ordi planté erreur win32 Fermé

Question

Bonjour,

j'ai un gros problème, j'ai telechargé un logiciel basique de conversion audio, et dans le fichier d'archive il y avait l'application et un fichier système. Après avoir pris le soin d'analyser l'ensemble avec Avast, j'ai ouvert le tout et mon ordi est parti bien loin...
Je suis sur windows xp

le nom du fichier système: MSDIS100-DLL
en l'ouvrant, spybot a vérifié qu'il n'y avait rien d'anormal
ensuite mon ordi a planté, avast est entré en conflit, il a été arreté, puis c'est au tour de spybot de me demander d'autoriser une modif systeme que j'ai refusé, il a lui aussi été arreté tout seul
il me dit pour bon nombre d'applications que "......exe n'est pas une application valide"

avast ne marche plus
spybot ne marche plus
ccleaner ne marche plus
zone alarm ne marche plus
ad aware ne marche plus
je n'ai plus de son sur vlc
je n'ai plus de connexion internet (la connexion wifi est reconnue mais ne peut pas s'activer)


j'ai réussi à télecharger le pack d'un autre ordi et faire une analyse avec AVG sans ouvrir les fichiers, ils étaient infectés par le virus win32 themida

je ne retrouve pas le fichier msdsi100.dll dans mon système, je ne retrouve pas le themida, je ne comprends pas ce que je peux faire...

en faisat une recherche complète des fichiers modifiés à ce jour et à l(heure de l'infection, il me semble que le virus doit avoir touché le fichier "système32" ce qui est logique


au passage, je ne pouvais pas restaurer mon ordi, aucun point de restauration ne voulait se créer, j'y ai remedié il y a qqs jours, g réussi à créer des points pensant que c'était bon, mais quand j'ai voulu restaurer après ce probleme, je n'ai pas pu "restauration incomplète..." j'y ai alors remedié, maintenant je peux restaurer mais je n'ai plus les points d'avant, que un ou mon ordi était déjà infecté

j'ai supprimé des fichiers systèmes qui avaient été modifiés à l'heure suspecte, ça ne marche toujours pas

que faire???
merci de votre aide, et désolé si mes explications ne sont pas très claires, j'avoue que là je rame

gunner84 · Answer

je v déjà installer avg et faire un scan du systeme 32

kratos · Answer

telecharge bitdenfender "tu peut l'avoir pour 30 jours" et fait un scan complet meme les archives et tu verra ce qu'il te trouve

gunner84 · Answer

rectification: pas de restauration possible, et avg ne veut pas s'installer

gunner84 · Answer

bitdefender ne veut pas s'installer non plus "le service n'a pas demarré vérifiez si vous avez assez d'autorité pour demarrer les services systemes"

kratos · Answer

enleve spybot et refait un essai...

gunner84 · Answer

g un fichier vsconfig dans system32 qui date de l'heure H et ne veut pas se supprimer

gunner84 · Answer

no change g desinstallé avast, spybot

gunner84 · Answer

vi g cru comprendre kil me fallait findykill...j'espere juste ne pas avoir supprimé d'elements importants

gunner84 · Answer

voici le rapport de findykill:



----------------- FindyKill V4.095 ------------------

* User : Tonio - ANTOINE
* Emplacement : C:\Program Files\FindyKill
* Outils Mis a jours le 06/11/08 par Chiquitine29
* Recherche effectuÈe ‡  1:29:28 le 07/11/2008
* Windows XP - Internet Explorer 6.0.2900.5512
 
((((((((((((((((( *** Recherche *** ))))))))))))))))))  
 
 
--------------- [ Processus actifs ] ----------------  
 

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\igfxpers.exe
C:\WINDOWS\system32\drivers\winfilse.exe
C:\WINDOWS\system32\msiexec.exe
 
--------------- [ Processus infectieux stoppÈs ] ----------------  
 

"C:\WINDOWS\system32\drivers\winfilse.exe"  (124)

 
--------------- [ Fichiers/Dossiers infectieux ] ----------------  
 
 
ªªªª Presence des fichiers dans C: 
 
 
ªªªª Presence des fichiers dans C:\WINDOWS 
 
 
ªªªª Presence des fichiers dans C:\WINDOWS\Prefetch 
 
Present ! - C:\WINDOWS\prefetch\129218.EXE-2C7913D6.pf 
Present ! - C:\WINDOWS\prefetch\WINFILSE.EXE-0C5BAB91.pf 
 
