redémarrage par NT AUTHORITE

Gakman · le 25 janvier 2006

Salut à tous !

Voilà j'ai un "petit" problème :

_ j'ai un PC sous XP pro mis à jour 100% (SP2 et toutes les mises à jours car licence valide)

_ TrendMicro PC-CIllin Internet Security 12 mis à jour et en résident, firewall actif

_ connexion ADSL permanante (Freebox)

_ PC AthlonXP 2600+, 1Go ram, ...

_ SpyBot S&D à jour (pas le résident)

_ Microsoft / Giant AntiSpyware à jour (pas le résident)

Alors je clique malheureusement sur un fichier que je n'aurais pas du, visiblement infectant d'un virus. PC-Cillin râle tout fort et supprime des fichiers en C:/, des fichiers test1.exe dans WINDOWS (je ne sais plus exactement s'il y en a eu d'autres mais je crois).

Seulement je reçois un message que Windows prévention de l'exécution des données a fermé ce programme (Nom : application services et controlleur) pour éviter tout problème (désolé de ne plus me rappeler plus), et juste après (sans avoir rien cliqué) un message d'erreur de services.exe qui a planté (l'instruction ... ne peut pas être read). Quand je clique OK là m'apparait le message connu : AUTORITE NT\SYSTEM arrêt du système avec comme contenu de la boîte de dialogue : "C:/WINDOWS/System32/services.exe a causé une erreur du type -1073741674 et doit se fermer. le système va redémarrer." Et la le PC reboot sec (comme un reset) après le décompte de 60 secondes.

Je reboot donc en débranchant le réseau, là je supprime les fichiers bizare en C:/ (avec des noms environ uc....exe, installation.exe, sudoku.exe je ne sais plus), je fais un scane complet PC-Cillin qui ne trouver rien, un HiJackThis avec lequel je vire ibm00001.exe dans fichiers communs, un scane ewido (à jour) qui supprime quelques petits trucs (cookies,...).

Là je reboot et une fois sous Windows, je rebranche le cable réseau. Immédiatement la fenêtre prévention etc... et plantage de services.exe et si je fais ok comme tout à l'heure reboot par "autorite NT".

A noter que si je laisse le message d'erreur sans faire OK le PC ne reboot pas et a l'accès au net (comme ça je peux vous écrire) mais la fenêtre d'erreur reste devant les autres et est très génante.

Je ne comprends pas j'ai totu essayé, rescane avec tout mes logiciels (s&D, MS antispyware, ewido, PC-Cillin, et même SmitfraudFix) sans résultat...

A l'aide !!!!!!!!!!!

Merci.

Voilà mon log actuel HiJackThis :

Logfile of HijackThis v1.99.1

Scan saved at 02:03:27, on 25/01/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Logiciel Bluetooth\bin\btwdins.exe

C:\WINDOWS\system32\drivers\CDAC11BA.EXE

C:\Program Files\ewido anti-malware\ewidoctrl.exe

C:\Program Files\ewido anti-malware\ewidoguard.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\PROGRA~1\TRENDM~1\INTERN~1\PcCtlCom.exe

C:\Program Files\IBM\ServeRAID Manager\RaidServ.exe

C:\WINDOWS\system32\svchost.exe

C:\PROGRA~1\TRENDM~1\INTERN~1\Tmntsrv.exe

C:\PROGRA~1\TRENDM~1\INTERN~1\tmproxy.exe

C:\Program Files\VMware\VMware Workstation\vmware-authd.exe

C:\WINDOWS\System32\vmnat.exe

C:\WINDOWS\System32\vmnetdhcp.exe

C:\PROGRA~1\TRENDM~1\INTERN~1\TmPfw.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\ctfmon.exe

C:\WINDOWS\system32\CTHELPER.EXE

C:\WINDOWS\system32\rundll32.exe

C:\Program Files\Trend Micro\Internet Security 12\pccguide.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\WINDOWS\system32\rundll32.exe

C:\Program Files\DAEMON Tools\daemon.exe

C:\Program Files\Microsoft IntelliPoint\ipoint.exe

C:\Program Files\Logitech\ImageStudio\LogiTray.exe

C:\WINDOWS\system32\dumprep.exe

C:\Program Files\Fichiers communs\Logitech\QCDriver3\LVCOMS.EXE

C:\WINDOWS\system32\USB_Kbd\Versato.exe

C:\WINDOWS\system32\rundll32.exe

D:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE

C:\Program Files\MSN Messenger\msnmsgr.exe

C:\Program Files\Silicon Image\SiICfg\SiICfg.exe

D:\Documents\Bureau\fix\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.chez.com/gakman

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll

O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - C:\PROGRA~1\FlashFXP\IEFlash.dll

O3 - Toolbar: Barre d'outils MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Toolbar\01.01.1601.0\fr\msntb.dll

O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll

O3 - Toolbar: Barre d'outils Texto Web - {4E7BD74F-2B8D-469E-C0FF-FD63A08DBF29} - C:\WINDOWS\DOWNLO~1\textobar.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll

O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [bluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent

O4 - HKLM\..\Run: [pccguide.exe] "C:\Program Files\Trend Micro\Internet Security 12\pccguide.exe"

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [DAEMON Tools] "C:\Program Files\DAEMON Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [intelliPoint] "C:\Program Files\Microsoft IntelliPoint\ipoint.exe"

O4 - HKLM\..\RunOnce: [WIAWizardMenu] RUNDLL32.EXE C:\WINDOWS\system32\sti_ci.dll,WiaCreateWizardMenu

O4 - HKCU\..\Run: [LogitechGalleryRepair] C:\Program Files\Logitech\ImageStudio\ISStart.exe

O4 - HKCU\..\Run: [LogitechImageStudioTray] C:\Program Files\Logitech\ImageStudio\LogiTray.exe

O4 - HKCU\..\Run: [LVCOMS] C:\Program Files\Fichiers communs\Logitech\QCDriver3\LVCOMS.EXE

O4 - HKCU\..\Run: [Versato] C:\WINDOWS\system32\USB_Kbd\Versato.exe

O4 - HKCU\..\Run: [iMJPMIG8] C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE /Spoil /RemAdvDef /Migration32

O4 - HKCU\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName

O4 - HKCU\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC

O4 - HKCU\..\Run: [H/PC Connection Agent] "D:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE"

