virer un %systemroot% AIDE URGENT MERCI

Question

Bonjour, 

je n'arrive plus à faire tourner spybot où Malwarebyte et impossible de supprimer la commande "dumprep 0 -u %systemroot%/system32... bla bla bla dans msconfig car il revient à chaque redémarrage! 

Pouvez vous m'aider à nettoyer?

Voici le rapport Hijackthis:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 02:04:17, on 20/10/2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\WTouch\WTouchService.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Pen_Tablet.exe
C:\Program Files\WTouch\WTouchUser.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\WTablet\Pen_TabletUser.exe
C:\WINDOWS\system32\Pen_Tablet.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe
C:\Program Files\D-Link\AirPlus G\AirGCFG.exe
C:\Program Files\ANI\ANIWZCS2 Service\WZCSLDR2.exe
C:\WINDOWS\system32\RunDll32.exe
C:\Documents and Settings\Chaos Mutant Hero\Mes documents\Téléchargements\HiJackThis.exe
C:\WINDOWS\system32\wuauclt.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\Program Files\Orange HSS\SearchURLHook\SearchPageURL.dll
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [D-Link AirPlus G] C:\Program Files\D-Link\AirPlus G\AirGCFG.exe
O4 - HKLM\..\Run: [ANIWZCS2Service] C:\Program Files\ANI\ANIWZCS2 Service\WZCSLDR2.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Startup: Adobe Gamma.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MI1933~1\Office10\EXCEL.EXE/3000
O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/MessengerGamesContent/GameContent/fr/uno1/GAME_UNO1.cab
O16 - DPF: {9122D757-5A4F-4768-82C5-B4171D8556A7} (PhotoPickConvert Class) - http://appdirectory.messenger.msn.com/AppDirectory/P4Apps/PhotoSwap/PhtPkMSN.cab
O16 - DPF: {A1F2F2CE-06AF-483C-9F12-D3BAA72477D6} (BatchDownloader Class) - http://appdirectory.messenger.msn.com/AppDirectory/P4Apps/PhotoSwap/DigWXMSN.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{35811B05-BE6C-4D69-9EB0-D2A60677EC91}: NameServer = 93.188.164.241,93.188.160.241
O17 - HKLM\System\CCS\Services\Tcpip\..\{6E5972A7-16ED-454F-9796-DCB19C88BFA4}: NameServer = 192.168.1.20
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 93.188.164.241,93.188.160.241
O17 - HKLM\System\CS1\Services\Tcpip\..\{35811B05-BE6C-4D69-9EB0-D2A60677EC91}: NameServer = 93.188.164.241,93.188.160.241
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 93.188.164.241,93.188.160.241
O17 - HKLM\System\CS2\Services\Tcpip\..\{35811B05-BE6C-4D69-9EB0-D2A60677EC91}: NameServer = 93.188.164.241,93.188.160.241
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 93.188.164.241,93.188.160.241
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: ANIWZCSd Service (ANIWZCSdService) - Alpha Networks Inc. - C:\Program Files\ANI\ANIWZCS2 Service\ANIWZCSdS.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: TabletServicePen - Wacom Technology, Corp. - C:\WINDOWS\system32\Pen_Tablet.exe
O23 - Service: WTouch Service (WTouchService) - Wacom Technology, Corp. - C:\Program Files\WTouch\WTouchService.exe

Cosmi10 · Answer

Y a pas d'infection dans ce rapport et aucune ligne dumprep de msconfig.

Quel est l'historique des évènements / actions qui précède les problèmes avec le lancement de Spybot et mbam. Est-ce du à une infection détectée ? ..élaborer

Essayer de Restaurer des associations de fichiers .exe

&#8226; Désactivez votre antivirus.

&#8226; Téléchargez/Lancez un des outils suivant (de Grinler).
.... N'utilisez que le premier lien http//.. qui ce lancera !

https://download.bleepingcomputer.com/grinler/rkill.scr
https://download.bleepingcomputer.com/grinler/rkill.com

&#8226; Réactivez l'antivirus

P.S. : Ne pas redémarrer le PC après cela.
____________________________________________________

gaia · Answer

Merci pour la rapidité!
En fait je viens de me rendre compte qu'il n'est visible dans msconfig que lorsque je coupe la connection internet: je refais donc un rapport et je le post aussitôt!
En attendant votre réponse j'essaierai le lien proposé!
Ah! et antivirus et antispyware sont désinstallés!

gaia · Answer

second rapport là il y apparait!

