[Résolu] PC lent malgrè un minimum de processus démarrage

[marticot]

bonjour
depuis quelques temps, mon pc est lent. quand j'utilise word, Excel ou outlook, je suis obligé d'attendre quelques secondes car le programme affiche parfois "ne répond pas" ; ou attendre qu'il se débloque... avant de retaper des lettres ou chiffres...
avec ccleaner, j'ai supprimé, il me semble, le maximum de processus au démarrage mais peut-être pourriez-vous me dire s'il y a un souci et ce que je pourrais supprimer. j'ai installé récemment itunes pour avoir accès aux documents de itunes U (documents de formations universitaires en ligne) mais peut-être que des programmes inutiles se sont installés seuls.
voici le log d'HijackThis
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 08:46:50, on 07/04/2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir Desktop\sched.exe
C:\Program Files\Avira\AntiVir Desktop\avguard.exe
C:\Program Files\Fichiers communs\Apple\Mobile Device Support\AppleMobileDeviceService.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\Documents and Settings\xxxxxxx\Bureau\HiJackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://serveur/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-21-1177238915-776561741-839522115-1003\..\Run: [QuickTime Task] "C:\Program Files\QuickTime Alternative\QTTask.exe" -atboottime (User 'xxsxxxx')
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windows ... 6096474640
O17 - HKLM\System\CCS\Services\Tcpip\..\{C4C75951-7F72-46C9-8959-6F353A77397C}: NameServer = 213.136.96.2,213.136.96.37
O23 - Service: Avira AntiVir Planificateur (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files\Fichiers communs\Apple\Mobile Device Support\AppleMobileDeviceService.exe
O23 - Service: Service Bonjour (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: Service de l’iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

--
End of file - 4044 bytes
______________
PS : je n'ai pas d'ipod... n'utilise pas msn, messenger, etc...

j'ai vu avec Revo que j'ai des fichiers d'autres langues installés pour windows... framework 3 installé 2 fois... windows présentation fondation qui est lourd (utile ?) tout comme windows communication fondation...
voici la liste Glarys des programmes installés
Programme(s) installé(s) sur votre ordinateur (61 programme(s)) :
----------------------------------------------------------------------
Revo Uninstaller 1.85
QuickTime
Apple Software Update
iTunes
Bonjour
Apple Mobile Device Support
Apple Application Support
CCleaner
MyDefrag v4.2.9
Glary Utilities 2.20.0.831
Microsoft Visual C++ 2005 Redistributable
QuickTime Alternative 3.1.1
VLC media player 1.0.5
Java(TM) 6 Update 18
PDFCreator
PDF-Viewer
HijackThis 2.0.2
Malwarebytes' Anti-Malware
FreeCommander 2009.02a
Adobe Shockwave Player 11.5
hp LaserJet 1010 Series
FileHippo.com Update Checker
Outil de suppression des métadonnés
Avira AntiVir Personal - Free Antivirus
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17
7-Zip 4.65
ffdshow [rev 2033] [2008-07-05]
Windows Presentation Foundation
pptPlex from Microsoft Office Labs
Windows Communication Foundation
Windows Workflow Foundation FR Language Pack
Windows Presentation Foundation Language Pack (FRA)
Windows Workflow Foundation
Microsoft .NET Framework 3.0
Module de prise en charge linguistique du français de Microsoft .NET Framework 3.0
MSXML 6.0 Parser (KB925673)
Microsoft .NET Framework 3.0 French Language Pack
Search Settings 1.2
Microsoft Office Professional Plus 2007
Realtek AC'97 Audio
Windows Media Format Runtime
Microsoft Office PowerPoint MUI (French) 2007
Microsoft Office Outlook MUI (French) 2007
Microsoft Office Proof (Arabic) 2007
Microsoft Office Professional Plus 2007
Microsoft Office Access MUI (French) 2007
Intel(R) PRO Network Connections 12.3.31.0
Microsoft Office InfoPath MUI (French) 2007
Microsoft Office Excel MUI (French) 2007
Microsoft Office Proof (Dutch) 2007
Microsoft Office Publisher MUI (French) 2007
Microsoft Office Proofing (French) 2007
Microsoft Office Word MUI (French) 2007
Microsoft Office Shared MUI (French) 2007
Microsoft Office Proof (French) 2007
Microsoft Office Proof (English) 2007
Microsoft Office Proof (Spanish) 2007
Microsoft Office Proof (German) 2007
Adobe Flash Player 10 ActiveX
Adobe Flash Player 10 Plugin
Intel(R) Extreme Graphics 2 Driver
merci d'avance

