beaucoup de processus svchost

gab · le 12 avril 2006

Bonjour, bonjour,

Vous m'avez été recommandé par une amie... nuage orangée. Grâce à vous elle a débarrassé son PC de quelque vilains virus.

Pour ma part, j'ai soudain plein de soucis :

Cet après-midi mon ordi a considérablement ralenti. Après un redémarrage, certain fichiers ont disparu et puis c'est carrément un disque dur qui n'a plus été accessible (voulez vous le formater maintenant ? me demande windows !)

J'ai appliqué les consignes de pré-désinfection et me voici donc avec un rapport HijackThis! :

Logfile of HijackThis v1.99.1

Scan saved at 21:37:52, on 12/04/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\RunDll32.exe

C:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\WINDOWS\System32\svchost.exe

C:\Program Files\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.be/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll

O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [smcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui

O4 - HKLM\..\Run: [WinPatrol] C:\PROGRA~1\BILLPS~1\WINPAT~1\winpatrol.exe

O4 - HKLM\..\Run: [H2O] C:\Program Files\SyncroSoft\Pos\H2O\cledx.exe

O4 - Global Startup: EPSON Status Monitor 3 Environment Check 2.lnk = C:\WINDOWS\system32\spool\drivers\w32x86\3\E_SRCV02.EXE

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: &Traduire à partir de l'anglais - res://C:\Program Files\Google\GoogleToolbar1.dll/cmwordtrans.html

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Pages liées - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.html

O8 - Extra context menu item: Pages similaires - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: Recherche &Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.html

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {5554A026-7282-4C11-A8F1-652D0599CD02} (NMInstall Control) - http://a14.g.akamai.net/f/14/7141/1d/www.n...ROPE_SILENT.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMesse...pDownloader.cab

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O20 - Winlogon Notify: MacDrive-iTunes compatibility - C:\Program Files\Fichiers communs\Mediafour\MacDriveiTunesPatch.dll

O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Program Files\Sygate\SPF\smc.exe

____________________________________________________________________________________

---------------------------------------------------------------------------------------------------------------------

Je trouve suspect que beaucoup de processus ait le meme nom...

Merci d'avance à ceux à qui ce rapport inspire des reflexions plus profondes !

regis56 · le 13 avril 2006

Bonjour gab !

Le gros problème sur ton rapport c'est qu'il n'y as pas d'antivirus

Si tu as fais la procédure de prénettoyage pourquoi ne pas avoir gardé antivir ?

Réinstalle antivir STP !

Ensuite fais ceci :

Lancer HijackThis, (scan only ou scanner seulement) cocher les lignes suivantes si présentes:

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {5554A026-7282-4C11-A8F1-652D0599CD02} (NMInstall Control) - http://a14.g.akamai.net/f/14/7141/1d/www.n...ROPE_SILENT.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMesse...pDownloader.cab

Fermer tous les programmes et navigateur, et Cliquer sur Fix Checked

Peux-tu faire s'il te plait un scan en ligne?=>

-Faire un scan en ligne ici et coller le rapport.

Panda si tu n'y arrives pas : tutorial

Refais un rapport hijackthis pour vérifier que tu as bien installé un antivirus sur ton système et pour vérifier que les actives X ont disparus !

A plus !

gab · le 13 avril 2006

Salut Regis,

A propos de l'antivirus :

- La procédure de pré-désinfection précise qu'il faut désinstaller antivir avant de lancer HighjackThis

- Par ailleurs, je l'ai réinstallé comme tu me l'a conseillé, mais cela provoque la disparition de la barre des taches sur mon bureau ! Alors je l'ai désinstallé à nouveau...

J'ai un autre problème avec cette barre des tâche : l'apparition de la liste de programes du menu demarrer est vraiment longue, même en mode sans echec...

Et puis cette histoire de ajout/suppression de programmes dont la liste n'apparait jamais, alors qu'un utilitaire équivalent y parvient sans problème !?

Comme je l'ai décrit plus haut, windows a perdu les inforamtions concernant mon deuxième disque dur et ne peut plus y accéder. J'ai acheté un programme qui permet de récuperer les données qui s'y trouve encore. Et bien lorsque ce programme tourne, la liste des programmes de "ajout/suppression..." apparait normalement !

Je me demande si la puspart de mes soucis ne sont pas simplement dus à ce problème avec mon deuxièmes disque dur car le dossier "mes documents" s'y trouvait, ainsi que la pluspart des chemins de sauvegarde des programmes installés.

Voilà, avant de remédier à tout ça, je voudrai m'assurer que je ne trimballe pas de monstre.

Je colle les différents rapports, dans l'ordre :

-Antivir, effectué en mode sans echec (noter qu'il n'a pas pas pu accéder à une vingtaine de fichiers)

-HighjackThis

-Panda (il n'a trouvé que des spyware, mais avant mon premier post, il a trouvé 6 virus, puis 5)

ANTIVIR_____________________________________

Report file date: jeudi 13 avril 2006 11:16

Jobname: 'Manual Selection'

Scanning for 355846 virus strains and unwanted programs.

Licensed to: AntiVir PersonalEdition Classic

Serial number: 0000149996-WURGE-0001

Platform: Windows XP

Windows version: (Service Pack 2) [5.1.2600]

Username: Administrateur

Computer name: TITANIUM

Version informations:

AVSCAN.EXE : 7.0.0.30 536616 21/03/2006 13:48:28

AVSCAN.DLL : 7.0.0.30 40488 21/03/2006 13:48:28

LUKE.DLL : 7.0.0.30 114728 21/03/2006 13:48:28

LUKERES.DLL : 7.0.0.30 25600 21/03/2006 13:48:28

ANTIVIR0.VDF : 6.32.0.60 4323840 27/03/2006 09:11:45

ANTIVIR1.VDF : 6.34.0.105 1669120 13/04/2006 09:05:58

ANTIVIR2.VDF : 6.34.0.159 152576 13/04/2006 09:05:58

ANTIVIR3.VDF : 6.34.0.182 44544 13/04/2006 09:05:58

AVEWIN32.DLL : 7.0.0.7 1171968 13/04/2006 09:05:58

AVPREF.DLL : 6.34.0.0 38440 18/01/2006 12:06:00

AVREP.DLL : 6.34.0.170 2326568 13/04/2006 09:05:58

AVPACK32.DLL : 6.33.0.6 331816 09/01/2006 09:03:37

AVREG.DLL : 6.31.0.90 27688 28/07/2005 10:06:36

NETNT.DLL : 6.32.0.0 6696 27/09/2005 07:56:49

NETNW.DLL : 6.32.0.0 9768 27/09/2005 07:56:49

Start of the scan: jeudi 13 avril 2006 11:16

Start scanning boot sectors:

Boot sector 'C:'

[NOTE] No virus was found!

Boot sector 'D:'

[NOTE] No virus was found!

Boot sector 'E:'

[NOTE] In the drive 'E:' no data medium is inserted!

Starting to scan the registry.

C:\Program Files\Syncrosoft\POS\H2O\cledx.exe

[DETECTION] Contains suspicious code HEURISTIC/Crypted.Patched

C:\Program Files\Syncrosoft\POS\H2O\cledx.exe

[DETECTION] Contains suspicious code HEURISTIC/Crypted.Patched

The registry was scanned ( 21 files ).

Starting the file scan:

C:\pagefile.sys