Ecran bleu : IRQL not less or equal Fermé

Question

Bonjour, 



Configuration: Windows 7 / Firefox 3.5.18

Hier, Avast a détecté 2 chevaux de troie sur mon PC. Par erreur, j'ai appuyé sur "éxécuter", ce qui a fait planter l'ordinateur.

Depuis, l'écran bleu s'affiche dès que je veux accèder windows avec l'intitulé : irql, not less or equal.

J'ai lancé plusieurs scan, mais avast ne repère rien d'anormal.
Comment est-ce que je peux réparer ça ?
Combien me coûterait la venue d'un technicien ?

Merci !

juju666 · Answer

Salut,

Moi c'est gratuit :P

Tu peux accéder au mode normal ou pas??

Marion1986 · Answer

Merci :)

Le mode sans échec simple, non, mais le mode sans échec avec partage réseau oui.

juju666 · Answer

Tiens bizarre ça :P

DÉSACTIVE TON ANTIVIRUS ET TON PARE-FEU SI PRÉSENTS !!!!! (car l'outil est détecté a tort comme infection contenant un module qui sert à arrêter des processus , et un autre servant à prendre des droits dans le registre pour effectuer des suppressions)

&#9654 Télécharge ici :List_Kill'em de gen-hackman

et télécharge Pre_scan de gen-hackman

 et enregistre les sur ton bureau 

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "exécuter en tant que...." 

sur Pre_Scan.exe. Laisse le travailler et poste le contenu du rapport rapport.txt sur ton bureau ici directement.

Puis:

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "exécuter en tant que...." 

sur sur List_Kill'em_Instal.exe sur ton bureau pour lancer l'installation

Laisse coché :

&#9830 Exécuter List_Kill'em

une fois terminée , clic sur "terminer" 

lance-le via le raccourci apparu sur ton bureau comme précité au début 

choisis l'option Search

&#9654 laisse travailler l'outil

à l'apparition de la fenêtre blanche , c'est un peu long , c'est normal , il se peut que l'outil bloque anormalement longtemps arrivé à 95% , relance-le avec le raccourci sur le bureau sans l'arreter , puis clique sur le tout petit "X" en bas de la fenetre d'accueil du programme, ca le debloquera pour finir son scan 

&#9654 Poste le contenu du rapport qui s'ouvre aux 100 % du scan à l'écran "COMPLETED"

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM 

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/ 

&#9654 Clique sur Parcourir et cherche le fichier C:\List'em.txt 

&#9654 Clique sur Ouvrir. 

&#9654 Clique sur "Cliquez ici pour déposer le fichier". 

Un lien de cette forme : 

http://www.cijoint.fr/cjlink.php?file=265368/cijSKAP5fU.txt 

est ajouté dans la page. 

&#9654 Fais de même avec more.txt qui se trouve sur ton bureau

&#9654 Copie ces liens dans ta réponse.

Marion1986 · Answer

RAPPORT.TXT



¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Process_Killer by g3n-h@ckm@n 1.0.0.0 ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Mis à jour le 24/03/2011 | 13.05 par g3n-h@ckm@n
Utilisateur : Marion (Administrateurs)
Ordinateur : MARION-PC

Système d'exploitation : Windows 7 Home Premium (32 bits)
Internet Explorer : 8.0.7600.16385
Mozilla Firefox : 3.5.18 (fr)

Scan : 14:35:57 | 30/03/2011

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ 

[HKLM\..\..\Winlogon] | Shell -> Aucune modification : explorer.exe -> explorer.exe
[HKLM\..\..\Winlogon] | AutoRestartShell -> Modification apportée :  -> 1
[HKLM\..\..\Winlogon] | userinit -> Modification apportée : userinit.exe -> C:\Windows\SysWOW64\userinit.exe,
[HKLM\..\..\Winlogon] | PowerDownAfterShutdown -> Modification apportée :  -> 1

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Associations ¤¤¤¤¤¤¤¤¤¤¤¤¤¤

[HKCR\exefile\..\..\command] : "%1" %*
[HKCR\comfile\..\..\command] : "%1" %*
[HKCR\scrfile\..\..\command] : "%1" /S
[HKCR\batfile\..\..\command] : "%1" %*
[HKCR\piffile\..\..\command] : "%1" %*

