exefile disparu dans base de registre

[doubleyou]

Salutations à tous

plus habitué au forum "dépannage", je viens demander votre appui à tous. D'avance Merci !
après une mise à jour de firefox (13.0.1 je crois) et de flash player, tout allait bien (à 1ère vue)

m'étant absenté l'après midi (personne d'autre à la maison sauf le chien)(PC resté allumé) je m'aperçois au retour que l'écran est noir comme en veille sauf que rien ne le fait se ré-ouvrir. je décide de faire un reset, windows XP pack2 redémarre en m'affichant un écran disant qu'une entrée pose problème, puis une autre. pas le temps de noter cela qu'il m'est signifié que ces entrées sont effacées.

Depuis windows s'ouvre avec des icônes en moins et impossible de faire démarrer quoi que ce soit, ni restaurer, ni rien, que le panneau de configuration mais incomplet.

en mode secours administrateur, tout ne fonctionne pas.

j'ai réussis à booter depuis un CD Bit defender qui m'as permis d'accéder au net, faire une analyse anti-virus qui s'est révélée NEGATIVE !!!!!!!
-executer "regedit.exe" impossible
-donc chercher regedit me donne un explorateur qui m'as permis de renommer regedit.exe en regedit.com
-executer regedit.com m'ouvre la base de registre

dans HKEY_LOCAL_MACHINE\software\cl asses
-je trouve bien .exe, mais exefile a disparu totalement

après bien des essais et recherches, j'ai importé exefile par disquette depuis un PC portable XP aussi.
après redémarrage, celà fonctionne à nouveau

MES DEUX QUESTIONS:
1/ est-ce que les infos contenues dans exefile et ses sous dossiers sont les mêmes quel que soit le PC ?
(donc identique parce XP pack2 sur les 2 machines)
2/ si NON, le fait de restaurer le PC en panne à un point de restauration antérieur récrira bien TOUTE la base de registres comme AVANT le problème ?


Merci à tous ceux qui aurons le courage de me lire si longuement et à ceux qui pourront me répondre
A+
-----

[invite6a1e264c]

Bonjour

Ce que tu as découvert dans la base de registre est un mystère... bizarre que cela ait disparu... bref, c'est réparé, et l'essentiel.
Bien joué!

1/ est-ce que les infos contenues dans exefile et ses sous dossiers sont les mêmes quel que soit le PC ?
(donc identique parce XP pack2 sur les 2 machines)

Je ne sais pas, mais je suis allé voir dans ma bdr (XP PRO SP3), clic droit sur le exefile, j'ai exporté la clé sur mon bureau.
Ensuite, clic droit sur le .reg exporté, voilà ce que contient la clé exportée:

 Cliquez pour afficher

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Cl asses\exefile]
@="Application"
"EditFlags"=hex:38,07,00,0 0
"TileInfo"="prop:FileDescripti on;Company;FileVersion"
"InfoTip"="prop:FileDescriptio n;Company;FileVersion;Create;S ize"

[HKEY_LOCAL_MACHINE\SOFTWARE\Cl asses\exefile\DefaultIcon]
@="%1"

[HKEY_LOCAL_MACHINE\SOFTWARE\Cl asses\exefile\shell]

[HKEY_LOCAL_MACHINE\SOFTWARE\Cl asses\exefile\shell\open]
"EditFlags"=hex:00,00,00,0 0

[HKEY_LOCAL_MACHINE\SOFTWARE\Cl asses\exefile\shell\open\comma nd]
@="\"%1\" %*"

[HKEY_LOCAL_MACHINE\SOFTWARE\Cl asses\exefile\shell\runas]

[HKEY_LOCAL_MACHINE\SOFTWARE\Cl asses\exefile\shell\runas\comm and]
@="\"%1\" %*"

[HKEY_LOCAL_MACHINE\SOFTWARE\Cl asses\exefile\shellex]

[HKEY_LOCAL_MACHINE\SOFTWARE\Cl asses\exefile\shellex\DropHand ler]
@="{86C86720-42A0-1069-A2E8-08002B30309D}"

[HKEY_LOCAL_MACHINE\SOFTWARE\Cl asses\exefile\shellex\Property SheetHandlers]

[HKEY_LOCAL_MACHINE\SOFTWARE\Cl asses\exefile\shellex\Property SheetHandlers\PifProps]
@="{86F19A00-42A0-1069-A2E9-08002B30309D}"

[HKEY_LOCAL_MACHINE\SOFTWARE\Cl asses\exefile\shellex\Property SheetHandlers\ShimLayer Property Page]
@="{513D916F-2A8E-4F51-AEAB-0CBC76FB1AF8}"

[HKEY_LOCAL_MACHINE\SOFTWARE\Cl asses\exefile\shellex\Property SheetHandlers\{B41DB860-8EE4-11D2-9906-E49FADC173CA}]
@=""

tu peux essayer un export, et ensuite une modification avec un clic droit, pour comparer et voir si les contenus sont voisins.

