Mon pc s'éteind ositot

ok, je vé essayer, si aucun virus né détecté, tu croi ke c'est une panne matérielle?
A plus, j'esaieré.
Sophie15

salut sophie j'ai eu le meme probleme que toi sauf que c'était un virus mais fix sasser et tout les autres utilitaires ne l'ont pa détecté.
J'en ai parlé ds ce forum va voir si tu veu plus d'infos:
http://www.forum.moteurprog.com/index.php?url=FORUM_msg.php&ID_topic=3022

ici tu pourras voir le programme du virus qui éteint ton pc.
Moi pr le suppr j'ai du suppr des clés de la base de registre et n'étoyer le répertoir restore{lhdfjhgglmndgbmhb0142} qui correspond en faite à la base de registre.

Bonne chance

salut mikail,
merci de tintéressé à mon pbe. Par contre je ne trouve pas la page ou tu parles de ton pbe avec le pc ki sétein! pourrais tu me donner le n° de la page ou le titre ke tu a donné comme question. De plus, comen je fé pour suprimé des clés de la base de registre. eNCORE MILLE MERCIS!!! a plus. SOPHIE1

@SOPHIE1Slt

bon je t'es fait un copier/coller :
Une des reponses d'un des modos qui m'ont aidé :

Si tu as de la chance, c'est juste un programme de shutdown auto qui se lance au demarage.

Il faux trouver comment le programme se lance.

plusieurs solutions :

il se lance depuis le registre : inspecter toutes les clées 'run' et supprimer celles qui lance le programme.

il se lance depuis le menu demarer : supprimer l'icone de lancement dans ce menu.

il se lance depuis un autoexec : editer le fichier et supprimer la ligne de lancement.

voir les autres 'classiques' du demarage auto.

Autre question a se poser :

Le programme est il un 'injecteur' ou est il simplement la 'payLoad' (charge utile)

Si il est la 'payLoad' c'est qu'il est capable de placer un Autorun comme expliqué ci dessus et ensuite qu'il temporise avant de couper la session et de fermer le PC. Auquel cas il sufit de trouver le programme et de la supprimer. (le renomer si tu veux le garder)

Si c'est un injecteur (plus grave) il effectue des modifications profondes dans ton systeme (duplication dans un executable systeme par exemple) et alors tu ne peux t'en sortir qu'en restaurant ce qu'il a modifié (après l'avoir desactivé pour ne pas qu'il t'en remette une couche a chaque tour)

En tous etats de cause si tu caunais bien ta machine. (et que tu es rapide)
Suite au demarage tu fait un Ctrl Alt Sup pour lister les process en cours et tu cherche un truc pas habituel pour le supprimer. Si tu tombe sur le bon tu auras tous le temps de nettoyer tranquilement ta machine ensuite.

Pour info un petit dump du contenu 'lisible' qui te donne une idée des fonctions utilisées :

Citation : le programme du virus

MZ@
!L!Thisprogramcannotbe
runinDOSmode.$PELTVN0
2c0@

SeShutdownPrivilege$@
runtimeerror

R6002-floatingpoint notloaded R6008-
notenoughspaceforargumentsR6009-
notenoughspaceforenvironment
abnormalprogramterminationR6016-notenoughspaceforthreaddataR6017-
unexpectedmultithreadlockerrorR6018-
unexpectedheaperrorR6019-
unabletoopenconsoledeviceR6024-
notenoughspacefor_onexit/atexittableR6025-
purevirtualfunctioncallDOMAINerrorSINGe
rrorTLOSSerrorruntimeerror

GetCurrentProcess KERNEL32.dll
ExitWindowsEx USER32.dll
AdjustTokenPrivileges
lLookupPrivilege ValueA
OpenProcess Token ADVAPI32.dll
GetModuleHandleA
GetStartupInfoA
GetEnvironmentStrings
GetCommandLineA
2GetVersiond
ExitProcessRtl
Unwind
UnhandledExceptionFilter
GetModuleFileNameA
GetACP
GetOEMCP
GetCPInfo
GetStdHandle
GetFileType
VirtualFree$
VirtualAlloc
GetLastError
MessageBoxA

fin du programme

Pas de fonction reseau donc pas de duplication a distance. Et pas un trojan non plus

La fonction qui stope ta machine est celle ci : ExitWindowsEx dans la Dll USER32.dll

Je ne pense pas qu'il sagisse d'un 'injecteur' (pas de fonctions de manipulation de disque)

Le programme semble conçu pour s'exprimer (GetOEMCP et MessageBoxA)

Un truc qui me semble pas bon c'est : The AdjustTokenPrivileges function enables or disables privileges in the specified access token. Enabling or disabling privileges in an access token requires TOKEN_ADJUST_PRIVILEGES access.

Il travaille sur la memoire : VirtualFree VirtualAlloc (c'est bien il pense a la liberer)

The VirtualAlloc function reserves or commits a region of pages in the virtual address space of the calling process. Memory allocated by this function is automatically initialized to zero, unless the MEM_RESET flag is set.

le problème c'est qu'il vampirise peut être un process système donc il est pas forcement visible dans le gestionaire de tache.

L'absence de traces 'visible' des fonctions de manipulation de disque et du registre de l'api w32 me surprend car je me demande comment il a fait sur un simple lancement initial pour s'autodemarer par la suite au chagement.Il est vrai qu'un simple dump ascii du code ne permet pas une etude complète aussi (il faudrai le dessassembler mais je n'en ai pas le temps ce soir)

Bonne chance

Bon voila :
Tu va commencer par me dire ce que tu vois ds la base de registre ok; voici la procédure :
Touche Windows + R
Tape regedit puis valide
ensuite tu vas dans :
HKLM\SOFTWARE\Microsoft\Windows\Curentversion\run
di moi ce kil ya d'écrit sur la parti droite de la fenetre ok.

tien bon.

le lien si tu veux :
http://www.forum.moteurprog.com/index.php?url=FORUM_msg.php&ID_topic=3022