prbs multiples sous xp après infection

Le 17 septembre 2004,

bonsoir à tous,

Je me permets de reposter car je n'ai pas eu de réponse à mon post de jeudi.

Ça arrive de temps en temps de passer sous la pile vu le grand nombre de
messages sur le forum.Vous avez bien fait de reposter.

Il a comme anti-virus AVG 6.0 free edition. Une fois mis à jour, celui-ci
m'a détecté plusieurs trojans dont il est venu à
bout sauf qu'il me detectait "res.dll dans windows/system32 est infecté" en
permanence au point de m'empêcher de faire quoique ce soit.
Ce fichier n'existait pas.

OH que si, il existait ( et existe probablement encore ...)

Dans Windows Explorer : outils, affichage, option des dossiers :
*Décocher* :
- masquer l'extension des fichiers dont le type est connu"
- masque les fichiers protégés du système d'exploitation

ET

Pour le temps de vos vérifications:
Choisir : "Afficher les dosiers cachés"

j'ai également supprimé les points de restaurations (puisqu'ils semblaient vérolés).

Bonne idée.

Je suis passé également en SP2 une fois que le système me semblait stable.
Cela a planté au moment de rebooter (vidage de la mémoire physique).
Après un démarrage en mode sans échec j'ai fini par y arriver.

Opinion :
vous auriez dû vous assurer de la chose avant d'installer le SP2
mais c'est fait alors...

Tout semble fonctionner maintenant à peu près sauf que il est impossible de
réinstaller l'antivirus, même une version récente ... j'ai comme msg :
"disque saturé -> vérifier que vous avez les droits en écriture" et
l'install s'arrête ... J'ai supprimé toutes les clé avec regcleaner et j'ai
pourtant réussi à installer la dernière version de zone Alarm.

Je me souviens d'avoir vu ce msg "disque saturé" pour une installation de
PGP qui foirait. Si ma mémoire est bonne il s'agissait de "maliciels"
non-détectés...

Etc.

Je soupçonne donc un problème d'installateur mais bon c'est une supposition
... je suis ouvert à toutes suggestions ... car je me retrouve sans
antivirus. J'ai scanné la mahine avec le prg Panda (oui oui je sais c pas
bien) mais il m'était impossible d'installer le plug-in de secuser. Celui-ci n'a rien
trouvé. Un dernier passage de Adaware m'indique une machine clean.

Enfin une fois sur 2 l'ordi boot normalement mais se bloque sur le bureau
sans que les icones ou bien la barre des tâches s'affichent. Il suffit de
redémarrer et ça marche.

bref c'est pas le pied avant que je ne me lance dans une réinstall totale de
la machine avez vous des suggestions.

Ouf ... ça va mal chez votre copain...

AV : fait avec Panda
+ SBS&D + Adaware : fait.OK...

1) Revérifiez le PC avec l'anti-trojan TDS3
http://tds.diamondcs.com.au/
C'est une version d'évaluation bon pour 30 jours...
S'il reste quelque chose TDS3 devrait en venir à bout.

2) Ça prend absolument un AV : je vous suggère au lieu d'AVG qui refuse de
s'installer d'utiliser à la place AVAST :
www.avast.com
Dans Avast, après l'installation et la mise à jour, il faut planifier une
vérification au boot :
Cela vérifiera avant de charger W xp en mémoire...

3) Vérifiez les fichiers protégés de W xp avec System File Check :

Démarrer -> Exécuter : sfc /scannow

SFC va vérifier l'intégrité de ces fichiers et les restaurer au besoin à
partir de leur copie dans C:WINDOWSSystem32dllcache [ dossier "caché"]

4) Utilisez les utilitaires :
C:WINDOWSsystem32sigverif.exe
pour vérifier la signature numérique des fichiers
pour vous assurer de leur intégrité
et
C:WINDOWSsystem32verifier.exe
pour vérifier les pilotes installés ( au cas...)

5) Faite faire un chkdsk au démarrage :

Dans Windows Explorer , clic droit sur le DD,
Propriétés, Outils, vérification du DD , cochez les 2 cases...

