[thene]

Bonjour,
j'ai un probleme avec winlogon.exe
quand je démarre mon ordianteur, celui-ci augmente sans cesse en memoire vive utilisé jusqu'a prendre 100% de l'UC et toute la memoire vive sans que je puisse rien faire. Cela se fait progressivement et au bout de 30minutes l'ordinateur est inutilisable.
J'ai passé Spybot, Ad-aware, Ccleaner avec les mise a jours mais rien n'y fait.
J'ai passé un scan de Avast et de l'antivirus Netsky mais ca na rien changé non plus.

J'utilise Windows edition familiale SP2 

[!aur3n7]

Bonjour,

Première chose a vérifier c'est le risque d'infection

=> Fais un scan en ligne avec Internet explorer
* Rend toi sur ce site http://webscanner.kaspersky.fr/
- Clique sur l'image de droite Kaspersky Online scanner
-- Une notice s'affichera , clique sur le bouton j'accepte (après en avoir pris connaissance bien sur)
note: Si le scanner n'a pas encore été installé (ActivX) un message te demandera si tu accepte ou non de le faire.
-- L'installation et la mise à jour de la base antivirale se feront automatiquement.
* Clique sur Suivant
* Clique sur le bouton paramètres d'analyse
-- à l'option analyser avec la base antivirus suivant :
---- [X] étendue
-- dans les options d'analyse contrôle que les cases suivantes soient cochées
---- [X] analyser les archives
---- [X] analyser les bases de messagerie
-- Clique sur le bouton OK
* choisis Poste de travail pour lancer le scan
* Une fois le scan terminé sauvegarde le rapport Clique sur Enregistrer rapport sous
-- Pour le retrouver facilement met le sur le bureau
-- dans nom de fichier entre Kaspersky
-- A type de fichier choisis text file (*.txt) puis clique sur le bouton enregistrer
* Fais un copier coller du contenu de ce fichier dans ta prochaine réponse.

Note :
- En cas de problème vérifies ces quelques points http://www.malekal.com/scan_Av_en_ligne.html#mozTocId898809
- Ton antivirus résident pourrait empêcher ou perturber le déroulement du scan. Kaspersky conseille de le désactiver avant de lancer le scan. (pour la durée du scan uniquement)
- En cas de problème tu trouveras une démonstration animée sur le lien donné ou si besoin un tutoriel http://www.malekal.com/scan_Av_en_ligne.html#mozTocId291566 

[thene]

Désolé j'ai mis du temps pour repondre mais l'analyse a duré 4h.
Voici le rapport :

-------------------------------------------------------------------------------
Log supprimé 

[!aur3n7]

Bonjour thene,

Ce rapport démontre en effet une infection mais ca je crois que tu t'en doute.
Voici donc la suite.

=> Télécharge combofix (sUBs) http://download.bleepingcomputer.com/sUBs/combofix.exe
- Met le sur sur ton Bureau.

* Double clique combofix.exe et laisse toi guider par les indications.
* Lorsque l'analyse sera terminée, un rapport apparaîtra.
* Copie-colle ce rapport dans ta prochaine réponse.

Note : Ne clique pas sur la fenêtre de ComboFix lorsqu'il tourne, cela peut le faire planter !

Bon dimanche! 

[thene]

Voici le rapport, mais je peux faire un rapport de Hijackthis si tu veux.
Famille - 06-11-19 12:28:10,26 Service Pack 2
Log supprimé: 06-11-19 12:30:01.21
C:\ComboFix.txt ... 06-11-19 12:30 

[!aur3n7]

Re bonjour,

[thene]

Re bonjour,
Voici le rapport :

Log supprimé - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe 

[!aur3n7]

Re,
L'infection présente sur ton ordinateur est relativement récente pour moi et c'est la première fois que je m'y confronte pour tout dire.
On va donc essayer de faire pour le mieux en espérant t'apporter une aide efficace et rapide.