O4 - HKCU\..\Run: [siSUSBRG] C:\WINDOWS\SiSUSBrg.exe

O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe

O4 - Startup: SiICfg.lnk = C:\Program Files\Silicon Image\SiICfg\SiICfg.exe

O4 - User Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe

O4 - User Startup: SiICfg.lnk = C:\Program Files\Silicon Image\SiICfg\SiICfg.exe

O8 - Extra context menu item: &Traduire à partir de l'anglais - res://C:\Program Files\Google\GoogleToolbar1.dll/cmwordtrans.html

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Easy-WebPrint Ajouter à la Liste à Imprimer - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html

O8 - Extra context menu item: Easy-WebPrint Impression rapide - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html

O8 - Extra context menu item: Easy-WebPrint Imprimer - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Print.html

O8 - Extra context menu item: Easy-WebPrint Prévisualiser - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html

O8 - Extra context menu item: Envoyer à &Bluetooth - C:\Program Files\Logiciel Bluetooth\btsendto_ie_ctx.htm

O8 - Extra context menu item: Pages liées - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.html

O8 - Extra context menu item: Pages similaires - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: Recherche &Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: Save to &Xdrive - res://C:\Program Files\Xdrive\Xdrive Desktop\xdrive.exe/std.html

O8 - Extra context menu item: Télécharger en utilisant Download &Express - C:\Program Files\Download Express\Add_Url.htm

O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_02\bin\npjpi150_02.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_02\bin\npjpi150_02.dll

O9 - Extra button: Créer un Favori de l'appareil mobile - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - D:\Program Files\Microsoft ActiveSync\inetrepl.dll

O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - D:\Program Files\Microsoft ActiveSync\inetrepl.dll

O9 - Extra 'Tools' menuitem: Créer un Favori de l'appareil mobile... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - D:\Program Files\Microsoft ActiveSync\inetrepl.dll

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\OFFICE11\REFIEBAR.DLL

O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Program Files\Logiciel Bluetooth\btsendto_ie.htm

O9 - Extra 'Tools' menuitem: @btrez.dll,-4017 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Program Files\Logiciel Bluetooth\btsendto_ie.htm

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {05D96F71-87C6-11D3-9BE4-00902742D6E0} (QuickPlace Class) - http://www.mayeticvillage.fr/qp2.cab

O16 - DPF: {0A5FD7C5-A45C-49FC-ADB5-9952547D5715} (Creative Software AutoUpdate) - http://creative.com/su/ocx/15015/CTSUEng.cab

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage) - http://go.microsoft.com/fwlink/?linkid=36467&clcid=0x409

O16 - DPF: {39B0684F-D7BF-4743-B050-FDC3F48F7E3B} (FilePlanet Download Control Class) - http://www.fileplanet.com/fpdlmgr/cabs/FPDC_1_0_0_44.cab

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdat...b?1119542836515

O16 - DPF: {D1E7CBDA-E60E-4970-A01C-37301EF7BF98} (Measurement Services Client v.3.7) - http://gameadvisor.futuremark.com/global/msc37.cab

O16 - DPF: {F6ACF75C-C32C-447B-9BEF-46B766368D29} (Creative Software AutoUpdate Support Package) - http://creative.com/su/ocx/15016/CTPID.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{0A898F02-042F-4BCD-9883-BD8FF02BF65F}: NameServer = 192.168.0.1

O17 - HKLM\System\CCS\Services\Tcpip\..\{17EA27A5-9F07-424F-B5AD-D122EEFEE335}: NameServer = 212.27.32.5,213.228.0.168

O17 - HKLM\System\CCS\Services\Tcpip\..\{244E9F32-B0A2-437E-8807-55A8476C85E9}: NameServer = 212.27.32.5,213.228.0.168

O17 - HKLM\System\CCS\Services\Tcpip\..\{8604F453-DD8E-4D06-9E11-0E646351309A}: NameServer = 212.27.32.5,213.228.0.168

O17 - HKLM\System\CCS\Services\Tcpip\..\{BD5E323B-3ACE-4A66-87AE-482F6912DD58}: NameServer = 212.27.32.5,213.228.0.168

O17 - HKLM\System\CCS\Services\Tcpip\..\{C56688BD-F1A4-4942-ADE0-F454E39BCDDE}: NameServer = 212.27.32.5,213.228.0.168

O17 - HKLM\System\CCS\Services\Tcpip\..\{E9376586-1BF6-4C0D-8AF8-4DCE91D326BA}: NameServer = 212.27.32.5,213.228.0.168

O17 - HKLM\System\CS1\Services\Tcpip\..\{0A898F02-042F-4BCD-9883-BD8FF02BF65F}: NameServer = 192.168.0.1

O17 - HKLM\System\CS2\Services\Tcpip\..\{0A898F02-042F-4BCD-9883-BD8FF02BF65F}: NameServer = 192.168.0.1

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O23 - Service: Bluetooth Service (btwdins) - WIDCOMM, Inc. - C:\Program Files\Logiciel Bluetooth\bin\btwdins.exe

O23 - Service: C-DillaCdaC11BA - C-Dilla Ltd - C:\WINDOWS\system32\drivers\CDAC11BA.EXE

O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido anti-malware\ewidoctrl.exe

O23 - Service: ewido security suite guard - ewido networks - C:\Program Files\ewido anti-malware\ewidoguard.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Program Files\Fichiers communs\Macromedia Shared\Service\Macromedia Licensing.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: Trend Micro Central Control Component (PcCtlCom) - Trend Micro Incorporated. - C:\PROGRA~1\TRENDM~1\INTERN~1\PcCtlCom.exe

O23 - Service: ServeRAID Manager Agent (ServeRAIDManagerAgent) - IBM Corporation - C:\Program Files\IBM\ServeRAID Manager\RaidServ.exe

O23 - Service: SSL Explorer - Unknown owner - D:\Program Files\sslexplorer\platforms\windows\wrapper.exe" -s "D:\Program Files\sslexplorer\conf\wrapper.conf (file missing)

O23 - Service: Trend Micro Real-time Service (Tmntsrv) - Trend Micro Incorporated. - C:\PROGRA~1\TRENDM~1\INTERN~1\Tmntsrv.exe

O23 - Service: Trend Micro Personal Firewall (TmPfw) - Trend Micro Inc. - C:\PROGRA~1\TRENDM~1\INTERN~1\TmPfw.exe

