| Voir le sujet précédent :: Voir le sujet suivant |
| Auteur |
Message |
Aikanaro
Inscrit le: 14 Jan 2007
Messages: 19
|
 Posté le: 14 Jan 2007 à 18:06 Sujet du message: PC qui redémarre à certain moments clés. |
 |
|
Falut les caupains !
Tout d'abord ...
ma config.
AMD Athlon XP2500+
Geforce FX5200
512 mo ram
Alors voilà, mon pc redémarre à certains moments précis (ou parfois de manière aléatoire), ET LA, JE VOUS VOIS VENIR ! évoquer un terrible virus ou que sais-je.
J'ai donc fait une première analyse avec Kaspersky :
_Rien.
J'ai finalement opté pour Avast qui m'a fait l'analyse au redémarrage :
_2 ou 3 trojans et quelques spywares/malwares supprimés.
(Brêf, j'ai fait une croix sur Kaspersky dès lors.)
Le tout premier redémarrage est intervenu alors que je regardais une bande-annonce sur Allociné sur IE (En plein milieu, je ne sais trop pourquoi ni comment).
Dès lors, il décide de rebooter à certains moment.
Pour exemple, quand je lance un scan avec Spybot, il redémarre systématiquement arrivé à 1/4 du scan.
Un film sur youtube me fait redémarrer systématiquement.
Dark Messiah fait redémarrer systématiquement après le premier niveau.
J'ai contrôlé la température du processeur, elle est correct.
J'ai tenté avec une seule barette de Ram, puis avec l'autre. Il redémarre toujours ...
J'ai regardé les performances dans le "Gestionnaire des tâches de Windows", ni l'utilisation de l'UC est à 100%, ni la mémoire est saturée.
... Et donc puisque de ce côté là, tout semble normal et que le redémarrage s'effectue à certains moment précis, j'ai éliminé l'hypothèse du problème matériel.
... Quelqu'un à une idée quelconque ?
Je songe à un fichier système Windows défectueux ... non ?
Merci. |
|
| Revenir en haut de page |
|
 |
Lenouvdu44
Administrateur
Inscrit le: 01 Aoû 2005
Messages: 4919
Localisation: Grenoble
|
| Posté le: 14 Jan 2007 à 18:36 Sujet du message: |
|
|
Salut, fait moi cela :
Bouton droit sur poste de travail, puis propriétés, puis onglet avancé.
Dans ce dernier, dans la rubrique "démarrage et récupération" tu cliques sur paramètres.
Dans la partie défaillance du système, tu décoches "redémarrer automatiquement".
Ensutie, tu va provoquer un plantage, et je veux qu'il reboot ... ben au lieu de rebooter, il devrait t'afficher un écran bleu, si ce n'est pas le cas, tant mieux d'un côté, mais pas d'un autre, si c'est le cas :
tu me note le message STOP avec les 5 séries de chiffres et lettres (ainsi que ceux entre parenthèse) puis la ligne juste en dessous.
Voici voilà.
_________________
L'nouv qui devient L'vieux |
|
| Revenir en haut de page |
|
|
Aikanaro
Inscrit le: 14 Jan 2007
Messages: 19
|
| Posté le: 14 Jan 2007 à 18:39 Sujet du message: |
|
|
Hmm, à vrai dire j'ai oublié de précisé que j'ai déjà eu cet écran bleu.
Simplement, je ne l'ai eu qu'une seule fois
Page_fault_in_nonpaged_area
J'ai eu une erreur STOP 0x00000050
sans aucun nom de fichier.
Je vais tout de même en faire une capture tout de suite pour plus de détails. |
|
| Revenir en haut de page |
|
|
Aikanaro
Inscrit le: 14 Jan 2007
Messages: 19
|
| Posté le: 14 Jan 2007 à 19:03 Sujet du message: |
|
|
| Bon, le blue screen ne veut plus réapparaître (le salaud ...) Mais je vois que j'ai un tas de .dmp dans C:\WINDOWS\Minidump qui ne demande qu'à être lus (je cherche encore comment ...) |
|
| Revenir en haut de page |
|
|
!aur3n7
Dépanneur
Inscrit le: 11 Oct 2005
Messages: 1328
|
| Posté le: 14 Jan 2007 à 19:04 Sujet du message: |
|
|
Bonjour,
As tu en tête le nom des indésirables que Avast a trouvé ?