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Processus ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

explorer.exe -> Processus stoppé 


¤¤¤¤¤¤¤¤¤¤ Clés supprimées et Fichier mis en quarantaine ¤¤¤¤¤¤¤¤¤¤


¤¤¤¤¤¤¤¤¤¤ Services ¤¤¤¤¤¤¤¤¤¤

[HKLM\..\..\Services\Ndisuio] | Start -> Aucune modification : 3 -> 3
[HKLM\..\..\Services\EapHost] | Start -> Modification apportée : 3 -> 2
[HKLM\..\..\Services\Wlansvc] | Start -> Aucune modification : 2 -> 2
[HKLM\..\..\Services\SharedAccess] | Start -> Modification apportée : 4 -> 2
[HKLM\..\..\Services\windefend] | Start -> Aucune modification : 2 -> 2
[HKLM\..\..\Services\wuauserv] | Start -> Aucune modification : 2 -> 2
[HKLM\..\..\Services\wscsvc] | Start -> Aucune modification : 2 -> 2

¤¤¤¤¤¤¤¤¤¤ IFEO ¤¤¤¤¤¤¤¤¤¤


¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

scanning	jobs ...

scanning	processes ...

scanning	threads ...

scanning	modules in svchost.exe...
scanning	modules in services.exe...
scanning	modules in explorer.exe...

restoring services BITS, wuauserv, ERSvc, WerSvc
Service BITS autorun restored
Service wuauserv autorun restored
Service WerSvc autorun restored

restoring show hidden and system files

restoring SafeBoot registry node

scanning	C:\Windows\system32 ...
scanning	C:\Program Files (x86)\Internet Explorer\ ...
scanning	C:\Program Files (x86)\Movie Maker\ ...
scanning	C:\Program Files (x86)\Windows Media Player\ ...
scanning	C:\Program Files (x86)\Windows NT\ ...
scanning	C:\Users\Marion\AppData\Roaming ...
scanning	C:\Users\Marion\AppData\Local\Temp\ ...
scanning	 C:\ ...

completed
Infected jobs:			0
Infected files:			0
Infected threads:		0
Splices functions:		0
Cured files:			0
Fixed registry keys:		0


¤¤¤¤¤¤¤¤¤¤( EOF )¤¤¤¤¤¤¤¤¤¤

juju666 · Answer

Il a déjà bien avancé le travail, ton userinit a été réparé, ainsi que d'autres services ;)

J'attends list'em et more ;)

Marion1986 · Answer

List'em
http://www.cijoint.fr/cjlink.php?file=cj201103/cijXxWV6DD.txt

More
http://www.cijoint.fr/cjlink.php?file=cj201103/cijAN2jl0E.txt

juju666 · Answer

ATTENTION !! ce script est réservé uniquement à cette machine , ne pas reproduire !!!!! 

&#9654 Relance List&Kill'em,avec le raccourci sur ton bureau. 

mais cette fois-ci : 

&#9654 choisis l'option Tools puis Script 

une fenêtre noire va s'ouvrir brievement , et List_Kill'em va se fermer 

un nouveau document texte s'ouvre , copie/colle ce en gras si dessous : 


REM:"HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run"  /v "Ares" 
REM:"HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run"  /v "Reader_sl" 
REM:"HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run"  /v "ArcadeDeluxeAgent" 
REM:"HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run"  /v "winampa" 
REM:"HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run"  /v "QTTask" 
REM:"HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run"  /v "iTunesHelper" 

REM:"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{25CEE8EC-5730-41bc-8B58-22DDC8AB8C20}" 
REM:"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{AE805869-2E5C-4ED4-8F7B-F1F7851A4497}" 


&#9654 enregistre le document texte avec l'onglet fichier (enregistrer) de ce dernier , puis ferme-le 

laisse travailler l'outil 

&#9654 poste le resultat 

&#9654 Ferme List_Kill'em 

Note : le rapport est sur ton bureau : Script_(4 chiffres).txt  

======================================================== 


si tu as XP => double clique 
si tu as Vista ou windows 7 => clic droit "exécuter en tant que...."  

&#9654 Relance List_Kill'em,avec le raccourci sur ton bureau. 

mais cette fois-ci : 

&#9654 choisis l'Option Suppression 

&#9654&#9654&#9654 Ne clique qu'une seule fois sur le bouton !! 

laisse travailler l'outil. 

en fin de scan la fenêtre se ferme , et tu as un rapport du nom de Kill'em.txt sur ton bureau , 

&#9654 colle le contenu dans ta réponse  

=================================================== 

Redémarre l'ordi ça devrait aller en normal maintenant :P 

&#9654 Télécharge Malwarebytes' Anti-Malware  et enregistre le sur ton bureau.   