O23 - Service: Trend Micro Proxy Service (tmproxy) - Trend Micro Inc. - C:\PROGRA~1\TRENDM~1\INTERN~1\tmproxy.exe

O23 - Service: VMware Authorization Service (VMAuthdService) - Unknown owner - C:\Program Files\VMware\VMware Workstation\vmware-authd.exe

O23 - Service: VMware DHCP Service (VMnetDHCP) - VMware, Inc. - C:\WINDOWS\System32\vmnetdhcp.exe

O23 - Service: VMware NAT Service - Unknown owner - C:\WINDOWS\System32\vmnat.exe

angelique · le 25 janvier 2006

heu!! ça pourait faire penser à sasser :-P ,mais là

http://www.secuser.com/alertes/2004/sasser.htm

Sous Windows XP, un message d'erreur s'affiche à l'initiative de Autorite NT\System, puis l'ordinateur redémarre automatiquement après 60 secondes. Si ce délai ne vous laisse pas le temps de télécharger le correctif, il est possible de stopper le compte à rebours et d'annuler le redémarrage automatique en procédant de la manière suivante : cliquez sur le bouton "Démarrer", sélectionnez "Exécuter...", entrez " shutdown -a "

donc tu appliques la procedure hijack:

HIJACKTHIS

Procédure préliminaire à toute demande d'analyse de rapport HijackThis.

Phase 1

- faire un copier/coller de ces instructions dans un fichier texte car la seconde partie de cette procédure va être effectuée en mode sans échec et donc, hors connexion.

- télécharger Antivir ( http://www.free-av.com . Une fois passé en mode sans echec, installer et paramétrer Antivir. Il est impératif de le configurer correctement afin de faire le meilleur scan possible --> voir la procédure ici (imprimez la) : http://speedweb1.free.fr/frames2.php?page=tuto5

nb: le choix d'Antivir comme antivirus a utiliser dans le cadre de cette procédure, a reposé sur les critères suivants : --- failles de votre antivirus qui a laissé passer des malwares --- Antivir peut-être installé et désinstallé facilement --- Antivir est reconnu pour son efficacité en mode sans échec --- le tutorial de tesgaz permet de le paramétrer sans problème

- télécharger la dernière version d'HijackThis ( http://www.merijn.org/files/hijackthis.zip ou http://telechargement.zebulon.fr/138-hijackthis-1991.html en cas d'indisponibilité !)

Phase 2

- redémarrer le PC, impérativement en mode sans échec, (n'ayant pas accès à Internet, vous avez préalablement copié ces instructions dans un fichier texte)

-- au redémarrage de l'ordinateur, une fois le chargement du BIOS terminé, il y a un écran noir qui apparaît rapidement, appuyer sur la touche [F8] ou [F5] jusqu'à l'affichage du menu des options avancées de Windows. Sélectionner "Mode sans échec" et appuyer sur [Entrée].

NB : en cas de problème pour sélectionner le mode sans échec, appliquer la procédure de Symantec "Comment démarrer l'ordinateur en mode sans échec" (http://service1.symantec.com/support/inter/tsgeninfointl.nsf/fr_docid/20020905112131924 )

-- à l'ouverture de session, choisir la session courante et non celle de l'administrateur

- Afficher tous les fichiers par cette modification des options de l'explorateur Windows :

Menu "Outils", "Option des dossiers", onglet "Affichage" :

Activer la case : "Afficher les fichiers et dossiers cachés"

Désactiver la case : "Masquer les extensions des fichiers dont le type est connu"

Désactiver la case : "Masquer les fichiers protégés du système d'exploitation"

Puis, cliquer sur "Appliquer".

Maintenant, vous avez accès à tous les fichiers et dossiers du système d'exploitation.

Phase 3

- nettoyage rapide du disque dur :

Démarrer / Exécuter / taper CleanMgr et valider

Cette fonction cleanmgr génére parfois un bug sous système Windows 2000, effectuer dans ce cas un nettoyage manuel : suppression de tous les fichiers contenus dans les dossiers

C:\TEMP

C:\WINDOWS\TEMP

C:\Documents And Settings\Session utilisateur\Local Settings\Temp

C:\Documents And Settings\Session utilisateur\Local Settings\Temporary internet files

Vider la corbeille

- recherche et élimination des parasites avec Antivir

lancer un scan complet du, ou des disques dur, et supprimer tous les fichiers infectés (s'ils existent)

- désinstallation d'Antivir

-- terminer les processus suivants dans le gestionnaire des tâches (faire Ctrl+Alt+Suppr pour ouvrir la fenêtre puis cliquer sur l'onglet Processus) : AVGUARD.EXE - AVSCHED.EXE - AVWUPSRV.EXE et AVGNT.EXE puis, désinstaller Antivir dans ajout/suppression de programmes (vous pourrez le réinstaller ensuite si vous souhaitez le conserver en lieu et place de votre antivirus résident qu'il conviendra dans ce cas de désinstaller proprement, surtout s'il s'agit de Norton).

- Redémarrer le PC en mode normal

- installation et utilisation d'HijackThis

-- créer un nouveau dossier à la racine de C:\Program Files\HijackThis (double clic sur poste de travail/double clic sur l'icone de C/double clic sur le répertoire Program Files/clic droit dans la fenêtre, choisir nouveau dossier et le nommer HijackThis) ; dézipper le programme précédemment téléchargé lors de la phase 1 dans ce nouveau dossier HijackThis, créer un raccourci sur le bureau.

Important: surtout, ne pas créer ce dossier HijackThis dans un répertoire temporaire

-- arrêter tous les programmes en cours et fermer toutes les fenêtres

-- lancer HijackThis à l'aide du raccourci et cliquer sur le bouton "Do a system scan and save a logfile"

-- le rapport HijackThis (fichier log) va être enregistré dans C:\Program Files\HijackThis (penser à ajouter un chiffre à la suite du nom du rapport si vous voulez conserver un historique de vos rapports ex : HijackThis 1, HijackThis 2...)

NB : en cas de problème, appliquer le Tutorial de BipBip (http://sitethemacs.free.fr/aide_enregistrement_de_hijackthi.htm avec copies d'écran).

Phase 4

- ouvrir le rapport HijackThis précédemment sauvegardé et faire : Ctrl-A, Ctrl-C puis, le coller (Ctrl-V) dans un nouveau post que vous créez sur le forum Analyse rapports HijackThis, Eradication malwares de manière à ce que nous vous disions ce qu'il faut faire.