- Une partie de cette procédure s'effectuera en mode sans échec. Je te recommande d'imprimer ce qui suit ou en faire un copier coller dans un fichier texte que tu enregistreras de façon à le retrouver facilement y compris en mode sans échec (Le bureau par exemple)
- J'attire également ton attention sur l'importance de communiquer les résultats obtenus même si les symptômes ont disparus.
* l'absence de symptômes ne confirme en rien une absence d'infection.

Bon assez de blabla et attaquons ce nettoyage !

=> Déplace Hijackthis
pour des raisons pratiques et t'éviter de voir arriver un nouveau dossier "backup" sur le bureau je te conseille de creer un dossier et y placer hijackthis. Le dossier backup y sera créé automatiquement.


=> Télécharge ATF-Cleaner (Attribune) : http://www.atribune.org/ccount/click.php?id=1
-- Met le sur ton bureau
Note: Pour augmenter l'efficacité nous l'utiliserons ultérieurement en mode sans echec


=> Télécharge jv16-powertools (Jouni Vuorio) http://telechargement.zebulon.fr/201-jv16-powertools.html
note : Cette version est la dernière qui a été distribuée gratuitement. Une version plus récente existe mais est payante après une période d'essai de 30 jours.
- Voici un tutoriel si besoin http://www.zebulon.fr/articles/base-de-registre-3.php


=> Télécharge AVG AntiSpyware .
http://www.ewido.net/en/download/
-- Installe le
* Lance AVG AntiSpyware
-- menu Mises à jour
---- Clique sur le bouton Commencer la mise à jour
-- menu analyse onglet paramètres
---- dans la catégorie Rapports coche les cases
[X] Générer un rapport après chaque analyse
[X] Uniquement en cas de menace
---- Dans la catégorie Comment réagir ? sélectionne Quarantaine
* Quitte AVG anti-spyware


Note :
AVG anti-spyware est en version d'essai de 30 jours. Il sera toujours possible de l'utiliser après cette période mais il ne disposera plus de la protection résidente ni des mises a jour automatiques. Il faudra donc lancer manuellement la mise à jour et le scan.
- Si besoin un tutoriel http://www.malekal.com/tutorial_AVG_AntiSpyware.html


=> Redémarre ton PC en mode sans échec
-- Ce mode permet d'augmenter les chances de succès des manipulations qui vont suivre.

- Au démarrage de l'ordinateur "tapote" la touche F8 de ton clavier jusqu'à ce que les options de démarrage apparaissent.
* A l'aide des touches de ton clavier descend jusque Mode sans échec puis valide par la touche [entrée]
-- Si le choix est proposé choisis le même nom d'utilisateur qu'en mode normal.

Note :
-- Windows démarrera avec le strict minimum nécessaire. Tu ne pourras pas te connecter ou utiliser certaines fonctions ou programmes.
-- L'affichage sera inhabituel avec par exemple des icônes plus grandes.


=> suppression du service
* Démarrer > executer tape cmd valide
dans la fenetre tape ou fais un copier coller
SC DELETE Network Logons
Valide par la touche [entrée]


=> Lance Hijackthis
-- Clique sur Do a system scan only
---- Coche les cases correspondant à ces lignes

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.7939.com/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.7939.com/
F2 - REG:system.ini: Shell=explorer.exe 1
O1 - Hosts: 218.5.76.175 www.huoche.com.cn
O2 - BHO: YDragSearch - {62EED7C6-9F02-42f9-B634-98E2899E147B} - (no file)
O2 - BHO: (no name) - {A3DC303A-4354-4275-BD81-9EB0903D2186} - (no file)
O3 - Toolbar: Sonerie Toolbar - {157B91D9-D643-403b-92FE-FB48DA68D6C4} - C:\PROGRA~1\SONNER~1\toolbar.dll
O4 - HKLM\..\Run: [wl] C:\WINDOWS\Download\svhost32.exe
O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u
O4 - HKLM\..\Run: [TProgram] C:\WINDOWS\smss.exe
O4 - HKCU\..\Run: [msnnt] C:\WINDOWS\winampc.exe
O4 - HKCU\..\Run: [SaveMail] C:\WINDOWS\system32\MSSOFT\winampe.exe
O4 - Global Startup: IE-Bar.lnk.disabled

