Problème démarrage system32/477188/629446

Résolu
DaOne -  
 DaOne - 31 oct. 2011 à 19:19
Bonjour,

Je tourne sur XP et j'ai un problème récurrent: à chaque démarrage, le system32 s'ouvre.

J'ai trouvé le fichier responsable de cette ouverture: 629446.exe mais impossible de le supprimer ou de l'enlever du démarrage dans msconfig.

à noter que le chemin d'exécution est Windows/system32/477188/629446 et que le fichier 477188 est un dossier caché.

Le dossier 629446.EXE pèse 1 372 Ko.

Quelq'un connait-il un moyen de s'en débarrasser?

J'ai effectué multiples recherches mais sans succès donc je ne sais vraiment pas à quoi sert ce .exe ou si c'est un virus.

Merci d'avance.
A voir également:

6 réponses

Réponse 1 / 6
Utilisateur anonyme
 
tu peux le supprimer avec par ex Unlocker ou https://www.hiren.info/download/freeware-tools/Unlocker.zip
0
DaOne
 
Bonjour et merci pour la rapidité de ta réponse.
Je suis parvenu à le supprimer du dossier system32 avec Unlocker.
Cependant, la page system32 s'ouvre toujours au démarrage.
Dans msconfig/démarrage il n'y a pourtant aucune ligne contenant system32 cochée.
De plus, il y a encore deux ligne pour le fichier 629446.exe (une classique: SOFTWARE/... et une seconde: start up).
Je l'ai supprimé également du fichier démarrage.
Merci d'avance si tu trouves une solution.
0
Utilisateur anonyme
 
tu peux les mettre à la corbeille
il doit surement avoir une clé dans la registre qui y fait référence ??
faire d'abord un nettoyage de registre avec ccleaner et voir ..............
si toujours, faire une recherche avec le nom dans le regsitre
0
DaOne
 
Après nettoyage du registre avec ccleaner je reboot et toujours la page system32 qui s'ouvre.
Dans le regedit la recherche me donne un résultat:

HKEY_CURRENT_USER/Software/Microsoft/Search Assistant/ACMru/5603/007 et dedans les données de la valeur sont: 629446.

Je ne pense pas que ce soit en rapport...
0
DaOne
 
Désolé pour le double post mais dans msconfig/démarrage, les 2 lignes sont toujours la et je n'arrive pas à les supprimer ou les "mettre dans la corbeille"...
0
Réponse 2 / 6
Dr Zero Messages postés 1058 Date d'inscription   Statut Membre Dernière intervention   207
 
Bonjour

Mettre à la corbeille un processus qui vous avez débloqué avec Unloker, ne résoudra pas votre problème. Car le processus que vous voyez n'est que le résultat d'un autre programme (et certainnement une infection) qui lui reste caché. Donc il faut trouvez la source et peut être toute les consécanses partiront avec.

Alors :

Avant de supprimer manuellement je vous conseil :
1/ Malware Byte (fait du bon menage et nettoyage)
- Un bon coup de
Malwarebyte :https://www.commentcamarche.net/telecharger/securite/14361-malwarebytes-anti-malware/
- Telechager et installer le (clic chaque foi sur suivant ou Ok, à la fin il vous proposera d'up grader vers la vesion Pro payante : clic Non)
- Mettez le à jour et faite un Diagnostic Complet.

Pour le Tuto voir ici : https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
Un rapport sera affiché à la fin. Copier clollez son contenu sur votre réponse.

2/ Mettez à jour votre anti virus et faite un scan minutieu du DD.
S'il detecte quelque chose envoyer le rapport.

