Error Safe (Rapport HijackThis)

[Thanos]

salut teiseken

 

D'abord merci pour l'upload du fichier, c'est très important! ca permet de mettre à jour de nouvelles infections.

 

Ton rapport hijackths est propre.On va faire un petit nettoyage pour optimiser : certaines applications n'ont rien a faire au démarrage de windows!

QuickTime dernière version, j'aimerai qu'il ne se charge plus à chaque démarrage de Windows, mais je ne sais pas le faire. Même en passant par MsConfig.exe ça revient et dans les options QuickTime, je n'ai pas trouvé quoi décocher pour ça.

On s'occupe de ca comme ceci=>

 

* Démarre Hijackthis"Do a system scan only", et coche les lignes suivantes :

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://ie.redirect.hp.com/svs/rdr?TYPE=3&t...lion&pf=desktop

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = file:///C:/Mes_Documents/liens33.htm

=> si tu n'as pas mis cette ligne toi même,coche.

 

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://ie.redirect.hp.com/svs/rdr?TYPE=3&t...lion&pf=desktop

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://ie.redirect.hp.com/svs/rdr?TYPE=3&t...lion&pf=desktop

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://ie.redirect.hp.com/svs/rdr?TYPE=3&t...lion&pf=desktop

 

O4 - HKLM\..\Run: [igfxTray] C:\WINDOWS\system32\igfxtray.exe

O4 - HKLM\..\Run: [iSUSPM Startup] C:\PROGRA~1\FICHIE~1\INSTAL~1\UPDATE~1\isuspm.exe -startup

O4 - HKLM\..\Run: [iSUSScheduler] "C:\Program Files\Fichiers communs\InstallShield\UpdateService\issch.exe" -start

O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe => si tu as l'ADSL cette ligne est inutile, tu peux cocher.

Si tu utilises le modem du pc pour te connecter, conserve cette ligne.

O4 - HKLM\..\Run: [LSBWatcher] c:\hp\drivers\hplsbwatcher\lsburnwatcher.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [Windows Media Connect 2] "C:\Program Files\Windows Media Connect 2\WMCCFG.exe" /StartQuiet

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

 

O16 - DPF: {B21A38F1-EC5D-4519-A715-0AD9DC6CC7A3} (SMControl Class) - http://www.jjward.com/FPSMonitor/SMActiveX.dll

-Ferme tous les programmes et clique sur "Fix Checked"

 

-vas dans le menu démarrer executer et tu tapes : services.msc

 

Cherche le service suivant: Groove Games Licensing Service (hwclock)

Double clic dessus :dans le champs"Status du service" sélectionne "arrêté"

dans le champs"Type de démarrage" sélectionne"désactivé" puis "Appliquer" puis"ok"

 

Remarques:

Tout cela pour avoir plus de mémoire vive. Ca ne me pause pas de problèmes apparamment de supprimer ces process (ce que je fais depuis quelques mois), mais bon, il faut le faire à chaque démarrage.

Je te déconseille de mettre fin à ce processus=> sched.exe car il appartient à l'antivirus Antivir!

Pour les autres pas de souci! mais les lignes 04 qu'on va cocher dans hijackthis devrait rêgler l'affaire!

Aussi il y a parallélement aux process, il y a les services, je n'ai pas étudié la question, le faut il ?

C'est exact!!un certain nombrede services inutiles sont lancés au démarrage de windows, certains sont à désactiver!Tout dépend de l'usage que tu fais du pc; ceci dit je te conseille de lire et de t'inspirer des conseils de tesgaz pour configurer tes services (c'est simple et ca fait gagner des ressources!)=>

http://www.zebulon.fr/articles/services_1.php

suis bien les conseils!(certains services ne doivent pas être désactivés!)

Aussi pour les logiciels qui nettoient, il faut se méfier. Ma femme achéte des MP3s légales et je n'ai pas envie qu'un Cleaner supprime les fichiers de licence, ce serait bête.

Pas de souci avec ATF Cleaner!Pour complêter le nettoyage, il faut aussi s'occuper de la base de registre =>

 

-Télécharge jv16 et met le dans un dossier:

http://telechargement.zebulon.fr/201-jv16-powertools.html

 

-son tutorial pour l'utiliser correctement ,ici:

http://www.zebulon.fr/articles/base-de-registre-3.php

 

*Lance JV16

 

- Mets le logiciel en français Preferences > Language > Français > OK.