- attendre l'analyse et la réponse.

mais sasser,ça concerne Lssas et on devrait voir en 04:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run\avserve = avserve.exe

ou HKLM\Software\Microsoft\Windows\CurrentVersion\Run

avserve.exe -> C:\%WINDIR%\avserve.exe

mais non

Thanos · le 25 janvier 2006

salut Gakman

Je ne vois rien d'infectieux sur ton rapport,(mais vu l'heure ,j'espère ne pas me tromper ) Peut tu faire ceci stp?Est ce que tu as gardé le premier rapport que tu as eu d'hijackthis?

-Télécharge silentrunners sur le bureau:

http://www.silentrunners.org/Silent%20Runners.zip

Dézippe le fichier dans un dossier . double clique sur le fichier "silentrunners.vbs" :une fenêtre va s'ouvrir ,clique sur "oui" . Poste le rapport qui a été généré.

Edit: Désolé angélique!Suis la procédure si tu ne l'a pas faite Gakman!

Modifié le 25 janvier 2006 par charles ingals

Gakman · le 25 janvier 2006

J'ai fait ce qu'a dit angelina et antivir ne trouve rien...

Voilà le rapport Silent Runner :

"Silent Runners.vbs", revision 43, http://www.silentrunners.org/

Operating System: Windows XP SP2

Output limited to non-default values, except where indicated by "{++}"

Startup items buried in registry:

---------------------------------

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++}

"LogitechGalleryRepair" = "C:\Program Files\Logitech\ImageStudio\ISStart.exe" ["Logitech Inc."]

"LogitechImageStudioTray" = "C:\Program Files\Logitech\ImageStudio\LogiTray.exe" ["Logitech Inc."]

"LVCOMS" = "C:\Program Files\Fichiers communs\Logitech\QCDriver3\LVCOMS.EXE" ["Logitech Inc."]

"Versato" = "C:\WINDOWS\system32\USB_Kbd\Versato.exe" [null data]

"IMJPMIG8" = "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE /Spoil /RemAdvDef /Migration32" [MS]

"PHIME2002A" = "C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName" [MS]

"PHIME2002ASync" = "C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC" [MS]

"H/PC Connection Agent" = ""D:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE"" [MS]

"SiSUSBRG" = "C:\WINDOWS\SiSUSBrg.exe" ["Silicon Integrated Systems Corp."]

"msnmsgr" = ""C:\Program Files\MSN Messenger\msnmsgr.exe" /background" [MS]

"ctfmon.exe" = "C:\WINDOWS\system32\ctfmon.exe" [MS]

"Steam" = (empty string)

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++}

"CTHelper" = "CTHELPER.EXE" ["Creative Technology Ltd"]

"NvCplDaemon" = "RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup" [MS]

"nwiz" = "nwiz.exe /install" ["NVIDIA Corporation"]

"BluetoothAuthenticationAgent" = "rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent" [MS]

"pccguide.exe" = ""C:\Program Files\Trend Micro\Internet Security 12\pccguide.exe"" ["Trend Micro Incorporated."]

"NvMediaCenter" = "RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit" [MS]

"DAEMON Tools" = ""C:\Program Files\DAEMON Tools\daemon.exe" -lang 1033" ["DT Soft Ltd."]

"IntelliPoint" = ""C:\Program Files\Microsoft IntelliPoint\ipoint.exe"" [MS]

"UserFaultCheck" = "C:\WINDOWS\system32\dumprep 0 -u" [MS]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\ {++}

"WIAWizardMenu" = "RUNDLL32.EXE C:\WINDOWS\system32\sti_ci.dll,WiaCreateWizardMenu" [MS]

HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\

{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}\(Default) = "AcroIEHlprObj Class" [from CLSID]

-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll" ["Adobe Systems Incorporated"]

{53707962-6F74-2D53-2644-206D7942484F}\(Default) = (no title provided)

-> {CLSID}\InProcServer32\(Default) = "C:\PROGRA~1\SPYBOT~1\SDHelper.dll" ["Safer Networking Limited"]

{AA58ED58-01DD-4d91-8333-CF10577473F7}\(Default) = "Google Toolbar Helper" [from CLSID]

-> {CLSID}\InProcServer32\(Default) = "c:\program files\google\googletoolbar1.dll" ["Google Inc."]

{E5A1691B-D188-4419-AD02-90002030B8EE}\(Default) = "FlashFXP Helper for Internet Explorer" [from CLSID]

-> {CLSID}\InProcServer32\(Default) = "C:\PROGRA~1\FlashFXP\IEFlash.dll" ["IniCom Networks, Inc."]

HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\

"{42071714-76d4-11d1-8b24-00a0c9068ff3}" = "Extension Affichage Panorama du Panneau de configuration"

-> {CLSID}\InProcServer32\(Default) = "deskpan.dll" [file not found]

"{88895560-9AA2-1069-930E-00AA0030EBC8}" = "Extension icône HyperTerminal"

-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\hticons.dll" ["Hilgraeve, Inc."]

"{640167b4-59b0-47a6-b335-a6b3c0695aea}" = "Portable Media Devices"

-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\Audiodev.dll" [MS]

"{cc86590a-b60a-48e6-996b-41d25ed39a1e}" = "Portable Media Devices Menu"

-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\Audiodev.dll" [MS]

"{51550900-DCAC-11d4-AA0F-0080C87C465D}" = "WayTech Keyboard Extension"

-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\USB_Kbd\KeybExt.Dll" ["WayTech Development, Inc."]

"{70B28949-EC23-4D00-A411-AD8A1B3A8A5A}" = "awxDTools - ShellExtension"

-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\arniWORX\awxDTools\awxDTools.dll" ["arniWORX"]

"{7A5117B0-B594-4DA8-829D-D15BF11996F2}" = "awxDTools - ColumnHandler"

-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\arniWORX\awxDTools\awxDTools.dll" ["arniWORX"]

"{B446400D-0030-457b-8F64-422A19605186}" = "Logitech Gallery"

-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Logitech\ImageStudio\NameSpc.dll" ["Logitech Inc."]

"{A70C977A-BF00-412C-90B7-034C51DA2439}" = "NvCpl DesktopContext Class"

-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\nvcpl.dll" ["NVIDIA Corporation"]

"{F8D369A9-CD73-48E2-9300-ED0F4924D429}" = "WnkFile Extension"

-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\threedegrees\lwsh.dll" [MS]

"{F0CB00CD-5A07-4D91-97F5-A8C92CDA93E4}" = "Shell Extensions for RealOne Player"

-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\K-Lite Codec Pack\Real\rpshell.dll" ["RealNetworks, Inc."]