[SkyTech]

Salut,

j'ai vu avec Revo que j'ai des fichiers d'autres langues installés pour windows... framework 3 installé 2 fois... windows présentation fondation qui est lourd (utile ?) tout comme windows communication fondation...

C'est normal, ne tkt pas.

Search Settings 1.2

voir : http://forum.malekal.com/search-setting ... 21599.html

/!\ Désactive temporairement ton antivirus /!\

Télécharge AD-Remover (de Cyrildu17 / C_XX) sur ton Bureau.

• /!\ Déconnecte-toi et ferme toutes applications en cours /!\
• Double-clique sur le raccourci Ad-Remover sur ton Bureau.
• Prends Nettoyer
  
  /!\ Laisse travailler l'outil /!\
• Poste le rapport qui apparaît à la fin.

(Le rapport est sauvegardé aussi sous C:\Ad-report(date).log)

(CTRL+A pour tout sélectionner, CTRL+C pour copier et CTRL+V pour coller)

Note :"Process.exe", une composante de l'outil, est détectée par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

[marticot]

.
bonjour et merci de la réponse rapide.
1) j'ai désinstallé Search Settings 1.2
2) voici le rapport d'AD-Remover

======= RAPPORT D'AD-REMOVER 2.0.0.0,B | UNIQUEMENT XP/VISTA/7 =======
.
Mis à jour par C_XX le 31/03/10 à 21:30
Contact: [email protected]
Site web: http://pagesperso-orange.fr/NosTools/ad_remover.html
.
Lancé à: 09:58:34 le 07/04/2010 | Mode normal | Option: CLEAN
Exécuté de: C:\Ad-Remover\ADR.exe
SE: Microsoft® Windows XP™ Service Pack 3 - X86
Nom du PC: ASTrucbidule | Utilisateur actuel: Administrateur (Administrateur)
.
============== ÉLÉMENT(S) NEUTRALISÉ(S) ==============
.
.
\Documents and Settings\TrucBidule\Application Data\Dealio
\Documents and Settings\TrucBidule\Application Data\pdfforge
\Documents and Settings\TrucBidule\Application Data\Search Settings

