mises à jour XP impossibles

Bonjour Herser,

Désolé pour ces histoires de mises à jour, mais je pensais que c'était
la conséquence de la non installation de SP3.

Ci joint une partie du log Wu
http://www.cijoint.fr/cjlink.php?file=cj201002/cijeKfl5dz.txt

J'ai exécuté le batch puis essayé d'installer SP3, échec.

J'ai ensuite exécuter Zhdiag.
Ci joint le rapport de zhpdiag
http://www.cijoint.fr/cjlink.php?file=cj201002/cijjbvlL7Y.txt

A+

C15

Herser a écrit :

C15 wrote:

Bonjour,

J'ai essayé GMER, RAS, j'ai scanné en ligne (en mode sans échec) avec
Bitdefender, RAS.
J'ai même désinstallé AVAST pour tenter l'installation de SP3, échec.
J'ai bien sur réinstallé AVAST (pas mal le nouvel environnement ! ) et
scanné, RAS.

Par ailleurs j'utilise régulièrement Malwarebytes (2 fois par semaine)
et + irrégulièrement Spybot, RAS.

J'avoue que j'ai envie de laisser tomber ; ce qui m'embête, c'est que
j'ai des mises à jour automatiques qui ne veulent pas non plus
s'installer, et le tout est peut-être lié.

Bonjour

Tu dis :
ce qui m'embête, c'est que j'ai des mises à jour automatiques qui ne
veulent pas non plus s'installer, et le tout est peut-être lié.


Fallait le dire plus tôt :-)

J'ai préféré ne pas intervenir pour ne pas perturber la piste de Olivier.

Mais s'il y a plusieurs refus, il y a des pistes dans :
C:WINDOWSWindowsUpdate.log
Ce fichier, lisible avec le bloc-notes, renseigne tous les évènemenst de
WUpdate
Il fait des milliers de lignes, les + récentes sont à la fin
Recopier les 50/100 dernières lignes dans un fichier txt
Et envoyer ce txt sur Cijoint, avec le lien ici pour le récupérer :
http://www.cijoint.fr/index.php

Il y a des chances que ce fichier signale un problème d'autorisation de
clés
Si oui, la solution est là :
http://fspsa.free.fr/mises-a-jour.htm#reinitialiser-registre
- télécharger subinacl.msi
- télécharger le batch
- exécuter le batch (c'est long 20/45 minutes)
Puis réinstaller le SP3.

Enfin pour "solder" la piste malware, fais un diagnostic avec :
http://www.premiumorange.com/zeb-help-process/zhpdiag.html
En fin de diagnostic tu auras un rapport à renvoyer sur Cijoint

On attend les 2 rapports (WU.log et ZHPDiag)

Herser

C15 wrote:

Bonjour Herser,

Désolé pour ces histoires de mises à jour, mais je pensais que c'était
la conséquence de la non installation de SP3.

Ci joint une partie du log Wu
http://www.cijoint.fr/cjlink.php?file=cj201002/cijeKfl5dz.txt

J'ai exécuté le batch puis essayé d'installer SP3, échec.

J'ai ensuite exécuter Zhdiag.
Ci joint le rapport de zhpdiag
http://www.cijoint.fr/cjlink.php?file=cj201002/cijjbvlL7Y.txt

A+

C15

Re !

Essaie de répondre en dessous ou dans le texte, merci

ZHPDiag révèle des infections :

- une toolbar Ask.com, que MBAM nettoie en principe.
As-tu la dernière version (1.44) et la dernière base (3697 à 18h20)

- et surtout un cheval de Troyes et un rootkit,
qui pourraient bien empêcher la mise à jour.
WinUpdate.log donne des erreurs en ce sens aussi

Essayons donc *Combofix*
Mais ATTENTION, c'est un outil potentiellement dangereux.

Donc LIRE le TUTO
L'IMPRIMER pour suivre en cours de désinfection, car tu n'auras plus accès à
la page Web à certains moments.