3/ Maintenant vérifiez votre problème au démarrage. On verra pour la suite.
0
DaOne
 
Bonjour et merci pour votre aide.
Mon pc avait bel et bien besoin d'un petit scan...
Voila le rapport:

Malwarebytes' Anti-Malware 1.51.2.1300
www.malwarebytes.org

Version de la base de données: 8046

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

30/10/2011 13:18:55
mbam-log-2011-10-30 (13-18-52).txt

Type d'examen: Examen complet (C:\|)
Elément(s) analysé(s): 255197
Temps écoulé: 31 minute(s), 51 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 1
Fichier(s) infecté(s): 74

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
c:\documents and settings\Darjy\local settings\Temp\E_N4 (Worm.Autorun) -> No action taken.

Fichier(s) infecté(s):
c:\documents and settings\XXX\local settings\Temp\E_N4\cnvpe.fne (Worm.Autorun) -> No action taken.
c:\documents and settings\XXX\local settings\Temp\E_N4\dp1.fne (Worm.Autorun) -> No action taken.
c:\documents and settings\XXX\local settings\Temp\E_N4\eAPI.fne (Worm.Autorun) -> No action taken.
c:\documents and settings\XXX\local settings\Temp\E_N4\HtmlView.fne (HackTool.Patcher) -> No action taken.
c:\documents and settings\XXX\local settings\Temp\E_N4\internet.fne (HackTool.Patcher) -> No action taken.
c:\documents and settings\XXX\local settings\Temp\E_N4\krnln.fnr (Trojan.Agent) -> No action taken.
c:\documents and settings\XXX\local settings\Temp\E_N4\spec.fne (Trojan.Agent) -> No action taken.
c:\system volume information\_restore{082f4767-ef5c-41ce-8698-4f781a7b3845}\RP14\A0002475.EXE (Trojan.Agent) -> No action taken.
c:\system volume information\_restore{082f4767-ef5c-41ce-8698-4f781a7b3845}\RP14\A0002476.EXE (Trojan.Agent) -> No action taken.
c:\system volume information\_restore{082f4767-ef5c-41ce-8698-4f781a7b3845}\RP14\A0002499.EXE (Trojan.Agent) -> No action taken.
c:\system volume information\_restore{082f4767-ef5c-41ce-8698-4f781a7b3845}\RP14\A0002500.EXE (Trojan.Agent) -> No action taken.
c:\system volume information\_restore{082f4767-ef5c-41ce-8698-4f781a7b3845}\RP14\A0002606.EXE (Trojan.Agent) -> No action taken.
c:\system volume information\_restore{082f4767-ef5c-41ce-8698-4f781a7b3845}\RP14\A0002607.EXE (Trojan.Agent) -> No action taken.
c:\system volume information\_restore{082f4767-ef5c-41ce-8698-4f781a7b3845}\RP14\A0002617.EXE (Trojan.Agent) -> No action taken.
c:\system volume information\_restore{082f4767-ef5c-41ce-8698-4f781a7b3845}\RP14\A0002618.EXE (Trojan.Agent) -> No action taken.
c:\system volume information\_restore{082f4767-ef5c-41ce-8698-4f781a7b3845}\RP15\A0002620.EXE (Trojan.Agent) -> No action taken.