&#9654 &#9654 Miroir 1 si inaccessible   

&#9654 &#9654 Miroir 2 si inaccessible  

&#9654 &#9654 /!\ Utilisateur de Vista et Windows 7 : Clique droit sur le logo de Malwarebytes' Anti-Malware, « exécuter en tant qu'Administrateur »   

&#9654 Double clique sur le fichier téléchargé pour lancer le processus d'installation.   
&#9654 Dans l'onglet "mise à jour", clique sur le bouton Recherche de mise à jour   
&#9654 si le pare-feu demande l'autorisation de se connecter pour Malwarebytes, accepte   
&#9654  Une fois la mise à jour terminée   
&#9654 rends-toi dans l'onglet Recherche 
&#9654 Sélectionne Exécuter un examen complet 
&#9654 Clique sur Rechercher   
&#9654 &#9654 Le scan démarre.   
&#9654 A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. Cliquez sur 'Afficher les résultats' pour afficher tous les objets trouvés.   
&#9654 Clique sur Ok pour poursuivre.   
&#9654 Si des malwares ont été détectés, cliques sur Afficher les résultats 
&#9654 Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection . Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.   
&#9654 Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse. Copie/colle le ici (ctrl+a pour tout sélectionner, ctrl+c pour copier, ctrl+v pour coller)  

&#9654 &#9654  Il se peut que MBAM ait besoin de redémarrer le pc pour finaliser la suppression, donc pas de panique, redémarre ton pc !!!   
&#9654 Une fois le PC redémarré, rends toi dans l'onglet rapport/log   
&#9654 Tu clique dessus pour l'afficher, une fois affiché   
&#9654 Copie/colle le ici (ctrl+a pour tout sélectionner, ctrl+c pour copier, ctrl+v pour coller)  

Si tu as besoin d'aide regarde ce tutoriel :   
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/    

&#9654 &#9654 Si tu n'arrive pas à le mettre à jour, télécharge ce fichier 

@+ 
 .::. Contributeur Sécurité .::.

Marion1986 · Answer

L'étape du script fait planter l'ordinateur. Pas d'écran bleu mais ça bloque.
Voilà le seul résultat :


¤¤¤¤¤¤¤¤¤¤ Script of List_Kill'em by gen-hackman ¤¤¤¤¤¤¤¤¤¤ 

Running Process Killed : PID 1436 'Firefox.exe'  
Running Process Killed : PID 1356 'explorer.exe'  
 
¤¤¤¤¤¤¤¤¤¤ Processus :
 

¤¤¤¤¤¤¤¤¤¤ Added Keys :
 

¤¤¤¤¤¤¤¤¤¤ Removed Keys :
 

¤¤¤¤¤¤¤¤¤¤ Ports closed :
 

¤¤¤¤¤¤¤¤¤¤ File|Folder deleted :
 

¤¤¤¤¤¤¤¤¤¤ Drivers deleted :
 
 
 

¤¤¤¤¤¤¤¤¤¤ Object Restored :
 

¤¤¤¤¤¤¤¤¤¤ Folder List :
 

¤¤¤¤¤¤¤¤¤¤ Read File :
 

¤¤¤¤¤¤¤¤¤¤ Signature :
 

¤¤¤¤¤¤¤¤¤¤ Key Look :
 

End at 15:25:32

¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤

Marion1986 · Answer

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Kill'em by g3n-h@ckm@n 2.1.3.7 ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Mis à jour le 30/03/2011 | 01.45 par g3n-h@ckm@n
Utilisateur : Marion (Administrateurs)
Ordinateur : MARION-PC

Système d'exploitation : Windows 7 Home Premium HomePremium (32 bits)

c:\ -> [Fixed] | [ACER] | Total : 597380 Mo | Free : 295360 Mo -> NTFS
d:\ -> [CDROM] | [] | Total : 0 Mo | Free : 0 Mo -> 

Scan : 15:39:12 | 30/03/2011

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

¤¤¤¤¤¤¤¤¤¤ Winlogon ¤¤¤¤¤¤¤¤¤¤

[HKLM\..\..\Winlogon] | AutoRestartShell = 1
[HKLM\..\..\Winlogon] | Shell = Explorer.exe
[HKLM\..\..\Winlogon] | Userinit = C:\Windows\SysWOW64\Userinit.exe,
[HKLM\..\..\Winlogon] | System = 
[HKLM\..\..\Winlogon] | PowerdownAfterShutdown = 1

¤¤¤¤¤¤¤¤¤¤ Internet Explorer ¤¤¤¤¤¤¤¤¤¤

[HKCU\..\..\Internet Explorer\Main] | Start Page=https://www.google.com/?gws_rd=ssl
[HKCU\..\..\Internet Explorer\Main] | Local Page=C:\WINDOWS\system32\blank.htm
[HKCU\..\..\Internet Explorer\Main] | Search Page=http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