ªªªª Presence des fichiers dans C:\WINDOWS\system32 
 
 
ªªªª Presence des fichiers dans C:\WINDOWS\system32\drivers 
 
PrÈsent ! [07/11/2008 01:17] - C:\WINDOWS\system32\drivers\srosa.sys 
PrÈsent ! [07/11/2008 01:17] - C:\WINDOWS\system32\drivers\srosa2.sys 
PrÈsent ! [27/09/2005 07:01] - C:\WINDOWS\system32\drivers\winfilse.exe 
PrÈsent ! [06/11/2008 21:03] - "C:\WINDOWS\system32\drivers\downld" 
PrÈsent ! [06/11/2008 21:03] C:\WINDOWS\system32\drivers\downld\129218.exe 
PrÈsent ! [06/11/2008 21:03] C:\WINDOWS\system32\drivers\downld\132015.exe 
 
ªªªª Presence des fichiers dans C:\Documents and Settings\Tonio\Application Data 
 
 
ªªªª Presence des fichiers dans C:\DOCUME~1\Tonio\LOCALS~1\Temp 
 
 
ªªªª Presence des fichiers dans C:\Documents and Settings\Tonio\Local Settings\Temporary Internet Files\Content.IE5 
 
PrÈsent ! - C:\Documents and Settings\Tonio\Local Settings\Temporary Internet Files\Content.IE5\89SKUD5X\b64_2[1].jpg  
PrÈsent ! - C:\Documents and Settings\Tonio\Local Settings\Temporary Internet Files\Content.IE5\ZJQJPNSH\b64_1[1].jpg  
 
--------------- [ Registre / Startup ] ----------------  
 

! REG.EXE VERSION 3.0

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
    SunJavaUpdateSched	REG_SZ	"C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe"
    Kernel and Hardware Abstraction Layer	REG_SZ	KHALMNPR.EXE
    ZoneAlarm Client	REG_SZ	"C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
    igfxtray	REG_SZ	C:\WINDOWS\system32\igfxtray.exe
    igfxhkcmd	REG_SZ	C:\WINDOWS\system32\hkcmd.exe
    igfxpers	REG_SZ	C:\WINDOWS\system32\igfxpers.exe
    AppleSyncNotifier	REG_SZ	C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleSyncNotifier.exe
    iTunesHelper	REG_SZ	"C:\Program Files\iTunes\iTunesHelper.exe"
    TkBellExe	REG_SZ	"C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe"  -osboot

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\OptionalComponents

! REG.EXE VERSION 3.0

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
 
--------------- [ Registre / ClÈs infectieuses ] ----------------  
 
 
PrÈsent ! - HKEY_USERS\S-1-5-21-1547161642-1682526488-725345543-1004\Software\Local AppWizard-Generated Applications\winfilse 
PrÈsent ! - HKEY_USERS\S-1-5-21-1547161642-1682526488-725345543-1004\Software\bisoft 
PrÈsent ! - HKEY_USERS\S-1-5-21-1547161642-1682526488-725345543-1004\Software\FirtR 
PrÈsent ! - HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\winfilse 
PrÈsent ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\srosa 
PrÈsent ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\srosa 
PrÈsent ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA 
PrÈsent ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SROSA 
PrÈsent ! - HKEY_CURRENT_USER\Software\bisoft 
PrÈsent ! - HKEY_CURRENT_USER\Software\FirtR 
PrÈsent ! - [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system] | EnableLUA  
PrÈsent ! - [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Security Center\Svc] | EnableLUA  
 
--------------- [ Etat / Services ] ---------------- 
 
ClÈ manquante : HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot 
 
  -> Mode sans echec non fonctionnel !! 
 
ClÈ manquante : HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal 
 
 -> Mode sans echec non fonctionnel !! 
 
ClÈ manquante : HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network 
 
 -> Mode sans echec non fonctionnel !! 
 