(!) -- Fichiers temporaires supprimés.
.
HKLM\Software\Dealio
.
.
============== SCAN ADDITIONNEL ==============
.
* Mozilla FireFox Version 3.6.3 (fr) *
.
C:\Documents and Settings\Administrateur\..\ws3w42lp.default\prefs.js - browser.download.dir: C:\\Documents and Settings\\Administrateur\\Mes documents
C:\Documents and Settings\Administrateur\..\ws3w42lp.default\prefs.js - browser.download.lastDir: C:\\Documents and Settings\\TrucBidule\\Mes documents
C:\Documents and Settings\Administrateur\..\ws3w42lp.default\prefs.js - browser.startup.homepage: hxxp://fr.yahoo.com/
C:\Documents and Settings\Administrateur\..\ws3w42lp.default\prefs.js - browser.startup.homepage_override.mstone: rv:1.9.2
\Documents and Settings\Administrateur\..\ws3w42lp.default\prefs.js - browser.download.dir: C:\\Documents and Settings\\Administrateur\\Mes documents
\Documents and Settings\Administrateur\..\ws3w42lp.default\prefs.js - browser.download.lastDir: C:\\Documents and Settings\\TrucBidule\\Mes documents
\Documents and Settings\Administrateur\..\ws3w42lp.default\prefs.js - browser.startup.homepage: hxxp://fr.yahoo.com/
\Documents and Settings\Administrateur\..\ws3w42lp.default\prefs.js - browser.startup.homepage_override.mstone: rv:1.9.2
\Documents and Settings\TrucBidule\..\btm96hi1.default\prefs.js - browser.download.dir: C:\\Documents and Settings\\TrucBidule\\Bureau
\Documents and Settings\TrucBidule\..\btm96hi1.default\prefs.js - browser.download.lastDir: C:\\Documents and Settings\\TrucBidule\\Bureau
\Documents and Settings\TrucBidule\..\btm96hi1.default\prefs.js - browser.startup.homepage: hxxp://fr.yahoo.com/
\Documents and Settings\TrucBidule\..\btm96hi1.default\prefs.js - browser.startup.homepage_override.mstone: rv:1.9.2.3
.
.
* Internet Explorer Version 8.0.6001.18702 *
.
[HKCU\Software\Microsoft\Internet Explorer\Main]
.
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=i ... ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Do404Search: 0x01000000
Enable Browser Extensions: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
Show_ToolBar: yes
Start Page: hxxp://fr.msn.com/
.
[HKLM\Software\Microsoft\Internet Explorer\Main]
.
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=i ... ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Delete_Temp_Files_On_Exit: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search bar: hxxp://search.msn.com/spbasic.htm
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Start Page: hxxp://fr.msn.com/
.
[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS]
.
Tabs: res://ieframe.dll/tabswelcome.htm
Blank: res://mshtml.dll/blank.htm
.
========================================
.
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp: 2 Fichier(s), 29 Dossier(s)
C:\WINDOWS\temp: 2 Fichier(s), 0 Dossier(s)
Temporary Internet Files: 0 Fichier(s), 2 Dossier(s)
.
C:\Ad-Remover\Quarantine: 0 Fichier(s)
C:\Ad-Remover\Backup: 13 Fichier(s)
.
.
Fin à: 10:03:05, 07/04/2010
.
============== E.O.F - CLEAN[1] ==============

[SkyTech]

Re,

Relance AD-Remover et prends Désinstaller.

Redémarre.

Comment se comporte le PC ?

[marticot]

c'est fait. je n'ai pas l'impression que ca ait changé quelque chose...

[SkyTech]

Re,

Vérifie l'Ultra-DMA : http://forum.malekal.com/activer-ultra- ... =dma#p3860

[marticot]

Dma est bien en "si possible".
j'ai fait un scan en mode sans echec avec malwarebytes..et voilà qu'il m'a trouvé 2 trojans fakeAlert
Fichier(s) infecté(s):
C:\Program Files\WinampRadio\Plugins\enc_wma.dll (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{16F86805-C415-4241-8A1D-0295677CEAF5}\RP56\A0027714.dll (Trojan.FakeAlert) -> Quarantined and deleted successfully.

[SkyTech]

Re,

Dma est bien en "si possible".

Est-ce que c'est le mode de transfert actif ?

j'ai fait un scan en mode sans echec avec malwarebytes..et voilà qu'il m'a trouvé 2 trojans fakeAlert
Fichier(s) infecté(s):
C:\Program Files\WinampRadio\Plugins\enc_wma.dll (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{16F86805-C415-4241-8A1D-0295677CEAF5}\RP56\A0027714.dll (Trojan.FakeAlert) -> Quarantined and deleted successfully.

C'est un FP, à remonter : http://forum.malekal.com/malwarebytes-a ... 18632.html

[marticot]

1) Trop tard, c'est supprimé (comme le dit le rapport...) ! que dois-je faire ???

2) et voilà qu'en relançant un scan rapide de malwarebytes il me trouve encore ceci :
aleur(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\shell (Worm.AutoRun) -> No action taken. [170E4A79F7965253210B47448FDF6D17]

Elément(s) de données du Registre infecté(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Hijack.Shell) -> Bad: (C:\RECYCLER\S-1-5-21-9397769757-4941920238-577499976-2903\nissan.exe,explorer.exe,C:\RECYCLER\S-1-5-21-4793268189-8147424308-712748241-3305\nissan.exe,Explorer.exe) Good: (Explorer.exe) -> No action taken. [A2622F7849BEACE79175E92ACA11B4E8]

que dois-je faire ?