c:\system volume information\_restore{082f4767-ef5c-41ce-8698-4f781a7b3845}\RP15\A0002688.EXE (Trojan.Agent) -> No action taken.
c:\system volume information\_restore{082f4767-ef5c-41ce-8698-4f781a7b3845}\RP15\A0002689.EXE (Trojan.Agent) -> No action taken.
c:\system volume information\_restore{082f4767-ef5c-41ce-8698-4f781a7b3845}\RP16\A0002698.EXE (Trojan.Agent) -> No action taken.
c:\system volume information\_restore{082f4767-ef5c-41ce-8698-4f781a7b3845}\RP17\A0002753.EXE (Trojan.Agent) -> No action taken.
c:\system volume information\_restore{082f4767-ef5c-41ce-8698-4f781a7b3845}\RP17\A0002926.EXE (Trojan.Agent) -> No action taken.
c:\system volume information\_restore{082f4767-ef5c-41ce-8698-4f781a7b3845}\RP17\A0002927.EXE (Trojan.Agent) -> No action taken.
c:\system volume information\_restore{082f4767-ef5c-41ce-8698-4f781a7b3845}\RP18\A0002950.EXE (Trojan.Agent) -> No action taken.
c:\system volume information\_restore{082f4767-ef5c-41ce-8698-4f781a7b3845}\RP18\A0002951.EXE (Trojan.Agent) -> No action taken.
c:\system volume information\_restore{082f4767-ef5c-41ce-8698-4f781a7b3845}\RP2\A0000040.EXE (Trojan.Agent) -> No action taken.
c:\system volume information\_restore{082f4767-ef5c-41ce-8698-4f781a7b3845}\RP2\A0000041.EXE (Trojan.Agent) -> No action taken.
c:\system volume information\_restore{082f4767-ef5c-41ce-8698-4f781a7b3845}\RP6\A0000195.EXE (Trojan.Agent) -> No action taken.
c:\system volume information\_restore{082f4767-ef5c-41ce-8698-4f781a7b3845}\RP6\A0000194.EXE (Trojan.Agent) -> No action taken.
c:\WINDOWS\system32\08F2CC\TC-Z7P.EXE (Trojan.FlyStudi.Gen) -> No action taken.
c:\WINDOWS\system32\08F2CC\9C-P9.EXE (Trojan.FlyStudi.Gen) -> No action taken.
c:\WINDOWS\system32\08F2CC\cnvpe.fne (Worm.Autorun) -> No action taken.
c:\WINDOWS\system32\08F2CC\dp1.fne (Worm.Autorun) -> No action taken.
c:\WINDOWS\system32\08F2CC\eAPI.fne (Worm.Autorun) -> No action taken.
c:\WINDOWS\system32\08F2CC\HtmlView.fne (HackTool.Patcher) -> No action taken.
c:\WINDOWS\system32\08F2CC\internet.fne (HackTool.Patcher) -> No action taken.
c:\WINDOWS\system32\08F2CC\krnln.fnr (Trojan.Agent) -> No action taken.
c:\WINDOWS\system32\08F2CC\N747ACCD.EXE (Trojan.FlyStudi.Gen) -> No action taken.
c:\WINDOWS\system32\08F2CC\PI44908.EXE (Trojan.FlyStudi.Gen) -> No action taken.
c:\WINDOWS\system32\08F2CC\PZ768F9.EXE (Trojan.FlyStudi.Gen) -> No action taken.
c:\WINDOWS\system32\08F2CC\R3FBB5D2.EXE (Trojan.FlyStudi.Gen) -> No action taken.
c:\WINDOWS\system32\08F2CC\R7CEEDBB.EXE (Trojan.FlyStudi.Gen) -> No action taken.