"{709C6E11-538F-4759-86AC-6ACB302AA0DE}" = "Desktop Manager"

-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\msvdm.dll" [null data]

"{1530F7EE-5128-43BD-9977-84A4B0FAD7DF}" = "PhotoToys"

-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\phototoys.dll" [MS]

"{efb97cb8-a4a4-4357-a261-002ffaed0267}" = "CD Slideshow Powertoy"

-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\slideshow.dll" [MS]

"{00020D75-0000-0000-C000-000000000046}" = "Microsoft Office Outlook Desktop Icon Handler"

-> {CLSID}\InProcServer32\(Default) = "C:\PROGRA~1\OFFICE11\MLSHEXT.DLL" [MS]

"{0006F045-0000-0000-C000-000000000046}" = "Microsoft Office Outlook Custom Icon Handler"

-> {CLSID}\InProcServer32\(Default) = "C:\PROGRA~1\OFFICE11\OLKFSTUB.DLL" [MS]

"{42042206-2D85-11D3-8CFF-005004838597}" = "Microsoft Office HTML Icon Handler"

-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\OFFICE11\msohev.dll" [MS]

"{32020A01-506E-484D-A2A8-BE3CF17601C3}" = "AlcoholShellEx"

-> {CLSID}\InProcServer32\(Default) = "C:\PROGRA~1\ALCOHO~1\ALCOHO~1\AXShlEx.dll" ["Alcohol Soft Development Team"]

"{B41DB860-8EE4-11D2-9906-E49FADC173CA}" = "WinRAR shell extension"

-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]

"{1CDB2949-8F65-4355-8456-263E7C208A5D}" = "Desktop Explorer"

-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\nvshell.dll" ["NVIDIA Corporation"]

"{1E9B04FB-F9E5-4718-997B-B8DA88302A47}" = "Desktop Explorer Menu"

-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\nvshell.dll" ["NVIDIA Corporation"]

"{1E9B04FB-F9E5-4718-997B-B8DA88302A48}" = "nView Desktop Context Menu"

-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\nvshell.dll" ["NVIDIA Corporation"]

"{5D64CBA3-BDEC-427C-8A7F-8CB7C9EA7C74}" = "xdrive.LinkedIconOverlay"

-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Xdrive\Xdrive Desktop\Overlay.dll" ["XDrive"]

"{7C541B8D-BD5A-4687-9010-50E2B5D4A8E4}" = "xdrive.LinkedSharedIconOverlay"

-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Xdrive\Xdrive Desktop\Overlay.dll" ["XDrive"]

"{39C2972F-3338-471B-8D67-FA82E46E3AC2}" = "xdrive.SharedIconOverlay"

-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Xdrive\Xdrive Desktop\Overlay.dll" ["XDrive"]

"{802293E4-9A69-4387-A084-42814E0BAE29}" = "XDrive properties shell extension"

-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Xdrive\Xdrive Desktop\PropExt.dll" [null data]

"{F5D92341-0A64-11D0-9956-0000E8096023}" = "CD Copy Shell Extension"

-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\Shellext\CDWshext.dll" ["Pinnacle Systems, Inc."]

"{F5D92342-0A64-11D0-9956-0000E8096023}" = "CD Wizard Shell Extension"

-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\Shellext\CDWshext.dll" ["Pinnacle Systems, Inc."]

"{F5D92344-0A64-11D0-9956-0000E8096023}" = "InstantWrite Shellextension"

-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\ShellExt\iwshex.dll" ["VOB Computersysteme GmbH"]

"{48F45200-91E6-11CE-8A4F-0080C81A28D4}" = "TMD Shell Extension"

-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Trend Micro\Internet Security 12\Tmdshell.dll" ["Trend Micro Incorporated."]

"{771A9DA0-731A-11CE-993C-00AA004ADB6C}" = "VBPropSheet"

-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Trend Micro\Internet Security 12\VBProp.dll" ["Trend Micro Incorporated."]

"{6af09ec9-b429-11d4-a1fb-0090960218cb}" = "My Bluetooth Places"

-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\BTNEIG~1.DLL" ["WIDCOMM, Inc."]

"{2B232F20-FA0D-11D1-8A3E-00C0F64105CD}" = "Shell Extension for Shuttle Drive"

-> {CLSID}\InProcServer32\(Default) = "Stlhook.dll" ["SCM Microsystems Inc."]

"{e57ce731-33e8-4c51-8354-bb4de9d215d1}" = "Périphériques Plug and Play universels"

-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\upnpui.dll" [MS]

"{2B3453E4-49DF-11D3-8229-0080BE509050}" = "GMail Drive"

-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\ShellExt\GMailFS.dll" ["Bjarke Viksoe"]

"{2B3453E4-49DF-11D3-8229-0080BE509052}" = "GMailFS Property Sheet"

-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\ShellExt\GMailFS.dll" ["Bjarke Viksoe"]

"{2B3453E4-49DF-11D3-8229-0080BE509054}" = "GMailFS Drop Handler"

-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\ShellExt\GMailFS.dll" ["Bjarke Viksoe"]

"{2B3453E4-49DF-11D3-8229-0080BE509056}" = "GMailFS Context Menu"

-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\ShellExt\GMailFS.dll" ["Bjarke Viksoe"]

"{64BC5640-700F-4E7E-8462-D3092DD74B0F}" = "VDMSound LaunchPad"

-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\VDMSound\LaunchPad.dll" [empty string]

"{e82a2d71-5b2f-43a0-97b8-81be15854de8}" = "ShellLink for Application References"

-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\dfshim.dll" [MS]

"{E37E2028-CE1A-4f42-AF05-6CEABC4E5D75}" = "Shell Icon Handler for Application References"

-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\dfshim.dll" [MS]

"{FFB699E0-306A-11d3-8BD1-00104B6F7516}" = "Play on my TV helper"

-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\nvcpl.dll" ["NVIDIA Corporation"]

"{21569614-B795-46b1-85F4-E737A8DC09AD}" = "Shell Search Band"

-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\browseui.dll" [MS]

"{20082881-FC36-4E47-9A7A-644C95FF749F}" = "IntelliPoint Wireless Control Panel Property Page"

