Problème GRAVE avec SERVICES.EXE

Résolu
franceschino -  
Salut tous,
depuis quelques temps j'ai un problème avec mon services.exe. J'allume mon ordinateur et 5 minutes aprés il m'apparait un message services.exe a rencontré un problème et doit fermer, voulez vous envoyer le rapport d'erreur. Puis aprés avoir fermé ce message un'autre apparait: "Arrêt su système" NT/AUTHORITY car serivices.exe a rencontré un problème.
Il ressemble à Sasser mais ca ne l'est pas.
Je repète IL NE S'AGIT PAS de SASSER.
Mais de quoi donc???
Personne le sait !!
J'ai aussi essayé Smitfraudfix. Rien a faire. J'ai déjà fait plusieurs recherches de virus (Avast) et Spyware (AVG Antispyware) tout cela en mode sans echec. Mais rien a faire.
Je signale aussi que du coup la RESTAURATION du SYSTEME ne marche plus.

Voici mon Hijackthis Log:

Logfile of HijackThis v1.99.1
Scan saved at 16:39:30, on 06/04/2007
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Program Files\Raxco\PerfectDisk\PDAgent.exe
C:\WINDOWS\System32\svchost.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\GhostWall\ghostwall.exe
C:\Program Files\ATI Technologies\ATI.ACE\CLI.EXE
C:\Program Files\Raxco\PerfectDisk\PDEngine.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\RamBoost XP\rambxpfr.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\System32\devldr32.exe
C:\Program Files\Hijackthis Version Française\VERSION TRADUITE ORIGINALE.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: (no name) - {BE89472C-B803-4D1D-9A9A-0A63660E0FE3} - C:\PROGRA~1\COPERN~2\COPERN~1.DLL
O2 - BHO: BitComet ClickCapture - {39F7E362-828A-4B5A-BCAF-5B79BFDFEA60} - C:\Program Files\BitComet\tools\BitCometBHO_1.1.3.19.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O3 - Toolbar: Copernic Agent - {F2E259E8-0FC8-438C-A6E0-342DD80FA53E} - C:\Program Files\Copernic Agent\CopernicAgentExt.dll
O3 - Toolbar: Copernic Desktop Search 2 - {968631B6-4729-440D-9BF4-251F5593EC9A} - C:\Program Files\Copernic Desktop Search 2\DesktopSearchBand2526.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\CLIStart.exe"
O4 - HKLM\..\Run: [GhostWall] "C:\Program Files\GhostWall\ghostwall.exe" -minimize
O4 - HKLM\..\Run: [OSSelectorReinstall] C:\Program Files\Fichiers communs\Micro Application\Partition Suite\oss_reinstall.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [RamBoostXp] C:\Program Files\RamBoost XP\rambxpfr.exe
O8 - Extra context menu item: &NeoTrace It! - C:\PROGRA~1\NEOTRA~1\NTXcontext.htm
O8 - Extra context menu item: Chercher avec Copernic Agent - res://C:\Program Files\Copernic Agent\CopernicAgentExt.rdl/INTEGRATION_MENU_SEARCHEXT
O8 - Extra context menu item: Download all links using BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddAllLink.htm
O8 - Extra context menu item: Download all videos using BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddVideo.htm
O8 - Extra context menu item: Download link using &BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddLink.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: (no name) - {193B17B0-7C9F-4D5B-AEAB-8D3605EFC084} - C:\PROGRA~1\COPERN~2\COPERN~1.EXE
O9 - Extra 'Tools' menuitem: Démarrer Copernic Agent - {193B17B0-7C9F-4D5B-AEAB-8D3605EFC084} - C:\PROGRA~1\COPERN~2\COPERN~1.EXE
O9 - Extra button: Copernic Agent - {688DC797-DC11-46A7-9F1B-445F4F58CE6E} - C:\PROGRA~1\COPERN~2\COPERN~1.EXE
O9 - Extra button: NeoTrace It! - {9885224C-1217-4c5f-83C2-00002E6CEF2B} - C:\PROGRA~1\NEOTRA~1\NTXtoolbar.htm (HKCU)
O17 - HKLM\System\CS15\Services\Tcpip\..\{06BA4F4F-881C-43F0-BE81-0E639105152B}: NameServer = 192.168.0.250
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: LicCtrl Service (LicCtrlService) - Unknown owner - C:\WINDOWS\runservice.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
O23 - Service: PDAgent - Raxco Software, Inc. - C:\Program Files\Raxco\PerfectDisk\PDAgent.exe
O23 - Service: PDEngine - Raxco Software, Inc. - C:\Program Files\Raxco\PerfectDisk\PDEngine.exe
O23 - Service: PDFCreatorMessages - Global Graphics Software Ltd. - C:\WINDOWS\system32\PDFCreatorMessages.exe
O23 - Service: PDScheduler (PDSched) - Unknown owner - C:\Program Files\Raxco\PerfectDisk\PDSched.exe (file missing)
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