Le lien du tuto et de téléchargement de Combofix :
http://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

Donc installer sur le BUREAU (et pas ailleurs)
Désactiver les antivirus et antimalwares (Avast chez toi)
Faire un 1° scan (ne rien toucher pendant) et envoyer sur cijoint le rapport
log.txt

On verra ensuite

Par ailleurs j'ai vu la présence de Norton Ghost.
Si tu as un ghost précédent l'infection (mais quand ?), ce peut-être une
autre solution
J'essaierais quand même Combofix d'abord.

Herser

Herser a écrit :

C15 wrote:

Bonjour Herser,

Désolé pour ces histoires de mises à jour, mais je pensais que c'était
la conséquence de la non installation de SP3.

Ci joint une partie du log Wu
http://www.cijoint.fr/cjlink.php?file=cj201002/cijeKfl5dz.txt

J'ai exécuté le batch puis essayé d'installer SP3, échec.

J'ai ensuite exécuter Zhdiag.
Ci joint le rapport de zhpdiag
http://www.cijoint.fr/cjlink.php?file=cj201002/cijjbvlL7Y.txt

A+

C15

Re !

Essaie de répondre en dessous ou dans le texte, merci

ZHPDiag révèle des infections :

- une toolbar Ask.com, que MBAM nettoie en principe.
As-tu la dernière version (1.44) et la dernière base (3697 à 18h20)

- et surtout un cheval de Troyes et un rootkit,
qui pourraient bien empêcher la mise à jour.
WinUpdate.log donne des erreurs en ce sens aussi

Essayons donc *Combofix*
Mais ATTENTION, c'est un outil potentiellement dangereux.

Donc LIRE le TUTO
L'IMPRIMER pour suivre en cours de désinfection, car tu n'auras plus
accès à la page Web à certains moments.

Le lien du tuto et de téléchargement de Combofix :
http://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

Donc installer sur le BUREAU (et pas ailleurs)
Désactiver les antivirus et antimalwares (Avast chez toi)
Faire un 1° scan (ne rien toucher pendant) et envoyer sur cijoint le
rapport log.txt

On verra ensuite

Par ailleurs j'ai vu la présence de Norton Ghost.
Si tu as un ghost précédent l'infection (mais quand ?), ce peut-être une
autre solution
J'essaierais quand même Combofix d'abord.

Herser

Bonjour Herser,

J'ai exécuter Combofix dont je t'envoie le rapport.

http://www.cijoint.fr/cjlink.php?file=cj201002/cijMHGWpo2.txt

Concernant Ghost, je l'utilise à peu près tous les 15 jours.

Mais cela fait plusieurs mois que de temps en temps j'essaye d'installer
SP3 ou les mises à jour automatiques et je n'ai donc pas de ghost
antérieur à mon infection.

Par ailleurs, j'avais la version 1.42 de MBAM ; je viens de télécharger
la dernière 1.44 (3700).
J'attends ta réponse ton analyse du log de Combofix pour scanner ma
machine avec MBAM.


Merci encore de ton aide.

Bon dimanche, en n'oubliant pas qu'en dehors des chevaux de Troyes
...il y a aussi le rugby.

A+

C15

C15 wrote:

Herser a écrit :

C15 wrote:

Bonjour Herser,

Désolé pour ces histoires de mises à jour, mais je pensais que
c'était la conséquence de la non installation de SP3.

Ci joint une partie du log Wu
http://www.cijoint.fr/cjlink.php?file=cj201002/cijeKfl5dz.txt

J'ai exécuté le batch puis essayé d'installer SP3, échec.

J'ai ensuite exécuter Zhdiag.
Ci joint le rapport de zhpdiag
http://www.cijoint.fr/cjlink.php?file=cj201002/cijjbvlL7Y.txt

A+

C15

Re !

Essaie de répondre en dessous ou dans le texte, merci

ZHPDiag révèle des infections :

- une toolbar Ask.com, que MBAM nettoie en principe.
As-tu la dernière version (1.44) et la dernière base (3697 à 18h20)

- et surtout un cheval de Troyes et un rootkit,
qui pourraient bien empêcher la mise à jour.
WinUpdate.log donne des erreurs en ce sens aussi

Essayons donc *Combofix*
Mais ATTENTION, c'est un outil potentiellement dangereux.

