Machine lente,hijackthis

http://www.cijoint.fr/cjlink.php?file=cj200908/cijYKK91O0.zip

re,
le lien usbfix ne marche pas stp genhackman
merci encore!

▶ Télécharge et install UsbFix par Chiquitine29

(!) Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d'avoir été infectées sans les ouvrir

▶ Double clic sur le raccourci UsbFix présent sur ton bureau .

▶ Au menu principal choisis l'option " F " pour français et tape sur [entrée] .

▶ Au second menu Choisis l'option " 1 " (recherche) et tape sur [entrée]

▶ Laisse travailler l'outil.

▶ Ensuite post le rapport UsbFix.txt qui apparaitra.

Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque. ( C:\UsbFix.txt )

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

voici le log otm,
merci
All processes killed
========== PROCESSES ==========
No active process named explorer.exe was found!
No active process named iexplore.exe was found!
No active process named firefox.exe was found!
No active process named msnmsgr.exe was found!
No active process named Teatimer.exe was found!
========== SERVICES/DRIVERS ==========
Service\Driver mchInjDrv not found.
Service\Driver key mchInjDrv deleted successfully.
========== FILES ==========
File/Folder C:\WINDOWS\system32\ne0kS.dll.wsf not found.
C:\Windows\System32\bycool1 moved successfully.
C:\Windows\System32\bycool moved successfully.
File/Folder E:\log.exe not found.
========== REGISTRY ==========
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\Flashy Bot deleted successfully.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\System12 deleted successfully.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\System64 deleted successfully.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\DRIVESYS1 deleted successfully.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\DRIVESYS deleted successfully.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\explorer\\NoFolderOptions deleted successfully.
========== COMMANDS ==========

[EMPTYTEMP]

User: All Users

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes

User: LocalService
->Temp folder emptied: 0 bytes
File delete failed. C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat scheduled to be deleted on reboot.
->Temporary Internet Files folder emptied: 33170 bytes

User: NetworkService
->Temp folder emptied: 0 bytes
File delete failed. C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\index.dat scheduled to be deleted on reboot.
->Temporary Internet Files folder emptied: 33170 bytes

User: XXXXX
->Temp folder emptied: 91667768 bytes
->Temporary Internet Files folder emptied: 31106940 bytes

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 4229874 bytes
%systemroot%\System32 .tmp files removed: 3072 bytes
Windows Temp folder emptied: 458752 bytes
RecycleBin emptied: 180630931 bytes

Total Files Cleaned = 293,92 mb

OTM by OldTimer - Version 3.0.0.6 log created on 08102009_122213

Files moved on Reboot...

Registry entries deleted on Reboot...

---> Désactive ton antivirus le temps de la manipulation car OTM est détecté comme une infection à tort.

---> Télécharge OTM (OldTimer) sur ton Bureau :

---> Double-clique sur OTM.exe afin de le lancer.

---> Copie (Ctrl+C) le texte suivant ci-dessous :



:processes
explorer.exe
iexplore.exe
firefox.exe
msnmsgr.exe
Teatimer.exe

:services
mchInjDrv

:files
C:\WINDOWS\system32\ne0kS.dll.wsf
C:\Windows\System32\bycool1
C:\Windows\System32\bycool
E:\log.exe

:reg
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"Flashy Bot"=-
"System12"=-
"System64"=-
"DRIVESYS1"=-
"DRIVESYS"=-
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\explorer]
"NoFolderOptions"=-
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{035d7e64-67ed-11de-82cd-000802171bcc}\shell\AutoRun\command]
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{3c27347b-67d3-11de-82cc-000802171bcc}\shell\Ouvrir\command]
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{3c27347b-67d3-11de-82cc-000802171bcc}\shell\AutoRun\command]
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{4208fd92-ede9-11dd-822c-000802171bcc}\shell\AutoRun\command]
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{4208fd92-ede9-11dd-822c-000802171bcc}\shell\Ouvrir\command]
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{581b0306-ede8-11dd-822b-000802171bcc}\shell\AutoRun\command]
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{581b0306-ede8-11dd-822b-000802171bcc}\shell\Ouvrir\command]
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{73f6a3aa-e091-11dd-8214-000802171bcc}\shell\Auto\command]
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{73f6a3aa-e091-11dd-8214-000802171bcc}\shell\AutoRun\command]
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{b28e1cee-5cb5-11de-82bf-000802171bcc}\shell\AutoRun\command]
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{b28e1cee-5cb5-11de-82bf-000802171bcc}\shell\Ouvrir\command]
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{df21238c-e3b3-11dd-821c-000802171bcc}\shell\Auto\command]
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{df21238c-e3b3-11dd-821c-000802171bcc}\shell\AutoRun\command]
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{fd622376-e3a7-11dd-821a-000802171bcc}\shell\AutoRun\command]
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{fd622376-e3a7-11dd-821a-000802171bcc}\shell\Ouvrir\command]

