Worm.scano et winlogon.exe

darma -  
Bonjour a tous,

depuis quelque temps plusieurs problémes viennent perturber le bon fonctionnement de mon Pc. J'en ai résolu plusieurs mais maintenant une fenétre " Protection des fichiers windows " avec une barre de chargement apparait sur mon bureau. Impossible de fermer cette fenetre qui revient sans cesse et qui recommence son procéssus indéfiniment. Le processus winlogon.exe semble avoir une activité anormale puisqu'il utilise énormement de mon UC.
J'ai effectué des scans avec :

- spybot : windows.securitycenter_disabled ???

- A² : rien

- Ewido : worm.scano.ar Ce dernier revient a chaque démarage malgré la mise en quarantaine et sa suppréssion.

- Hijackthis :

Logfile of HijackThis v1.99.1
Scan saved at 12:55:44, on 18/09/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Sygate\SPF\smc.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\ewido anti-spyware 4.0\guard.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\explorer.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\ALCWZRD.EXE
C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\neuf telecom\neuf Box\Wizard\QuickAccess.exe
C:\Program Files\AntiViral Toolkit Pro\avpm.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\ewido anti-spyware 4.0\ewido.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Documents and Settings\Admin\Bureau\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.google.fr/keyword/%s
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll (file missing)
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] HDAShCut.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
O4 - HKLM\..\Run: [!ewido] "C:\Program Files\ewido anti-spyware 4.0\ewido.exe" /minimized
O4 - HKCU\..\Run: [Configuration de la neuf Box] C:\Program Files\neuf telecom\neuf Box\Wizard\QuickAccess.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - Global Startup: AVP Monitor.lnk = C:\Program Files\AntiViral Toolkit Pro\avpm.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: 1_32bean32_1reg - C:\Documents and Settings\All Users\Documents\Settings\1_32bean32_1.dll
O20 - Winlogon Notify: arm32reg - C:\Documents and Settings\All Users\Documents\Settings\arm32.dll (file missing)
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Program Files\ewido anti-spyware 4.0\guard.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Program Files\Sygate\SPF\smc.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Unknown owner - C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe (file missing)

Merci d'avance pour vos réponses :) :)

24 réponses

Résumé de la discussion

Une fenêtre "Protection des fichiers Windows" apparaît sur le bureau et se rétablit sans fin, tandis que winlogon.exe consomme énormément le CPU et que plusieurs outils de sécurité détectent des éléments suspects. Des rapports HijackThis et des scans sous Windows XP SP2 révèlent des éléments persistant au démarrage, des DLL et services suspects, et des paramètres de sécurité modifiés tels que des BHO et des entrées Run. Plusieurs intervenants suggèrent d’utiliser Delete a file on reboot via HijackThis pour supprimer des fichiers suspects comme 1_32bean32_1.dll, puis de redémarrer et d’analyser un nouveau log HijackThis. Des DLL manquantes ou des pilotes tiers suspects sont évoqués et il est recommandé de vérifier les composants matériels et de sauvegarder les données avant toute réparation.

Bobot (l’IA à votre service)
  1. Séb08 Contributeur
    slt,

    Télécharge: Pocket Killbox ici
    http://www.downloads.subratam.org/KillBox.exe

    :: Démo d utilisation (merci a Balltrap34 pour cette réalisation) ::
    http://pageperso.aol.fr/balltrap34/killbox.htm

    Regarde la méthode du bloc note et fais pareil avec cette liste:

    C:\Documents and Settings\All Users\Documents\Settings\1_32bean32_1.dll
    C:\Documents and Settings\All Users\Documents\Settings\arm32.dll (file missing)

    Ensuite, redemarre ton PC et remet un rapport Hijack.

    A+
    1. darma
      Bon depuis que j'ai posté le message j'ai redemaré et la .... plus de bureau aHHHHHHHHHHHHHHHHHHHHHHHH je vais tout casser

      J'ai tenté de le lancer manuellement via ALT CTRL SUPP mais il me repond : "ceci n'est pas une aplication win32 valide" ... que du bonheur

      SInon j'ai fait ce que tu m'a dit et voici le nouveau rapport :

      Logfile of HijackThis v1.99.1
      Scan saved at 13:56:12, on 18/09/2006
      Platform: Windows XP SP2 (WinNT 5.01.2600)
      MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