Donc LIRE le TUTO
L'IMPRIMER pour suivre en cours de désinfection, car tu n'auras plus
accès à la page Web à certains moments.

Le lien du tuto et de téléchargement de Combofix :
http://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

Donc installer sur le BUREAU (et pas ailleurs)
Désactiver les antivirus et antimalwares (Avast chez toi)
Faire un 1° scan (ne rien toucher pendant) et envoyer sur cijoint le
rapport log.txt

On verra ensuite

Par ailleurs j'ai vu la présence de Norton Ghost.
Si tu as un ghost précédent l'infection (mais quand ?), ce peut-être
une autre solution
J'essaierais quand même Combofix d'abord.

Herser

Bonjour Herser,

J'ai exécuter Combofix dont je t'envoie le rapport.

http://www.cijoint.fr/cjlink.php?file=cj201002/cijMHGWpo2.txt

Concernant Ghost, je l'utilise à peu près tous les 15 jours.

Mais cela fait plusieurs mois que de temps en temps j'essaye
d'installer SP3 ou les mises à jour automatiques et je n'ai donc pas
de ghost antérieur à mon infection.

Par ailleurs, j'avais la version 1.42 de MBAM ; je viens de
télécharger la dernière 1.44 (3700).
J'attends ta réponse ton analyse du log de Combofix pour scanner ma
machine avec MBAM.


Merci encore de ton aide.

Bon dimanche, en n'oubliant pas qu'en dehors des chevaux de Troyes
...il y a aussi le rugby.

A+

C15

Re !

Combofix a repéré les malwares
Passe MBAM à jour (toujours faire une màj avant de scanner)
Envoie le rapport de fin d'analyse de MBAM sur Cijoint

Et refais un ZHPDiag pour voir ce qu'il reste, avec rapport sur Cijoint

Herser

Herser a écrit :

C15 wrote:

Herser a écrit :

C15 wrote:

Bonjour Herser,

Désolé pour ces histoires de mises à jour, mais je pensais que
c'était la conséquence de la non installation de SP3.

Ci joint une partie du log Wu
http://www.cijoint.fr/cjlink.php?file=cj201002/cijeKfl5dz.txt

J'ai exécuté le batch puis essayé d'installer SP3, échec.

J'ai ensuite exécuter Zhdiag.
Ci joint le rapport de zhpdiag
http://www.cijoint.fr/cjlink.php?file=cj201002/cijjbvlL7Y.txt

A+

C15

Re !

Essaie de répondre en dessous ou dans le texte, merci

ZHPDiag révèle des infections :

- une toolbar Ask.com, que MBAM nettoie en principe.
As-tu la dernière version (1.44) et la dernière base (3697 à 18h20)

- et surtout un cheval de Troyes et un rootkit,
qui pourraient bien empêcher la mise à jour.
WinUpdate.log donne des erreurs en ce sens aussi

Essayons donc *Combofix*
Mais ATTENTION, c'est un outil potentiellement dangereux.

Donc LIRE le TUTO
L'IMPRIMER pour suivre en cours de désinfection, car tu n'auras plus
accès à la page Web à certains moments.

Le lien du tuto et de téléchargement de Combofix :
http://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

Donc installer sur le BUREAU (et pas ailleurs)
Désactiver les antivirus et antimalwares (Avast chez toi)
Faire un 1° scan (ne rien toucher pendant) et envoyer sur cijoint le
rapport log.txt

On verra ensuite

Par ailleurs j'ai vu la présence de Norton Ghost.
Si tu as un ghost précédent l'infection (mais quand ?), ce peut-être
une autre solution
J'essaierais quand même Combofix d'abord.

Herser

Bonjour Herser,

J'ai exécuter Combofix dont je t'envoie le rapport.

http://www.cijoint.fr/cjlink.php?file=cj201002/cijMHGWpo2.txt

Concernant Ghost, je l'utilise à peu près tous les 15 jours.