[HKLM\..\..\Internet Explorer\Main] | Start Page=http://go.microsoft.com/fwlink/?LinkId=69157
[HKLM\..\..\Internet Explorer\Main] | Local Page=C:\WINDOWS\system32\blank.htm
[HKLM\..\..\Internet Explorer\Main] | Default_Search_URL=http://go.microsoft.com/fwlink/?LinkId=54896
[HKLM\..\..\Internet Explorer\Main] | Default_Page_URL=http://go.microsoft.com/fwlink/?LinkId=69157
[HKLM\..\..\Internet Explorer\Main] | Search Page=http://go.microsoft.com/fwlink/?LinkId=54896

¤¤¤¤¤¤¤¤¤¤ IFEO ¤¤¤¤¤¤¤¤¤¤


¤¤¤¤¤¤¤¤¤¤ Mountpoints2 ¤¤¤¤¤¤¤¤¤¤


¤¤¤¤¤¤¤¤¤¤ Services ¤¤¤¤¤¤¤¤¤¤

[HKLM\..\..\Services\Ndisuio] | Start -> Aucune modification : 3 -> 3
[HKLM\..\..\Services\EapHost] | Start -> Aucune modification : 2 -> 2
[HKLM\..\..\Services\Wlansvc] | Start -> Aucune modification : 2 -> 2
[HKLM\..\..\Services\SharedAccess] | Start -> Aucune modification : 2 -> 2
[HKLM\..\..\Services\windefend] | Start -> Aucune modification : 2 -> 2
[HKLM\..\..\Services\wuauserv] | Start -> Aucune modification : 2 -> 2
[HKLM\..\..\Services\wscsvc] | Start -> Aucune modification : 2 -> 2

¤¤¤¤¤¤¤¤¤¤ Hosts ¤¤¤¤¤¤¤¤¤¤


¤¤¤¤¤¤¤¤¤¤ Supression Fichiers | Dossiers ¤¤¤¤¤¤¤¤¤¤

Mise en quarantaine :  C:\Users\Marion\downloads\setup.exe
Mise en quarantaine :  C:\ProgramData\Temp\{2637C347-9DAD-11D6-9EA2-00055D0CA761}
Mise en quarantaine :  C:\ProgramData\Temp\{5DB1DF0C-AABC-4362-8A6D-CEFDFB036E41}
Mise en quarantaine :  C:\ProgramData\Temp
Mise en quarantaine :  C:\Users\Marion\AppData\Local\Windows Server\admin.txt
Erreur de suppression :  C:\Users\Marion\AppData\Local\Windows Server\admin.txt
Mise en quarantaine :  C:\Users\Marion\AppData\Local\Windows Server\hlp.dat
Erreur de suppression :  C:\Users\Marion\AppData\Local\Windows Server\hlp.dat
Mise en quarantaine :  C:\Users\Marion\AppData\Local\Windows Server\server.dat
Erreur de suppression :  C:\Users\Marion\AppData\Local\Windows Server\server.dat
Mise en quarantaine :  C:\Users\Marion\AppData\Local\Windows Server
Mise en quarantaine :  C:\Users\Marion\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Antimalware Doctor.lnk
Mise en quarantaine :  C:\Users\Marion\AppData\Roaming\Microsoft\Windows\Start Menu\Antimalware Doctor.lnk
Mise en quarantaine :  C:\Users\Marion\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Antimalware Doctor\Antimalware Doctor.lnk
Erreur de suppression :  C:\Users\Marion\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Antimalware Doctor\Antimalware Doctor.lnk
Mise en quarantaine :  C:\Users\Marion\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Antimalware Doctor\Uninstall.lnk
Erreur de suppression :  C:\Users\Marion\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Antimalware Doctor\Uninstall.lnk
Mise en quarantaine :  C:\Users\Marion\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Antimalware Doctor

¤¤¤¤¤¤¤¤¤¤ Suppression Clés ¤¤¤¤¤¤¤¤¤¤


¤¤¤¤¤¤¤¤¤¤¤ Services néfastes ¤¤¤¤¤¤¤¤¤¤





¤¤¤¤¤¤¤¤¤¤ Suppression Valeurs ¤¤¤¤¤¤¤¤¤¤

Valeur Supprimée : [HKLM\..\..\Policies\Explorer] | NoActiveDesktop
Valeur Supprimée : [HKLM\..\..\Policies\Explorer] | NoActiveDesktopChanges

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤



Fin : 15:44:37

¤¤¤¤¤¤¤¤¤¤¤¤¤( EOF )¤¤¤¤¤¤¤¤¤¤¤¤

juju666 · Answer

bien ^^

Ecran bleu : IRQL not less or equal

10 réponses

Discussions similaires