c:\WINDOWS\system32\08F2CC\RegEx.fnr (Worm.AutoRun) -> No action taken.
c:\WINDOWS\system32\08F2CC\S993E6E4.EXE (Trojan.FlyStudi.Gen) -> No action taken.
c:\WINDOWS\system32\08F2CC\spec.fne (Trojan.Agent) -> No action taken.
c:\WINDOWS\system32\08F2CC\SZ28665.EXE (Trojan.FlyStudi.Gen) -> No action taken.
c:\WINDOWS\system32\08F2CC\SZ92BC0.EXE (Trojan.FlyStudi.Gen) -> No action taken.
c:\WINDOWS\system32\08F2CC\TC-Z8P.EXE (Trojan.FlyStudi.Gen) -> No action taken.
c:\WINDOWS\system32\08F2CC\V58E97E.EXE (Trojan.FlyStudi.Gen) -> No action taken.
c:\WINDOWS\system32\08F2CC\V592064.EXE (Trojan.FlyStudi.Gen) -> No action taken.
c:\WINDOWS\system32\08F2CC\V9B21DE2.EXE (Trojan.Agent) -> No action taken.
c:\WINDOWS\system32\08F2CC\V9E6172.EXE (Trojan.FlyStudi.Gen) -> No action taken.
c:\WINDOWS\system32\08F2CC\W7FB8B4D.EXE (Trojan.FlyStudi.Gen) -> No action taken.
c:\WINDOWS\system32\08F2CC\Z5A87251.EXE (Trojan.Agent) -> No action taken.
c:\WINDOWS\system32\08F2CC\Z5AE1C6A.EXE (Trojan.Agent) -> No action taken.
c:\WINDOWS\system32\08F2CC\Z6P889E9.EXE (Trojan.FlyStudi.Gen) -> No action taken.
c:\WINDOWS\system32\08F2CC\Z7BA6EC8.EXE (Trojan.Agent) -> No action taken.
c:\WINDOWS\system32\08F2CC\Z8Z38B79.EXE (Trojan.FlyStudi.Gen) -> No action taken.
c:\WINDOWS\system32\08F2CC\ZD139.EXE (Trojan.FlyStudi.Gen) -> No action taken.
c:\WINDOWS\system32\08F2CC\ZD23Z.EXE (Trojan.FlyStudi.Gen) -> No action taken.
c:\WINDOWS\system32\08F2CC\ZD269.EXE (Trojan.FlyStudi.Gen) -> No action taken.
c:\WINDOWS\system32\08F2CC\ZD289.EXE (Trojan.FlyStudi.Gen) -> No action taken.
c:\WINDOWS\system32\08F2CC\ZD28U.EXE (Trojan.Agent) -> No action taken.
c:\WINDOWS\system32\08F2CC\ZD29U.EXE (Trojan.Agent) -> No action taken.
c:\WINDOWS\system32\08F2CC\ZD39.EXE (Trojan.FlyStudi.Gen) -> No action taken.
c:\WINDOWS\system32\08F2CC\ZD56Z.EXE (Trojan.FlyStudi.Gen) -> No action taken.
c:\WINDOWS\system32\08F2CC\ZD589.EXE (Trojan.FlyStudi.Gen) -> No action taken.
c:\WINDOWS\system32\08F2CC\ZD59U.EXE (Trojan.Agent) -> No action taken.
c:\WINDOWS\system32\08F2CC\ZD69U.EXE (Trojan.Agent) -> No action taken.
c:\WINDOWS\system32\08F2CC\ZD79.EXE (Trojan.FlyStudi.Gen) -> No action taken.
c:\WINDOWS\system32\08F2CC\ZD98.EXE (Trojan.FlyStudi.Gen) -> No action taken.
c:\WINDOWS\system32\08F2CC\ZD99.EXE (Trojan.FlyStudi.Gen) -> No action taken.
c:\WINDOWS\system32\08F2CC\zq715953e.exe (Trojan.FlyStudi.Gen) -> No action taken.
c:\WINDOWS\system32\08F2CC\zq78c8946.exe (Trojan.FlyStudi.Gen) -> No action taken.
c:\documents and settings\XXX\local settings\Temp\E_N4\shell.fne (Worm.Autorun) -> No action taken.
0
DaOne
 