Merci pour votre aide.
Franceschino
Configuration: Windows XP Pro SP1
Firefox 2.0.0.3
DD Maxtor 120 Go
512 RAM DDR

31 réponses

Résumé de la discussion

Plusieurs utilisateurs rencontrent un problème récurrent autour de services.exe qui affiche 'a rencontré un problème et doit fermer', suivi d'un arrêt système NT AUTHORITY, sans correspondance avec le ver Sasser. Ils ont tenté Smitfraudfix, des analyses antivirus en mode sans échec (Avast) et des outils antispyware (AVG), sans succès et avec la restauration système bloquée. Les journaux HijackThis montrent des éléments suspects et des services multiples, incluant Avast, BitComet, Copernic Agent, GhostWall et des entrées réseau, néanmoins l'état exact restait indéterminé. La solution évoquée décrit l'utilisation d'outils standalone pour cibler des rootkits, sans décrire clairement si le problème persiste.

Bobot (l’IA à votre service)
  1. Regis59 Contributeur sécurité
    Salut

    Télécharge ceci: (merci a S!RI pour ce programme).
    http://siri.urz.free.fr/Fix/SmitfraudFix.exe
    Exécute le Smitfraudfix.exe et choisit l’option 1, il va générer un rapport
    Copie/colle le sur le poste stp.

    A+
    1. franceschino Auteur
      Merci, le voici:

      SmitFraudFix v2.132

      Rapport fait à 3:35:20,09, 08/04/2007
      Executé à partir de C:\Program Files\SmitfraudFix
      OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
      Le type du système de fichiers est NTFS
      Fix executé en mode normal

      »»»»»»»»»»»»»»»»»»»»»»»» C:\

      »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS

      »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system

      »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web

      »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

      »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles

      »»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Kiko.KIKOXP

      »»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Kiko.KIKOXP\Application Data

      »»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer

      »»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\KIKO~1.KIK\Favoris

      »»»»»»»»»»»»»»»»»»»»»»»» Bureau

      »»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files

      »»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues

      »»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau

      »»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
      !!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

      SrchSTS.exe by S!Ri
      Search SharedTaskScheduler's .dll

      »»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
      !!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

      [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
      "AppInit_DLLs"=""

      »»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
      !!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

      [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
      "System"=""

      »»»»»»»»»»»»»»»»»»»»»»»» pe386-msguard-lzx32

      pe386 détecté, utilisez un scanner de Rootkit

      »»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll

      »»»»»»»»»»»»»»»»»»»»»»»» Fin
      1. Regis59 Contributeur sécurité
        Salut,

        Télécharge ceci sur ton Bureau.:
        http://www.uploads.ejvindh.net/rustbfix.exe

        Double clique rustbfix.exe afin de lancer l'outil.
        Si une infection Rustock.b est détectée, une invite t'indiqueras qu'il est nécessaire de redémarrer l'ordi. Ce redémarrage pourrait être plus long que d'habitude, et il est possible que deux redémarrages soient requis. Tout cela se fera automatiquement.
        Suite au(x) redémarrage(s), deux rapports s'ouvriront : (%root%\avenger.txt & %root%\rustbfix\pelog.txt).
        Poste (Copie/Colle) le contenu de ces deux rapports.
        1. Utilisateur anonyme
          Salut à tous,
          bon week-end de Pâque,
          pour suivre...
          juste un truc pour ne pas remettre le couvert...
          le patch Microsoft KB824146 me semble utile---->
          http://www.microsoft.com/downloads/details.aspx?FamilyId=5FA055AE-A1BA-4D4A-B424-95D32CFC8CBA&displaylang=fr

          2. Regis59 Contributeur sécurité
            Salut

            Le probleme vient du rootkit, il faut le supprimer auparavant.

            a+
            1. Utilisateur anonyme
              Salut Régis....
              à la mode en ce moment les rootkits !
              J'espère que tu en viendra à bout,
              je suis ton post.
              A+
              1. Regis59 Contributeur sécurité
                Salut

                Pas bien difficile de le supprimer celui la ;)

                Rustbfix s'en occupe :)

                a+
                1. Utilisateur anonyme
                  Ben tu en a de la chance...LOL
                  (Je ne rigole pas des masses avec Gromozon et totour !!)
                  Bonne journée à toi.

