Programme inconnu : injection de code

--reçu

*****Dans chaque église, il y a toujours quelque chose qui cloche******
Je n'ai pas la prétention de résoudre les problèmes, j'essaie simplement de rendre service ;-)

Perso, vu que ca me fait pareil, je me suis crée un sujet :
troyen ecran bleu

message reçu

Bon voila maintenant je pense que le pb est resolu,j'ai donc décidé de mettre le marqueur résolu car je n'ai plus d'ecran bleu, ni de programme jzahsdfc.exe au demarrage.Tout est clean, merci beaucoup pour votre a tous,philo2100,Regis59,zBr,...Voila dc petit récapitulatif, si on a pb comme j'ai eu il faut regarder la source du programme , tenté de le supprimer, si on ne peut pas manuellement tentez avec les soft mentionnés plus haut et au cas regarder si ce n'est pas le firewall qui est un peu en cause.Voila et encore ,merci pour tt.
A+

pour suivre

Salut the drum,

Pour moi, ca marche.
Peut etre que Zbr aura quelque chose a te demander...

a+

Voila donc apres une semaine de test et de recherche, je n'ai plus aucun probleme apparemment.Le probleme venait du fichier jzahsdfc.exe qui devait corrompre le firewall kerio.Je vous remercie sincerement pour m'avoir aider a supprimer ce programme recurent.Enfin je retrouve un pc normal.^^Merci beaucoup a vous tous.Je pense que je vais mettre le marqueur resolu si d'ici encore une semaine je n'ai pas eu de probleme en rapport avec l'ecran bleu.

D'accord.

Merci de ton suivi.

A+

Bon j'ai essyé de chercher des images et plus rien plus d'ecran bleu enfin le calme.Entre temps j'ai changer de firewall, et je pense que le probleme venait de la.Car depuis plus d'ecran bleu c'est a ni rien comprendre.Je vais attendre un peu encore et je remet un post si j'ai encore des problemes a ce sujet ou si j'en ai pas.

Ok dans ce cas, note exactement tout ce qu'il indiquera.

A+

Salut

Tu as suivi ce que zbr disait?

Je demandais si tu avais des écrans de ce style?
http://perso.orange.fr/raptor2000/ecbl.jpg

A+

Salut the drum master; salut zbr;

L'écran bleu c'est un code stop non?

a+

Salut the drum master

Pas de problème en ce qui concerne les logs d'IceSword, pas de processus cachés et le démarrage est clean aussi.

Je pense que tu peux supprimer le fichier memory.dmp, déjà ce sera 512 mo de gagné !
Au prochain écran bleu un autre devrait se recréeer nettement moins volumineux cette fois.

au fait j'ai choisi : image memoire du noyau
Très bien, on verra de combien cette option réduira la taille du fichier *.dmp.
Normalement cela devrait de façon assez conscéquante.

a+

voila bonjour zBr,
oui,je l'ai bien supprimé,
le log processus:
Process:

System Idle Process
System
C:\WINDOWS\system32\taskmgr.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\inetsrv\inetinfo.exe
C:\WINDOWS\system32\Fast.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe
C:\WINDOWS\system32\msdtc.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\WINDOWS\system32\tcpsvcs.exe
C:\WINDOWS\system32\snmp.exe
C:\Program Files\Toshiba\EMT3\tmesbs32.exe
C:\WINDOWS\system32\smss.exe
C:\Program Files\Toshiba\EMT3\TMESRV31.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\dmadmin.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\mqsvc.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\mqtgsvc.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\MSN Messenger\usnsvc.exe
C:\WINDOWS\explorer.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\Documents and Settings\Gilles\Bureau\IceSword120_en\IceSword.exe
C:\WINDOWS\system32\00THotkey.exe
C:\WINDOWS\system32\s3hotkey.exe
C:\Program Files\Toshiba\TOSHIBA Controls\TFncKy.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Internet Explorer\iexplore.exe

le log startup:
Startup:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
00THotkey
C:\WINDOWS\System32\00THotkey.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
000StTHK
000StTHK.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
S3Hotkey
s3hotkey.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
TFncKy
TFncKy.exe /Type 02

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
MsmqIntCert
regsvr32 /s mqrt.dll

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
avast!
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
KernelFaultCheck
%systemroot%\system32\dumprep 0 -k

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
SpybotSD TeaTimer
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
msnmsgr
"C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage
desktop.ini

C:\Documents and Settings\Gilles\Menu Démarrer\Programmes\Démarrage
desktop.ini

Pour le dossier minidump , il n'y avait déja rien dedans, le fichier memory.dmp est crée dans C:\Windows.Il y a un fichier memory.ini juste à coté. Là donc j'essaye de faire planter mon pc , au fait j'ai choisi : image memoire du noyau.dois-je effacé ce fichier memory.dmp dans windows avant?

Salut the drum master

Est-ce que tu as bien supprimé jzahsdfc.exe ?
Car Blacklight a été aveugle sur ce coup...

Petite vérification avant de voir de plus près ton problème d'écran bleu, télécharge Icesword ici:
http://mail2.ustc.edu.cn/~jfpan/download/IceSword120_en.zip
Dézippe-le sur ton bureau et lance-le.

- Dans la partie gauche de la fenêtre du programe, clic sur l'onglet "Processus"
(Si un processus est mentionné en rouge, note son chemin)
Puis clic dans le menu du haut sur "LOG"
Donne un nom au fichier log et enregistre le sur ton bureau

- Dans la partie gauche de la fenêtre du programe, clic sur l'onglet "Startup"
Puis clic dans le menu du haut sur "LOG"
Donne un nom au fichier log et enregistre le sur ton bureau

Surtout, ne fais rien d'autre avec ce programme que ce que je t'ai indiqué de faire, sinon gare au plantage :-)

Poste le contenu des deux fichiers que tu auras enregistré sur ton bureau.