-> {CLSID}\InProcServer32\(Default) = ""C:\Program Files\Microsoft IntelliPoint\ipcplwir.dll"" [MS]

"{AF90F543-6A3A-4C1B-8B16-ECEC073E69BE}" = "IntelliPoint Wheel Control Panel Property Page"

-> {CLSID}\InProcServer32\(Default) = ""C:\Program Files\Microsoft IntelliPoint\ipcplwhl.dll"" [MS]

"{653DCCC2-13DB-45B2-A389-427885776CFE}" = "IntelliPoint Activities Control Panel Property Page"

-> {CLSID}\InProcServer32\(Default) = ""C:\Program Files\Microsoft IntelliPoint\ipcplact.dll"" [MS]

"{124597D8-850A-41AE-849C-017A4FA99CA2}" = "IntelliPoint Buttons Control Panel Property Page"

-> {CLSID}\InProcServer32\(Default) = ""C:\Program Files\Microsoft IntelliPoint\ipcplbtn.dll"" [MS]

HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\

INFECTION WARNING! "{9EF34FF2-3396-4527-9D27-04C8C1C67806}" = "Microsoft AntiSpyware Service Hook"

-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Microsoft AntiSpyware\shellextension.dll" [MS]

INFECTION WARNING! "{54D9498B-CF93-414F-8984-8CE7FDE0D391}" = "ewido shell guard"

-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\ewido anti-malware\shellhook.dll" ["TODO: <Firmenname>"]

HKLM\Software\Classes\PROTOCOLS\Filter\

INFECTION WARNING! text/xml\CLSID = "{807553E5-5146-11D5-A672-00B0D022E945}"

-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Fichiers communs\Microsoft Shared\OFFICE11\MSOXMLMF.DLL" [MS]

HKLM\Software\Classes\*\shellex\ContextMenuHandlers\

7-ZIP\(Default) = "{23170F69-40C1-278A-1000-000100020000}"

-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\7-Zip\7-zipn.dll" ["Igor Pavlov"]

ewido\(Default) = "{57BD36D7-CE32-4600-9B1C-1A0C47EFC02E}"

-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\ewido anti-malware\context.dll" ["ewido networks"]

HexWorkshopContextMenu\(Default) = "{DB34D5DC-D41A-482E-A5EF-8FA0F88761DA}"

-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\BreakPoint Software\Hex Workshop 4.2\hwext.dll" ["BreakPoint Software, Inc."]

PropExt\(Default) = "{802293E4-9A69-4387-A084-42814E0BAE29}"

-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Xdrive\Xdrive Desktop\PropExt.dll" [null data]

WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"

-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]

XdriveRightClickExt\(Default) = "{3C6CC269-AFF3-4D07-BB07-B26A86A4FEED}"

-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Xdrive\Xdrive Desktop\RightClickExt.dll" [null data]

HKLM\Software\Classes\Directory\shellex\ContextMenuHandlers\

7-ZIP\(Default) = "{23170F69-40C1-278A-1000-000100020000}"

-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\7-Zip\7-zipn.dll" ["Igor Pavlov"]

ewido\(Default) = "{57BD36D7-CE32-4600-9B1C-1A0C47EFC02E}"

-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\ewido anti-malware\context.dll" ["ewido networks"]

WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"

-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]

XdriveRightClickExt\(Default) = "{3C6CC269-AFF3-4D07-BB07-B26A86A4FEED}"

-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Xdrive\Xdrive Desktop\RightClickExt.dll" [null data]

HKLM\Software\Classes\Folder\shellex\ContextMenuHandlers\

7-ZIP\(Default) = "{23170F69-40C1-278A-1000-000100020000}"

-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\7-Zip\7-zipn.dll" ["Igor Pavlov"]

PropExt\(Default) = "{802293E4-9A69-4387-A084-42814E0BAE29}"

-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Xdrive\Xdrive Desktop\PropExt.dll" [null data]

WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"

-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]

Active Desktop and Wallpaper:

-----------------------------

Active Desktop is disabled at this entry:

HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellState

HKCU\Control Panel\Desktop\

"Wallpaper" = "C:\Documents and Settings\Manu\Local Settings\Application Data\Microsoft\Wallpaper1.bmp"

Enabled Screen Saver:

---------------------

HKCU\Control Panel\Desktop\

"SCRNSAVE.EXE" = "C:\WINDOWS\system32\ssstars.scr" [MS]

Startup items in "Manu" & "All Users" startup folders:

------------------------------------------------------

D:\Documents\Menu démarrer\Programmes\Démarrage

"Logitech Desktop Messenger" -> shortcut to: "C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe /start" ["Logitech"]

"SiICfg" -> shortcut to: "C:\Program Files\Silicon Image\SiICfg\SiICfg.exe" ["Silicon Image, Inc."]

Enabled Scheduled Tasks:

------------------------

"{0D8DDE78-30E7-4EC3-A98A-D36A3F50450B}_CONTI_Manu" -> launches: "C:\WINDOWS\system32\mobsync.exe /Schedule="{0D8DDE78-30E7-4EC3-A98A-D36A3F50450B}_CONTI_Manu"" [MS]

"{B1E3C3FF-EB3A-4E30-9BE8-F30C74F6C0CE}_CONTI_Manu" -> launches: "C:\WINDOWS\system32\mobsync.exe /Schedule="{B1E3C3FF-EB3A-4E30-9BE8-F30C74F6C0CE}_CONTI_Manu"" [MS]

"{F2729EF5-FE6E-4CC9-8A68-DF9E654B861E}_CONTI_Manu" -> launches: "C:\WINDOWS\system32\mobsync.exe /Schedule="{F2729EF5-FE6E-4CC9-8A68-DF9E654B861E}_CONTI_Manu"" [MS]

Winsock2 Service Provider DLLs:

-------------------------------

Namespace Service Providers

HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\ {++}

000000000001\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]

000000000002\LibraryPath = "%SystemRoot%\System32\winrnr.dll" [MS]

000000000003\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]

000000000004\LibraryPath = "%SystemRoot%\System32\nwprovau.dll" [MS]

000000000005\LibraryPath = "%SystemRoot%\system32\wshbth.dll" [MS]

000000000006\LibraryPath = "C:\WINDOWS\system32\pnrpnsp.dll" [MS]

000000000007\LibraryPath = "C:\WINDOWS\system32\pnrpnsp.dll" [MS]

Transport Service Providers

HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\ {++}

0000000000##\PackedCatalogItem (contains) DLL [Company Name], (at) ## range:

%SystemRoot%\system32\mswsock.dll [MS], 01 - 03, 06 - 65

%SystemRoot%\system32\rsvpsp.dll [MS], 04 - 05

Toolbars, Explorer Bars, Extensions:

------------------------------------

Toolbars

HKCU\Software\Microsoft\Internet Explorer\Toolbar\ShellBrowser\

"{2318C2B1-4965-11D4-9B18-009027A5CD4F}" = "&Google" [from CLSID]

-> {CLSID}\InProcServer32\(Default) = "c:\program files\google\googletoolbar1.dll" ["Google Inc."]

HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\

"{2318C2B1-4965-11D4-9B18-009027A5CD4F}" = "&Google" [from CLSID]

-> {CLSID}\InProcServer32\(Default) = "c:\program files\google\googletoolbar1.dll" ["Google Inc."]

"{BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0}" = "Barre d'outils MSN" [from CLSID]

-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\MSN Toolbar\01.01.1601.0\fr\msntb.dll" [MS]

"{4E7BD74F-2B8D-469E-C0FF-FD63A08DBF29}" = "Barre d'outils Texto Web" [from CLSID]

-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\DOWNLO~1\textobar.dll" [empty string]

HKLM\Software\Microsoft\Internet Explorer\Toolbar\

"{BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0}" = "0"

-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\MSN Toolbar\01.01.1601.0\fr\msntb.dll" [MS]

"{327C2873-E90D-4C37-AA9D-10AC9BABA46C}" = "Easy-WebPrint"

-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Canon\Easy-WebPrint\Toolband.dll" [empty string]

"{4E7BD74F-2B8D-469E-C0FF-FD63A08DBF29}" = "Barre d'outils Texto Web" [from CLSID]

-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\DOWNLO~1\textobar.dll" [empty string]

"{2318C2B1-4965-11D4-9B18-009027A5CD4F}" = "&Google" [from CLSID]

-> {CLSID}\InProcServer32\(Default) = "c:\program files\google\googletoolbar1.dll" ["Google Inc."]

Extensions (Tools menu items, main toolbar menu buttons)

HKLM\Software\Microsoft\Internet Explorer\Extensions\

{08B0E5C0-4FCB-11CF-AAA5-00401C608501}\

"MenuText" = "Console Java (Sun)"

"CLSIDExtension" = "{CAFEEFAC-0015-0000-0002-ABCDEFFEDCBC}"

-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Java\jre1.5.0_02\bin\npjpi150_02.dll" ["Sun Microsystems, Inc."]

{2EAF5BB1-070F-11D3-9307-00C04FAE2D4F}\

"ButtonText" = "Créer un Favori de l'appareil mobile"

"CLSIDExtension" = "{2EAF5BB0-070F-11D3-9307-00C04FAE2D4F}"

-> {CLSID}\InProcServer32\(Default) = "D:\Program Files\Microsoft ActiveSync\inetrepl.dll" [MS]

{2EAF5BB2-070F-11D3-9307-00C04FAE2D4F}\

"MenuText" = "Créer un Favori de l'appareil mobile..."

"CLSIDExtension" = "{2EAF5BB0-070F-11D3-9307-00C04FAE2D4F}"

-> {CLSID}\InProcServer32\(Default) = "D:\Program Files\Microsoft ActiveSync\inetrepl.dll" [MS]

{92780B25-18CC-41C8-B9BE-3C9C571A8263}\

"ButtonText" = "Recherche"

{CCA281CA-C863-46EF-9331-5C8D4460577F}\

"ButtonText" = "@btrez.dll,-4015"

"MenuText" = "@btrez.dll,-4017"

"Script" = "C:\Program Files\Logiciel Bluetooth\btsendto_ie.htm" [null data]

{FB5F1910-F110-11D2-BB9E-00C04F795683}\

"ButtonText" = "Messenger"

"MenuText" = "Windows Messenger"

"Exec" = "C:\Program Files\Messenger\msmsgs.exe" [MS]

Miscellaneous IE Hijack Points

------------------------------

C:\WINDOWS\INF\IERESET.INF (used to "Reset Web Settings")

Added lines (compared with English-language version):

[strings]: SAFESITE_VALUE="http://home.microsoft.com/intl/fr/"

Missing lines (compared with English-language version):

[strings]: 1 line

Running Services (Display Name, Service Name, Path {Service DLL}):

------------------------------------------------------------------

Bluetooth Service, btwdins, "C:\Program Files\Logiciel Bluetooth\bin\btwdins.exe" ["WIDCOMM, Inc."]

Bluetooth Support Service, BthServ, "C:\WINDOWS\system32\svchost.exe -k bthsvcs" {"C:\WINDOWS\System32\bthserv.dll" [MS]}

C-DillaCdaC11BA, C-DillaCdaC11BA, "C:\WINDOWS\system32\drivers\CDAC11BA.EXE" ["C-Dilla Ltd"]

ewido security suite control, ewido security suite control, "C:\Program Files\ewido anti-malware\ewidoctrl.exe" ["ewido networks"]

ewido security suite guard, ewido security suite guard, "C:\Program Files\ewido anti-malware\ewidoguard.exe" ["ewido networks"]

NVIDIA Display Driver Service, NVSvc, "C:\WINDOWS\system32\nvsvc32.exe" ["NVIDIA Corporation"]

ServeRAID Manager Agent, ServeRAIDManagerAgent, ""C:\Program Files\IBM\ServeRAID Manager\RaidServ.exe"" ["IBM Corporation"]

Service d'application d'assistance IPv6, 6to4, "C:\WINDOWS\system32\svchost.exe -k netsvcs" {"C:\WINDOWS\System32\6to4svc.dll" [MS]}

Trend Micro Central Control Component, PcCtlCom, "C:\PROGRA~1\TRENDM~1\INTERN~1\PcCtlCom.exe" ["Trend Micro Incorporated."]

Trend Micro Personal Firewall, TmPfw, "C:\PROGRA~1\TRENDM~1\INTERN~1\TmPfw.exe" ["Trend Micro Inc."]

Trend Micro Proxy Service, tmproxy, "C:\PROGRA~1\TRENDM~1\INTERN~1\tmproxy.exe" ["Trend Micro Inc."]