:commands
[purity]
[emptytemp]
[start explorer]
[reboot]



---> Colle (Ctrl+V) le texte précédemment copié dans le cadre Paste Instructions for Items to be Moved.

---> Clique maintenant sur le bouton MoveIt! puis ferme OTM

Si un fichier ou dossier ne peut pas être supprimé immédiatement, le logiciel te demandera de redémarrer.
Accepte en cliquant sur YES.

---> Poste le rapport situé dans ce dossier : C:\_OTM\MovedFiles\
Le nom du rapport correspond au moment de sa création : date_heure.log

vraiment je sais pas comment faire
quand je redemarre ça met au moins 30min avant de se lancer, et donc je sais meme pas quand appuyer F8. j'ai appuyé plusieurs fois dès le départ, et la machine fait des longs bips,très longs bips. finalement ça a redemarré mais j'ai pas pu avoir le menu de choix avancé.
je précise qu'une fois le redemarrage fait, la machine fonctionne correctement,;elle n'est pas lente du tout

Télécharge SDFix sur ton bureau :
ici :SDFix
ou ici SDFix
ou ici SDFix

--> Double-clique sur SDFix.exe et choisis "Install" .

Tuto

Puis une fois l'installe faite ,

Impératif : Démarrer en mode sans echec .

/!\ Ne jamais démarrer en mode sans échec via MSCONFIG /!\

Comment aller en Mode sans échec :
1) Redémarre ton ordi .
2) Tapote la touche F8 immédiatement, (F5 sur certains PC) juste après le "Bip" .
3) Tu tapotes jusqu' à l'apparition de l'écran avec les options de démarrage .
4) Choisis la première option : Sans Échec , et valide en tapant sur [Entrée] .
5) Choisis ton compte habituel ( et pas Administrateur ).
attention : pas de connexion possible en mode sans échec , donc copie ou imprime bien la manipe pour éviter les erreurs ...

Ouvre le dossier SDFix qui vient d'être créé dans le répertoire C:\ et double-clique sur RunThis.bat pour lancer l'outil .
-->Tapes Y pour lancer le script ...
Le Fix supprime les services du virus et nettoie le registre, de ce fait un redémarrage est nécessaire , donc :
presses une touche pour redémarrer quand il te le sera demandé .

Le PC va mettre du temps avant de démarrer ( c'est normal ), après le chargement du Bureau presses une touche lorsque "Finished" s'affiche .

Le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier
C:\SDFix sous le nom "Report.txt".

Poste ce dernier dans ta prochaine réponse

Si SDfix ne se lance pas (ça arrive!)

* Démarrer->Exécuter

* Copie/colle ceci :

%systemroot%\system32\cmd.exe /K %systemdrive%\SDFix\apps\FixPath.exe

* Clique sur ok, et valide.

* Redémarre et essaye de nouveau de lancer SDfix.

il ne marche pas lui aussi

ok essaie ceci :

http://sd-1.archive-host.com/membres/up/829108531491024/Zanu.zip

bonjour gen-hackman
et merci de me prendre en charge ,mais je crains que le lien que tu m'as donné ne marche pas.

bonjour voici les fichiers info et log,merci!!