[marticot]

pour DMA voici les détails :
Canal IDE principal :
paramètres avancés : périphérique 0 : mode de transfert actif : ultra DMA mode 5
paramètres avancés : périphérique 1 : mode de transfert actif : non applicable

anal IDE secondaire :
paramètres avancés : périphérique 0 : mode de transfert actif : PIO seulement
paramètres avancés : périphérique 1 : mode de transfert actif : non applicable

et voilà...

[marticot]

pour le rapport Malwarebytes : dois-je supprimer le 2ème contenu de la quarantaine : (Worm.AutoRun) - et (Hijack.Shell) ?

[SkyTech]

Re,

pour le rapport Malwarebytes : dois-je supprimer le 2ème contenu de la quarantaine : (Worm.AutoRun) - et (Hijack.Shell) ?

Oui, là c'est pas un FP.

Puis :

Télécharge UsbFix (de Chiquitine29 & C_XX) sur ton bureau.

(!) Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d'avoir été infectées sans les ouvrir

• Double-clique sur "USBFix.exe" pour lancer l'outil.
• Au menu principal choisis La langue : F pour Français
• Au second menu choisis l'option 1(recherche) et tape sur [entrée] .
• Puis laisse travailler l'outil ...
• Une fois terminé, poste le rapport USBFix.txt qui est généré ...

Note : le rapport est sauvegardé à la racine du disque : C:\USBFix.txt)

"Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

[marticot]

Et voilà. pour les 2 clefs usb.
je ferai l'appareil photo (carte mémoire) plus tard car je n'ai pas le cable sous la main..

############################## | UsbFix V6.100 |

User : Administrateur (Utilisateurs du Bureau à distance) # WWWWWW
Update on 18/03/2010 by El Desaparecido , C_XX & Chimay8
Start at: 16:23:11 | 07/04/2010
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : [email protected]

Intel(R) Pentium(R) 4 CPU 3.00GHz
Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 3
Internet Explorer 8.0.6001.18702
Windows Firewall Status : Enabled
AV : AntiVir Desktop 9.0.1.32 [ Enabled | Updated ]

A:\ -> Lecteur de disquettes 3 ½ pouces
C:\ -> Disque fixe local # 74,55 Go (31,83 Go free) # NTFS
D:\ -> Disque CD-ROM
E:\ -> Disque CD-ROM # 3,79 Mo (0 Mo free) [U3 System] # CDFS
F:\ -> Disque amovible # 958,19 Mo (198,28 Mo free) [U3] # FAT
G:\ -> Disque amovible # 243,73 Mo (45,24 Mo free) [ROUG] # FAT

################## | Elements infectieux |

E:\autorun.inf
F:\autorun.inf
F:\AUTORUN.FCB
F:\STOBOM\Desktop.ini
F:\STOBOM
F:\SYSTEM

################## | Registre |

[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe]
[HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoDrives"
[HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoDrives"

################## | Mountpoints2 |


################## | Vaccin |

# C:\autorun.inf -> Dossier créé par Flash_Disinfector (sUBs).

################## | ! Fin du rapport # UsbFix V6.100 ! |

1) que faut-il faire pour les clefs ?
2) le pc : quelque chose à faire ou malwarebytes a tout fait ? (résultat différent en profil admi ou non !)
3)Par ailleurs, j'ai constaté que j'ai un ancien dossier de flash desinfector à la racine de C... tout comme un dossier Qoobox, autorun et usbfix... que dois-je faire de tous ces dossiers ?
merci

[SkyTech]

Re,

On va nettoyer ne t'en fais pas.

Avant pour éviter une boulette que j'ai fait il y a qqu semaines avec un MP4 archos, dis moi si tu as des fichiers dans ces dossiers :

F:\STOBOM
F:\SYSTEM

[marticot]

F/Systeme/Apps/ 2 dossiers : XML de 1 ko : LPDB ET LPGDB
F:\STOBOM / SEMBLE VIDE
Par contre : F:\xSystem\Apps\ 3 fichiers :
1) AC100F40-945A-4164-993C-603E0FFD1D48 dans lequel 2 dossiers : DATA et Exec + ADCsee7PE.u3p
2 et 3) dossiers LPDB ET LPGDB
sont-ils utiles?