      Running processes:
      C:\WINDOWS\System32\smss.exe
      C:\WINDOWS\system32\winlogon.exe
      C:\WINDOWS\system32\services.exe
      C:\WINDOWS\system32\lsass.exe
      C:\WINDOWS\system32\Ati2evxx.exe
      C:\WINDOWS\system32\svchost.exe
      C:\WINDOWS\System32\svchost.exe
      C:\Program Files\Sygate\SPF\smc.exe
      C:\WINDOWS\system32\spoolsv.exe
      C:\WINDOWS\system32\Ati2evxx.exe
      C:\Program Files\ewido anti-spyware 4.0\guard.exe
      C:\WINDOWS\system32\taskmgr.exe
      C:\Documents and Settings\Admin\Bureau\HijackThis.exe
      C:\WINDOWS\system32\NOTEPAD.EXE

      R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
      R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.google.fr/keyword/%s
      R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
      R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
      R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
      O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
      O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll (file missing)
      O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
      O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
      O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] HDAShCut.exe
      O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
      O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE
      O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
      O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
      O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
      O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
      O4 - HKLM\..\Run: [!ewido] "C:\Program Files\ewido anti-spyware 4.0\ewido.exe" /minimized
      O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
      O4 - HKCU\..\Run: [Configuration de la neuf Box] C:\Program Files\neuf telecom\neuf Box\Wizard\QuickAccess.exe
      O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
      O4 - Global Startup: AVP Monitor.lnk = C:\Program Files\AntiViral Toolkit Pro\avpm.exe
      O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
      O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
      O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
      O20 - Winlogon Notify: 1_32bean32_1reg - C:\Documents and Settings\All Users\Documents\Settings\1_32bean32_1.dll (file missing)
      O20 - Winlogon Notify: arm32reg - C:\Documents and Settings\All Users\Documents\Settings\arm32.dll (file missing)
      O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
      O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
      O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Program Files\ewido anti-spyware 4.0\guard.exe
      O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
      O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Program Files\Sygate\SPF\smc.exe
      O23 - Service: StarWind iSCSI Service (StarWindService) - Unknown owner - C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe (file missing)

      J'espere que tu pourra m'aider Merci
      1. darma
        Si je compare les deux rapport, les deux lignes que seb08 m'a demandé de supprimer avec killbox ont l'air d'etre toujours la... pourtant si je recommence la manip le programme me repond que ces fichiers n'existe plus.

        On peu remarquer aussi la disparition de nombreux processus.
        D'ailleurs impossible de relancer le bureau.

        SVP personne peu m'aider ????
        1. Séb08 Contributeur
          quel est ton antivirus ??

          relance Hijack cliques sur "do a scan only" coches ces lignes :

          R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
          R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
          R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

          O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

          O20 - Winlogon Notify: 1_32bean32_1reg - C:\Documents and Settings\All Users\Documents\Settings\1_32bean32_1.dll (file missing)
          O20 - Winlogon Notify: arm32reg - C:\Documents and Settings\All Users\Documents\Settings\arm32.dll (file missing)

          et ensuite cliques sur "fix checked".

          Dis moi ou en sont tes probs.

          A+

          2. darma
            j'ai supprimé les lignes mais celle_ci revient a chaque fois :

            O20 - Winlogon Notify: 1_32bean32_1reg - C:\Documents and Settings\All Users\Documents\Settings\1_32bean32_1.dll

            et toujours pas de bureau ouinnnnnnnnn par contre tous le reste marche trés bien lol , merci seb de prendre le temps de repondre c'est sympa :) Au fait j'utilise AVP comme antivirus, une version assez ancienne.(mais a jour !!)
            2. darma
              voila,

              Logfile of HijackThis v1.99.1
              Scan saved at 18:55:23, on 18/09/2006
              Platform: Windows XP SP2 (WinNT 5.01.2600)
              MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

              Running processes:
              C:\WINDOWS\System32\smss.exe
              C:\WINDOWS\system32\winlogon.exe
              C:\WINDOWS\system32\services.exe
              C:\WINDOWS\system32\lsass.exe
              C:\WINDOWS\system32\Ati2evxx.exe
              C:\WINDOWS\system32\svchost.exe
              C:\WINDOWS\System32\svchost.exe
              C:\Program Files\Internet Explorer\iexplore.exe
              C:\Program Files\Sygate\SPF\smc.exe
              C:\WINDOWS\system32\spoolsv.exe
              C:\WINDOWS\system32\Ati2evxx.exe
              C:\Program Files\ewido anti-spyware 4.0\guard.exe
              C:\WINDOWS\system32\taskmgr.exe
              C:\Program Files\AntiViral Toolkit Pro\avp32.exe
              C:\Program Files\Internet Explorer\IEXPLORE.EXE
              C:\Documents and Settings\Admin\Bureau\HijackThis.exe