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 02:36:13, on 20/10/2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\WTouch\WTouchService.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Pen_Tablet.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\WTouch\WTouchUser.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\WTablet\Pen_TabletUser.exe
C:\WINDOWS\system32\Pen_Tablet.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe
C:\Program Files\D-Link\AirPlus G\AirGCFG.exe
C:\Program Files\ANI\ANIWZCS2 Service\WZCSLDR2.exe
C:\WINDOWS\system32\RunDll32.exe
C:\Program Files\Orange HSS\Systray\SystrayApp.exe
C:\WINDOWS\system32\keyhook.exe
C:\WINDOWS\system32\sistray.EXE
C:\PROGRA~1\FICHIE~1\France Telecom\Shared Modules\AlertModule\0\AlertModule.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Documents and Settings\Chaos Mutant Hero\Mes documents\Téléchargements\HiJackThis.exe
C:\WINDOWS\System32\svchost.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\Program Files\Orange HSS\SearchURLHook\SearchPageURL.dll
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [D-Link AirPlus G] C:\Program Files\D-Link\AirPlus G\AirGCFG.exe
O4 - HKLM\..\Run: [ANIWZCS2Service] C:\Program Files\ANI\ANIWZCS2 Service\WZCSLDR2.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u
O4 - HKLM\..\Run: [SystrayORAHSS] "C:\Program Files\Orange HSS\Systray\SystrayApp.exe"
O4 - HKLM\..\Run: [SiS Windows KeyHook] C:\WINDOWS\system32\keyhook.exe
O4 - HKLM\..\Run: [SiS Tray] C:\WINDOWS\system32\sistray.EXE
O4 - HKLM\..\Run: [ORAHSSSessionManager] C:\Program Files\Orange HSS\SessionManager\SessionManager.exe
O4 - HKLM\..\Run: [Base road long save] C:\Documents and Settings\All Users\Application Data\File dvd base road\Meet Dupe.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [Move dead] C:\DOCUME~1\CHAOSM~1\APPLIC~1\TWOTHI~1\love warn fork.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Startup: Adobe Gamma.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MI1933~1\Office10\EXCEL.EXE/3000
O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/...
O16 - DPF: {9122D757-5A4F-4768-82C5-B4171D8556A7} (PhotoPickConvert Class) - http://appdirectory.messenger.msn.com/AppDirectory/P4Apps/PhotoSwap/PhtPkMSN.cab
O16 - DPF: {A1F2F2CE-06AF-483C-9F12-D3BAA72477D6} (BatchDownloader Class) - http://appdirectory.messenger.msn.com/AppDirectory/P4Apps/PhotoSwap/DigWXMSN.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{35811B05-BE6C-4D69-9EB0-D2A60677EC91}: NameServer = 93.188.164.241,93.188.160.241
O17 - HKLM\System\CCS\Services\Tcpip\..\{6E5972A7-16ED-454F-9796-DCB19C88BFA4}: NameServer = 192.168.1.20
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 93.188.164.241,93.188.160.241
O17 - HKLM\System\CS1\Services\Tcpip\..\{35811B05-BE6C-4D69-9EB0-D2A60677EC91}: NameServer = 93.188.164.241,93.188.160.241
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 93.188.164.241,93.188.160.241
O17 - HKLM\System\CS2\Services\Tcpip\..\{35811B05-BE6C-4D69-9EB0-D2A60677EC91}: NameServer = 93.188.164.241,93.188.160.241
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 93.188.164.241,93.188.160.241
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: ANIWZCSd Service (ANIWZCSdService) - Alpha Networks Inc. - C:\Program Files\ANI\ANIWZCS2 Service\ANIWZCSdS.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: TabletServicePen - Wacom Technology, Corp. - C:\WINDOWS\system32\Pen_Tablet.exe
O23 - Service: WTouch Service (WTouchService) - Wacom Technology, Corp. - C:\Program Files\WTouch\WTouchService.exe

gaia · Answer

J'ai nettoyer avec Hijackthis mais il est revenu après redémarrage!!!!
Comment faire?

Cosmi10 · Answer

.

