Un truc pas cool...
Bonjour,
j'ai choppé une cochonnerie (je sais d'où elle vient), mais je n'arrive pas à m'en débarrasser.
Sous Vista Home :
- un BSOD avec driver irql not less or equal + signalement d'un .sys que je n'ai pas encore eu le temps de noter
- reboot de la machine : écran noir, pas de démarrage (bios ok, boot sur cd ok, mais pas sur disque)
- tentative de réparation avec recovery vista (sur CD) : pas de défaut signalé
- bootrec /FixMbr -> démarrage possible
- démarrage vista ok, mais ne dure que 20/30 sec, pas assez pour aller voir dans la BDR ou msconfig si un truc est bizarre avant le BSOD
- scan de l'exe à l'origine du plantage avec avira (à jour) : rien
- démarrage en mode sans échec, ça tient
- je suis en train de faire une analyse globale avec avira, mais je n'espère pas grand chose
- pas de point de resto à ma disposition, ni de save globale du disque
Mais en attendant, si quelqu'un a une idée, ça arrangerait bien mes affaires :-)
Je pense à un remplacement/hook de pilote du HD, mais bon, mes compétences en la matière sont limitées...
Merci d'avance
--
A+ Blux
j'ai choppé une cochonnerie (je sais d'où elle vient), mais je n'arrive pas à m'en débarrasser.
Sous Vista Home :
- un BSOD avec driver irql not less or equal + signalement d'un .sys que je n'ai pas encore eu le temps de noter
- reboot de la machine : écran noir, pas de démarrage (bios ok, boot sur cd ok, mais pas sur disque)
- tentative de réparation avec recovery vista (sur CD) : pas de défaut signalé
- bootrec /FixMbr -> démarrage possible
- démarrage vista ok, mais ne dure que 20/30 sec, pas assez pour aller voir dans la BDR ou msconfig si un truc est bizarre avant le BSOD
- scan de l'exe à l'origine du plantage avec avira (à jour) : rien
- démarrage en mode sans échec, ça tient
- je suis en train de faire une analyse globale avec avira, mais je n'espère pas grand chose
- pas de point de resto à ma disposition, ni de save globale du disque
Mais en attendant, si quelqu'un a une idée, ça arrangerait bien mes affaires :-)
Je pense à un remplacement/hook de pilote du HD, mais bon, mes compétences en la matière sont limitées...
Merci d'avance
--
A+ Blux
"Les cons, ça ose tout. C'est même à ça qu'on les reconnait"
4 réponses
Résumé de la discussion
Problème rencontré sous Vista : un BSOD DRIVER_IRQL_NOT_LESS_OR_EQUAL et des redémarrages avec écran noir, en cause un pilote sfsync02.sys associé à StarForce, après l’installation d’un logiciel problématique. Les dumps minidump et l’analyse indiquent que StarForce est responsable via sfsync02.sys, et qu’un exécutable temporaire CTJNCYOBFG.exe a été détecté sans signe évident d’infection MBR. La procédure recommandée consiste à utiliser ZHPDiag puis ZHPFix en mode administrateur pour supprimer les éléments malveillants, désinstaller les pilotes problématiques et supprimer les entrées de démarrage associées. En parallèle, l’absence de menace MBR et la corrélation avec des outils virtuels suggèrent de surveiller les pilotes graphiques et la stabilité du système afin d’éviter de futures récurrences.
-
Contributeur sécuritéHello Blux,
Tu as accès au mode sans échec donc? Redémarre en mode sans échec avec prise en charge réseau puis fais ceci :
▶▷▶▷▶▷▶▷▶▷ ZHPDiag ◁◀◁◀◁◀◁◀◁◀
◈ Nous allons effectuer un diagnostic de ton ordinateur, pour ce faire, télécharge ZHPDiag ( de Nicolas Coolman ).