Pour info certaines infections (Haxdoor par exemple) a pour symptomes ce genre d'ecran bleu avec des erreurs stop 050 ou 08e |
|
| Revenir en haut de page |
|
|
Aikanaro
Inscrit le: 14 Jan 2007
Messages: 19
|
| Posté le: 14 Jan 2007 à 22:25 Sujet du message: |
|
|
Dialer-651 (un spyware qui m'ouvrait des popups sur IE me semble-t-il)
WhenUSaveNow
et un fichier infecté Iaccess32.exe
... J'ai pas noté les autres ... |
|
| Revenir en haut de page |
|
|
Aikanaro
Inscrit le: 14 Jan 2007
Messages: 19
|
| Posté le: 14 Jan 2007 à 23:34 Sujet du message: |
|
|
Je rappele que je n'ai eu l'écran bleu qu'une seule fois (sur une vingtaine de redémarrage.)
Bon, sinon, voici le contenu d'un des nombreux fichiers dump
| Code: |
*******************************************************************************
* *
* Bugcheck Analysis *
* *
*******************************************************************************
Use !analyze -v to get detailed debugging information.
BugCheck 9C, {0, 8054d370, c405c000, 136}
Probably caused by : Unknown_Image ( ANALYSIS_INCONCLUSIVE )
Followup: MachineOwner
---------
kd> !analyze -v
*******************************************************************************
* *
* Bugcheck Analysis *
* *
*******************************************************************************
MACHINE_CHECK_EXCEPTION (9c)
A fatal Machine Check Exception has occurred.
KeBugCheckEx parameters;
x86 Processors
If the processor has ONLY MCE feature available (For example Intel
Pentium), the parameters are:
1 - Low 32 bits of P5_MC_TYPE MSR
2 - Address of MCA_EXCEPTION structure
3 - High 32 bits of P5_MC_ADDR MSR
4 - Low 32 bits of P5_MC_ADDR MSR
If the processor also has MCA feature available (For example Intel
Pentium Pro), the parameters are:
1 - Bank number
2 - Address of MCA_EXCEPTION structure
3 - High 32 bits of MCi_STATUS MSR for the MCA bank that had the error
4 - Low 32 bits of MCi_STATUS MSR for the MCA bank that had the error
IA64 Processors
1 - Bugcheck Type
1 - MCA_ASSERT
2 - MCA_GET_STATEINFO
SAL returned an error for SAL_GET_STATEINFO while processing MCA.
3 - MCA_CLEAR_STATEINFO
SAL returned an error for SAL_CLEAR_STATEINFO while processing MCA.
4 - MCA_FATAL
FW reported a fatal MCA.
5 - MCA_NONFATAL
SAL reported a recoverable MCA and we don't support currently
support recovery or SAL generated an MCA and then couldn't
produce an error record.
0xB - INIT_ASSERT
0xC - INIT_GET_STATEINFO
SAL returned an error for SAL_GET_STATEINFO while processing INIT event.
0xD - INIT_CLEAR_STATEINFO
SAL returned an error for SAL_CLEAR_STATEINFO while processing INIT event.
0xE - INIT_FATAL
Not used.
2 - Address of log
3 - Size of log
4 - Error code in the case of x_GET_STATEINFO or x_CLEAR_STATEINFO
AMD64 Processors
1 - Bank number
2 - Address of MCA_EXCEPTION structure
3 - High 32 bits of MCi_STATUS MSR for the MCA bank that had the error
4 - Low 32 bits of MCi_STATUS MSR for the MCA bank that had the error
Arguments:
Arg1: 00000000
Arg2: 8054d370
Arg3: c405c000
Arg4: 00000136
Debugging Details:
------------------
NOTE: This is a hardware error. This error was reported by the CPU
via Interrupt 18. This analysis will provide more information about
the specific error. Please contact the manufacturer for additional
information about this error and troubleshooting assistance.