2/ si NON, le fait de restaurer le PC en panne à un point de restauration antérieur récrira bien TOUTE la base de registres comme AVANT le problème ?

Normalement oui.

[archeos]

Hello Doubleyou!
Maintenant que tout fonctionne, si tu en profitais pour installer le SP3?

[doubleyou]

Bonsoir à tous et Merci pour vos réponses

Astero_Hache, oui c'est quasiment la même chose, à une exception. A la fin, tu as 2 lignes Hkey local machine\software\Classes\shell exe\Property SeetHandlers, 1 dossier de ce nom sans clé et la dernière ligne au même titre avec une clé cette fois.
cette dernière ligne n'existe pas chez moi.
en tout cas pour l'instant tout ce que j'ai testé fonctionne. Attendons, car XP m'avait annoncé effacer DEUX lignes.
donc exefile, mais l'autre ??

Archeos, oui, j'ai bien envie de télécharger pack 3 avec windows update, j'hésitais car j'ai vu sur le net que ce pack posait quelques problèmes avec certains logiciels. En avez vous connaissance ?
j'attendais aussi pour voir si tout continuera à bien fonctionner sans restauration, avant de le télécharger.
Encore Merci et A+

[A voir en vidéo sur Futura]

[JPL]

Archeos, oui, j'ai bien envie de télécharger pack 3 avec windows update, j'hésitais car j'ai vu sur le net que ce pack posait quelques problèmes avec certains logiciels. En avez vous connaissance ?

Encore quelqu'un victime d'une légende urbaine qui date de plusieurs années. Tout ça parce que 1 ou 2 programmes mal foutus sur le plan programmation (généralement ce sont des programmes restreints à des usages professionnels très particuliers) avaient refusé de marcher lors de son lancement. Et c'est la même chose chaque fois qu'un service pack sort. Ton SP2 est plein de trous sur le plan de la sécurité et ça, c'est nettement plus inquiétant.

[invite6a1e264c]

Bonsoir

de rien.

Si tout fonctionne, autant laisser ainsi.

Mais tu as subi une attaque de virus on dirait... Un petit scan en désinfection ne serait pas du luxe...
Mets le lien vers ce fil, que le Helper voit la chose.

tu ne retrouves pas le message d'alerte? Bizarre que windows prévienne sur ce souci... y'a anguille sous roche...

+1 pour SP3. Y'a des soucis matériels parfois, notamment pour du matos spécifique autoalimenté par les ports USB. C'est rare.
archeos t'a donné un sage conseil, notamment en terme de sécurité.

Perso, je suis passé du SP2 au SP3 sans aucun souci, ni matériel, ni logiciel, et y'en a une floppée de softs sur le pc.

[doubleyou]

Bonjour à tous. (de retour après une absence pour autres problèmes.)

Merci de vos réponses et conseils donnés entretemps.

JPL, il y a toujours une part de vérité dans toutes légendes, largement distordue certes. Mais je pense que tu as raison, il vaut mieux être à jour dans ses logiciels. Je reconnais que vu l'utilisation que je fais d'un PC, je n'en avais pas éprouvé le besoin.

Astero_hache, le scan je l'ai fait en bootant à partir du CD de Bit defender et ensuite en direct sur leur sîte (donc mis à jour) et avant toute autre action, et le scan s'est révélé négatif. je pense que l'on peut leur faire confiance.
Le même bit defender n'est-il pas supposé faire filtre en direct lorsque je ne suis pas sur mon navigateur ?

Comme j'étais absent lors du problème, je ne vais quand même pas suspecter le chien resté seul à la maison.

