Un truc pas cool...Fermé

Question

Bonjour, 

j'ai choppé une cochonnerie (je sais d'où elle vient), mais je n'arrive pas à m'en débarrasser.

Sous Vista Home :

- un BSOD avec driver irql not less or equal + signalement d'un .sys que je n'ai pas encore eu le temps de noter
- reboot de la machine : écran noir, pas de démarrage (bios ok, boot sur cd ok, mais pas sur disque)
- tentative de réparation avec recovery vista (sur CD) : pas de défaut signalé
- bootrec /FixMbr -> démarrage possible
- démarrage vista ok, mais ne dure que 20/30 sec, pas assez pour aller voir dans la BDR ou msconfig si un truc est bizarre avant le BSOD
- scan de l'exe à l'origine du plantage avec avira (à jour) : rien
- démarrage en mode sans échec, ça tient
- je suis en train de faire une analyse globale avec avira, mais je n'espère pas grand chose
- pas de point de resto à ma disposition, ni de save globale du disque

Mais en attendant, si quelqu'un a une idée, ça arrangerait bien mes affaires :-)
Je pense à un remplacement/hook de pilote du HD, mais bon, mes compétences en la matière sont limitées...

Merci d'avance

Xplode · Answer

Hello Blux,  

Tu as accès au mode sans échec donc? Redémarre en mode sans échec avec prise en charge réseau puis fais ceci :  

&#9654;&#9655;&#9654;&#9655;&#9654;&#9655;&#9654;&#9655;&#9654;&#9655; ZHPDiag &#9665;&#9664;&#9665;&#9664;&#9665;&#9664;&#9665;&#9664;&#9665;&#9664;


&#9672; Nous allons effectuer un diagnostic de ton ordinateur, pour ce faire, télécharge ZHPDiag ( de Nicolas Coolman ).

&#9672; Exécute l'installateur -> /!\ Coche la case " créer une icône sur le bureau " /!\ 

&#9672; Lance le en double cliquant sur l'icône ZHPDiag qui se trouve sur ton bureau.

Note : Sous Vista/Seven : Clic droit sur l'icône -> " Exécuter en tant qu'administrateur "

&#9672; Clique sur l'icône en forme de loupe en haut à gauche ( Lancer le diagnostic ).

&#9672; Une fois l'analyse terminée, clique sur l'icône en forme de disquette bleue puis sauvegarde le fichier sur ton bureau.

&#9672; Rend toi sur cjoint puis clique sur " Parcourir ".

&#9672; Sélectionne le fichier ZHPDiag.txt présent sur ton bureau, puis clique sur " Ouvrir ".

&#9672; Clique ensuite sur " Créer le lien cjoint " puis copie/colle dans ta prochaine réponse le lien créé.
Xplode - Contributeur sécurité.

Xplode · Answer

Il me faudrait le rapport complet, sinon je ne peux rien en déduire.. ça peut être un hook lié à un malware ou bien un hook lié à un émulateur DVD ( Daemon Tools par ex. )

Quoi qu'il en soit, il me faut l'intégralité du rapport hébergé sur cjoint, sinon je ne pourrais pas être en mesure de t'aider

Xplode · Answer

Ok merci pour le rapport complet, c'est nettement plus clair maintenant ;-)

A priori rien du côté du MBR. Le hook est dû au pilote utilisé par Daemon Tools. Et aucun signe apparent d'infection sur ton PC, hormis ceci :

SS - | Demand 13/12/2010 0 |  (CTJNCYOBFG) . (.Pas de propriétaire.) - C:\Users\FAMILL~1\AppData\Local\Temp\CTJNCYOBFG.exe

Un service assez suspect, surtout vu la date.

Quoi qu'il en soit, on va le supprimer ainsi que deux/trois autres merdouilles :

&#9654;&#9655;&#9654;&#9655;&#9654;&#9655;&#9654;&#9655;&#9654;&#9655; ZHPFix &#9665;&#9664;&#9665;&#9664;&#9665;&#9664;&#9665;&#9664;&#9665;&#9664;


/!\ Utilisateurs de vista/7 , cette manipulation est à effectuer en tant qu'administrateur ( Clic droit -> [Exécuter en tant qu'administrateur] ) /!\

&#9672; Copie le texte en gras ci-dessous ( CTRL + C pour copier )


SS - | Demand 13/12/2010 0 |  (CTJNCYOBFG) . (.Pas de propriétaire.) - C:\Users\FAMILL~1\AppData\Local\Temp\CTJNCYOBFG.exe 
O53 - SMSR:HKLM\...\startupreg\ilvku  [Key] . (.Pas de propriétaire - Pas de description.) -- c:\users\mon mien\appdata\local\ilvku.exe
O51 - MPSK:{0c0517f9-c0b3-11de-88e4-0040d0c1f604}\AutoRun\command. (.Pas de propriétaire - Pas de description.) -- I:\Programs
u2menu
u2menu.exe (.not file.)    
O51 - MPSK:{cac6b2d9-8b6e-11de-9cb9-0040d0c1f604}\AutoRun\command. (.Pas de propriétaire - Pas de description.) -- H:\Setup.exe (.not file.)  
[HKCU\Software\fcn] 


&#9672; Lance ZHPFix qui est présent sur ton bureau.

&#9672; Clique sur le "H" bleu ( Coller les lignes Helper )

&#9672; Les lignes précédemment copiées apparaîtront à l'écran dans l'encadré jaune pâle.

&#9672; Vérifie que seules les lignes indiquées plus haut sont présentes puis clique sur [Ok] 

&#9672; Clique maintenant sur [Tous] , puis sur [Nettoyer]

&#9672; Copie/Colle le contenu du rapport à l'écran dans ton prochain message.

&#9672; Note : le rapport se trouve également sous C:\Program Files\ZHPDiag\ZHPFixReport.txt

Xplode · Answer

Ouep visiblement il semblerait que ça soit à cause de StarForce. Je ne connais pas ce logiciel, mais j'ai pu voir qu'il avait un lien avec les CD/DVD , c'est sûrement un conflit avec le driver de daemon tools ( sptd.sys )

Un truc pas cool...

4 réponses

Discussions similaires

Newsletters