---- Clique sur Fix cheked
-- Quitte Hijackthis


=> Autorise l'affichage des fichiers et dossiers cachés

* Clique sur Démarrer >>> Panneau de configuration
* Dans le menu en haut clique sur Outils choisis Option des dossiers
* Sélectionne l'onglet Affichage
-- [X] Coche Afficher les Fichiers et dossiers cachés
-- [ ] Décoche Masquer les fichiers protégés du système d'exploitation
-- [ ] Décoche Masquer les extensions dont le type est connu
* clique succesivement sur
-- En haut Appliquer à tous les dossiers
-- En bas Appliquer et Ok pour valider les changements
* Ferme la fenêtre


=> Recherche et supprime ce(s) dossier(s)

[thene]

[thene]

Re,
Je n'ai pas encore fini tout ce que tu m'as demandé, mais je te fais savoir que meme avant que tu me le précise, depuis le debut je fais tout en mode sans echec avec la prise en charge du reseau.
En mode normal je n'aurais pas pu faire un scan kaspersky. Au bout d'une heure l'ordinateur etant saturé. 

[!aur3n7]

Re,
OK pas de souci, a vrai dire j'etais aussi étonné de ne pas avoir eu la remarque concernant une probable saturation de la mémoire.  

[thene]

Bon, je t'envoie le rapport de AVG anti spyware et de hijackthis en mode normal mais je ne peux pas t'envoyer celui de kaspersky online pour le moment.
J'ai essayé a 4reprise de faire le scan, la premiere fois en mode normal, ça c'est arreté la fois suivante la nuit le lendemain matin l'ordinateur avait freeze, la fois suivante la journée, meme scenario, et la je viens d'en faire un et je n'aurais pas du naviguer sur ne le net pendant ce temps la j'ai eu un message d'erreur winlogon apres 5s de bug, plus aucune fenetre ne repondait.
L'ordinateur s'est donc redémarré, je vais reessayer en surveillant l'ordinateur et j'espere que ça marchera.

mais en attendant j'ai toujours les autres rapports :

---------------------------------------------------------
Log supprimé

Le rapport Hijackthis sur un nouveau message 

[thene]

Voici le rapport Hijackthis

Log supprimé - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe 

[!aur3n7]

Bonjour thene.

Pas la peine pour le scan Kaspersky pour le moment du moins.
L'infection présente (a priori une infection chinoise) doit dissimuler d'autres processus cachés ce qui nuit à la détection ou suppression correcte des fichiers en cause.
Dans un premier temps je vais te demander un nouveau rapport qui a pour but de dévoiler les processus cachés.
Après quoi j'essaierais de faire une procédure d'éradication des fichiers infectés si possible en une seule opération en incluant la synthèse des rapports deja fourni (AVG a déjà fait du ménage)
le scan de Kaspersky à la fin pour vérifier qu'il ne reste rien d'autre mais on y est pas encore la priorité étant de retrouver la stabilité du systeme en mode normal.

- Voici donc pour le fameux scan.

=> Télécharge gmer : http://www.gmer.net/gmer.zip
-- Décompresse le sur ton bureau

Ferme toutes les applications non indispensables
- Lance Gmer.exe
* Onglet "rootkit"
-- Controle que la case [ ] "show all" soit bien décochée
* clique sur Scan
* une fois le scan terminé, clique sur "copy"
- Ouvre le bloc-note (Démarrer > tous les programmes > accessoire)
* Clique sur Edition puis choisis coller
* Enregistre ce fichier sur ton bureau
* Fais un copier coller de son contenu dans ta prochaine réponse

Note:
Il se peut que ton antivirus émet une alerte concernant Gmer, Ignore la et continu tout de même. 

[thene]

Voici d'abord le scan kaspersky que j'ai reussi a faire
je te l'envoie avant d'avoir effecué le scan de gmer :

-------------------------------------------------------------------------------
Log supprimé