probleme au demarage

[k3vin2142]

bonjour,

j'ai un petit pépin avec windows vista, au démarage j'ai un message d'erreur qui apparait et qui me dit ceci:

erreur dans C\users\USER\AppData\Local\Temp\nawrimpk.dll
Entrée manquante : run



pouvez vous m'aider

merci d'avance

k3vin2142

[nardino]

Bonjour.

Cela sent l'infection.
Première opération.
Télécharge sur ton bureau OAD (Outil Aide Diagnostic) de !aur3n7 :
http://sosvirus.changelog.fr/OAD.exe

Clique droit sur le fichier OAD.exe et sur Propriétés, dans l'onglet Compatibilité, Cadre "Niveau de privilège" coche "Exécuter ce programme en tant qu'administrateur"; entre le nom du fichier suivant, puis Entrée.

nawrimpk
Dans la fenêtre suivante tape 6 puis entrée et laisse le scan se terminer.
Enregistre la totalité du rapport qui s'ouvre dans le blocnote sous .txt
Puis poste-le dans ta réponse.

Deuxième opération.
Télécharge Hijackthis de Trend Micro:
http://www.trendsecure.com/portal/en-US ... e=download
Installes-le.
Il sera dans C:\Program Files\TrendMicro\HijackThis2.0.2\HijackThis.exe

[*]Lances-le par Do a system scan and save a logfile.
[*]A la fin du scan, un blocnote va s'ouvrir, enregistre le sous HJT1.txt.
[*]Puis sans le fermer :
CTRL+A pour tout sélectionner
CTRL+C pour copier
CTRL+V pour coller dans la réponse
[*]Tu le refermes pour le moment.
[*]Tu attends les résultats de l'analyse.


Important : Sous Vista, clic droit sur le fichier Hijackthis.exe ou sur le raccourci, Propriétés, Onglet Compatibilité, cocher :
"Exécuter ce programme en tant qu'administrateur"

Tu as donc deux rapports à poster pour analyse.

[k3vin2142]

voici les deux résultat:

le premier:

dim. 17/02/2008 ---- 8:08:11,09

----------------------------------
§§§§§§ [nawrimpk] §§§§§§
----------------------------------
[X] Registre

-------------- [ ] rapide
-- Fichier --- [ ] disque systeme
------------- [X] complete


********************
[Registre]
********************

Aucune entrée détectée

*******************
[Fichier]
*******************

c:\Users\USER\AppData\Local\Temp\nawrimpk.dll


*********************
[Même date]
*********************

[15/02/2008 ] --- REP ---> C:\Program Files\CCleaner
[15/02/2008 ] --- REP ---> C:\Program Files\MSN Games
[15/02/2008 ] --- REP ---> C:\Program Files\Yahoo!
[15/02/2008 ] ---> C:\hiberfil.sys
[15/02/2008 ] ---> C:\Windows\ntbtlog.txt
[15/02/2008 ] ---> C:\Windows\PFRO.log



Outil Aide Diagnostic By !aur3n7 Version 1.1
----------------------------------
§§§§§ Fin Rapport §§§§§
----------------------------------

le deuxieme:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 8:19:50, on 17/02/2008
Platform: Windows Vista (WinNT 6.00.1904)
MSIE: Internet Explorer v7.00 (7.00.6000.16609)
Boot mode: Normal

Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\system32\taskeng.exe
C:\Program Files\Windows Defender\MSASCui.exe
C:\Windows\System32\rundll32.exe
C:\Windows\System32\rundll32.exe
C:\Program Files\Alwil Software\Avast4\ashDisp.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\Shareaza\Shareaza.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\Drmupgds\Drmupgds.exe
C:\Windows\System32\rundll32.exe
C:\Windows\System32\rundll32.exe
C:\Windows\system32\wbem\unsecapp.exe
C:\Windows\system32\conime.exe
C:\Program Files\Internet Explorer\ieuser.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Windows\explorer.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://google.fr/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
R3 - URLSearchHook: Best Security Tips Toolbar - {da30eff8-ccc6-4162-a20d-67402a26a215} - C:\Program Files\Best_Security_Tips\tbBest.dll
R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O1 - Hosts: ::1 localhost
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O2 - BHO: Best Security Tips Toolbar - {da30eff8-ccc6-4162-a20d-67402a26a215} - C:\Program Files\Best_Security_Tips\tbBest.dll
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Best Security Tips Toolbar - {da30eff8-ccc6-4162-a20d-67402a26a215} - C:\Program Files\Best_Security_Tips\tbBest.dll
O3 - Toolbar: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32\nvsvc.dll,nvsvcStart
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [MSServer] rundll32.exe C:\Windows\system32\urqoopn.dll,#1
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [Shareaza] "C:\Program Files\Shareaza\Shareaza.exe" -tray
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Drmupgds] C:\Program Files\Drmupgds\Drmupgds.exe
O4 - HKCU\..\Run: [cmds] rundll32.exe C:\Users\USER\AppData\Local\Temp\khfde.dll,c
O4 - HKCU\..\Run: [MSServer] rundll32.exe C:\Users\USER\AppData\Local\Temp\xxyab.dll,#1
O4 - HKCU\..\Run: [EPSON Stylus DX4400 Series] C:\Windows\system32\spool\DRIVERS\W32X86\3\E_FATICAE.EXE /FU "C:\Windows\TEMP\E_SC41B.tmp" /EF "HKCU"
O4 - HKCU\..\Run: [960f6975] rundll32.exe "C:\Users\USER\AppData\Local\Temp\flxwktlk.dll",b
O4 - HKCU\..\Run: [MS Juan] rundll32 "C:\Users\USER\AppData\Local\Temp\wousvpkh.dll",run
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')
O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm
O13 - Gopher Prefix:
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dll
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/s ... wflash.cab
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: PnkBstrA - Unknown owner - C:\Windows\system32\PnkBstrA.exe