+- Services : [ Auto=2 / Demande=3 / DÈsactivÈ=4 ] 

 /!\ Ndisuio - Type de dÈmarrage = 4 
 
 EapHost - Type de dÈmarrage = 3 
 
 /!\ Ip6Fw - Type de dÈmarrage = 4 
 
 /!\ SharedAccess - Type de dÈmarrage = 4 
 
 /!\ wuauserv - Type de dÈmarrage = 4 
 
 /!\ wscsvc - Type de dÈmarrage = 4 
 
 
 
--------------- [ Recherche dans supports amovibles] ----------------  
 
 
+- Informations : 

C: - Lecteur fixe

D: - Lecteur de CD-ROM

E: - Lecteur amovible

 
+- Contenu de l'autorun : D:\autorun.inf  

[AutoRun]
open=setup.exe
icon=setup.exe,0


































 
+- presence des fichiers :  

PrÈsent ! [05/08/2004 13:00][-r-------] - D:\autorun.inf 
 
 
--------------- [ Registre / Moutpoint2 ] ----------------  
 
Present ! - HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{143b6054-cdbc-11dc-9e4f-0014a55f9df4}\Shell\AutoRun\command   
Present ! - HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{143b6054-cdbc-11dc-9e4f-0014a55f9df4}\Shell\explore\Command   
Present ! - HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{143b6054-cdbc-11dc-9e4f-0014a55f9df4}\Shell\open\Command   
 
 
------------------- ! Fin du rapport ! --------------------

crapoulou · Answer

Bonsoir,
J'ai l'impression à celui qui a besoin d'aide de chercher son fix à utiliser ...
Tu es bien infecté par Bagle, en effet : Findykill.

Télécharge FindyKill  (Merci à Chiquitine29 !!)

Fais un clic droit sur le lien, enregister sous .....sur le bureau
=> http://sd-1.archive-host.com/membres/up/116615172019703188/FindyKill.exe

Dézippe le sur le bureau

Entre dans le dossier FindyKill
Double clique sur FindyKill.exe
Choisis l'option 1 (recherche)
Un rapport va s'ouvrir, poste le dans ta prochaine réponse stp

Note : le rapport FindyKill.txt est sauvegardé a la racine du disque (C:\FindyKill.txt)

crapoulou · Answer

Nettoyage :

--> Double clic sur le raccourci FindyKill sur ton bureau 

--> Au menu principal, choisis l’option 2 (Suppression) 


/!\ il y aura 2 redémarrages, laisse travailler l’outil jusqu’à l’apparition du message "nettoyage effectué" 

/!\ Ne te sers pas du pc durant la suppression, ton bureau ne sera pas accessible c’est normal !

-------> ensuite poste le rapport FindyKill.txt 

Note : le rapport FindyKill.txt est sauvegardé a la racine du disque 
Note : Si le Bureau ne réapparait pas presse Ctrl + Alt + Suppr, Onglet "Fichier", "Nouvelle tâche", tapes explorer.exe et valides

gunner84 · Answer

----------------- FindyKill V4.095 ------------------

* User : Tonio - ANTOINE
* Emplacement : C:\Program Files\FindyKill
* Outils Mis a jours le 06/11/08 par Chiquitine29
* Suppression effectuÈe ‡  1:43:19 le 07/11/2008
* Windows XP - Internet Explorer 6.0.2900.5512
 
 
((((((((((((((( *** Suppression *** ))))))))))))))))))  
 
 
--------------- [ Processus actifs ] ----------------  
 

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\logonui.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\userinit.exe
C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\rundll32.exe
 
--------------- [ Fichiers/Dossiers infectieux ] ----------------  
 
 
ªªªª Suppression des fichiers dans C: 
 
 
ªªªª Suppression des fichiers dans C:\WINDOWS 
 
 
ªªªª Suppression des fichiers dans C:\WINDOWS\Prefetch 
 
SupprimÈ ! - C:\WINDOWS\prefetch\129218.EXE-2C7913D6.pf 
SupprimÈ ! - C:\WINDOWS\prefetch\WINFILSE.EXE-0C5BAB91.pf 
 
ªªªª Suppression des fichiers dans C:\WINDOWS\system32 
 
 
ªªªª Suppression des fichiers dans C:\WINDOWS\system32\drivers 
 
SupprimÈ ! - C:\WINDOWS\system32\drivers\srosa.sys  
SupprimÈ ! - C:\WINDOWS\system32\drivers\srosa2.sys  
SupprimÈ ! - C:\WINDOWS\system32\drivers\winfilse.exe  
SupprimÈ ! - C:\WINDOWS\system32\drivers\downld\129218.exe 
SupprimÈ ! - C:\WINDOWS\system32\drivers\downld\132015.exe 
SupprimÈ ! - "C:\WINDOWS\system32\drivers\downld"  
 