► Faites ces procédures dans la séquence proposée. ◄

Utilisateur de SpybotSD.
Désactivez la protection résidente de SpybotSD,
Qui peut interférer avec les suppressions.
• Lancez Spybot → Mode avancé → Outils → Résident
• Décochez la case résident "tea timer" et refermez Spybot
>> Vous le réactiverez après .. <<

P.S.: Pourriez même laisser Spybot désactivé !
______________________________________________________

Qu'une infection lop, pas de quoi de dangereux (..de la pub).

Relancer Hijackthis.
• Appuyer sur [Do a system scan only]
• Cocher ces lignes 04- et appuyer sur [Fix Checked]

Votre modif. msconfig.
O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u 

Ça c'est l'infection Lop.
O4 - HKLM\..\Run: [Base road long save] C:\Documents and Settings\All Users\Application Data\File dvd base road\Meet Dupe.exe     
O4 - HKCU\..\Run: [Move dead] C:\DOCUME~1\CHAOSM~1\APPLIC~1\TWOTHI~1\love warn fork.exe

► Redémarrer l'ordi pour que prennent effet les suppressions.

_____________________________________________________

Et aller supprimer ces répertoires :
C:\Documents and Settings\All Users\Application Data\File dvd base road
C:\Documents and Settings\CHAOSM~1\Application Data\TWOTHI~1

_____________________________________________________

Purger les points de restaurations du système.

• Désactiver et Réactiverla restauration du système XP

Préférable de tous les supprimés quelques fois par années. Et pour cause, il est fréquent que quelques un des ces points soient, soit infectés et/ou endommagés. Et ça, ont ne s'en rend compte, que lorsque l'on en a besoin. Les désinfections appliquées par l'antivirus de service ou autre scanner, les endommages assez souvent.
Leurs répertoires : ..\System Volume Information\..

La Restauration du système s'applique à des fichiers système et à certains fichiers programme et paramètres du Registre.
Cet outil ne s'applique pas aux fichiers personnels, tels que ; photos, documents ou courrier électronique..
_____________________________________________________

Nettoyage des fichiers temporaires, cookies..
Téléchargez : CCleaner - & - Tutoriel.

• Installer et lancer CCleaner,
• Décochez la mise à jour automatique,
• Lancez Ccleaner avec l'icône créé sur le bureau,

• Cliquez sur "Option" et → "Avancé" et Décochez → Effacer uniquement les fichiers temporaire .. de plus de 48 heures,

• Sélectionnez "Nettoyeur" et cliquez sur → "Windows", allez à la section "Avancé",
• Et Cochez uniquement la première case "Vieilles données du prefetch",

• Sélectionnez le bouton [Analyse].., lorsque complété,
• Cliquer sur [Nettoyage], jusqu'à ce que la fenêtre soit vide.

Lorsque ce nettoyage est complété.
Remettre les options standard, pour une utilisation au quotidien.
• Allez Recocher dans les Options → Avancé : Effacer uniquement les fichiers temporaire .. de plus de 48 heures
• Et Décocher "Vieilles données du prefetch" dans Nettoyeur → Windows
_____________________________________________________

Installer un antivirus !
• Antivir : téléchargement - & - Tuto de config.

• Après l'avoir installé et appliquer le tuto de config, proposé.
• Faites la mise à jours des définitions de virus.
• Lancer un scan complet.
► Poster le rapport.
_____________________________________________________

Produisez un diagnostique complet PC.
Retraçant l'ensemble des installations ; logiciels et infection(s'il y a).

• Téléchargez sur votre bureau ZHPDiag..exe (de N. Coolman)
• Laisser la connexion internet ouverte,
• Lancer ZHPDiag..exe par un double-clique

.........Le rapport ZHPDiag.txt va s'ouvrir..

Au lieu de poster ce rapport "très volumineux" direct sur le forum.
Placer le sur une page Web depuis le site CJoint.com

• Aller sur le site CJoint,
• Appuyez sur [Parcourir] et chercher le rapport ← en image
• Ensuite appuyez sur [Créer le lien CJoint],
.. Une adresse http//......(bleu, mauve) sera créé.
► Postez le lien http//...., de cette page Web

Virer un %systemroot% AIDE URGENT MERCI

5 réponses

Votre réponse

Discussions similaires

Newsletters