- Ensuite, Outils registre > menu Outils > nettoyeur de registre.

- Coche "je veux vérifier manuellement les entrées" Décoche "Montrer les entrées ignorées".

- Clique sur "Continuer" puis sur "Démarrer".

- Quand jv16 a terminé la recherche,vas dans le menu "sélectionner" choisis "sélectionner tout" puis en bas à droite choisis l'option "supprimer".Tu peux virer toutes les entrées en vert.

-Si ca ne fonctionne pas du premier coup,recommence!

 

Est ce que tu peux lancer un scan en ligne avec Panda stp? poste le rapport

 

Edit: Je reviens sur ta question plus haut que je n'avais pas vue =>

Une fois cela fait, ça écrit : "Transfert réussi."

Ca fait quoi ? Ca envoie le fichier dans une sorte de corbeille sur un serveur ? Je n'ai donc plus le fichier sur mon dur ?

Non ca n'enlève rien sur ton disque dur!! c'est juste pour nous permettre d'envoyer une copie de ce fichiers à des personnes qui pourront l'analyser et ainsi contrer l'infection. Rassure moi; tu l'as bien éliminé ce fichier win_xl.dll ?

 

@+

Modifié le 10 juin 2006 par charles ingals

[teiseken]

Rassure moi; tu l'as bien éliminé ce fichier win_xl.dll ?

Et non, je ne l'avais pas supprimé. Désormais, c'est fait. Je n'avais pas tout compris, la petite étoile au début de la ligne m'avait mis le doute (je me demandais si ce n'était pas une référence/explication par rapport à quelque chose de dit avant).

 

Je viens de faire le scan Panda Online et il n'a rien trouvé.

 

Par contre, j'ai laissé mon ordi allumé pour faire des courses et en revenant Antivir Guard m'a trouvé un trojan :

 

"C:\System Volume Information\...\A0045259.sys

 

Is the Trojan horse TR/RKit.Agen.AF.2.B "

 

Je viens de choisir : "Acess Deny".

[teiseken]

Après le démarrage de l'ordi, une fois que tous les programmes sont chargés dans la barre en bas à gauche contre l'heure, je dois attendre encore 35 secondes avant de pouvoir toucher à quoi que ce soit : l'unité centrale réfléchie.

[Thanos]

salut

 

Je viens de faire le scan Panda Online et il n'a rien trouvé.

C'est une bonne chose! ca prouve que tu as bien bossé!

 

Par contre, j'ai laissé mon ordi allumé pour faire des courses et en revenant Antivir Guard m'a trouvé un trojan :

Pas d'inquiêtude! L'infection détectée se trouve dans la restauration système : on va s'en débarrasser d'une manière très simple!

 

je dois attendre encore 35 secondes avant de pouvoir toucher à quoi que ce soit : l'unité centrale réfléchie

Est ce que tu as effectué les changements (lignes 04) comme je te demandais dans la précédente manip avec hijackthis?

Tu peux aussi modifier le démarrage du service suivant pour gagner encore des ressources=>

 

-vas dans le menu démarrer executer et tu tapes : services.msc

 

Cherche le service suivant: Pml Driver HPZ12

Double clic dessus :dans le champs"Status du service" sélectionne "arrêté"

dans le champs"Type de démarrage" sélectionne"Manuel" puis "Appliquer" puis"ok"

 

Redémarre et poste un nouveau rapport hijackthis stp

Modifié le 11 juin 2006 par charles ingals

[teiseken]

Est ce que tu as effectué les changements (lignes 04) comme je te demandais dans la précédente manip avec hijackthis?

Oui.

 

Le trojan

"C:\System Volume Information\...\A0045259.sys

Is the Trojan horse TR/RKit.Agen.AF.2.B "

 

m'a encore été signalé par Antivir Guard.

Les indications que tu m'as donné dernièrement sont en rapport avec ça ou alors on s'en occupera après peut être.

 

Pml Driver HPZ12 était déjà sur manuel.