This error is documented in the following publication:
- Bios and Kernel Developers Guid for AMD Athlon(r) 64 and AMD Opteron(r) Processors
Bit Mask:
MA Model Specific MCA
O ID Other Information Error Code Error Code
VV SDP ___________|____________ _______|_______ _______|______
AEUECRC| | | |
LRCNVVC| | | |
^^^^^^^| | | |
6 5 4 3 2 1
3210987654321098765432109876543210987654321098765432109876543210
----------------------------------------------------------------
1100010000000101110000000000000000000000000000000000000100110110
VAL - MCi_STATUS register is valid
Indicates that the information contained within the IA32_MCi_STATUS
register is valid. When this flag is set, the processor follows the
rules given for the OVER flag in the IA32_MCi_STATUS register when
overwriting previously valid entries. The processor sets the VAL
flag and software is responsible for clearing it.
OVER - Error Overflow
Indicates that a machine check error occurred while the results of a
previous error were still in the error-reporting register bank (that
is, the VAL bit was already set in the IA32_MCi_STATUS register).
the processor sets the OVER flag and software is responsible for
clearing it. Enabled errors are written over disabled errors, and
uncorrected errors are written over corrected errors. Uncorrected
errors are not written over previous valid uncorrected errors.
ADDRV - IA32_MCi_ADDR register valid
Indicates that the IA32_MCi_ADDR register contains the address where
the error occurred.
MEMHIRERR - Memory Hierarchy Error {TT}CACHE{LL}_{RRRR}_ERR
These errors match the format 0000 0001 RRRR TTLL
Concatenated Error Code:
--------------------------
_VAL_OVER_ADDRV_MEMHIRERR_36
This error code can be reported back to the manufacturer.
They may be able to provide additional information based upon
this error. All questions regarding STOP 0x9C should be
directed to the hardware manufacturer.
BUGCHECK_STR: 0x9C_IA32_AuthenticAMD
CUSTOMER_CRASH_COUNT: 3
DEFAULT_BUCKET_ID: DRIVER_FAULT
PROCESS_NAME: firefox.exe
LAST_CONTROL_TRANSFER: from 806f18df to 8053331e
STACK_TEXT:
8054d348 806f18df 0000009c 00000000 8054d370 nt!KeBugCheckEx+0x1b
8054d474 806ecc2e 80042000 00000000 00000000 hal!HalpMcaExceptionHandler+0xdd
8054d474 00000000 80042000 00000000 00000000 hal!HalpMcaExceptionHandlerWrapper+0x46
STACK_COMMAND: kb
SYMBOL_NAME: ANALYSIS_INCONCLUSIVE
FOLLOWUP_NAME: MachineOwner
MODULE_NAME: Unknown_Module
IMAGE_NAME: Unknown_Image
DEBUG_FLR_IMAGE_TIMESTAMP: 0
FAILURE_BUCKET_ID: 0x9C_IA32_AuthenticAMD_ANALYSIS_INCONCLUSIVE
BUCKET_ID: 0x9C_IA32_AuthenticAMD_ANALYSIS_INCONCLUSIVE
Followup: MachineOwner
---------
|
Après les avoir quasiment tous regardé ...
C'est celui-ci que l'on retrouve le plus souvent.
... Il n'indique aucun fichier susceptible d'être la cause du problème.
Mais j'en ai trouvé un autre qui lui, semble accuser le fichier ntoskrnl.exe
| Code: |
*******************************************************************************
* *
* Bugcheck Analysis *
* *
*******************************************************************************
Use !analyze -v to get detailed debugging information.
BugCheck 1000007F, {d, 0, 0, 0}
Probably caused by : ntoskrnl.exe ( nt!KiFastCallEntry+9 )
Followup: MachineOwner
---------
kd> !analyze -v
*******************************************************************************
* *
* Bugcheck Analysis *
* *
*******************************************************************************
UNEXPECTED_KERNEL_MODE_TRAP_M (1000007f)
This means a trap occurred in kernel mode, and it's a trap of a kind
that the kernel isn't allowed to have/catch (bound trap) or that
is always instant death (double fault). The first number in the
bugcheck params is the number of the trap (8 = double fault, etc)
Consult an Intel x86 family manual to learn more about what these
traps are. Here is a *portion* of those codes:
If kv shows a taskGate
use .tss on the part before the colon, then kv.
