimg.com/us.yimg.com/i/cha...t/c381/chat.cab

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = STEPHANE

O17 - HKLM\Software\..\Telephony: DomainName = STEPHANE

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = STEPHANE

O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = STEPHANE

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: Diskeeper - Executive Software International, Inc. - C:\Program Files\Executive Software\DiskeeperLite\DKService.exe

O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

O23 - Service: Trend NT Realtime Service (Tmntsrv) - Unknown owner - C:\Program Files\Trend Micro\PC-cillin 2002\Tmntsrv.exe (file missing)

Thanos · le 19 décembre 2005

salut Stef88

Ton pc est infecté par Adware.WebDir,MySearch et peut être d'autres.Exécute dans un premier temps la procédure suivante: http://forum.zebulon.fr/index.php?showtopic=69176

Tu as deux fichiers "msiexec.exe"dansC:\WINDOWS\System32.Ca me parrait suspect(je me trompe peut être).Fais analyser les deux fichiers ici=>

1- Jotti: http://virusscan.jotti.org/de/

2- http://www.virustotal.com/flash/index_en.html

et communique les 2 rapports.

Il est possible qu'un des deux fichiers ne soient pas visibles,assure toi d'avoir accès à tous les fichiers comme ceci=>

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :

Activer la case : Afficher les fichiers et dossiers cachés

Désactiver la case : Masquer les extensions des fichiers dont le type est connu

Désactiver la case : Masquer les fichiers protégés du système d'exploitation

Puis Appliquer

Profites en pour faire un scan en ligne et poste nous le rapport:

Panda si tu n'y arrive pas : tutorial

Joins a cela le nouveau rapport hijackthis fait d'apres la procédure.

@+

Modifié le 19 décembre 2005 par charles ingals

Stef88 · le 19 décembre 2005

Merci pour les premiers éléments de réponse

Pour ce qui est de msiexec (en minuscule), le fichier montre un statut OK d'après les 2 logiciels que tu m'as cité

Pour MsiExec, je ne le trouve pas dans c\windows\system32 ! (j'ai bien appliqué les options des dossiers). En fait il apparait dans d'arborescence de Pcrview comme un sous processus de msiexec. Pour info, il y a un mois environ j'ai eu des problèmes avec windows installer qu'une suite logiciel Canon m'a bien planté, j'ai donc du récupérér windows installer et c'est peut être pour ça que depuis j'ai deux appli qui se lancent mais je n'avais jamais vérfié. Ca n'en reste effectivement pas moins suspect...

Pour ce qui est d'antivir, faut il que je désinstalle avast ? En général deux antivirus ne font pas bon ménage !

Ou il me suffit de déconnecter avast, installer antivir, faire la procédure et le désinstaller ?

Thanos · le 19 décembre 2005

salut Stef88

j'ai donc du récupérér windows installer et c'est peut être pour ça que depuis j'ai deux appli qui se lancent mais je n'avais jamais vérfié.

Quand tu lances Ajout/Suppression de programmes par le Panneau de configuration,est ce que tu trouves

deux "Windows Installer"?

Pour ce qui est d'antivir, faut il que je désinstalle avast ? En général deux antivirus ne font pas bon ménage !
Ou il me suffit de déconnecter avast, installer antivir, faire la procédure et le désinstaller ?

tu peux garder Avast.Une fois ton scan fait avec Antivir (mis à jour) en mode sans échec,tu as deux solutions:

-soit tu le vire et tu gardes Avast

-soit tu conserve Antivir pour scanner ton pc avec de temps en temps.Dans ce cas,tu vas dans le services:

Cherche le service suivant:Antivir Service

Double clic dessus :dans le champs"Status du service" met le sur "arrêté"

dans le champs"Type de démarrage" met le sur "désactivé" puis "Appliquer"puis"ok"

Quitte les services. De cette manière tu désactive le scan d'Antivir en temps réel,et il n'y a plus de processus

lancé,et plus de risque de conflit entre les deux antivirus.

Stef88 · le 19 décembre 2005

Bon j'ai suivi la procédure

Voici le rapport antivir ainsi que le rapport Hijackthis (mode sans échec pour les deux):

-----------------------------------

Drives:

A: Floppy drive

C: Hard disk

D: CD-ROM

E: Hard disk

F: Hard disk

G: Hard disk

H: CD-ROM

I: Hard disk

Start of scan: lundi 19 décembre 2005 11:56

Memory test OK

Master boot record of hard disk HD0 OK

Master boot record of hard disk HD1 OK

Boot record of drive C: OK

Boot record of drive E: OK

Boot record of drive F: OK

Boot record of drive G: OK

Boot record of drive I: OK

Access denied! Error during file opening!

Error code: 0x0002

C:\

WARNING! Access error/file locked!

C:\Documents and Settings\Stéphane

ntuser.dat

Access denied! Error during file opening!

Error code: 0x000D

WARNING! Access error/file locked!

ntuser.dat.LOG

Access denied! Error during file opening!

Error code: 0x000D

WARNING! Access error/file locked!

C:\Documents and Settings\Stéphane\Local Settings\Application Data\Microsoft\Windows

UsrClass.dat

Access denied! Error during file opening!

Error code: 0x000D

WARNING! Access error/file locked!

UsrClass.dat.LOG

Access denied! Error during file opening!

Error code: 0x000D

WARNING! Access error/file locked!

Access denied! Error during file opening!

Error code: 0x0002

C:\WINDOWS\$MSI31Uninstall_KB893803v2$

WARNING! Access error/file locked!

C:\WINDOWS\system32

bling.exe

[DETECTION] Contains signature of the worm WORM/Rbot.LG

WAS DELETED!

TFTP2428

[DETECTION] Contains signature of the worm WORM/Rbot.JU

WAS DELETED!

C:\WINDOWS\system32\config

DEFAULT

Access denied! Error during file opening!

Error code: 0x000D

WARNING! Access error/file locked!

default.LOG

Access denied! Error during file opening!

Error code: 0x000D

WARNING! Access error/file locked!

SAM

Access denied! Error during file opening!

Error code: 0x000D

WARNING! Access error/file locked!

SAM.LOG

Access denied! Error during file opening!

Error code: 0x000D

WARNING! Access error/file locked!

SECURITY

Access denied! Error during file opening!

Error code: 0x000D

WARNING! Access error/file locked!

SECURITY.LOG

Access denied! Error during file opening!

Error code: 0x000D

WARNING! Access error/file locked!

SOFTWARE

Access denied! Error during file opening!

Error code: 0x000D

WARNING! Access error/file locked!

software.LOG

Access denied! Error during file opening!

Error code: 0x000D

WARNING! Access error/file locked!

SYSTEM

Access denied! Error during file opening!

Error code: 0x000D

WARNING! Access error/file locked!

system.LOG

Access denied! Error during file opening!

Error code: 0x000D

WARNING! Access error/file locked!

Error! Could not change directory: System Volume Information

End of scan: lundi 19 décembre 2005 12:35

Time taken: 39:46 min

5950 directories were scanned

136493 files were scanned

16 warning messages were issued

2 files were deleted

0 files were repaired

2 detections

-----------------------------

Logfile of HijackThis v1.99.1

Scan saved at 13:25:16, on 19/12/2005