info.txt logfile of random's system information tool 1.06 2009-07-13 12:19:14

======Uninstall list======

-->rundll32.exe setupapi.dll,InstallHinfSection DefaultUninstall 132 C:\WINDOWS\INF\PCHealth.inf
Avira AntiVir Personal - Free Antivirus-->C:\Program Files\Avira\AntiVir Desktop\setup.exe /REMOVE
Crop Protection Compendium 2006 Edition-->MsiExec.exe /I{80F10C1C-13CC-4B6D-BECF-8C1522BBB53D}
HijackThis 2.0.2-->"C:\Documents and Settings\XXXXX\Bureau\HijackThis.exe" /uninstall
Microsoft Office Professional Edition 2003-->MsiExec.exe /I{9011040C-6000-11D3-8CFE-0150048383C9}
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17-->MsiExec.exe /X{9A25302D-30C0-39D9-BD6F-21E6EC160475}
MSN-->C:\Program Files\MSN\MsnInstaller\msninst.exe /Action:ARP
SuperCopier2-->"C:\Program Files\SuperCopier2\SC2Uninst.exe"
VLC media player 0.9.9-->C:\Program Files\VideoLAN\VLC\uninstall.exe
WinRAR archiver-->C:\Program Files\WinRAR\uninstall.exe

======Security center information======

AV: AntiVir Desktop (disabled) (outdated)

======System event log======

Computer Name: DRCQMIDER
Event Code: 7036
Message: Le service avast! Web Scanner est entré dans l'état : en cours d'exécution.

Record Number: 4708
Source Name: Service Control Manager
Time Written: 20090512125120.000000+120
Event Type: Informations
User:

Computer Name: DRCQMIDER
Event Code: 7035
Message: Un contrôle Démarrer a correctement été envoyé au service aswRdr.

Record Number: 4707
Source Name: Service Control Manager
Time Written: 20090512125119.000000+120
Event Type: Informations
User: AUTORITE NT\SYSTEM

Computer Name: DRCQMIDER
Event Code: 7035
Message: Un contrôle Démarrer a correctement été envoyé au service Connexions réseau.

Record Number: 4706
Source Name: Service Control Manager
Time Written: 20090512125119.000000+120
Event Type: Informations
User: AUTORITE NT\SYSTEM

Computer Name: DRCQMIDER
Event Code: 7035
Message: Un contrôle Démarrer a correctement été envoyé au service avast! Web Scanner.

Record Number: 4705
Source Name: Service Control Manager
Time Written: 20090512125119.000000+120
Event Type: Informations
User: AUTORITE NT\SYSTEM

Computer Name: DRCQMIDER
Event Code: 7036
Message: Le service avast! Mail Scanner est entré dans l'état : en cours d'exécution.

Record Number: 4704
Source Name: Service Control Manager
Time Written: 20090512125119.000000+120
Event Type: Informations
User:

=====Application event log=====

Computer Name: DRCQMIDER
Event Code: 103
Message: wuaueng.dll (1720) SUS20ClientDataStore: Le moteur de base de données a arrêté une instance (0).

Record Number: 1241
Source Name: ESENT
Time Written: 20090525075101.000000+120
Event Type: Informations
User:

Computer Name: DRCQMIDER
Event Code: 102
Message: wuaueng.dll (1720) SUS20ClientDataStore: Le moteur de base de données a démarré une nouvelle instance (0).

Record Number: 1240
Source Name: ESENT
Time Written: 20090525074600.000000+120
Event Type: Informations
User:

Computer Name: DRCQMIDER
Event Code: 100
Message: wuauclt (1720) Le moteur de base de données 5.01.2600.2180 est démarré.

Record Number: 1239
Source Name: ESENT
Time Written: 20090525074600.000000+120
Event Type: Informations
User:

Computer Name: DRCQMIDER
Event Code: 1800
Message: Le service Centre de sécurité Windows a démarré.

Record Number: 1238
Source Name: SecurityCenter
Time Written: 20090525074514.000000+120
Event Type: Informations
User:

Computer Name: DRCQMIDER
Event Code: 1002
Message: L'environnement s'est arrêté de façon inattendue et Explorer.exe a redémarré.