--
End of file - 5709 bytes

[nardino]

Bonjour,

Pour info voici la source plus que probable de tes problèmes :
O4 - HKCU\..\Run: [Shareaza] "C:\Program Files\Shareaza\Shareaza.exe" -tray

Cette procédure sera effectuée en mode sans échec pour la majeure partie.
Je te conseille :
-Ou de l'imprimer et de cocher les actions effectuées au fur et à mesure.
-Ou de l'enregistrer sur le bureau avec le bloc-note sous "Procédure.txt" par exemple, afin de pouvoir le consulter.

Prends le temps de bien lire, d'appliquer ce qui est préconisé et si tu rencontres des difficultés, n'hésite pas à poser des questions.
Chaque phrase a son importance et il faut bien respecter cette procédure dans l'ordre pour agir efficacement.
Cependant, si tu rencontres un problème, saute une étape et informe-moi sur cette difficulté.

**A télécharger (si nécessaire)**

-"OTMoveIt" : http://download.bleepingcomputer.com/ol ... oveIt2.exe
Sur ton bureau. Il ne nécessite pas d'installation.
-"CCleaner slim" : http://www.ccleaner.com/download/builds ... ading-slim
Installes-le sans l'utiliser pour le moment.
Un excellent tutoriel de Jesses pour le paramétrer :
http://perso.orange.fr/jesses/Docs/Logi ... leaner.htm
-"AVG Antispyware" : http://www.ewido.net/en/download/
Installe-le.
Tu ouvres AVG AntiSpyware et tu le mets à jour par le bouton Mise à jour en haut à gauche, et Commencer la mise à jour.
Puis choisis le bouton "Analyse".
Puis l'onglet "Paramètres"
Sous la question "Comment réagir ?", clique gauche sur "Actions recommandées" et choisis "Quarantaine"
Coche "Générer un rapport après chaque analyse".
Quitte-le pour le moment.
Pour CCleaner et AVG AS, tu cliques droit sur l'icône et sur Propriétés dans le menu.
Tu vas dans l'onglet compatibilité et tu coches Exécuter ce rpogramme en tant qu'administrateur.
-"Antivir" de Avira : http://www.free-av.com/
Clique sur "download here" en bas de la colonne Classic et dans la fenêtre suivante clique sur la version de ton système.
Enregistre le fichier (16.4 Mo) et installe le programme.
Voici un tutoriel pour ce faire et bien paramétrer le programme.
http://speedweb1.free.fr/frames2.php?page=tuto5
Merci à Tesgaz.
Mets-le à jour et referme-le.
Il sera désinstallé à la fin de la désinfection.

**Démarrage en mode sans échec**

Après la fermeture de la première fenêtre, au tout début de la phase de démarrage du PC (boot), appuyer sur F8.
Une fenêtre de type DOS s'ouvre, sélectionner Mode sans échec à l'aide des flèches du clavier et cliquer sur Entrée (Enter) une fois surligné.
Ne t'inquiète pas de l'aspect, Windows démarre avec le minimum nécessaire.

**Nettoyage des fichiers temporaires**

Ouvre CCleaner et clique sur Analyse, puis quand elle est terminée, clique sur Lancer le nettoyage.
Il sera effectué même si tu vois encore l'affichage dans le cadre principal.