ªªªª Suppression des fichiers dans C:\Documents and Settings\Tonio\Application Data 
 
 
ªªªª Suppression des fichiers dans C:\DOCUME~1\Tonio\LOCALS~1\Temp 
 
 
ªªªª Suppression des fichiers dans C:\Documents and Settings\Tonio\Local Settings\Temporary Internet Files\Content.IE5 
 
SupprimÈ ! - C:\Documents and Settings\Tonio\Local Settings\Temporary Internet Files\Content.IE5\89SKUD5X\b64_2[1].jpg     
SupprimÈ ! - C:\Documents and Settings\Tonio\Local Settings\Temporary Internet Files\Content.IE5\ZJQJPNSH\b64_1[1].jpg     
 
--------------- [ Registre / ClÈs infectieuses ] ---------------- 
 
SupprimÈ ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA   
SupprimÈ ! - HKEY_CURRENT_USER\Software\bisoft   
SupprimÈ ! - HKEY_CURRENT_USER\Software\FirtR   
SupprimÈ ! - HKEY_USERS\S-1-5-21-1547161642-1682526488-725345543-1004\Software\Local AppWizard-Generated Applications\winfilse   
 
--------------- [ Etat / RedÈmarage des services ] ---------------- 
 
+- Mode sans echec restaurÈ ! 

+- Services : [ Auto=2 / Demande=3 / DÈsactivÈ=4 ] 

 Ndisuio - Type de dÈmarrage = 3 
 
 EapHost - Type de dÈmarrage = 2 
 
 Ip6Fw - Type de dÈmarrage = 2 
 
 SharedAccess - Type de dÈmarrage = 2 
 
 wuauserv - Type de dÈmarrage = 2 
 
 wscsvc - Type de dÈmarrage = 2 
 
 
---------------   [ Nettoyage des supports amovibles ] ----------------  
 
+- Informations : 

C: - Lecteur fixe

D: - Lecteur de CD-ROM

 
+- Suppression des fichiers : 
 
Echec de la supression !! - D:\autorun.inf  
 
--------------- [ Registre / Moutpoint2 ] ----------------  
 
SupprimÈ ! - HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{143b6054-cdbc-11dc-9e4f-0014a55f9df4}\Shell\AutoRun\command  
SupprimÈ ! - HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{143b6054-cdbc-11dc-9e4f-0014a55f9df4}\Shell\explore\Command  
SupprimÈ ! - HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{143b6054-cdbc-11dc-9e4f-0014a55f9df4}\Shell\open\Command  
 