Record Number: 1237
Source Name: Winlogon
Time Written: 20090522154125.000000+120
Event Type: Informations
User:

======Environment variables======

"ComSpec"=%SystemRoot%\system32\cmd.exe
"Path"=%SystemRoot%\system32;%SystemRoot%;%SystemRoot%\System32\Wbem
"windir"=%SystemRoot%
"FP_NO_HOST_CHECK"=NO
"OS"=Windows_NT
"PROCESSOR_ARCHITECTURE"=x86
"PROCESSOR_LEVEL"=15
"PROCESSOR_IDENTIFIER"=x86 Family 15 Model 1 Stepping 2, GenuineIntel
"PROCESSOR_REVISION"=0102
"NUMBER_OF_PROCESSORS"=1
"PATHEXT"=.COM;.EXE;.BAT;.CMD;.VBS;.VBE;.JS;.JSE;.WSF;.WSH
"TEMP"=%SystemRoot%\TEMP
"TMP"=%SystemRoot%\TEMP

-----------------EOF-----------------

Logfile of random's system information tool 1.06 (written by random/random)
Run by XXXXX at 2009-07-13 12:19:08
Microsoft Windows XP Professionnel Service Pack 2
System drive C: has 33 GB (86%) free of 38 GB
Total RAM: 511 MB (54% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 12:19:11, on 13/07/2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir Desktop\sched.exe
C:\Program Files\Avira\AntiVir Desktop\avguard.exe
C:\Program Files\McAfee\Common Framework\FrameworkService.exe
C:\Program Files\McAfee\Common Framework\naPrdMgr.exe
C:\Program Files\McAfee\Common Framework\UdaterUI.exe
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\SuperCopier2\SuperCopier2.exe
C:\Program Files\McAfee\Common Framework\McTray.exe
C:\WINDOWS\system32\MSIEXEC.EXE
C:\WINDOWS\system32\msiexec.exe
C:\WINDOWS\system32\MsiExec.exe
C:\Program Files\Microsoft Office\OFFICE11\WINWORD.EXE
C:\Documents and Settings\3623\Bureau\RSIT.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\Documents and Settings\3623\Bureau\3623.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Program Files\McAfee\Common Framework\UdaterUI.exe" /StartedFromRunKey
O4 - HKLM\..\Run: [Flashy Bot] C:\WINDOWS\system32\Flashy.exe
O4 - HKLM\..\Run: [System12] C:\WINDOWS\system32\ne0kS.exe
O4 - HKLM\..\Run: [System64] C:\WINDOWS\system32\ne0kS.dll.wsf
O4 - HKLM\..\Run: [DRIVESYS1] C:\Windows\System32\bycool1\windo.exe
O4 - HKLM\..\Run: [DRIVESYS] C:\Windows\System32\bycool\winacces.exe
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [SuperCopier2.exe] C:\Program Files\SuperCopier2\SuperCopier2.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{BB6EDED3-0F33-4B1D-B753-0251E82668A5}: NameServer = 192.168.0.1
O23 - Service: Avira AntiVir Scheduler (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe
O23 - Service: McAfee Framework Service (McAfeeFramework) - McAfee, Inc. - C:\Program Files\McAfee\Common Framework\FrameworkService.exe

Il faut quil fixe V-X ( pc entraide??) car ce sont des virus tres menacant!!!!

B'soir ,

ne fixe aucune ligne pour l'instant..

Je pense que tu as une infection "Vundo"....

▶ Télécharge random's system information tool (RSIT) et enregistre le sur ton bureau.

▶ Double clique sur RSIT.exe pour lancer l'outil.

▶ Clique sur ' continue ' à l'écran Disclaimer.

▶ Si l'outil HIjackThis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera et tu devras accepter la licence.

▶ Une fois le scan fini , 2 rapports vont apparaitre. Poste le contenu des 2 rapports séparément.
( log.txt & info.txt )

(CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

Si un rapport ne passe pas faire une alerte à la conciergerie avec le /!\ jaune.

Alros j'ai trouver sur ton raport des choses serieuses! Tu vas lancer Hijackthis et faire " do a scan only" et séléctionner ces lignes dangereuses :

"C:\Windows\System32\bycool1\windo.exe" = virus
"O4 - HKLM\..\Run: [System12] C:\WINDOWS\system32\ne0kS.exe" = virus !!
"O4 - HKLM\..\Run: [System64] C:\WINDOWS\system32\ne0kS.dll.wsf"
"O4 - HKLM\..\Run: [DRIVESYS1] C:\Windows\System32\bycool1\windo.exe"
"O4 - HKLM\..\Run: [DRIVESYS] C:\Windows\System32\bycool\winacces.exe"

tiens moi au courant!