6) Un bon nettoyage ne serait pas de trop :

*1) REGISTRE :*

a) Nettoyage

C'est fait, ai-je cru comprendre...
Sinon :

Nettoyer le registre des clés obsolètes:
La plupart des programmes désinstallés laissent des
"scories" dans le registre de même que certaines opérations.
Vous pouvez utiliser un utilitaire tel que RegSeeker:
http://www.hoverdesk.net/freeware.htm
(0 ¤, Fr.)
* utiliser la fonction de sauvegarde AVANT*

b) Optimisation

Vous pouvez utiliser NTRegOpt :
http://home.t-online.de/home/lars.hederer/erunt/
( 0 ¤ , Fr.)

c) Prévention

*[ Ces étape font partie de l'entretien préventif mais dans CE cas elles peuvent être "sautés" ]*

La plupart des programmes désinstallés laissent des "scories"
dans le registre.
Pour éviter cela utilisez Total Uninstall.Tout programme installé
avec TUN et désinstallé par celui-ci le sera complètement.

TotalUninstall:
Détails et documentation :
http://www.livejournal.com/users/climenole/3654.html

Il est aussi souhaitable de faire une sauvegarde complète du registre
avec Erunt.Il est possible de lancer Erunt au démarrage
http://home.t-online.de/home/lars.hederer/erunt/ <-[même que NTRegOpt ...]

*2- Fichiers temporaires *

Des fichiers temporaires sont crées par divers processus
et doivent être supprimés régulièrement.

C:WindowsSystem32cleanmgr.exe ...

http://a.vouillon.online.fr/faq-winxp.htm#171
Remarque : lors du paramétrage je ne vous suggère pas
d'automatiser le nettoyage des points de restauration
ni la corbeille ... [décidez de cela vous-même!]


*3- Défragmentation*

a) défragmentation des volumes du DD

Démarrer -> Exécuter : dfrg.msc
Même si l'analyse du volume indique
"il n'est pas nécessaire de défragramenter le volume"
faites le quand même par exemple une fois par semaine...

Cette tâche pourrait être lancée par le Planificateur des Tâches
le soir ou la nuit...
La défragmentation planifiée doit se faire avec
C:WINDOWSSystem32defrag.exe
Syntaxe :
defrag.exe [-a] [-f] [-v]
lettre du volume telle que c: ou D: etc
-a : analyse seulement
-f : forcer la défragmentation
-v : sortie détaillée

Vous pouvez aussi redirectionner les sorties vers "rien" avec > nul
placé à la fin de la ligne de commande
ou
redirectionner vers un fichier > [chemin complet]nom_de_fichier.txt
ou
redirectionner vers un fichier à la suite des informations déjà
inscrites ("append") avec >> [chemin complet]nom_de_fichier.txt

b) défragmentation du "prefetch" :

Les applications lancées régulièrement ont un "schéma" conservé
dans le dossier Prefetch pour permettre leur chargement plus rapide.
Il est préférable de temps en temps de supprimer ce dossier.
Entre temps une bon "Stratagème Insolite" (tweak) permet de le
défragmenter :

%windir%system32rundll32.exe advapi32.dll,ProcessIdleTasks

Placez cette ligne de commande dans un raccourci + joli icône
et lancez la commande, laissez travailler 10 à 15 min.
Références et explications:
Jean-Marc[MVP]
http://perso.wanadoo.fr/doc.jm/Prefetch.htm

c) défragmentation des journaux(.evt),du "swap area" (pagefile.sys)
et du Registre
Vous pouvez utiliser l'excellent utilitaire PageDfrg
de Mark Russinovich pour ces machins...
Peut-être lancé à la demande ou à chaque démarrage.
Sysinternals
http://www.sysinternals.com/ntw2k/freeware/pagedefrag.shtml

*4- Disk Cache*
Vous pouvez augmenter la réactivité du système en modifiant
les paramètre du disk cache ( résultats plus qu.étonnants)

2 outils complémentaires :

CacheSet
http://www.sysinternals.com/ntw2k/source/cacheset.shtml

Cache Buster
http://www.analogx.com/contents/download/system.htm
[ ramasez aussi au passage MaxMen et ScriptDefender ! ]

*5 - Problème avec Windows Explorer*

Pour les problèmes avec la barre des tâches etc.
utilisez l'outil de réparation de Doug Knox[MVP]

www.dougknox.com

Voir Windows XP Fix, 2 ième colonne, 17 ième ligne :
"Restore Toolbars in IE and WE"

ET rendu là ... j'ai plus d'idée... :-(

Tenez-nous au courant.

Amicalement.

--
:-) Claude LaFrenière [MVP] 2004-09-17 20:15:22 HAE GMT -5 :-)

Journ'Él : http://www.livejournal.com/users/climenole/
Courriel : http://cerbermail.com/?FslokTsjQ7
PGP ID : http://pgpkeys.mit.edu:11371 0x11EBD3B4
Aide : irc://irc.akro-net.org:6667 canal : #mschat
http://communautes-ms.akro-net.org/

« My principal Design was to Inform, and not to amuse thee »
Captain Lemuel Gulliver, The Travels (IV:12)

1) Revérifiez le PC avec l'anti-trojan TDS3
http://tds.diamondcs.com.au/
C'est une version d'évaluation bon pour 30 jours...
S'il reste quelque chose TDS3 devrait en venir à bout.