--------------- [ Recherche Cracks / Keygen ] ----------------  
 
C:\Documents and Settings\Tonio\Mes documents\Ma musique\iTunes\iTunes Music\Ma 6-T va cracker
C:\Documents and Settings\Tonio\Mes documents\Ma musique\iTunes\iTunes Music\Ma 6-T va cracker\Album inconnu
C:\Documents and Settings\Tonio\Mes documents\Ma musique\iTunes\iTunes Music\Ma 6-T va cracker\Album inconnu\AMJT.mp3
C:\Documents and Settings\Tonio\Mes documents\Ma musique\iTunes\iTunes Music\Ma 6-T va cracker\Album inconnu\BWTV.mp3
C:\Documents and Settings\Tonio\Mes documents\Ma musique\iTunes\iTunes Music\Ma 6-T va cracker\Album inconnu\EGMZ.mp3
C:\Documents and Settings\Tonio\Mes documents\Ma musique\iTunes\iTunes Music\Ma 6-T va cracker\Album inconnu\IBIA.mp3
C:\Documents and Settings\Tonio\Mes documents\Ma musique\iTunes\iTunes Music\Ma 6-T va cracker\Album inconnu\KBCI.mp3
C:\Documents and Settings\Tonio\Mes documents\Ma musique\iTunes\iTunes Music\Ma 6-T va cracker\Album inconnu\KUVZ.mp3
C:\Documents and Settings\Tonio\Mes documents\Ma musique\iTunes\iTunes Music\Ma 6-T va cracker\Album inconnu\LCLP.mp3
C:\Documents and Settings\Tonio\Mes documents\Ma musique\iTunes\iTunes Music\Ma 6-T va cracker\Album inconnu\NZTB.mp3
C:\Documents and Settings\Tonio\Mes documents\Ma musique\iTunes\iTunes Music\Ma 6-T va cracker\Album inconnu\RXPX.mp3
C:\Documents and Settings\Tonio\Mes documents\Ma musique\iTunes\iTunes Music\Ma 6-T va cracker\Album inconnu\TEHY.mp3
C:\Documents and Settings\Tonio\Mes documents\Ma musique\iTunes\iTunes Music\Ma 6-T va cracker\Album inconnu\VEYV.mp3
C:\Documents and Settings\Tonio\Mes documents\Ma musique\iTunes\iTunes Music\Ma 6-T va cracker\Album inconnu\VXIM.mp3
C:\Documents and Settings\Tonio\Mes documents\Ma musique\iTunes\iTunes Music\Ma 6-T va cracker\Album inconnu\WFTI.mp3
C:\Documents and Settings\Tonio\Mes documents\Ma musique\iTunes\iTunes Music\Ma 6-T va cracker\Album inconnu\XGJQ.mp3
C:\Documents and Settings\Tonio\Mes documents\Ma musique\iTunes\iTunes Music\Ma 6-T va cracker\Album inconnu\YUMW.mp3
 
 
---------------- ! Fin du rapport ! ------------------

gunner84 · Answer

ça a l'air de fonctionner, ccleaner marche, mon son sur vlc aussi, mon pare feu windows aussi...
 par contre g tjs le meme message win32 qd j'essaye d'ouvrir zone alarm....

je v reessayer d'installer avg, spybot et tt le tralala et voir cke ca donne, merci pour tt en tt cas g bien cru ke jallais reformater mon ordi
et sinon comme anti virus, plutot avast, avg ou antivir?

gunner84 · Answer

le message est toujours le même pour zone alarm, je ne peux pas le désinstaller ni le mettre en route, il me faut un pare feu, et je l'aimais bien cuilà qd mem...
 que puis je faire?

crapoulou · Answer

Il faut les désinstaller et les réinstaller (ceux qui marchent pas).
Pour l'antivirus : plutôt antivir.
On va s'occuper de Zone Alarm plus tard.
C'est normal.

- Télécharge HijackThis Version 2.02 : 
http://www.trendsecure.com/portal/en-US/_download/HJTInstall.exe

- Enregistre HJTInstall.exe sur ton bureau.
- Fais un double-clic sur HJTInstall.exe afin de lancer l'installation 
- Clique sur Install ensuite sur I Accept 
- Clique sur Do a scan system and save log file 
- Le bloc-notes s'ouvrira, fais un copier-coller de tout son contenu ici dans ta prochaine réponse.
Petit tuto si besoin : http://pageperso.aol.fr/balltrap34/demohijack.htm

gunner84 · Answer

dsl g posté pls fois

gunner84 · Answer

.ok par contre ma connexion internet est reconnue mais apparemment rame, msn marche, emule aussi, mais ni mozilla ni explorer...

gunner84 · Answer

t

gunner84 · Answer

lol heureusement kon peut modifier ses messages j'avais posté 5 fois le rapport, il ne s'affichait pas tt de suite

gunner84 · Answer

je ne sais pas interpréter le résultat, qq'un y voit il qq chose de suspect ou anormal?
j'aimerais juste pouvoir me connecter  àla toile et relancer zone alarm histoire d'avoir un pare feu


merci d'avance

gunner84 · Answer

pliiiiiiiiiiizzzzzzzzzzzz help me je ne comprends pas pkoi je ne peux pas me connecter a la toile
notification: quand j'allume mon ordi, avg me dit qu'il a trouvé une virus baggle dans system/restore, je ne comprends pas je croyais avoir supprimé le probleme avec finykill

anthony5151 · Answer

/!\ Doublon /!\

http://www.commentcamarche.net/forum/affich 9303227 suite infection baggle?

toto · Answer

uun virus win32/themida ses un faut positife= un fichier valide erronément identifié comme un virus

Ordi planté erreur win32

23 réponses

Discussions similaires