svchost 99% proc + rogue killer ne supprime pas elements

[Seyb]

Bonjour.
A mon retour de vacances j'ai eu tous mes drivers dell qui ont sautés, impossible de les réinstaller, j'ai donc fait une restauration système.

Depuis des lenteurs incroyables, j'ai remarqué qu'un des processus svchost prenais 99% du calcul du processeur.
J'ai quelques processus qui me semblent bizarres et que je n'avais pas avant 1Xconfig.exe ZCfgSvc.exe...

J'essaye de nettoyer mon pc avec (telechargés sur les sites officiels):
Process explorer se lancait (preuve avec taskmgr) mais restait en caché impossible de mettre au premier plan (résolu depuis)
Malwarebyte et adremover n'ont rien trouvé
Rogue killer m'a mis quelques fichiers en quarantaine m'ais n'a pas pu en retirer la plus grosse partie.
Combofix même renommé en mode sans échec reste figé indéfiniment.

La je met à jour antivirus et windows et continue a chercher...

log hijack

http://pjjoint.malekal.com/files.php?id ... 12k15x15w7

log roguekiller

http://pjjoint.malekal.com/files.php?id ... 3x10b13v12

En attendant des conseils, merci.

[Malekal_morte]

Salut,

As-tu installé HOSTS ANtiPUPS ?
si oui, as-tu bien désactivé le service client DNS ?

fais ça :

Passe un coup de TDSSKiller : http://forum.malekal.com/tdsskiller-kas ... 28637.html
Fais skip sur les détections.
Clic en haut à droite sur reports.
Vas sur http://pjjoint.malekal.com et copie/colle le contenu du rapport TDSSKiller en bas, fais envoyer.
Donne le lien du rapport pjjoint ici dans un nouveau message.


puis:


Faire un scan OTL pour diagnostiquer les programmes qui tournent et déceler des infections - Le programme va générer deux rapports OTL.txt et Extras.txt
Fournir les deux rapports :

Tu peux suivre les indications de cette page pour t'aider : https://www.malekal.com/2010/11/12/tutorial-otl/

* Télécharge http://oldtimer.geekstogo.com/OTL.exe sur ton bureau.
(Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)

Dans le cas d'Avast!, ne pas lancer le programme dans la Sandbox (voir lien d'aide ci-dessus).

* Lance OTL
* En haut à droite de Analyse rapide, coche "tous les utilisateurs"
* Sur OTL, sous Personnalisation, copie-colle le script ci-dessous :



netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%temp%\*.exe /s
%SYSTEMDRIVE%\*.exe
%systemroot%\*. /mp /s
%systemroot%\system32\consrv.dll
%systemroot%\system32\*.dll /lockedfiles
%windir%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
/md5start
explorer.exe
winlogon.exe
services.exe
wininit.exe
/md5stop
HKEY_CLASSES_ROOT\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32 /s
HKEY_LOCAL_MACHINE\SYSTEM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\AppCertDlls /s
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList /s
HKEY_LOCAL_MACHINE\Software\Microsoft\Command Processor /s
HKEY_CURRENT_USER\Software\Microsoft\Command Processor /s
CREATERESTOREPOINT
nslookup http://www.google.fr /c
SAVEMBR:0
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs



* Clique sur le bouton Analyse.

* Quand le scan est fini, utilise le site http://pjjoint.malekal.com/ pour envoyer le rapport OTL.txt (et Extra.txt si présent).
Donne le ou les liens pjjoint qui pointent vers ces rapports ici dans une réponse.
Je répète : donne le lien du rapport pjjoint ici en réponse.

<gras>NE PAS COPIER/COLLER LE RAPPORT ICI - DONNER LE LIEN PJJOINT DANS UN NOUVEAU MESSAGE</gras>

[Seyb]

Merci mak pour ta réponse rapide

C'est un pc de travail je pense que quelqu'un l'a utilisé pendant mon absence il sert à gérer les autocom et donc pas mal de programmes touchent aux différentes couches. A ma connaissance HOSTS ANtiPUPS n'a pas été installé.
Peut être c'est le RAZ host de rogue killer...

Pour tdss le scan avait été fait en mode sans échec sans rien trouver.
J'ai fais les scans demandés en mode normal, pour Tdss j'ai coché toutes les cases mais rien vu pour skip sur detections.

http://pjjoint.malekal.com/files.php?id ... 7b9v128g13
http://pjjoint.malekal.com/files.php?id ... v8c14d7o10
http://pjjoint.malekal.com/files.php?id ... j13q8c7y15

[Malekal_morte]

Menu Démarrer / executer et tape services.msc
Dans la liste, dans la colonne nom, cherche : Intel Corporation
Double-clic dessus et mets le type de démarrage sur manuel.

pareil sur tous les services Intel.

Redémarre et vois ce que cela donne.

[Seyb]

re
Le seul service que j'ai est "intel ncs net service" déjà en manuel je l'ai désactivé puis remis en manuel.
Après redémarrage il semble que le process svchost "reste tranquille" tant que je n'essaye pas d’accéder à internet, une fois que je tente de me connecter (j'y arrive pas) le process s'affole à nouveau.

J'ai retrouvé sur un bout de papier le message d'erreur avant restauration "centre de gestion srv 7415 - impossible de réparer la base de données du centre de gestion schelder_task.

Du coup c'est tellement merdique que je me demande si c'est vraiment un virus ou si c pas windows qui est tout simplement flingué

[Malekal_morte]

Je pense que c'est plutôt Windows.

[Seyb]

ok mais alors ce que rogue killer ne supprime pas c'est du faux positif?
Si oui tu peux passer le post en résolu.

[Malekal_morte]

oui pour les drivers.