Bonsoir (bonjour)

Oui. C'est sans doute le meilleur antitrojans à l'heure actuelle. Il
faut dire qu'ils ont commencé tôt par rapport à d'autres.En plus la
licence c'est à vie, enfin "in the foreseeable future"...
la mienne date de 2001 :-)

@micalement

Ça arrive de temps en temps de passer sous la pile vu le grand nombre de
messages sur le forum.Vous avez bien fait de reposter.

Il a comme anti-virus AVG 6.0 free edition. Une fois mis à jour, celui-ci
m'a détecté plusieurs trojans dont il est venu à
bout sauf qu'il me detectait "res.dll dans windows/system32 est infecté"
en
permanence au point de m'empêcher de faire quoique ce soit.
Ce fichier n'existait pas.

bon merci bcp de cette longue réponse ... 3:13 est-ce bien raisonnable ? je
vais m'y atteler ce we.

OH que si, il existait ( et existe probablement encore ...)

Dans Windows Explorer : outils, affichage, option des dossiers :
*Décocher* :
- masquer l'extension des fichiers dont le type est connu"
- masque les fichiers protégés du système d'exploitation

ET

Pour le temps de vos vérifications:
Choisir : "Afficher les dosiers cachés"

oui oui j'ai bien fait cela mais pas de res.dll de même avec crtl+F .
qu'est-ce que ce fichier ? donc il y est peut-être encore (j(ai pas la
machine sous la main là) mais en tout cas je ne le trouve pas ... malgré
l'affichage de tous les fichiers/dossiers cachés.

j'ai également supprimé les points de restaurations (puisqu'ils
semblaient vérolés).

Bonne idée.

Je suis passé également en SP2 une fois que le système me semblait
stable.
Cela a planté au moment de rebooter (vidage de la mémoire physique).
Après un démarrage en mode sans échec j'ai fini par y arriver.

Opinion :
vous auriez dû vous assurer de la chose avant d'installer le SP2
mais c'est fait alors...

au sortir du nettoyage et après plusieurs rebbot la machine semblait en
ordre :-((

Je me souviens d'avoir vu ce msg "disque saturé" pour une installation de
PGP qui foirait. Si ma mémoire est bonne il s'agissait de "maliciels"
non-détectés...

Etc.


AV : fait avec Panda
+ SBS&D + Adaware : fait.OK...

1) Revérifiez le PC avec l'anti-trojan TDS3
http://tds.diamondcs.com.au/
C'est une version d'évaluation bon pour 30 jours...
S'il reste quelque chose TDS3 devrait en venir à bout.

bon je vais essayer ça mais j'ai déjà passé : adware 6 et SE (pas mal cette
dernière version) + spybot + HiJackThis + un tout petit utilitaire (dont je
ne me souviens plus le nom) trouvé ici pour IE6 censé expulsée "Cool Search
et Search For".

2) Ça prend absolument un AV : je vous suggère au lieu d'AVG qui refuse de
s'installer d'utiliser à la place AVAST :
www.avast.com
Dans Avast, après l'installation et la mise à jour, il faut planifier une
vérification au boot :
Cela vérifiera avant de charger W xp en mémoire...

bon on va essayer ça !

3) Vérifiez les fichiers protégés de W xp avec System File Check :

Démarrer -> Exécuter : sfc /scannow

ça aussi

SFC va vérifier l'intégrité de ces fichiers et les restaurer au besoin à
partir de leur copie dans C:WINDOWSSystem32dllcache [ dossier "caché"]

4) Utilisez les utilitaires :
C:WINDOWSsystem32sigverif.exe
pour vérifier la signature numérique des fichiers
pour vous assurer de leur intégrité
et
C:WINDOWSsystem32verifier.exe
pour vérifier les pilotes installés ( au cas...)

pareil

5) Faite faire un chkdsk au démarrage :

Dans Windows Explorer , clic droit sur le DD,
Propriétés, Outils, vérification du DD , cochez les 2 cases...

ok

6) Un bon nettoyage ne serait pas de trop :

toutes ces étapes ont plus ou moins étaient faites mais je vais recommencer.
Je récupère la machine ce we.

Tenez-nous au courant.

en tous les cas bien le merci d'avoir examiné mon petit prb

Amicalement.

pareil

fred