Mais cela fait plusieurs mois que de temps en temps j'essaye
d'installer SP3 ou les mises à jour automatiques et je n'ai donc pas
de ghost antérieur à mon infection.

Par ailleurs, j'avais la version 1.42 de MBAM ; je viens de
télécharger la dernière 1.44 (3700).
J'attends ta réponse ton analyse du log de Combofix pour scanner ma
machine avec MBAM.


Merci encore de ton aide.

Bon dimanche, en n'oubliant pas qu'en dehors des chevaux de Troyes
...il y a aussi le rugby.

A+

C15

Re !

Combofix a repéré les malwares
Passe MBAM à jour (toujours faire une màj avant de scanner)
Envoie le rapport de fin d'analyse de MBAM sur Cijoint

Et refais un ZHPDiag pour voir ce qu'il reste, avec rapport sur Cijoint

Herser

Bonsoir Herser,

les 2 logs demandés,
http://www.cijoint.fr/cjlink.php?file=cj201002/cijVtZAeTR.txt
MBAM n'a rien détecté.

http://www.cijoint.fr/cjlink.php?file=cj201002/cijbIty67i.txt
Il y a des lignes en rouge avec zhdiag, cela correspond aux infections ?

A+

C15

C15 wrote:

Bonsoir Herser,

les 2 logs demandés,
http://www.cijoint.fr/cjlink.php?file=cj201002/cijVtZAeTR.txt
MBAM n'a rien détecté.

http://www.cijoint.fr/cjlink.php?file=cj201002/cijbIty67i.txt
Il y a des lignes en rouge avec zhdiag, cela correspond aux
infections ?
A+

C15

Oui, les lignes en rouge correspondent aux infections

- Il y a toujours la AskBar mais ce n'est pas le + grave
- Il y a encore DMSKSSRh.sys, trace de rootkit, plus gênant.

1- Pour AskBar :
Applique la solution ici :
http://www.commentcamarche.net/faq/25714-desinstaller-la-ask-toolbar
Commence par la 3 : ToolBar-S&D (de la Team IDN) en suivant le tuto

2- Pour DMSKSSRh.sys :
Pour ce rootkit on va utiliser ZHPFix qui est présent dans ZHPDiag
Tu ouvres ZHPDiag puis tu cliques sur ZHPFix (bouclier vert)

Dans ZHPFix tu cliques sur H (coller les lignes Helper)
Et tu copies / colles la ligne suivante :
O64 - Services: - (.not file.) - DMSKSSRh (DMSKSSRh) .(.Pas de
propriétaire - Pas de description.) - LEGACY_DMSKSSRH

Tu cliques sur "Tous" (ou tu coches la ligne)
Puis 'Nettoyer"

ZHPFix va générer un rapport, envoie le pour voir si la clé a été supprimée

Herser

Herser wrote:

C15 wrote:

Bonsoir Herser,

les 2 logs demandés,
http://www.cijoint.fr/cjlink.php?file=cj201002/cijVtZAeTR.txt
MBAM n'a rien détecté.

http://www.cijoint.fr/cjlink.php?file=cj201002/cijbIty67i.txt
Il y a des lignes en rouge avec zhdiag, cela correspond aux
infections ?
A+

C15

Oui, les lignes en rouge correspondent aux infections

- Il y a toujours la AskBar mais ce n'est pas le + grave
- Il y a encore DMSKSSRh.sys, trace de rootkit, plus gênant.

1- Pour AskBar :
Applique la solution ici :
http://www.commentcamarche.net/faq/25714-desinstaller-la-ask-toolbar
Commence par la 3 : ToolBar-S&D (de la Team IDN) en suivant le tuto

2- Pour DMSKSSRh.sys :
Pour ce rootkit on va utiliser ZHPFix qui est présent dans ZHPDiag
Tu ouvres ZHPDiag puis tu cliques sur ZHPFix (bouclier vert)

Dans ZHPFix tu cliques sur H (coller les lignes Helper)
Et tu copies / colles la ligne suivante :
O64 - Services: - (.not file.) - DMSKSSRh (DMSKSSRh) .(.Pas de
propriétaire - Pas de description.) - LEGACY_DMSKSSRH