encore désolé pour le double post mais le System32 s'ouvre toujours au démarrage malgré la suppressions de tous ces éléments.
0
Dr Zero Messages postés 1058 Date d'inscription   Statut Membre Dernière intervention   207
 
Vous aviez un bel aquarium on y trouve pas mal d'exotisme.

Il faut faire un redémarrage du PC comme il vous a été proposé. Comme vous voyez il vous dit "No action Taken" CAD aucune action n'a été faite. Au redemarrage il fera le necessaire.

Donc dans l'ordre :
1/ Redemarrer votre PC
2/ faites un ccleaner (en cliquant sur le Balait (en haut à gauche) et Analyser (en bas au milieu) et Nettyer (en bas à droite)
3/ a ce moment refaire un Mlawarebyte
0
DaOne
 
très belle métaphore :)

j'ai suivi vos instructions et malwarebyte ne trouve plus de fichiers infectés.
cependant le problème de base persiste (ouverture system32 au démarrage).
merci beaucoup pour votre aide jusqu'à maintenant et j'espère que vous pourrez m'aider à trouver la solution.
0
Dr Zero Messages postés 1058 Date d'inscription   Statut Membre Dernière intervention   207
 
Bon Ok.

Précisons que System32 est normalement un sous dossier de Win. Alors il y a quelque chose que j'ai mal saisi peut être : est ce qu'il vous ouvre le poste travail logué sur le sous dossier ?

1/ Si vous n'arrivez pas à expliqué faites ceci :
- une fois il vous affiche la fameuse fenettre (faites un redémarrage s'il le faut)
- press la touche du clavier Imprim Ecran,
- lancer Paint (Démarrer --> accessoires --> Paint) et collez la capture (clic droit coller ou Edition --> coller).
- Enregistrer le sous format (Type Fichier en bas) JPG ou JPEG (moin volumineux) et déposer le ici : sur http://www.cijoint.fr/ une adresse sera generer copier là et coller là dans votre réponse.

2/ / Lancer cCleaner et
. * clic sur Outil à Gauche puis
. * clic sur Démarrage (dans la colonne juste à coté)
. * Clic sur Savez dans un fichier (En bas à droite)
. * déposer le sur http://www.cijoint.fr/

J'attend la réponse pour voir la suite.
MErci
0
Réponse 3 / 6
Dr Zero Messages postés 1058 Date d'inscription   Statut Membre Dernière intervention   207
 
Hello.

Bon connaissez vous ce programme :
Oui HKLM:Run Lycosa "C:\Program Files\Razer\Razer Lycosa\razerhid.exe"
Oui HKLM:Run Copperhead C:\Program Files\Razer\Copperhead\razerhid.exe
Oui Startup User Razer Configurator.lnk C:\Program Files\Razer\Copperhead\razercfg.exe

J'ai cru comprendre sur google qu'il s'agit de la souris ce qui m'etonne ? Si vous ne savez pas ce que c'est désactivez le (ne pas le supprimez).

Maintenant la suite
telecharger ce programme ZHPDIAG de Nicolas Coolman : https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html
L'installation fini tu le trouvera sur le bureau, lance le et clic sur la loupe. une fois le travail fini, copiez le et coller le sur Word ou openoffice. et déposer le sur http://www.cijoint.fr/

Tuto ici : https://2011n2.forumgratuit.org/login

Je vous répondrai ce soir.

A+
0
DaOne
 
Les programmes razer sont pour la reconnaissance de la souris et du clavier (drivers + réglages).
vous trouverez la copie ici: http://www.cijoint.fr/cjlink.php?file=cj201110/cijQAjLvGB.docx
merci beaucoup
0
Réponse 4 / 6
Dr Zero
 
Rebjr

1/ Créer un point de restauration (pour la sécurité)
Démarrer --> accessoires --> Outils System --> Restauration --> Dans la fenettre clic sur Créer un point de restauration --> donnée lui un nom Exp : Nettoyage 30102011

2/ Lancer ZHPFix (sur le bureau il a une seringue en icone

3/ Copier ces lignes et collez les dedans (en cliquant sur le feuille blance à coté de l'appareil photo.