Une saute de courant (fréquent chez nous) provoquant un redémarrage peut-il provoquer un tel problème ? et justement là ?

pour l'instant pour fonctionne ! touchons du bois, d'arbre, bien sûr..
Amicalement

[invite6a1e264c]

Salut doubleyou

peut-être que le chien est un agent double ...

tu as le rapport exact de ce scan?

sinon, oui, une coupure de courant franche peut foutre la zone sur un pc...
Mais ce qui me titille dans ton histoire, c'est le message qui t'a donné les clefs de registre exactes détruites...
car en effet, celle décrite, la clé exefile, l'était... ce serait bien que tu remettes la main sur ce message de bitdefender.
Au pire, rebootes sur le CD et refais le scan.

bon, si tout fonctionne, mieux vaut ne rien toucher en termes de registre...

Fais ce scan quand même, que je regarde si y'a pas des merdouilles sur le pc...
Télécharge DDS lien cliquable de sUBs sur ton bureau.
L'outil ne nécessite pas d'installation.
Lance-le en cliquant sur l'icône dds.scr (avec un clic droit sur vista / seven pour le lancer en admin)

Cette fenêtre DOS va apparaitre

Le scan ne doit pas dépasser trois minutes. Ne touche à rien pendant le scan.
Un premier rapport va s'ouvrir que tu enregistreras sous DDS.txt par défaut sur le bureau.
Il te sera demandé si tu veux faire le scan optionnel.
Accepte par Oui
Poste le rapport DDS.txt et Attach.txt
Suffit de copier/coller le texte dans ton message.

PS: désactives ton AV quand tu lances ce fichier si jamais il couine....

[yoda1234]

.Fais ce scan quand même, que je regarde si y'a pas des merdouilles sur le pc...
Télécharge DDS lien cliquable de sUBs sur ton bureau.
L'outil ne nécessite pas d'installation.
Lance-le en cliquant sur l'icône dds.scr (avec un clic droit sur vista / seven pour le lancer en admin)

Cette fenêtre DOS va apparaitre

Si doubleyou doit se faire prendre en main par un helpeur , autant que ce soit par ceux que Futura a reconnu et agréé et qu'il suivent ces instructions en ouvrant un nouveau sujet ici: http://forums.futura-sciences.com/se...ectez-machine/

[

Poste le rapport DDS.txt et Attach.txt
Suffit de copier/coller le texte dans ton message.

Ben non justement.... Sur Futura-sciences, pour des raisons de confidentialité ils demandent au contraire que tous les rapports soient postés en pièces jointes. D'ailleurs sur la partie désinfection du forum, seuls les modérateurs et les helpeurs ont accès aux rapports postés.

[invite6a1e264c]

Bonjour yoda1234,

Je suis en formation sur SX, récemment au dernier palier, et connais l'équipe de Helper d'ici au grand complet, et leur aurais envoyé doubleyou si j'avais suspecté quoique ce soit de louche dans le rapport DDS.
Ils auraient dans ce cas regardé de plus près avec OTL ou ZHP

Donc si ce n'est pas permis ici, cela ne me pose aucun souci. Bon courage @ vous.

@doubleyou:
je te conseille donc d'ouvrir un sujet en désinfection, avec un lien vers ce post, et voir s'il n'y aurait pas anguille sous roche qui t'aurais mis la zizanie....
Si tu as eu une coupure de courant, reboot de pc, cela peut être cela, sinon, il n'y a qu'une infection qui peut agir sur le registre ainsi.
Tiens-moi au jus de citron de cette affaire, qui m'a paru bien louche...

[doubleyou]

Bonsoir à tous (je reprécise l'aventure)

Non je n'ai pas de rapport parce que ce n'est pas Bit defender qui m'as donné l'explication.

Je résume:
1/à mon retour ordi bloqué de chez bloqué. Il ne voulait même pas s'éteindre. donc aucune action possible. ni ALT CTRL SUPPR.

2/ je dois donc couper l'alimentation (c'est peut être la source du problème) et je ré allume normalement, et c'est pendant le chargement de XP qu'est apparu une ou deux seconde le message, qui c'est ensuite effacé, car le chargement de XP a continué.je me dis que c'est normal vu l'arrêt brutal.
(c'était un écran plutôt orangé dans une grande fenêtre bleue XP normale au départ, c'est pas une fenêtre bit defender ou une console ou MS DOS.)
j'ai donc lu cela presque comme un message subliminal. pas eu le temps de noter. et pour se rappeler les termes exacts, tintin.
3/ XP chargé, quasiment rien ne fonctionnais. Si je cliquais sur une icône par exemple, le sablier apparaissait, puis rien !
4/ je repars en mode sans échec, idem.
5/ je boot depuis le cd bit defender, qui lui réussis à me connecter sur le net et lance un scan=négatif.
profitant que je suis connecté, une recherche sur mon navigateur me donne un cas presque identique,
un virus qui change la clé dans "exefile" en rajoutant des caractères au fameux "%1 %*".

pas possible de lancer regedit.exe (puisque les exe ne fonctionnaient pas) donc ici la manip: rechercher regedit, renommer en regedit.com, executer regedit.com et recherche de la clé de "exefile".