◈ Exécute l'installateur -> /!\ Coche la case " créer une icône sur le bureau " /!\
◈ Lance le en double cliquant sur l'icône ZHPDiag qui se trouve sur ton bureau.
Note : Sous Vista/Seven : Clic droit sur l'icône -> " Exécuter en tant qu'administrateur "
◈ Clique sur l'icône en forme de loupe en haut à gauche ( Lancer le diagnostic ).
◈ Une fois l'analyse terminée, clique sur l'icône en forme de disquette bleue puis sauvegarde le fichier sur ton bureau.
◈ Rend toi sur cjoint puis clique sur " Parcourir ".
◈ Sélectionne le fichier ZHPDiag.txt présent sur ton bureau, puis clique sur " Ouvrir ".
◈ Clique ensuite sur " Créer le lien cjoint " puis copie/colle dans ta prochaine réponse le lien créé.
Xplode - Contributeur sécurité. -
Contributeur sécuritéIl me faudrait le rapport complet, sinon je ne peux rien en déduire.. ça peut être un hook lié à un malware ou bien un hook lié à un émulateur DVD ( Daemon Tools par ex. )
Quoi qu'il en soit, il me faut l'intégralité du rapport hébergé sur cjoint, sinon je ne pourrais pas être en mesure de t'aider -
Contributeur sécuritéOk merci pour le rapport complet, c'est nettement plus clair maintenant ;-)
A priori rien du côté du MBR. Le hook est dû au pilote utilisé par Daemon Tools. Et aucun signe apparent d'infection sur ton PC, hormis ceci :
SS - | Demand 13/12/2010 0 | (CTJNCYOBFG) . (.Pas de propriétaire.) - C:\Users\FAMILL~1\AppData\Local\Temp\CTJNCYOBFG.exe
Un service assez suspect, surtout vu la date.
Quoi qu'il en soit, on va le supprimer ainsi que deux/trois autres merdouilles :
▶▷▶▷▶▷▶▷▶▷ ZHPFix ◁◀◁◀◁◀◁◀◁◀
/!\ Utilisateurs de vista/7 , cette manipulation est à effectuer en tant qu'administrateur ( Clic droit -> [Exécuter en tant qu'administrateur] ) /!\
◈ Copie le texte en gras ci-dessous ( CTRL + C pour copier )
SS - | Demand 13/12/2010 0 | (CTJNCYOBFG) . (.Pas de propriétaire.) - C:\Users\FAMILL~1\AppData\Local\Temp\CTJNCYOBFG.exe
O53 - SMSR:HKLM\...\startupreg\ilvku [Key] . (.Pas de propriétaire - Pas de description.) -- c:\users\mon mien\appdata\local\ilvku.exe
O51 - MPSK:{0c0517f9-c0b3-11de-88e4-0040d0c1f604}\AutoRun\command. (.Pas de propriétaire - Pas de description.) -- I:\Programs\nu2menu\nu2menu.exe (.not file.)
O51 - MPSK:{cac6b2d9-8b6e-11de-9cb9-0040d0c1f604}\AutoRun\command. (.Pas de propriétaire - Pas de description.) -- H:\Setup.exe (.not file.)
[HKCU\Software\fcn]
◈ Lance ZHPFix qui est présent sur ton bureau.
◈ Clique sur le "H" bleu ( Coller les lignes Helper )
◈ Les lignes précédemment copiées apparaîtront à l'écran dans l'encadré jaune pâle.
◈ Vérifie que seules les lignes indiquées plus haut sont présentes puis clique sur [Ok]
◈ Clique maintenant sur [Tous] , puis sur [Nettoyer]
◈ Copie/Colle le contenu du rapport à l'écran dans ton prochain message.
◈ Note : le rapport se trouve également sous C:\Program Files\ZHPDiag\ZHPFixReport.txt-
ModérateurA y est !!!