Tu cliques sur "Tous" (ou tu coches la ligne)
Puis 'Nettoyer"

ZHPFix va générer un rapport, envoie le pour voir si la clé a été
supprimée
Herser

Précisions :
- Scanner avec ZHPDiag pour avoir ZHPFix visible
- Coller la ligne sur une seule ligne, sinon, message d'erreur
(Au cas ou Thunderbird te la donnes sur 2 lignes)

Herser a écrit :

Herser wrote:

C15 wrote:

Bonsoir Herser,

les 2 logs demandés,
http://www.cijoint.fr/cjlink.php?file=cj201002/cijVtZAeTR.txt
MBAM n'a rien détecté.

http://www.cijoint.fr/cjlink.php?file=cj201002/cijbIty67i.txt
Il y a des lignes en rouge avec zhdiag, cela correspond aux
infections ?
A+

C15

Oui, les lignes en rouge correspondent aux infections

- Il y a toujours la AskBar mais ce n'est pas le + grave
- Il y a encore DMSKSSRh.sys, trace de rootkit, plus gênant.

1- Pour AskBar :
Applique la solution ici :
http://www.commentcamarche.net/faq/25714-desinstaller-la-ask-toolbar
Commence par la 3 : ToolBar-S&D (de la Team IDN) en suivant le tuto

2- Pour DMSKSSRh.sys :
Pour ce rootkit on va utiliser ZHPFix qui est présent dans ZHPDiag
Tu ouvres ZHPDiag puis tu cliques sur ZHPFix (bouclier vert)

Dans ZHPFix tu cliques sur H (coller les lignes Helper)
Et tu copies / colles la ligne suivante :
O64 - Services: - (.not file.) - DMSKSSRh (DMSKSSRh) .(.Pas de
propriétaire - Pas de description.) - LEGACY_DMSKSSRH

Tu cliques sur "Tous" (ou tu coches la ligne)
Puis 'Nettoyer"

ZHPFix va générer un rapport, envoie le pour voir si la clé a été
supprimée
Herser

Précisions :
- Scanner avec ZHPDiag pour avoir ZHPFix visible
- Coller la ligne sur une seule ligne, sinon, message d'erreur
(Au cas ou Thunderbird te la donnes sur 2 lignes)

Bonjour Herser,

Voilà le rapport de Zhfix,
http://www.cijoint.fr/cjlink.php?file=cj201002/cijmRRNrIW.txt

Pour info, dans Programs Files/Askbardis, il y avait un exécutif
uninstall que je n'aurais pas pris le risque d'utiliser sans ton accord
et qui a été viré par Toolbar-S&d.

A+

C15

C15 wrote:

Herser a écrit :

Herser wrote:

C15 wrote:

Bonsoir Herser,

les 2 logs demandés,
http://www.cijoint.fr/cjlink.php?file=cj201002/cijVtZAeTR.txt
MBAM n'a rien détecté.

http://www.cijoint.fr/cjlink.php?file=cj201002/cijbIty67i.txt
Il y a des lignes en rouge avec zhdiag, cela correspond aux
infections ?
A+

C15

Oui, les lignes en rouge correspondent aux infections

- Il y a toujours la AskBar mais ce n'est pas le + grave
- Il y a encore DMSKSSRh.sys, trace de rootkit, plus gênant.

1- Pour AskBar :
Applique la solution ici :
http://www.commentcamarche.net/faq/25714-desinstaller-la-ask-toolbar
Commence par la 3 : ToolBar-S&D (de la Team IDN) en suivant le tuto

2- Pour DMSKSSRh.sys :
Pour ce rootkit on va utiliser ZHPFix qui est présent dans ZHPDiag
Tu ouvres ZHPDiag puis tu cliques sur ZHPFix (bouclier vert)

Dans ZHPFix tu cliques sur H (coller les lignes Helper)
Et tu copies / colles la ligne suivante :
O64 - Services: - (.not file.) - DMSKSSRh (DMSKSSRh) .(.Pas de
propriétaire - Pas de description.) - LEGACY_DMSKSSRH