Else if kv shows a trapframe
use .trap on that value
Else
.trap on the appropriate frame will show where the trap was taken
(on x86, this will be the ebp that goes with the procedure KiTrap)
Endif
kb will then show the corrected stack.
Arguments:
Arg1: 0000000d, EXCEPTION_GP_FAULT
Arg2: 00000000
Arg3: 00000000
Arg4: 00000000
Debugging Details:
------------------
BUGCHECK_STR: 0x7f_d
CUSTOMER_CRASH_COUNT: 2
DEFAULT_BUCKET_ID: DRIVER_FAULT
PROCESS_NAME: ashDisp.exe
LAST_CONTROL_TRANSFER: from 00000000 to 804de6f9
STACK_TEXT:
011dfc1c 00000000 011dfc6c 77d1d545 000100ba nt!KiFastCallEntry+0x9
STACK_COMMAND: kb
FOLLOWUP_IP:
nt!KiFastCallEntry+9
804de6f9 8ed9 mov ds,cx
SYMBOL_STACK_INDEX: 0
SYMBOL_NAME: nt!KiFastCallEntry+9
FOLLOWUP_NAME: MachineOwner
MODULE_NAME: nt
IMAGE_NAME: ntoskrnl.exe
DEBUG_FLR_IMAGE_TIMESTAMP: 42250ff9
FAILURE_BUCKET_ID: 0x7f_d_nt!KiFastCallEntry+9
BUCKET_ID: 0x7f_d_nt!KiFastCallEntry+9
Followup: MachineOwner
---------
|
|
|
| Revenir en haut de page |
|
|
mickael44
Administrateur
Inscrit le: 05 Juin 2005
Messages: 5837
Localisation: Rennes / Ille Et Vilaine
|
| Posté le: 15 Jan 2007 à 0:19 Sujet du message: |
|
|
Salut à tous !
Dans la même catégorie, il y a WinNuke mais il se fait un peu vieux 
Je ne m'était jamais attardé sur un fichier dump, je croyais pas que c'était si bien organisé que cela ^^
Humf ... je ne suis pas expert dans la catégorie mais à mon avis, le problème n'est pas logiciel ... Le dump stipule à chaque fois des processus différents qui déconnent (le premier, c'est Firefox, le deuxieme, c'est Avast), alors ca peut paraitre complètement bête mais soit :
- Un virus a modifié le code de tous tes exe (possible)
- Soit ton proco est bizare
J'en ai aucune idée, mais c'est une piste que je donne
@+ |
|
| Revenir en haut de page |
|
|
Kane 13
Inscrit le: 04 Déc 2005
Messages: 1490
Localisation: J'habite dans le sud de ma chambre
|
| Posté le: 15 Jan 2007 à 1:17 Sujet du message: |
|
|
Ca n'a probablement rien à voir mais ...
Je me souviens que mon ancien proco faisait des siennes ... puis j'ai rajouté de la pâte termique et c'était fini ...
Je disais juste ça comme ça ... ça coûte rien d'essayé 
_________________
 |
|
| Revenir en haut de page |
|
|
Aikanaro
Inscrit le: 14 Jan 2007
Messages: 19
|
| Posté le: 15 Jan 2007 à 17:31 Sujet du message: |
|
|
Il y'a des tas de Dump, certains donnent spybot.exe, pas mal d'autres donnent firefox.exe, y'en a un qui donne msnmsgr.exe etc ...
Quoiqu'il en soit, dans Spybot c'est toujours à un moment très précis (à 1/4) donc c'est pas si aléatoire que ca le redémarrage ...
J'ai laissé allumé mon pc toute la journée sans l'utiliser et il n'a pas redémarré une seule fois. |
|
| Revenir en haut de page |
|
|
Lenouvdu44
Administrateur
Inscrit le: 01 Aoû 2005
Messages: 4919
Localisation: Grenoble
|
| Posté le: 15 Jan 2007 à 20:23 Sujet du message: |
|
|
| Kane 13 a écrit: |
Ca n'a probablement rien à voir mais ...