**Hijackthis**

Tu lances Hijackthis par le bouton "Scan only" et tu coches:

R3 - URLSearchHook: Best Security Tips Toolbar - {da30eff8-ccc6-4162-a20d-67402a26a215} - C:\Program Files\Best_Security_Tips\tbBest.dll
O2 - BHO: Best Security Tips Toolbar - {da30eff8-ccc6-4162-a20d-67402a26a215} - C:\Program Files\Best_Security_Tips\tbBest.dll
O3 - Toolbar: Best Security Tips Toolbar - {da30eff8-ccc6-4162-a20d-67402a26a215} - C:\Program Files\Best_Security_Tips\tbBest.dll
O4 - HKLM\..\Run: [MSServer] rundll32.exe C:\Windows\system32\urqoopn.dll,#1
O4 - HKCU\..\Run: [cmds] rundll32.exe C:\Users\USER\AppData\Local\Temp\khfde.dll,c
O4 - HKCU\..\Run: [MSServer] rundll32.exe C:\Users\USER\AppData\Local\Temp\xxyab.dll,#1
O4 - HKCU\..\Run: [960f6975] rundll32.exe "C:\Users\USER\AppData\Local\Temp\flxwktlk.dll",b
O4 - HKCU\..\Run: [MS Juan] rundll32 "C:\Users\USER\AppData\Local\Temp\wousvpkh.dll",run

Tu cliques sur "Fix checked" et tu refermes Hijackthis.

**Nettoyage**

Lance OTMoveIt.
Copie et colle la liste ci-dessous dans le volet de gauche "Paste List of Files/Folders to Move" et clique sur "MoveIt!" pour lancer la suppression.
La case "Unregister Dll's and OCX's" doit être cochée.

C:\Windows\system32\urqoopn.dll
C:\Users\USER\AppData\Local\Temp\khfde.dll
C:\Users\USER\AppData\Local\Temp\xxyab.dll
C:\Users\USER\AppData\Local\Temp\flxwktlk.dll
C:\Users\USER\AppData\Local\Temp\wousvpkh.dll
c:\Users\USER\AppData\Local\Temp\nawrimpk.dll
C:\Windows\ntbtlog.txt
C:\Windows\PFRO.log

Il te sera peut-être demander de redémarrer le pc pour achever la suppression.
Si c'est le cas attends la fin de la procédure pour redémarrer.

**Scan anti-malwares**

Lance AVG Antispyware.
Tu choisis dans Analyse : "Analyse complète du système".
Puis quand le scan est terminé, tu choisis Appliquer les actions, bouton en bas à gauche.
Tu sauves le rapport pour le poster plus tard.

Lance Antivir, tu cliques sur l'icône du bureau pour le lancer.
Dans l'onglet Scanner,; tu cliques sur la croix devant Manual Selection et tu coches Poste de travail.
Tu laisses tout coché pour la première analyse.
Tu cliques sur l'icône en forme de loupe en-dessous de Status pour lancer l'analyse qui peut durée une heure.
A la première alerte :
Tu choisis "Moved to quarantine" à la première alerte et tu coches la case "Apply selection to the all following detections".
Quand le scan est terminé, tu clique sur End.

**Redémarrage en mode normal**

Poste les rapports AVG AntiSpyware, OTMoveIt, Antivir et un nouveau log Hijackthis établi en mode normal.
Donne des infos sur l'évolution de la situation et les problèmes éventuellement rencontrés lors de la procédure.

Tu vas dans ce dossier:
C:\Program Files\Drmupgds
Tu renommes Drmupgds.exe en Drmupgds.exe.old

Et tu me dis si cela a des conséquences sur la lecture de tes fichiers musicaux ou vidéos.

Ce programme est légitime mais c'est la première fois que je le rencontre sur un pc.
Il gère les DRM (Digital Right Management)
@+

[k3vin2142]

Merci 'ai fait tout etape par etape et je n'ai plus rien comme probleme

encore merci

@++

k3vin2142

[nardino]

Bonsoir,

Poste les rapports AVG AntiSpyware, OTMoveIt, Antivir et un nouveau log Hijackthis établi en mode normal.

Ils sont où ces rapports ???

@+

[noumaios]

Bonjour,

j'ai le même problème. message : c:\ users\david\appdata\local\temp\mcmtfyvv.dll
entré manquante : run

quand j'ouvre l'explorateur, ou un répertoire ou le panneau de configuration, ceux-ci se referment aussitôt.

dois-je faire les même manip ?

[nardino]

Bonjour noumaios,
Merci de créer ta propre question, sinon dans deux posts on ne saura plus qui répond à qui.
Une question par auteur.
Ceci n'est pas fait pour emmerder qui que ce soit mais pour des raisons de clarté basées sur l'expérience.
@+