              R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
              R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.google.fr/keyword/%s
              O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
              O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
              O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
              O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] HDAShCut.exe
              O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
              O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE
              O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
              O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
              O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
              O4 - HKLM\..\Run: [!ewido] "C:\Program Files\ewido anti-spyware 4.0\ewido.exe" /minimized
              O4 - HKCU\..\Run: [Configuration de la neuf Box] C:\Program Files\neuf telecom\neuf Box\Wizard\QuickAccess.exe
              O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
              O4 - Global Startup: AVP Monitor.lnk = C:\Program Files\AntiViral Toolkit Pro\avpm.exe
              O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
              O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
              O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
              O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
              O20 - Winlogon Notify: 1_32bean32_1reg - C:\Documents and Settings\All Users\Documents\Settings\1_32bean32_1.dll
              O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
              O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
              O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Program Files\ewido anti-spyware 4.0\guard.exe
              O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
              O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Program Files\Sygate\SPF\smc.exe
              O23 - Service: StarWind iSCSI Service (StarWindService) - Unknown owner - C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe (file missing)

              Encore merci
              1. Séb08 Contributeur
                Bizarre...

                On va faire autrement.

                Relance HijackThis
                Clique sur le bouton Open the Misc Tools Section
                Clique sur Delete a file on reboot...
                Dans "Nom du fichier" : colle C:\Documents and Settings\All Users\Documents\Settings\1_32bean32_1.dll puis clique sur Ouvrir
                À la question "Voulez-vous redémarrer maintenant ?" clique sur Oui

                Après redémarrage poste un nouveau rapport HijackThis.

                A+
                1. darma
                  Bon, premierement je n'ai pas trouvé le fichier en question dans la branche et je ne peu pas acceder aux options d'affichage des dossier étant donné que je navigue via l'option parcourir du gestionnaire de tache. J'ai copié/collé la ligne dans "ouvrir et ca a l'air d'avoir fonctionné... reboot puis re scan et... toujours pareil :(
                  J'ai retenter de suprrimer la ligne aprés le scan et j'ai rerereredemarer et la il n'apparait plus

                  Logfile of HijackThis v1.99.1
                  Scan saved at 19:24:55, on 18/09/2006
                  Platform: Windows XP SP2 (WinNT 5.01.2600)
                  MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

                  Running processes:
                  C:\WINDOWS\System32\smss.exe
                  C:\WINDOWS\system32\winlogon.exe
                  C:\WINDOWS\system32\services.exe
                  C:\WINDOWS\system32\lsass.exe
                  C:\WINDOWS\system32\Ati2evxx.exe
                  C:\WINDOWS\system32\svchost.exe
                  C:\WINDOWS\System32\svchost.exe
                  C:\Program Files\Sygate\SPF\smc.exe
                  C:\WINDOWS\system32\spoolsv.exe
                  C:\WINDOWS\system32\Ati2evxx.exe
                  C:\Program Files\ewido anti-spyware 4.0\guard.exe
                  C:\WINDOWS\system32\taskmgr.exe
                  C:\Documents and Settings\Admin\Bureau\HijackThis.exe

                  R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
                  R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.google.fr/keyword/%s
                  O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
                  O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
                  O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
                  O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] HDAShCut.exe
                  O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
                  O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE
                  O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
                  O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
                  O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
                  O4 - HKLM\..\Run: [!ewido] "C:\Program Files\ewido anti-spyware 4.0\ewido.exe" /minimized
                  O4 - HKCU\..\Run: [Configuration de la neuf Box] C:\Program Files\neuf telecom\neuf Box\Wizard\QuickAccess.exe
                  O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
                  O4 - Global Startup: AVP Monitor.lnk = C:\Program Files\AntiViral Toolkit Pro\avpm.exe
                  O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
                  O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
                  O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
                  O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
                  O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
                  O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
                  O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Program Files\ewido anti-spyware 4.0\guard.exe
                  O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
                  O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Program Files\Sygate\SPF\smc.exe
                  O23 - Service: StarWind iSCSI Service (StarWindService) - Unknown owner - C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe (file missing)

                  Mais bon toujours pas de bureau je suis DEG

                  Bon app a toi
                  1. Séb08 Contributeur
                    ok la ligne a dégagé...