Je me souviens que mon ancien proco faisait des siennes ... puis j'ai rajouté de la pâte termique et c'était fini ...
Je disais juste ça comme ça ... ça coûte rien d'essayé |
Kane propose cela à tout le monde 
Si, c'est dangereux de rajouter de la pate thermique ... tu peux griller le proco d'une bonne dizaine de manière, proco et autre, donc ...
Pour info, les 0x50 ne viennent pas du proco, en principe. Pour toi laurent, c'est viral ?
_________________
L'nouv qui devient L'vieux |
|
| Revenir en haut de page |
|
|
!aur3n7
Dépanneur
Inscrit le: 11 Oct 2005
Messages: 1328
|
| Posté le: 15 Jan 2007 à 21:54 Sujet du message: |
|
|
Salut,
Pour le coté viral il faudrait le confirmer par un scan en ligne avec Kaspersky.
Sinon il est aussi possible de tenter le remplacement du fichier qui semble revenir souvent (ntoskrnl.exe ) qui doit être sur le CD de XP via la commande expand |
|
| Revenir en haut de page |
|
|
Aikanaro
Inscrit le: 14 Jan 2007
Messages: 19
|
| Posté le: 15 Jan 2007 à 23:29 Sujet du message: |
|
|
Un plantage est survenu alors que j'étais tranquillement sur msn.
Le dump n'indique non pas msnmsgr.exe mais un fichier suspect, introuvable sur google ... et introuvable sur mon disque dur ...
| Code: |
*******************************************************************************
* *
* Bugcheck Analysis *
* *
*******************************************************************************
MACHINE_CHECK_EXCEPTION (9c)
A fatal Machine Check Exception has occurred.
KeBugCheckEx parameters;
x86 Processors
If the processor has ONLY MCE feature available (For example Intel
Pentium), the parameters are:
1 - Low 32 bits of P5_MC_TYPE MSR
2 - Address of MCA_EXCEPTION structure
3 - High 32 bits of P5_MC_ADDR MSR
4 - Low 32 bits of P5_MC_ADDR MSR
If the processor also has MCA feature available (For example Intel
Pentium Pro), the parameters are:
1 - Bank number
2 - Address of MCA_EXCEPTION structure
3 - High 32 bits of MCi_STATUS MSR for the MCA bank that had the error
4 - Low 32 bits of MCi_STATUS MSR for the MCA bank that had the error
IA64 Processors
1 - Bugcheck Type
1 - MCA_ASSERT
2 - MCA_GET_STATEINFO
SAL returned an error for SAL_GET_STATEINFO while processing MCA.
3 - MCA_CLEAR_STATEINFO
SAL returned an error for SAL_CLEAR_STATEINFO while processing MCA.
4 - MCA_FATAL
FW reported a fatal MCA.
5 - MCA_NONFATAL
SAL reported a recoverable MCA and we don't support currently
support recovery or SAL generated an MCA and then couldn't
produce an error record.
0xB - INIT_ASSERT
0xC - INIT_GET_STATEINFO
SAL returned an error for SAL_GET_STATEINFO while processing INIT event.
0xD - INIT_CLEAR_STATEINFO
SAL returned an error for SAL_CLEAR_STATEINFO while processing INIT event.
0xE - INIT_FATAL
Not used.
2 - Address of log
3 - Size of log
4 - Error code in the case of x_GET_STATEINFO or x_CLEAR_STATEINFO
AMD64 Processors
1 - Bank number
2 - Address of MCA_EXCEPTION structure
3 - High 32 bits of MCi_STATUS MSR for the MCA bank that had the error
4 - Low 32 bits of MCi_STATUS MSR for the MCA bank that had the error
Arguments:
Arg1: 00000000
Arg2: 8054d370
Arg3: c4254000
Arg4: 00000136
Debugging Details:
------------------
NOTE: This is a hardware error. This error was reported by the CPU
via Interrupt 18. This analysis will provide more information about
the specific error. Please contact the manufacturer for additional
information about this error and troubleshooting assistance.
