[Résolu] Dossier "system32" s'ouvre au démarrage

BaRtWoRlDv6 · le 20 mai 2006

Bonjour,

Je ne suis pas sûr d'être dans la bonne section, au pire déplacez mon sujet..

Mon problème est assez simple: quand j'ouvre ma session (Windows MCE2005, si ça peut aider), le dossier system32 s'ouvre tout seul

J'ai donc fait un scan Hijackthis, dont voici le rapport :

Logfile of HijackThis v1.99.1

Scan saved at 19:50:08, on 20/05/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\MCE\System32\smss.exe

C:\MCE\system32\winlogon.exe

C:\MCE\system32\services.exe

C:\MCE\system32\lsass.exe

C:\MCE\system32\svchost.exe

C:\MCE\System32\svchost.exe

C:\MCE\system32\spoolsv.exe

C:\MCE\eHome\ehRecvr.exe

C:\MCE\eHome\ehSched.exe

C:\MCE\system32\nvsvc32.exe

C:\MCE\Explorer.EXE

C:\MCE\system32\dllhost.exe

C:\MCE\ehome\ehtray.exe

C:\MCE\eHome\ehmsas.exe

C:\MCE\system32\RUNDLL32.EXE

C:\MCE\System32\svchost.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = www.google.fr

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O4 - HKLM\..\Run: [ehTray] C:\MCE\ehome\ehtray.exe

O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\MCE\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\MCE\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\Avast\ashDisp.exe

O4 - HKLM\..\Run: [Outpost Firewall] C:\Program Files\Outpost Firewall\outpost.exe /waitservice

O4 - HKCU\..\Run: [RocketDock] "C:\Program Files\RocketDock\RocketDock.exe"

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\npjpi150_06.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\npjpi150_06.dll

O9 - Extra button: Réglage rapide de Outpost Firewall Pro - {44627E97-789B-40d4-B5C2-58BD171129A1} - C:\Program Files\Outpost Firewall\Plugins\BrowserBar\ie_bar.dll

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1147873908531

O20 - AppInit_DLLs: C:\PROGRA~1\OUTPOS~1\wl_hook.dll

O20 - Winlogon Notify: MCPClient - C:\Program Files\Fichiers communs\Stardock\mcpstub.dll

O20 - Winlogon Notify: winubg32 - winubg32.dll (file missing)

O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\MCE\system32\WPDShServiceObj.dll

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Avast\aswUpdSv.exe

O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Avast\ashServ.exe

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Avast\ashWebSv.exe" /service (file missing)

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: iPodService - Unknown owner - C:\Program Files\iPod\bin\iPodService.exe (file missing)

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\MCE\system32\nvsvc32.exe

O23 - Service: Outpost Firewall Service (OutpostFirewall) - Agnitum Ltd. - C:\Program Files\Outpost Firewall\outpost.exe

O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Program Files\TuneUp Utilities 2006\WinStylerThemeSvc.exe

Modifié le 20 mai 2006 par BaRtWoRlDv6

BaRtWoRlDv6 · le 20 mai 2006

Personne ?

Modifié le 20 mai 2006 par BaRtWoRlDv6

facks · le 20 mai 2006

Bonsoir sois patient c'est samedi soir t'es sur d'avoir termine la mise a jour de win? et a tu suivi la procedure des specialistes, avant de lancer le programme?

BaRtWoRlDv6 · le 20 mai 2006

Oui j'ai tout fait, Windows est a jour, j'ai passé un coup d'antivirus, d'anti spyware, mais c'est toujours là

angelique · le 20 mai 2006

Je me permet d'intervenir en attendant qu'un conseiller secu passe

C:\WINDOWS\system32\winubg32.dll -> Trojan.Agent.qt

relance hijack do a system scan only et coches et fixcheck :

O20 - Winlogon Notify: winubg32 - winubg32.dll (file missing)

-Télécharge SmitfraudFix de S!Ri, moe31 et balltrap34 ici:

http://siri.urz.free.fr/Fix/SmitfraudFix.zip

Dézippe la totalité de l'archive dans un répertoire, exécute Smitfraudfix.cmd

Dans le menu, sélectionne 1 et tu posteras le rapport

-Télécharge F-Secure Blacklight : http://www.f-secure.com/blacklight/try.shtml

Lance-le en double-cliquant sur le fichier blbeta.exe

Accepte la licence, et clique enfin sur "Scan"

- Poste le rapport qui a été créé dans le fichier fsbl-bxxxx.log en l'ouvrant avec le bloc-note.

-reposte un log hijack

un conseiller secu prendra la suite vu que tu es impatient:

Personne ?

Malekal_morte · le 20 mai 2006

Bonsoir,

voir ici : http://support.microsoft.com/?kbid=170086

BaRtWoRlDv6 · le 20 mai 2006

@ Malekal_morte : déjà essayé, marche pas

Voici le rapport SmitFraudFix :

SmitFraudFix v2.45

Rapport fait à 1:16:40,76, 21/05/2006

Executé à partir de C:\Documents and Settings\BartWorldv6\Mes documents\Mes t‚l‚chargements\SmitfraudFix\SmitfraudFix

OS: Microsoft Windows XP [version 5.1.2600]

»»»»»»»»»»»»»»»»»»»»»»»» C:\

»»»»»»»»»»»»»»»»»»»»»»»» C:\MCE

»»»»»»»»»»»»»»»»»»»»»»»» C:\MCE\system

»»»»»»»»»»»»»»»»»»»»»»»» C:\MCE\Web

»»»»»»»»»»»»»»»»»»»»»»»» C:\MCE\system32

C:\MCE\system32\1024\ PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» C:\MCE\system32\LogFiles

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\BartWorldv6\Application Data

»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer

»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\BARTWO~2\Favoris

»»»»»»»»»»»»»»»»»»»»»»»» Bureau

»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files

»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues

»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]

"Source"="About:Home"

"SubscribedURL"="About:Home"

"FriendlyName"="Ma page d'accueil"

»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri

Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll

»»»»»»»»»»»»»»»»»»»»»»»» Fin

Rapport F-Secure Blacklight :

05/21/06 01:18:37 [info]: BlackLight Engine 1.0.36 initialized

05/21/06 01:18:37 [info]: OS: 5.1 build 2600 (Service Pack 2)

05/21/06 01:18:37 [Note]: 7019 4

05/21/06 01:18:37 [Note]: 7005 0

05/21/06 01:18:46 [Note]: 7006 0

05/21/06 01:18:46 [Note]: 7011 284

05/21/06 01:18:46 [Note]: 7026 0

05/21/06 01:18:56 [Note]: FSRAW library version 1.7.1015

05/21/06 01:21:06 [Note]: 7007 0

Et le nouveau Hijack :

Logfile of HijackThis v1.99.1

Scan saved at 01:21:41, on 21/05/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\MCE\System32\smss.exe

C:\MCE\system32\winlogon.exe

C:\MCE\system32\services.exe

C:\MCE\system32\lsass.exe

C:\MCE\system32\svchost.exe

C:\MCE\System32\svchost.exe

C:\MCE\system32\spoolsv.exe

C:\MCE\eHome\ehRecvr.exe

C:\MCE\eHome\ehSched.exe

C:\MCE\system32\nvsvc32.exe

C:\MCE\Explorer.EXE

C:\MCE\ehome\ehtray.exe

C:\MCE\system32\dllhost.exe

C:\MCE\eHome\ehmsas.exe

C:\MCE\system32\RUNDLL32.EXE

C:\MCE\System32\svchost.exe

C:\MCE\system32\svchost.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = www.google.fr

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = www.generation-nt.com