 

--------------------------------------------------------------------

Logfile of HijackThis v1.99.1

Scan saved at 10:25:52, on 11/06/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\ewido anti-malware\ewidoctrl.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\0804\HijackThis.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://ie.redirect.hp.com/svs/rdr?TYPE=3&t...lion&pf=desktop

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = file:///C:/Mes_Documents/liens33.htm

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: e-Carte Bleue Browser Helper Object - {2E03C0FD-4C48-43A7-9A54-00240C70FF16} - C:\WINDOWS\system32\BhoECart.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll

O3 - Toolbar: Vue HP - {B2847E28-5D7D-4DEB-8B67-05D28BCF79F5} - c:\Program Files\HP\Digital Imaging\bin\HPDTLK02.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll

O4 - HKLM\..\Run: [Recguard] C:\WINDOWS\SMINST\RECGUARD.EXE

O4 - HKLM\..\Run: [eCarteBleue-LP-P1] "C:\Program Files\e-Carte Bleue\LA POSTE\CVD ADESIO\ECB.exe" /dontopenmycards

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O8 - Extra context menu item: &Recherche AOL Toolbar - res://C:\Program Files\AOL Toolbar\toolbar.dll/SEARCH.HTML

O8 - Extra context menu item: &Traduire à partir de l'anglais - res://c:\program files\google\GoogleToolbar2.dll/cmwordtrans.html

O8 - Extra context menu item: Pages liées - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.html

O8 - Extra context menu item: Pages similaires - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.html

O8 - Extra context menu item: Recherche &Google - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.html

O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://c:\program files\google\GoogleToolbar2.dll/cmcache.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra button: Créer un Favori de l'appareil mobile - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\inetrepl.dll

O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\inetrepl.dll

O9 - Extra 'Tools' menuitem: Créer un Favori de l'appareil mobile... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\inetrepl.dll

O9 - Extra button: AIM - {AC9E2541-2814-11d5-BC6D-00B0D0A1DE45} - C:\Program Files\AIM\aim.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {1F83CD9E-505E-4F87-BECE-0832A763E36F} (Image Uploader 3.0 Control) - http://www.mypixmania.com/fr/fr/importer/MypixUploader.cab

O16 - DPF: {26CBF141-7D0F-46E1-AA06-718958B6E4D2} - http://download.ebay.com/turbo_lister/FR/install.cab

O16 - DPF: {2885EE05-A26B-11D1-B49B-00C04F98EFE0} (In Fusio, Exen Simulator) - http://www.ageofempires2-mobile.com/site/A...x/simulator.cab

O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineS...er.cab31267.cab

O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab

O16 - DPF: {39B0684F-D7BF-4743-B050-FDC3F48F7E3B} (FilePlanet Download Control Class) - http://www.fileplanet.com/fpdlmgr/cabs/FPDC_2.1.2.76.cab

O16 - DPF: {6DB731A3-B074-4118-8B1C-32511C65D836} (FotovistaPhotoUploader.ctrFpu) - http://www.mypixmania.com/fr/fr/tools/activex/fpu.cab

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061...all/xscan53.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab31267.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {A18962F6-E6ED-40B1-97C9-1FB36F38BFA8} (Aurigma Image Uploader 3.5 Control) - http://www.photoways.com/clients/ImageUploader3.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMesse...pDownloader.cab

O16 - DPF: {C36112BF-2FA3-4694-8603-3B510EA3B465} (Lycos File Upload Component) - http://f001.mail.caramail.lycos.fr/app/upl...ileUploader.cab

O16 - DPF: {D719897A-B07A-4C0C-AEA9-9B663A28DFCB} (iTunesDetector Class) - http://ax.phobos.apple.com.edgesuite.net/d.../ITDetector.cab

O16 - DPF: {F58E1CEF-A068-4C15-BA5E-587CAF3EE8C6} (MSN Chat Control 4.5) - http://chat.msn.com/bin/msnchat45.cab

O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/Solit...wn.cab31267.cab

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll

O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - AVIRA GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido anti-malware\ewidoctrl.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

[Thanos]

salut teiseken

Le trojan "C:\System Volume Information\...\A0045259.sys

Is the Trojan horse TR/RKit.Agen.AF.2.B "

m'a encore été signalé par Antivir Guard.

Les indications que tu m'as donné dernièrement sont en rapport avec ça ou alors on s'en occupera après peut être.

Non je te disait qu'on allait s'en occuper très simplement par la suite, car l'infection est consignée dans un (des) point(s) de restauration et n'est donc pas active. Aussi on va le faire à présent!