Et c'est comme cela que je me suis aperçu que "exefile" n'existait plus du tout.
je l'ai copié sur un portable et voilà. si virus peut être que "exefile" a été renommé mais en quoi ?

Astero Hache, c'est quoi ton DDS ? et que fait-il ?
A+

[doubleyou]

Ok à tous et bien compris pour les procédures que je respecterai si je décide de poursuivre l'inspection ou si j'ai quelques complications.
Je pense que mon arrêt brutal y est pour quelque chose, mais pourquoi "exefile" justement ? le hasard ? c'est une explication.

si je comprends bien le fonctionnement de XP, admettons qu'il manque un seul caractère dans "exefile", le logiciel déciderait d'effacer complètement la ligne lors du redémarrage , c'est bien cela ?

Cela n'explique pas le blocage total du départ.
Merci à tous.

[yoda1234]

Donc si ce n'est pas permis ici, cela ne me pose aucun souci. Bon courage @ vous.

Je précise: Personnellement je n'interdis rien (de quel droit pourrais-je me le permettre?), je t'informe juste des us et coutumes en vigueur sur FS que je crois bien connaitre vu mon ancienneté ici.

[doubleyou]

Re
je précise qu'au départ ma discussion était postée sur le forum sécurité et malwares, et qu'elle a été déplacée ici.

ce qui ne m'avait pas apparu anormal, car je ne privilégiais pas le côté virus dans un 1er temps, mais une fausse manoeuvre ou un problème technique.
A+

[JPL]

C'est moi qui l'ai déplacé parce qu'à la lecture du message initial je pensais que l'hypothèse infection n'était pas celle qu'il fallait envisager en premier. Il va de soi que s'il n'y a pas de solution ici ça peut repasser en désinfection.

Si tu as un CD d'installation Windows tu peux tenter une réparation de Windows.

[invite6a1e264c]

Re

pour le DDS, voilà ce qu'il fait, je viens de le passer sur ma machine:

 Cliquez pour afficher

.
DDS (Ver_2011-08-26.01) - NTFSx86
Internet Explorer: 8.0.6001.18702 BrowserJavaVersion: 10.5.1
Run by Nicolas at 20:22:54 on 2012-06-29
Microsoft Windows XP Professionnel 5.1.2600.3.1252.33.1036.18.357 2.2707 [GMT 2:00]
.
AV: Avira Desktop *Enabled/Updated* {AD166499-45F9-482A-A743-FDD3350758C7}
.
============== Running Processes ===============
.
C:\WINDOWS\system32\svchost -k DcomLaunch
C:\WINDOWS\system32\svchost -k rpcss
C:\Program Files\Dell\DellDock\DockLogin. exe
C:\WINDOWS\System32\svchost.ex e -k netsvcs
C:\WINDOWS\system32\svchost.ex e -k WudfServiceGroup
C:\WINDOWS\system32\svchost.ex e -k NetworkService
C:\WINDOWS\system32\svchost.ex e -k LocalService
C:\WINDOWS\System32\WLTRYSVC.E XE
C:\WINDOWS\System32\bcmwltry.e xe
C:\WINDOWS\system32\spoolsv.ex e
c:\program files\idt\dellxpm09b_6017v022\ wdm\stacsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\rundll32.e xe
C:\WINDOWS\system32\RUNDLL32.E XE
C:\Program Files\IDT\WDM\sttray.exe
C:\WINDOWS\system32\AESTFltr.e xe
C:\WINDOWS\System32\SCardSvr.e xe
C:\Program Files\DellTPad\Apoint.exe
C:\Program Files\Dell Webcam\Dell Webcam Central\WebcamDell.exe
C:\WINDOWS\system32\WLTRAY.exe
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
C:\Program Files\Avira\AntiVir Desktop\sched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\svchost.ex e -k LocalService
C:\Program Files\DellTPad\ApMsgFwd.exe
C:\Program Files\DellTPad\HidFind.exe
C:\Program Files\DellTPad\Apntex.exe
C:\Program Files\Dell\DellDock\DellDock.e xe
C:\Program Files\Avira\AntiVir Desktop\avguard.exe
C:\WINDOWS\system32\hasplms.ex e
C:\Program Files\Java\jre7\bin\jqs.exe
C:\WINDOWS\system32\nvsvc32.ex e
C:\WINDOWS\system32\svchost.ex e -k imgsvc
C:\Program Files\Avira\AntiVir Desktop\avshadow.exe
C:\WINDOWS\system32\wbem\wmiap srv.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\System32\svchost.ex e -k HTTPFilter
C:\Program Files\Fichiers communs\Microsoft Shared\OfficeSoftwareProtectio nPlatform\OSPPSVC.EXE
C:\Program Files\Rainmeter\Rainmeter.exe
C:\Program Files\PrintKey 2000 Fr\Printkey 2000 Fr.exe
C:\Program Files\ZebHelpProcess\ZHP2.exe
C:\Program Files\uTorrent\uTorrent.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Nicolas\Mes documents\Téléchargements\dds. scr
C:\WINDOWS\system32\wbem\wmipr vse.exe
.
============== Pseudo HJT Report ===============
.
uStart Page = hxxp://www.google.fr/
uWindow Title = Windows Internet Explorer
mWinlogon: Userinit=c:\windows\system32\U serinit.exe
BHO: Groove GFS Browser Helper: {72853161-30c5-4d22-b7f9-0bbc1d38a37e} - c:\progra~1\micros~2\office14\ GROOVEEX.DLL
BHO: Java(tm) Plug-In SSV Helper: {761497bb-d6f0-462c-b6eb-d4daf1d92d43} - c:\program files\oracle\javafx 2.1 runtime\bin\ssv.dll
BHO: Office Document Cache Handler: {b4f3a835-0e21-4959-ba22-42b3008e02ff} - c:\progra~1\micros~2\office14\ URLREDIR.DLL
BHO: Java(tm) Plug-In 2 SSV Helper: {dbc80044-a445-435b-bc74-9c25c1c588a9} - c:\program files\oracle\javafx 2.1 runtime\bin\jp2ssv.dll
uRun: [ctfmon.exe] c:\windows\system32\ctfmon.exe
uRun: [uTorrent] "c:\program files\utorrent\uTorrent.exe"
mRun: [NvCplDaemon] RUNDLL32.EXE c:\windows\system32\NvCpl.dll, NvStartup
mRun: [nwiz] nwiz.exe /installquiet
mRun: [NVHotkey] rundll32.exe nvHotkey.dll,Start
mRun: [NvMediaCenter] RUNDLL32.EXE c:\windows\system32\NvMcTray.d ll,NvTaskbarInit
mRun: [SysTrayApp] %ProgramFiles%\IDT\WDM\sttray. exe
mRun: [AESTFltr] %SystemRoot%\system32\AESTFltr .exe /NoDlg
mRun: [Apoint] c:\program files\delltpad\Apoint.exe
mRun: [Dell Webcam Central] "c:\program files\dell webcam\dell webcam central\WebcamDell.exe" /mode2
mRun: [BCSSync] "c:\program files\microsoft office\office14\BCSSync.exe" /DelayServices
mRun: [Broadcom Wireless Manager UI] c:\windows\system32\WLTRAY.exe
mRun: [avgnt] "c:\program files\avira\antivir desktop\avgnt.exe" /min
mRun: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
mRun: [QuickTime Task] "c:\program files\quicktime\QTTask.exe" -atboottime
dRun: [CTFMON.EXE] c:\windows\system32\CTFMON.EXE
StartupFolder: c:\docume~1\nicolas\menudm~1\p rogra~1\dmarra~1\delldo~1.lnk - c:\program files\dell\delldock\DellDock.e xe
StartupFolder: c:\docume~1\nicolas\menudm~1\p rogra~1\dmarra~1\printk~1.lnk - c:\program files\printkey 2000 fr\Printkey 2000 Fr.exe