                    Scanne ton PC avec cet antivirus en ligne (sous IE et accepte l’activX) :

                    http://www.bitdefender.fr/bd/site/search.php#

                    Clique sur « scan on line » suis les instructions.

                    Et colle le rapport

                    A+
                    1. darma
                      Auncun virus détecté par le scan en ligne je fais repasser avec ewido pour voir ...
                      1. darma
                        Non rien... tout les scans que j'ai fais m'indique que mon systéme est clean lol tu parles charles^^

                        je vais essayer une réparation avec le cd de windowsxp on verra bien mais bon on verra ca demain !!

                        Merci pour ton aide et si tu a d'autres idées je suis preneur :)
                        2. darma
                          depuis que j'ai utilisé killbox et supprimé les lignes suspectes que ma indiqué hijackthis.
                          1. Séb08 Contributeur
                            Je ne pense pas que ce soit lié ...si tu as bien mis les lignes que je t'ai indiqué.
                            Lorsque tu redémarre ton PC qu'est ce qu' il se passe ?
                        3. darma
                          il se passe la même chose que d'habitude sauf qu'aucune icone n'apparait sur le bureau, je n'ai que le fond d'écran.

                          En fait je peu presque tout faire depuis le gestionnaire de taches mais si je fais nouvelle tache : "explorer.exe" il me repond que ce n'est pas une application win32 valide. Pareil si je le lance en allant le chercher dans l'arborescence.

                          Bonne aprem a toi
                          1. Séb08 Contributeur
                            fais un clic droit sur ton bureau -> réorganiser les icones par -> et regarde si "afficher les icones du bureau" est coché, si "non" coche le.

                            A+
                            1. darma
                              Le clic droit ne fonctionne pas !! rien ne fonctionne sur le bureau mise a part ALT CTRL SUP.
                              2. darma31
                                Bon j'ai trouvé tout seul :D comme un grand...

                                En renommant "explorer.exe" dans C:/Windows ( j'ai mis explorer2.exe) je me suis appercu que, si je lancais le processus via le gestionnaire de taches, il ne me mettais plus de message d'erreur. Mais toujours pas de bureau, néanmoins une fenetre s'ouvre avec l'arborescence du bureau. Je suis ensuite allé dans la branche : HKEY_LOCAL_MACHINE/Software/microsoft/windowsNt/currentversion/winlogon/ et j'ai modifié la valeur de "shell" qui étais explorer.exe et je l'ai remplacé par "explorer2.exe" . Redemarrage et YOUHOU ca marche. Bon je me doute que ce ne doit pas etre si simple , même si mon bureau est revenu je me demande pourquoi ca ne marchais pas. Deplus, je suis certain qu'il va me faloir modifier d'autre valeur pour le bon fonctionnement... Si tu a des conseils a ce sujet, je suis preneur.

                                En effectuant une recherche d'erreur avec CCleaneur il me sort des trucs du genre :

                                -Probléme : "Ouvrir avec une application inexistante"
                                -Donnée : "%SystemRoot%\Eplorer.exe"
                                -Clé Registre : "HKCR\Directory\shell\find"

                                Il y a n'a 5 ou 6 comme ca, dis moi ce que tu penses de tout ca STP
                                Bonne aprem :):):):):):):):)
                                1. Séb08 Contributeur
                                  ok !

                                  Fais réparer les erreur avec ccleaner

                                  Dans l'onglet "Erreurs" cliquez sur "Chercher des erreurs" puis, avant de cliquer sur "Réparer les erreurs sélectionnées" effectuez une sauvegarde de votre registre (comme proposé).

                                  A+
                                  • 1
                                  • 2

                                  Discussions similaires

                                  Winlogon.exe
                                  Mnemis

                                  4 réponses
                                  pb avec winlogon.exe!!!
                                  j0hn

                                  49 réponses
                                  puis-je supprimer winlogon.exe?
                                  vale

                                  13 réponses
                                  pc infécté winlogon.exe
                                  abderrahim2

                                  34 réponses
                                  problème winlogon.exe - atiedxx.exe - csrss.exe
                                  bonet12345

                                  5 réponses