Tu disais que le vidage de la memoire à généré un fichier memory.dmp de 512Mo.
C'est beaucoup pour être uploadé et analysé lol.
Vérifie ceci:
Appuie simultanément sur les touches Windows (drapeau) et Pause
Clic sur l'onglet "Avancé" et dans "Demarrage et récupération" clic sur paramètres
Dans "Ecriture des informations de débogage" selectionnes:
Image mémoire partielle (64ko)
ou
Image mémoire du noyau
et valide
Le fichier Memory.dmp devrait être beaucoup moins important à l'avenir.

Ensuite, vas dans C:\WINDOWS\Minidump
et supprime tout ce qui se trouve dans le dossier Minidump.

Redemarre ton pc et essaye de provoquer l'écran bleu (recherche des images sur google...etc)

Dès que c'est fait, reviens dans C:\WINDOWS\Minidump et zippe le fichier *.dmp
Si le zip ne dépasse pas 500ko, uploade le ici:
https://www.cjoint.com/
et met le lien pour pouvoir le récupérer.
Si le zip est plus conscéquent, uploades le ici:
http://www.sendmefile.com/

a++

désolé pour le double post, mais j'ai eu encore là a l'instant l'écran bleu , toujors ce fichier afd.sys en cause , je ne l'avais pas avant que j'ai ce programme jzahsdfc.exe ainsi que ces doubles en d'autres extensions.J e me suis documenté en cherchant sur google afd.sys et j'ai pus comprendre que c'est un driver de gestion important ou quelquchose comme ça.Je ne pense pas avoir faits de fausses manipulations vus que j'ai scrupulesement suivis tous vos conseils.Quelqu'un aurait -il une idée? Ah oui, ce problème arrive principalement lorsque je suis sur internet que ce soit ds les onglets Firefox où les fenetres IE, precisement lorsque je recherche des images sur google où tout autres moteur de recherche.
Merci de votre aide.
Pour l doc sur afd.sys j'ai trouvé ceci:
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Afd\Parameters]
Afd.sys est le pilote en mode noyau utilisé pour la prise en charge des applications Windows Sockets.

"TransmitWorker"=dword:00000020
10 ou 20 défaut 10
ce paramètre détermine comment Afd.sys utilise les threads système. Quand cette valeur est configurée sur 0x10, AFD utilise les threads système pour effectuer des E/S qui résultent d?une longue requête TransmitFile (l?équivalent d?une quantité de données de plus de 2 fois SendPacketLength). Quand elle est configurée sur 0x20, AFD utilise APC en mode noyau pour les E/S et exécute tout dans le contexte de la même thread. Ce paramètre est nouveau dans Windows 2000/XP et permet d?améliorer les performances grâce à la réduction du nombre de changements de contexte dans les longues requêtes TransmitFile.

"PriorityBoost"=dword:0000000a
0 à 16 defaut 2
priorité donnée par AFD à une thread lorsque les E/S sont terminées pour cette thread. Si une application multi-thread est confrontée à l?abandon de certaines threads, il est possible de remédier au problème en réduisant cette valeur.

"LargeBufferSize"=dword:00002000
defaut 4096 (I386) ou 8192 (ALPHA)
la taille, en octets, des grands tampons utilisés par AFD. Les valeurs inférieures utilisent moins de mémoire et les valeurs supérieures peuvent améliorer les performances.
si quelqu'un peut m'aider a décodé ceci , je suis avide de comprendre.
Il parait que cela a un rapport avec kério est-ce vrai?

C'est fait.J'ai redemarrer plusieurs fois pour noir si le programme se demarrer avec Windows et puis pas de trace, il a enfin disparu!!
Tous à l'air d'etre rentré dans l'ordre , je n'ai plus eu d'écran bleu depuis un moment.Les manip ont l'air d'avoir très bien marché.

Salut

Les 3 fichiers détectés avec l 'extention .dat, tu peux les supprimer de ton pc !

A+

slt a tous ,je viens de redemarrer en mode sans echec et le programme a réapparu avec trois autres qui portait des extensions différentes:
jzahsdfc.dat
jzahsdfc_nav.dat
jzahsdfc_navps.dat
Je les ai supprimé de system32 et je l'ai mis dans une archive zip ai-je bien fait? J'ai fais ça car je me suis peut-etre que si je les supprime directement mon pc ne vas plus demarrer.Je les ai scanné avec avast et rien pas de virus. Dois je les garder dans l'archive ou les supprimés totalement?
Merci en tous cas pour votre aide car apparemment les manipulation l'ont fais réapparaitre dans system32 car avant même en mode sans echec c'était un échec de le trouver ce programme.Par contre j'ai fais un scan online malwre search du zip et l'antivirus vba32 a trouvé un trojan PSW.Pinch7 ce qui m'etonne c'est que avas ne l'ai pas trouvé.Dc je le supprime le zip?

PS: pour les écrans bleu je n'en ait pas eu d'autres depuis que j'ai fait toutes les manip. Et encore merci a tous pour votre aide,car apparemment le prog est redevenu visible grace a toutes les manip.Est-ce du hooking ou quelquechose de ce genre que le programme effectué pour se cacher?

Salut

Ou en sont tes soucis?

A+