StartupFolder: c:\docume~1\nicolas\menudm~1\p rogra~1\dmarra~1\rainme~1.lnk - c:\program files\rainmeter\Rainmeter.exe
IE: &Envoyer à OneNote - c:\progra~1\micros~2\office14\ ONBttnIE.dll/105
IE: E&xporter vers Microsoft Excel - c:\progra~1\micros~2\office14\ EXCEL.EXE/3000
IE: {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe
IE: {FB5F1910-F110-11d2-BB9E-00C04F795683} - c:\program files\messenger\msmsgs.exe
IE: {2670000A-7350-4f3c-8081-5663EE0C6C49} - {48E73304-E1D6-4330-914C-F5F514E3486C} - c:\program files\microsoft office\office14\ONBttnIE.dll
IE: {789FE86F-6FC4-46A1-9849-EDE0DB0C95CA} - {FFFDC614-B694-4AE6-AB38-5D6374584B52} - c:\program files\microsoft office\office14\ONBttnIELinked Notes.dll
DPF: {49312E18-AA92-4CC2-BB97-55DEA7BCADD6} - hxxps://support.dell.com/systemprofiler/SysProExe.CAB
DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} - hxxp://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1299751317281
DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} - hxxp://java.sun.com/update/1.7.0/jinstall-1_7_0_05-windows-i586.cab
DPF: {CAFEEFAC-0017-0000-0002-ABCDEFFEDCBA} - hxxp://java.sun.com/update/1.7.0/jinstall-1_7_0_02-windows-i586.cab
DPF: {CAFEEFAC-0017-0000-0005-ABCDEFFEDCBA} - hxxp://java.sun.com/update/1.7.0/jinstall-1_7_0_05-windows-i586.cab
DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} - hxxp://java.sun.com/update/1.7.0/jinstall-1_7_0_05-windows-i586.cab
TCP: DhcpNameServer = 212.27.40.241 212.27.40.240
TCP: Interfaces\{EA664F25-DDDF-4ADA-8DF2-A362CDE0A02D} : DhcpNameServer = 212.27.40.241 212.27.40.240
Filter: text/xml - {807573E5-5146-11D5-A672-00B0D022E945} - c:\program files\fichiers communs\microsoft shared\office14\MSOXMLMF.DLL
SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - c:\windows\system32\WPDShServi ceObj.dll
SEH: Windows Desktop Search Namespace Manager: {56f9679e-7826-4c84-81f3-532071a8bcc5} - c:\program files\windows desktop search\MSNLNamespaceMgr.dll
SEH: Groove GFS Stub Execution Hook: {b5a7f190-dda6-4420-b3ba-52453494e6cd} - c:\progra~1\micros~2\office14\ GROOVEEX.DLL
.
================= FIREFOX ===================
.
FF - ProfilePath - c:\documents and settings\nicolas\application data\mozilla\firefox\profiles\ y9dpxo4w.default\
FF - prefs.js: network.proxy.type - 0
FF - plugin: c:\progra~1\micros~2\office14\ NPAUTHZ.DLL
FF - plugin: c:\progra~1\micros~2\office14\ NPSPWRAP.DLL
FF - plugin: c:\program files\java\jre6\bin\new_plugin \npdeployJava1.dll
FF - plugin: c:\program files\java\jre6\bin\plugin2\np deployJava1.dll
FF - plugin: c:\program files\java\jre7\bin\new_plugin \npjp2.dll
FF - plugin: c:\program files\mozilla firefox\plugins\npPDFXCviewNPP lugin.dll
FF - plugin: c:\program files\oracle\javafx 2.1 runtime\bin\plugin2\npjp2.dll
FF - plugin: c:\program files\tracker software\pdf viewer\npPDFXCviewNPPlugin.dll
FF - plugin: c:\windows\system32\macromed\f lash\NPSWF32_11_3_300_257.dll
FF - plugin: c:\windows\system32\npdeployJa va1.dll
FF - plugin: c:\windows\system32\npptools.d ll
.
============= SERVICES / DRIVERS ===============
.
R1 avkmgr;avkmgr;c:\windows\syste m32\drivers\avkmgr.sys [2012-5-9 36000]
R1 dtsoftbus01;DAEMON Tools Virtual Bus Driver;c:\windows\system32\dri vers\dtsoftbus01.sys [2011-11-27 239168]
R1 VBoxDrv;VirtualBox Service;c:\windows\system32\dr ivers\VBoxDrv.sys [2011-3-23 158512]
R1 VBoxUSBMon;VirtualBox USB Monitor Driver;c:\windows\system32\dri vers\VBoxUSBMon.sys [2011-3-23 91440]
R2 AntiVirSchedulerService;Avira Planificateur;c:\program files\avira\antivir desktop\sched.exe [2012-5-9 86224]
R2 AntiVirService;Avira Protection temps réel;c:\program files\avira\antivir desktop\avguard.exe [2012-5-9 110032]
R2 avgntflt;avgntflt;c:\windows\s ystem32\drivers\avgntflt.sys [2012-5-9 74640]
R2 cpuz135;cpuz135;c:\windows\sys tem32\drivers\cpuz135_x32.sys [2012-2-9 21992]
R2 DockLoginService;Dock Login Service;c:\program files\dell\delldock\DockLogin. exe [2009-6-9 155648]
R2 hasplms;HASP License Manager;c:\windows\system32\ha splms.exe -run --> c:\windows\system32\hasplms.ex e -run [?]
R3 AESTAud;AE Audio Service;c:\windows\system32\dr ivers\AESTAud.sys [2011-3-10 108160]
R3 e1yexpress;Intel(R) Gigabit Network Connections Driver;c:\windows\system32\dri vers\e1y5132.sys [2011-3-10 244368]