This error is documented in the following publication:
- Bios and Kernel Developers Guid for AMD Athlon(r) 64 and AMD Opteron(r) Processors
Bit Mask:
MA Model Specific MCA
O ID Other Information Error Code Error Code
VV SDP ___________|____________ _______|_______ _______|______
AEUECRC| | | |
LRCNVVC| | | |
^^^^^^^| | | |
6 5 4 3 2 1
3210987654321098765432109876543210987654321098765432109876543210
----------------------------------------------------------------
1100010000100101010000000000000000000000000000000000000100110110
VAL - MCi_STATUS register is valid
Indicates that the information contained within the IA32_MCi_STATUS
register is valid. When this flag is set, the processor follows the
rules given for the OVER flag in the IA32_MCi_STATUS register when
overwriting previously valid entries. The processor sets the VAL
flag and software is responsible for clearing it.
OVER - Error Overflow
Indicates that a machine check error occurred while the results of a
previous error were still in the error-reporting register bank (that
is, the VAL bit was already set in the IA32_MCi_STATUS register).
the processor sets the OVER flag and software is responsible for
clearing it. Enabled errors are written over disabled errors, and
uncorrected errors are written over corrected errors. Uncorrected
errors are not written over previous valid uncorrected errors.
ADDRV - IA32_MCi_ADDR register valid
Indicates that the IA32_MCi_ADDR register contains the address where
the error occurred.
MEMHIRERR - Memory Hierarchy Error {TT}CACHE{LL}_{RRRR}_ERR
These errors match the format 0000 0001 RRRR TTLL
Concatenated Error Code:
--------------------------
_VAL_OVER_ADDRV_MEMHIRERR_36
This error code can be reported back to the manufacturer.
They may be able to provide additional information based upon
this error. All questions regarding STOP 0x9C should be
directed to the hardware manufacturer.
BUGCHECK_STR: 0x9C_IA32_AuthenticAMD
CUSTOMER_CRASH_COUNT: 1
DEFAULT_BUCKET_ID: DRIVER_FAULT
PROCESS_NAME: xlfvnh.exe
LAST_CONTROL_TRANSFER: from 806f18df to 8053331e
STACK_TEXT:
8054d348 806f18df 0000009c 00000000 8054d370 nt!KeBugCheckEx+0x1b
8054d474 806ecc2e 80042000 00000000 00000000 hal!HalpMcaExceptionHandler+0xdd
8054d474 00000000 80042000 00000000 00000000 hal!HalpMcaExceptionHandlerWrapper+0x46
STACK_COMMAND: kb
SYMBOL_NAME: ANALYSIS_INCONCLUSIVE
FOLLOWUP_NAME: MachineOwner
MODULE_NAME: Unknown_Module
IMAGE_NAME: Unknown_Image
DEBUG_FLR_IMAGE_TIMESTAMP: 0
FAILURE_BUCKET_ID: 0x9C_IA32_AuthenticAMD_ANALYSIS_INCONCLUSIVE
BUCKET_ID: 0x9C_IA32_AuthenticAMD_ANALYSIS_INCONCLUSIVE
Followup: MachineOwner
--------- |
xlfvnh.exe
... Ce qui m'oriente vers une hypothèse virale.
Je vais tenter une analyse Kaspersky par internet (bien que j'en avais déjà tenté une avec Pandasoftware qui ne m'avait rien donné ... |
|
| Revenir en haut de page |
|
|
!aur3n7
Dépanneur
Inscrit le: 11 Oct 2005
Messages: 1328
|
| Posté le: 15 Jan 2007 à 23:55 Sujet du message: |
|
|
Re,
On va attendre le résultat de Kaspersky mais apres lecture du dernier
| Citation: |
FOLLOWUP_NAME: MachineOwner
MODULE_NAME: Unknown_Module
IMAGE_NAME: Unknown_Image |
il est bien possible qu'un rootkit en soi l'origine |
|
| Revenir en haut de page |
|
|
Aikanaro
Inscrit le: 14 Jan 2007
Messages: 19
|
| Posté le: 16 Jan 2007 à 0:22 Sujet du message: |
|
|
| ... Mon pc redémarre quand je lance l'analyse Kaspersky. |
|
| Revenir en haut de page |
|
|
Ajouter à : 
|
|
Ce que nous vous conseillons :