Rapport de ZHPFix 1.12.3253 par Nicolas Coolman, Update du 17/02/2011
Fichier d'export Registre : C:\ZHPExportRegistry-17-02-2011-15-07-36.txt
Run by mon mien at 17/02/2011 15:07:36
Windows Vista Home Premium Edition, 32-bit Service Pack 2 (Build 6002)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr
========== Clé(s) du Registre ==========
SS - | Auto 17/08/2010 135336 | (AntiVirSchedulerService) . (.Avira GmbH.) - C:\Program Files\Avira\AntiVir Desktop\sched.exe => Clé supprimée avec succès
O53 - SMSR:HKLM\...\startupreg\ilvku [Key] . (.Pas de propriétaire - Pas de description.) -- c:\users\mon mien\appdata\local\ilvku.exe => Clé supprimée avec succès
O51 - MPSK:{0c0517f9-c0b3-11de-88e4-0040d0c1f604}\AutoRun\command. (.Pas de propriétaire - Pas de description.) -- I:\Programs\nu2menu\nu2menu.exe (.not file.) => Clé supprimée avec succès
O51 - MPSK:{cac6b2d9-8b6e-11de-9cb9-0040d0c1f604}\AutoRun\command. (.Pas de propriétaire - Pas de description.) -- H:\Setup.exe (.not file.) => Clé supprimée avec succès
HKCU\Software\FCN => Clé supprimée avec succès
========== Fichier(s) ==========
c:\program files\avira\antivir desktop\sched.exe => Supprimé et mis en quarantaine
c:\users\mon mien\appdata\local\ilvku.exe => Fichier absent
========== Récapitulatif ==========
5 : Clé(s) du Registre
2 : Fichier(s)
End of the scan -
Contributeur sécuritéIl y a un petit problème..
Pourquoi as-tu copié cette ligne :
SS - | Auto 17/08/2010 135336 | (AntiVirSchedulerService) . (.Avira GmbH.) - C:\Program Files\Avira\AntiVir Desktop\sched.exe => Clé supprimée avec succès
Alors que dans mon script il y avait celle ci :
SS - | Demand 13/12/2010 0 | (CTJNCYOBFG) . (.Pas de propriétaire.) - C:\Users\FAMILL~1\AppData\Local\Temp\CTJNCYOBFG.exe
?? Du coup, ZHPFix a supprimé un composant d'antivir :/ -
ModérateurParce que je me suis trompé, je n'ai pas copié mais extrait du rapport (je limite les manips de clé usb)
Du coup, je n'ai pas supprimé la m.... qui trainait...
Mea culpa.
Je réinstallerai antivir quand ça remarchera (de toutes façons, il ne m'avait pas détecté le truc).
Je vais sucrer l'.exe
Ensuite, je reposte le rapport ou on peut considérer que c'est bon ? -
-
-
-
Contributeur sécuritéOuep visiblement il semblerait que ça soit à cause de StarForce. Je ne connais pas ce logiciel, mais j'ai pu voir qu'il avait un lien avec les CD/DVD , c'est sûrement un conflit avec le driver de daemon tools ( sptd.sys )
-
ModérateurJusqu'à présent, je n'ai jamais eu de souci.
Starforce, c'est un système de protection de logiciel, il fonctionne sur le principe d'un driver qui est installé sur le système, mais il est sensible aux lecteurs virtuels (car on peut s'en servir pour faire tourner un soft sans avoir le support d'origine).
Il est appelé par les logiciels pour vérifier qu'ils sont bien 'authentiques'
Je viens de regarder, j'ai une vieille version, je vais désinstaller et voir comment ça évolue... -
ModérateurJ'ai désinstallé, rebooté, ça tient...
J'ai aussi lancé le programme qui me faisait planter le truc, sans problème.
Je vais donc voir comment installer starforce en version 'up-to-date'...
Je redonne des news très bientôt.
En tous cas, merci encore pour le coup de main. Je ne connaissais pas tout ces softs de scan. -
-
-