R3 OA001Afx;Provides a software interface to control audio effects of OA001 camera.;c:\windows\system32\dr ivers\OA001Afx.sys [2011-3-10 148056]
R3 OA001Ufd;Creative Camera OA001 Upper Filter Driver;c:\windows\system32\dri vers\OA001Ufd.sys [2011-3-10 144672]
R3 OA001Vid;Creative Camera OA001 Function Driver;c:\windows\system32\dri vers\OA001Vid.sys [2011-3-10 277504]
R3 osppsvc;Office Software Protection Platform;c:\program files\fichiers communs\microsoft shared\officesoftwareprotectio nplatform\OSPPSVC.EXE [2010-1-9 4640000]
R3 VBoxNetAdp;VirtualBox Host-Only Ethernet Adapter;c:\windows\system32\dr ivers\VBoxNetAdp.sys [2011-2-17 104752]
R3 VBoxNetFlt;VirtualBox Bridged Networking Service;c:\windows\system32\dr ivers\VBoxNetFlt.sys [2011-12-19 116016]
S2 clr_optimization_v4.0.30319_32 ;Microsoft .NET Framework NGEN v4.0.30319_X86;c:\windows\micr osoft.net\framework\v4.0.30319 \mscorsvw.exe [2010-3-18 130384]
S3 AdobeFlashPlayerUpdateSvc;Adob e Flash Player Update Service;c:\windows\system32\ma cromed\flash\FlashPlayerUpdate Service.exe [2012-6-18 250056]
S3 dg_ssudbus;SAMSUNG Mobile USB Composite Device Driver (DEVGURU Ver.);c:\windows\system32\driv ers\ssudbus.sys [2011-11-9 78136]
S3 epmntdrv;epmntdrv;c:\windows\s ystem32\epmntdrv.sys [2012-4-11 13192]
S3 EuGdiDrv;EuGdiDrv;c:\windows\s ystem32\EuGdiDrv.sys [2012-4-11 8456]
S3 Microsoft SharePoint Workspace Audit Service;Microsoft SharePoint Workspace Audit Service;c:\program files\microsoft office\office14\GROOVE.EXE [2011-6-12 31125880]
S3 MozillaMaintenance;Mozilla Maintenance Service;c:\program files\mozilla maintenance service\maintenanceservice.exe [2012-4-24 113120]
S3 SRS_PremiumSound_Service;SRS Labs Premium Sound;c:\windows\system32\driv ers\SRS_PremiumSound_i386.sys [2011-3-10 232744]
S3 ssudmdm;SAMSUNG Mobile USB Modem Drivers (DEVGURU Ver.);c:\windows\system32\driv ers\ssudmdm.sys [2011-11-9 181432]
S3 WPFFontCache_v0400;Windows Presentation Foundation Font Cache 4.0.0.0;c:\windows\microsoft.n et\framework\v4.0.30319\wpf\WP FFontCache_v0400.exe [2010-3-18 753504]
.
=============== Created Last 30 ================
.
2012-06-26 06:26:18 -------- d-----w- c:\documents and settings\nicolas\application data\Rainmeter
2012-06-26 06:26:14 -------- d-----w- c:\program files\Rainmeter
2012-06-18 13:46:51 70344 ----a-w- c:\windows\system32\FlashPlaye rCPLApp.cpl
2012-06-18 13:46:51 426184 ----a-w- c:\windows\system32\FlashPlaye rApp.exe
2012-06-13 21:06:55 521728 -c----w- c:\windows\system32\dllcache\j sdbgui.dll
2012-06-10 18:25:58 143872 ----a-w- c:\windows\system32\javacpl.cp l
2012-06-05 19:33:26 770384 ----a-w- c:\program files\mozilla firefox\msvcr100.dll
2012-06-05 19:33:26 421200 ----a-w- c:\program files\mozilla firefox\msvcp100.dll
2012-06-04 08:20:35 -------- d-----w- c:\program files\Cjuste
2012-05-30 22:05:10 -------- d-----w- c:\program files\MD5 Checksum
.
==================== Find3M ====================
.
2012-06-02 13:19:48 16408 ----a-w- c:\windows\system32\wuapi.dll. mui
2012-06-02 13:19:38 219160 ----a-w- c:\windows\system32\wuaucpl.cp l
2012-06-02 13:19:30 19480 ----a-w- c:\windows\system32\wuaueng.dl l.mui
2012-06-02 13:19:30 16408 ----a-w- c:\windows\system32\wuaucpl.cp l.mui
2012-06-02 13:19:18 25112 ----a-w- c:\windows\system32\wucltui.dl l.mui
2012-06-02 13:18:58 275696 ----a-w- c:\windows\system32\mucltui.dl l
2012-06-02 13:18:58 214256 ----a-w- c:\windows\system32\muweb.dll
2012-06-02 13:18:58 18672 ----a-w- c:\windows\system32\mucltui.dl l.mui
2012-05-31 13:22:03 606208 ----a-w- c:\windows\system32\crypt32.dl l
2012-05-16 15:06:36 916992 ----a-w- c:\windows\system32\wininet.dl l
2012-05-15 13:55:57 1863296 ----a-w- c:\windows\system32\win32k.sys
2012-05-11 14:40:43 43520 ----a-w- c:\windows\system32\licmgr10.d ll
2012-05-11 14:40:43 1469440 ------w- c:\windows\system32\inetcpl.cp l
2012-05-11 11:38:14 385024 ----a-w- c:\windows\system32\html.iec
2012-05-05 03:15:00 2150400 ----a-w- c:\windows\system32\ntoskrnl.e xe
2012-05-05 03:14:59 2028544 ----a-w- c:\windows\system32\ntkrnlpa.e xe
2012-05-04 17:29:22 772504 ----a-w- c:\windows\system32\npdeployJa va1.dll
2012-05-04 17:29:16 687504 ----a-w- c:\windows\system32\deployJava 1.dll
2012-05-02 13:47:11 139656 ----a-w- c:\windows\system32\drivers\rd pwd.sys
.
============= FINISH: 20:23:28,00 ===============