Trend Micro Real-time Service, Tmntsrv, "C:\PROGRA~1\TRENDM~1\INTERN~1\Tmntsrv.exe" ["Trend Micro Incorporated."]

VMware Authorization Service, VMAuthdService, ""C:\Program Files\VMware\VMware Workstation\vmware-authd.exe"" [null data]

VMware DHCP Service, VMnetDHCP, "C:\WINDOWS\System32\vmnetdhcp.exe" ["VMware, Inc."]

VMware NAT Service, VMware NAT Service, "C:\WINDOWS\System32\vmnat.exe" [null data]

Windows User Mode Driver Framework, UMWdf, "C:\WINDOWS\system32\wdfmgr.exe" [MS]

Keyboard Driver Filters:

------------------------

HKLM\System\CurrentControlSet\Control\Class\{4D36E96B-E325-11CE-BFC1-08002BE10318}\

"UpperFilters" = INFECTION WARNING! "DumaNT" ["Windows ® 2000 DDK provider"]

Print Monitors:

---------------

HKLM\System\CurrentControlSet\Control\Print\Monitors\

Canon MP Language Monitor MP360\Driver = "CNMLMyd.DLL" ["CANON INC."]

Microsoft Document Imaging Writer Monitor\Driver = "mdimon.dll" [MS]

MLMON__N\Driver = "MLMON__N.DLL" ["KONICA MINOLTA BUSINESS TECHNOLOGIES, INC."]

Port imprimante Bluetooth\Driver = "bthcrp.dll" ["WIDCOMM, Inc."]

----------

+ This report excludes default entries except where indicated.

+ To see *everywhere* the script checks and *everything* it finds,

launch it from a command prompt or a shortcut with the -all parameter.

+ To search all directories of local fixed drives for DESKTOP.INI

DLL launch points and all Registry CLSIDs for dormant Explorer Bars,

use the -supp parameter or answer "No" at the first message box.

---------- (total run time: 98 seconds, including 17 seconds for message boxes)

Modifié le 25 janvier 2006 par Gakman

Thanos · le 26 janvier 2006

salut Gakman

Pourrais tu essayer de faire ceci, et me dire si le problème réapparait:

-Clique droit sur "Poste de Travail"=>"Propriétés"=>"Avancé"=>dans Démarrage et récupération , clique sur "Paramètres"=>clique sur le bouton "Modifier".

-Le bloc notes vient de s'ouvrir avec un texte qui ressemble à ca =>

boot loader]

timeout=5

default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS

[operating systems]

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professionnel" /fastdetect /noexecute=OptOut

Remplace OptOut par AlwaysOff (copie/colle le ).Ne touche à rien d'autre .Clique à présent sur

"Fichier"en haut de page et "Enregistrer".

Redémarre et dis moi ce qui en est.

Gakman · le 27 janvier 2006

Moi c'est écrit OptIn et pas OptOut ?

Bon je vai tester mais je doute car lorsque je fais shutdown -a led écompte s'arrête bien seulement ma connexion Internet ne marche plus à partir de ce moment là...

Je vous tiens au cournat le temps de reboot !

Thanos · le 27 janvier 2006

Salut Gakman

Oui essaie de faire la manip: remplace OptIn par AlwaysOff , ca désactivera la DEP sur ton pc.

La prévention de l'exécution des données pose parfois problème.Je ne te garantit pas le résultat mais ca a déjà fonctionné! Une fois le changement fait , redémarre le pc et tiens moi au courant

Gakman · le 27 janvier 2006

ça marche ! Fini le problème de reboot !

Merci de l'astuce.

Par contre la DEP n'est-ce pas utile ?

Modifié le 27 janvier 2006 par Gakman

Thanos · le 27 janvier 2006

Super !!

Par contre la DEP n'est-ce pas utile ?

Non tu peux t'en passer! A la base c'est une fonctionnalité du SP2 ,qui est censée empêcher l'exécution de code dans les zones de la mémoire protégées.Autrement dit empêcher qu'un virus ne s'exécute! Comme on peut le constater tous les jours sur le forum .... ca ne marche pas vraiment

Content que ton pc fonctionne correctement!on touche du bois :-P

Alors je clique malheureusement sur un fichier que je n'aurais pas du, visiblement infectant d'un virus. PC-Cillin râle tout fort et supprime des fichiers en C:/, des fichiers test1.exe dans WINDOWS (je ne sais plus exactement s'il y en a eu d'autres mais je crois).

On peut faire une recherche de malware si tu sens que ton pc se comporte bizarrement.Dans ce cas un petit scan en ligne=>

-Faire un scan en ligne ici et coller le rapport.

Panda si tu n'y arrive pas : tutorial

Modifié le 27 janvier 2006 par charles ingals

Gakman · le 28 janvier 2006

Content que ton pc fonctionne correctement!on touche du bois

Je touche le bureau (il est en bois ).

Pour les scans j'ai déjà fait le PC dans tous les sens : 3 antivirus (+2 en ligne), 5 antimalwares/spywares,... et tous ces logiciels en session droits admin et ceux possibles aussi en mode sans échec, et bien sûr 100% à jours. Bref au moins 30 scans complets du PC et rien de détecté.

A mon avis en fait PC-Cillin a bien effacé le virus lors de sa détection, mais il reste des problèmes et le redémarrage a lieu pas à cause d'un virus mais simplement car j'ai le gestionnaire de services qui plante ou quelque chose du genre. C'est juste une idée, je ne dit pas que j'ai raison. Qu'en penses-tu ?

Juste pour préciser : les logiciels j'ai essayé sont quand même du reconnu : PC-Cillin, Kaspersky, AntiVir + Spybot S&D, eWido, MS/Giant antispyware, Ad-Aware + HiJackThis pour fixer d'éventuelles entrées malveillantes. Pis même un petit scan en ligne Panda et d'un autre au nom inconnu (lol). Et j'ai essayé une quinzaine d'outils de désinfection des virus connus (de chez Symantec), et aussi un scan par l'outils Windows XP de recherche de troyens. Le tout répondant toujours : 0 détection.

Modifié le 28 janvier 2006 par Gakman

Connexion

Pas encore inscrit ?

redémarrage par NT AUTHORITE

Messages recommandés

Gakman

angelique

Thanos

Gakman

Thanos

Gakman

Thanos

Gakman

Thanos

Gakman

Rejoindre la conversation

En ligne récemment 0 membre est en ligne

Zebulon

Outils en ligne

Naviguer