HKLM\Software\14919ea49a8f3b4aa3cf1058d9a64cec
O69 - SBI: prefs.js [XXX - 9jdrlof9.default] user_pref(CT2452474.SearchEngine, Search||http://search.conduit.com/Results.aspx?q=UCM_SEARCH_TERM&ctid=CT2452474 [Pays NL - 195.78.120.88]
O69 - SBI: prefs.js [XXX - 9jdrlof9.default] user_pref(CT2452474.SearchFromAddressBarUrl, http://search.conduit.com/ResultsExt.aspx?ctid=CT2452474&q=); [Pays NL - 195.78.120.88]
O69 - SBI: prefs.js [XXX - 9jdrlof9.default] user_pref(keyword.URL, http://search.conduit.com/ResultsExt.aspx?ctid=CT2452474&q=); [Pays NL - 195.78.120.88]

4/ Clic sur GO

Maintenant redémarrer le PC et dites moi.
0
DaOne
 
rebonjour.
malheureusement ça ne marche toujours pas.
j'obtiens ceci (ABSENT signifie t il qu'il y a eu un pb?) :

Rapport de ZHPFix 1.12.3366 par Nicolas Coolman, Update du 26/10/2011
Fichier d'export Registre :
Run by XXX at 30/10/2011 19:28:28
Windows XP Home Edition Service Pack 3 (Build 2600)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

========== Préférences navigateur ==========
ABSENT Mozilla Pref: user_pref(CT2452474.SearchEngine, Search||http://search.conduit.com/Results.aspx?q=UCM_SEARCH_TERM&ctid=CT2452474 [Pays NL - 195.78.120.88]
ABSENT Mozilla Pref: user_pref(CT2452474.SearchFromAddressBarUrl, http://search.conduit.com/ResultsExt.aspx?ctid=CT2452474&q=); [Pays NL - 195.78.120.88]
ABSENT Mozilla Pref: user_pref(keyword.URL, http://search.conduit.com/ResultsExt.aspx?ctid=CT2452474&q=); [Pays NL - 195.78.120.88]

========== Autre ==========
NON TRAITE [HKLM\Software\14919ea49a8f3b4aa3cf1058d9a64cec


========== Récapitulatif ==========
3 : Préférences navigateur
1 : Autre


End of clean in 00mn 00s

merci vraiment pour votre aide si vous n'avez pas d'autres alternatives ne vous inquiétez pas je formaterais au pire...
0
Dr Zero
 
Bjr


Dans tous les cas la sauvegarde de la restauration systeme nous protège contre une mauvaise manipe de la base de regsitre

Ce que je ne comprend pas quand vous avez copier coller ce qui est engra et clic sur Ok il vous a affiché ce message ?
0
DaOne
 
rebonjour.
oui c'est ça j'ai réessayé plusieurs fois et il regénère toujours le même message.
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 5 / 6
Dr Zero
 
Bon Ok

On va tout refaire mais avec un autre soft

1/ Télécharger Hijackthis ici : http://www.01net.com/telecharger/windows/Internet/internet_utlitaire/fiches/29061.html

2/ Lancer l'installation

3/ Sélectionner l'option : Do a system scan and .....

4/ Il va lancer une fenêtre de scan et à la fin il va générer un log (rapport)

Copier et coller le dans le site de cijoint.com

Merci
0
DaOne
 
http://www.cijoint.fr/cjlink.php?file=cj201110/cijiHDsZqr.txt

Merci à vous
0
Réponse 6 / 6
Dr Zero
 
Bonjour

Bon maintenant

1/ relancez hijackthis et cochez les ligne suivantes :

R3 - URLSearchHook: (no name) - {00000000-6E41-4FD3-8538-502F5495E5FC} - (no file)

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)

O2 - BHO: Ask Toolbar BHO - {D4027C7F-154A-4066-A1AD-4243D8127440} - (no file)

O3 - Toolbar: (no name) - {D4027C7F-154A-4066-A1AD-4243D8127440} - (no file)

2/ Fermez toute les fenettres de votre navigateur

3/ Maintenant clic sur Fix Cheked

Là ils ont été éliminé

A+
0
DaOne
 
Bonsoir,

Merci beaucoup pour votre aide! Et bonne continuation!
0

Discussions similaires

Windows bloqué --> x:\windows\system32>
MO34 -
MisteryBean -

9 réponses
system32\drivers\pci.sys
christophe -
Sandrine -

14 réponses