cela permet de savoir ce qui se lance sur la machine, les process qui tournent, les points stratégiques des navigateurs, les derniers fichiers modifiés. dans les 30 j, et les fichiers clés modifiés dans les 3 mois.
C'est un excellent outil de détection, encore utilisé par les meilleurs. Mais y'a mieux, OTL et ZHP notamment.

Perso, je sais qu'un arrêt brutal peut faire pas mal de bêtises, mais je reste perplexe...
Pourquoi cette clé cruciale aurait été dégagée? mystère.....

Ce n'est pas XP qui répare la clé, pour preuve, il ne l'a pas fait. Il a détecté qu'il y avait de gros souci.
Vois ce sujet: http://www.srnmicro.com/virusinfo/swen.htm
le virus en question modifie cette clé là.

Je crois sérieusement que tu t'es fait attaqué en fait... Un virus t'a bloqué le pc, a modifié ton registre.

Il serait donc prudent d'aller faire inspecter ton pc.

Je n'ai pas le droit de désinfecter, ici ou ailleurs, mais je peux en revanche regarder si oui ou non y'a suspicion.
Et heureusement, je ne propose que de t'aider.

Mais quand il s'agit de chercher en profondeur, et surtout de fixer une machine, je laisse ce travail aux pros que sont chantal11, hackinginterdit, migau, kalimusic, que je croise par ailleurs, et que je salue.

Ils te diront si y'a anguille, cela est quasi sûr

[invite6a1e264c]

@modos

aucun souci les gars, je ne comptais pas désinfecter, mais je voulais voir ce que renvoyait ce scan, car je suis franchement perplexe...
habitué des forums, et des bugs, c'est pas souvent qu'un posteur identifie, avec un œil très vif, fallait le lire, ce qui a dégagé dans le registre, et franchement, je reste perplexe sur la cause...

je ne mettrai pas ma main au feu que ce ne soit pas viral...

En tous les cas, ça roule, et bon taff de votre part, car c'était en effet un outil de Helper

[invite6a1e264c]

Re

as-tu eu des surprises en désinfection?