                  3. franceschino Auteur
                    Merci les gars.
                    Alors il s'est passé un truc bizarre.
                    Apres avoir fait nettoyage avec smitfraud puis avec "fixwareout" comme indiqué dans un post de ce même forum:
                    Quand je demarre il apparait une fenetre qui me demande mon nom et un mot de passe comme dans windows 2000 server.
                    Voyez vous quelle fenètre je veut dire?
                    Puis il m'a mis:
                    Le système a recuperé d'une erreur serieuse.
                    Et apparemment plus de problèmes pour l'instant.
                    Mais, comme avec Windau... on ne sait jamais, je vais, quand même, faire ce que toi, Regis, tu m'as conseillé avec rustbfix.
                    Mais dites c'est quoi ces merd.. de ROOTKITS.
                    En paroles simples.
                    Je retournerais aprés ces manips.
                    Merci.
                    2. Regis59 Contributeur sécurité
                      Les rootkits sont des vraies m*rdes tout simplement !
                      Des infections tres coriaces !

                      Tu peux faire ce que je t avais mis au dessu?
                      2. franceschino Auteur
                        Salut Regis,
                        Voici les deux logs que ton soft m'a sorti:
                        1° LOG

                        ************************* Rustock.b-fix -- By ejvindh *************************
                        12/04/2007 19:11:56,20

                        ******************* Pre-run Status of system *******************

                        Rootkit driver PE386 is found. Starting the unload-procedure....

                        Rustock.b-ADS attached to the System32-folder:
                        :lzx32.sys 80076
                        Total size: 80076 bytes.
                        Attempting to remove ADS...
                        system32: deleted 80076 bytes in 1 streams.

                        Looking for Rustock.b-files in the System32-folder:
                        No Rustock.b-files found in system32

                        ******************* Post-run Status of system *******************

                        Rustock.b-driver on the system: NONE!

                        Rustock.b-ADS attached to the System32-folder:
                        No System32-ADS found.

                        Looking for Rustock.b-files in the System32-folder:
                        No Rustock.b-files found in system32

                        ******************************* End of Logfile ********************************

                        2° LOG:

                        Logfile of The Avenger version 1, by Swandog46
                        Running from registry key:
                        \Registry\Machine\System\CurrentControlSet\Services\xrocoqps

                        *******************

                        Script file located at: \??\C:\WINDOWS\System32\kcyyohbv.txt
                        Script file opened successfully.

                        Script file read successfully

                        Backups directory opened successfully at C:\Avenger

                        *******************

                        Beginning to process script file:

                        Driver PE386 unloaded successfully.
                        Program C:\Rustbfix\2run.bat successfully set up to run once on reboot.

                        Completed script processing.

                        *******************

                        Finished! Terminate.

                        Merci et si il persiste un problème c'est cool si tu me postais la soluce en plus apperemment tu expliques bien donc c'est parfait.

                        Merci
                        1. Utilisateur anonyme
                          salut à tous,
                          content pour toi franceschino , beau travail Régis.
                          Régis, tu sais ce que c'est ça ?
                          C:\DOCUME~1\KIKO~1.KIK\Favoris

                          1. Regis59 Contributeur sécurité
                            Salut

                            Ou en sont tes soucis franceschino?
                            Tu me remet un nouvel HijackThis?

                            Philo, appelle moi Quentin stp :)

                            C:\DOCUME~1\KIKO~1.KIK\Favoris << Lorsque tu as une infection smitfraudfix, certaines infection rajoutent des liens !
                            C:\DOCUME~1\KIKO~1.KIK\Favoris << c'est tout simplement le chemin d acces aux favoris dans windows !

                            Si tu veux un autre exemple: 

                            »»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\Dominic\Favoris

C:\DOCUME~1\Dominic\Favoris\Online Security Test.url PRESENT !


                            L'url a été rajoutée dans les favoris.

                            A+
                            2. Regis59 Contributeur sécurité
                              ok :)

                              N'hésites pas si tu as besoin, et si je sais :)
                              • 1
                              • 2

                              Discussions similaires

                              U accent grave clavier QWERTY français Canada
                              viewtalay

                              27 réponses
                              u accent grave
                              jocelyne

                              6 réponses
                              graver avec vlc
                              spirituelle

                              2 réponses
                              Graver avec VLC
                              FOSSITO1950

                              2 réponses
                              accent grave sur le clavier
                              Monique Normand

                              20 réponses