 

Étape 1:

 

Tu as toujours ce problème de lenteur au démarrage ?

 

* Démarre Hijackthis"Do a system scan only", et coche les lignes suivantes :

O4 - HKLM\..\Run: [eCarteBleue-LP-P1] "C:\Program Files\e-Carte Bleue\LA POSTE\CVD ADESIO\ECB.exe" /dontopenmycards

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

-Ferme tous les programmes et clique sur "Fix Checked"

 

Note: je te fais cocher cette ligne à tout hasard pour voir si le problème de lenteur au démarrage s'améliore!!=> [eCarteBleue-LP-P1]

si le problème persiste, cette application ne sera donc pas responsable, et on restaurera cette ligne!

 

Étape 2:

 

pour ne pas restaurer un système vérolé en cas de problème(et éliminer Trojan horse TR/RKit.Agen.AF.2.B), il faut désactiver la restauration système comme ceci=>

 

aide visuelle

Clique sur Démarrer.

Clique avec le bouton droit sur l'icône Poste de travail, puis cliquez sur Propriétés.

Clique sur l'onglet «Restauration du système».

Sélectionne «Désactiver la Restauration du système» ou «Désactiver la Restauration du système sur tous les lecteurs»

Clique sur "Appliquer".

Comme le dit le message, ceci supprimera tous les points de restauration existants. Pour faire cela, clique sur Oui.

Clique sur OK.Redémarre ton PC.Fais l'opération inverse, et réactive la restauration:un nouveau point sera automatiquement créé.

 

Le pc ayant redémarré,dis moi comment il fonctionne à présent

[teiseken]

Salut

 

Je ferai ce que tu viens de dire dans 1 ou 2 heures normalement. En attendant je signale que QuickTime est revenu dans la barre des tâches contre l'horloge (certainement parce qu'une vidéo a du être lue dans ce format).

 

=> EDIT :

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

Je vois que tu t'en occupes.

 

HijackThis, ça sert à quoi exactement ? Ca liste les process, et tout se qui est ouvert actuellement et avec Fixed on peut supprimer leur démarrage automatique ?

Modifié le 12 juin 2006 par teiseken

[teiseken]

Alors je suis presque au bout de ce que tu m'as demandé de faire.

 

Je suis juste avant ça :

Fais l'opération inverse, et réactive la restauration:un nouveau point sera automatiquement créé.

J'ai désactivé la restauration et j'ai redémarré. Pour info là après chargement d'Antivir Guard dans la barre des tâches, l'unité centrale réfléchit 39 secondes.

Bon, je vais remettre la restauration, redémarrer et je te tiens au courant des chronos.

[teiseken]

Alors après réactivation de la restauration + arrêt et démarrage :

 

l'unité centrale réfléchit 24 secondes après chargement de l'icone Antivir Guard puis s'éteint (le voyant) 1 seconde ou 1/2 seconde et se rallume 1 petite seconde.

 

Temps total de démarrage de l'ordu : 1 mn 30. C'est encore long je trouve et c'est bizarre 24 secondes d'attente après l'arrivée d'Antivir Guard mais on peut supposer qu'après l'affichage de l'icone Antiv Guard, l'UC réfléchit pour charger une partie du programme Antivir Guard ou analyse peut être certains dossiers contre les virus. Enfin je ne sais pas.

 

Ca fait super longtemps que je n'ai pas fait de défragmentation du disque dur. Peut être faudrait il en faire ? J'avais lu qu'en faire souvent ne servait à rien dans un commentaire. Mon disque dur utilise 47.8 Go et 96.3 Go ne sont pas utilisés.

 

Aussi peut être pourrait on réactiver le lancement auto pour la carte bleue, je pense que ça n'utilise pas trop de mémoire vive.

[teiseken]

Me conseillerais-tu d'utiliser cette astuce : http://www.zebulon.fr/astuces/tip53/Suppri...la-memoire.html ?

Autre question : cliquer sur http://www.zebulon.fr/astuces/reg/AlwaysUnloadDll.reg (l'icone avec des cubes bleu émeraude qui s'envolent) équivaut à faire tout pas à pas (Ouvrez Regedit

Puis HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Explorer

Créez une valeur DWORD du joli nom de AlwaysUnloadDll et donnez lui la valeur 1.) mais en plus rapide ?