Tu cliques sur "Tous" (ou tu coches la ligne)
Puis 'Nettoyer"

ZHPFix va générer un rapport, envoie le pour voir si la clé a été
supprimée
Herser

Précisions :
- Scanner avec ZHPDiag pour avoir ZHPFix visible
- Coller la ligne sur une seule ligne, sinon, message d'erreur
(Au cas ou Thunderbird te la donnes sur 2 lignes)

Bonjour Herser,

Voilà le rapport de Zhfix,
http://www.cijoint.fr/cjlink.php?file=cj201002/cijmRRNrIW.txt

Pour info, dans Programs Files/Askbardis, il y avait un exécutif
uninstall que je n'aurais pas pris le risque d'utiliser sans ton
accord et qui a été viré par Toolbar-S&d.

A+

C15

La clé est toujours là.
Réessayer en veillant bien qu'elle soit inscrite sur une ligne comme ici :
http://www.cijoint.fr/cj201002/cijnCAPiqr.gif
Ces clés Legacy sont protégées dans le registre et donc non supprimables par
regedit
En principe ZHFix sait les virer

Herser

Herser a écrit :

C15 wrote:

Herser a écrit :

Herser wrote:

C15 wrote:

Bonsoir Herser,

les 2 logs demandés,
http://www.cijoint.fr/cjlink.php?file=cj201002/cijVtZAeTR.txt
MBAM n'a rien détecté.

http://www.cijoint.fr/cjlink.php?file=cj201002/cijbIty67i.txt
Il y a des lignes en rouge avec zhdiag, cela correspond aux
infections ?
A+

C15

Oui, les lignes en rouge correspondent aux infections

- Il y a toujours la AskBar mais ce n'est pas le + grave
- Il y a encore DMSKSSRh.sys, trace de rootkit, plus gênant.

1- Pour AskBar :
Applique la solution ici :
http://www.commentcamarche.net/faq/25714-desinstaller-la-ask-toolbar
Commence par la 3 : ToolBar-S&D (de la Team IDN) en suivant le tuto

2- Pour DMSKSSRh.sys :
Pour ce rootkit on va utiliser ZHPFix qui est présent dans ZHPDiag
Tu ouvres ZHPDiag puis tu cliques sur ZHPFix (bouclier vert)

Dans ZHPFix tu cliques sur H (coller les lignes Helper)
Et tu copies / colles la ligne suivante :
O64 - Services: - (.not file.) - DMSKSSRh (DMSKSSRh) .(.Pas de
propriétaire - Pas de description.) - LEGACY_DMSKSSRH

Tu cliques sur "Tous" (ou tu coches la ligne)
Puis 'Nettoyer"

ZHPFix va générer un rapport, envoie le pour voir si la clé a été
supprimée
Herser

Précisions :
- Scanner avec ZHPDiag pour avoir ZHPFix visible
- Coller la ligne sur une seule ligne, sinon, message d'erreur
(Au cas ou Thunderbird te la donnes sur 2 lignes)

Bonjour Herser,

Voilà le rapport de Zhfix,
http://www.cijoint.fr/cjlink.php?file=cj201002/cijmRRNrIW.txt

Pour info, dans Programs Files/Askbardis, il y avait un exécutif
uninstall que je n'aurais pas pris le risque d'utiliser sans ton
accord et qui a été viré par Toolbar-S&d.

A+

C15

La clé est toujours là.
Réessayer en veillant bien qu'elle soit inscrite sur une ligne comme ici :
http://www.cijoint.fr/cj201002/cijnCAPiqr.gif
Ces clés Legacy sont protégées dans le registre et donc non supprimables
par regedit
En principe ZHFix sait les virer

Herser

Rebonjour,

Pour moi la syntaxe était correcte, j'ai pourtant tout refait.

Et comme cela c'est mieux ?

http://www.cijoint.fr/cjlink.php?file=cj201002/cijsbOzxW8.txt

A+

C15