« previous next »
Pages: [1]

Author Topic: Hook.IRP drivers winhv.sys  (Read 12279 times)

0 Members and 4 Guests are viewing this topic.

July 03, 2015, 05:13:40 PM

PotatoesEater

  • Newbie
  • Offline
  • *
  • 7
  • Reputation:
    0
    • View Profile
Hook.IRP drivers winhv.sys
« on: July 03, 2015, 05:13:40 PM »
-> I can speak english if there is no french.

Donc, bonjour à tous. Je fais ce topic car j'ai un vilain problème.
Mon ordi est vraiment lent lorsque je fais une quelconque action. Cela n'arrive pas tout le temps, mais pendant pas mal de seconde, il se met à freeze. Lorsque j'ouvre par exemple mon navigateur, même pendant la navigation, quand je suis dans un jeu, même parfois lorsque je tape du texte.

Pour info', je possède la dernière version d'ESET Smart Security 8 combiné à Malwarebytes. Ils n'ont rien détecté. Donc j'ai essayer ADWCleaner, idem. Et finalement RogueKiller qui a trouvé un "Hook.IRP"

Bref, voici le log de RK : (Les trois détectés dans la partie registre sont des faux-positifs)

RogueKiller V10.8.7.0 (x64) [Jun 29 2015] par Adlice Software
email : http://www.adlice.com/contact/
Remontées : http://forum.adlice.com
Site web : http://www.adlice.com/fr/logiciels/roguekiller/
Blog : http://www.adlice.com

Système d'exploitation : Windows 7 (6.1.7601 Service Pack 1) 64 bits version
Démarré en  : Mode normal
Utilisateur : Nico [Administrateur]
Démarré depuis : C:\Users\Nico\Desktop\RogueKillerX64.exe
Mode : Scan -- Date : 07/03/2015  17:06:40

¤¤¤ Processus : 0 ¤¤¤

¤¤¤ Registre : 3 ¤¤¤
[Suspicious.Path] (X64) HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\FairplayKD (\??\C:\ProgramData\MTA San Andreas All\Common\temp\FairplayKD.sys) -> Trouvé(e)
[Suspicious.Path] (X64) HKEY_LOCAL_MACHINE\System\ControlSet001\Services\FairplayKD (\??\C:\ProgramData\MTA San Andreas All\Common\temp\FairplayKD.sys) -> Trouvé(e)
[Suspicious.Path] (X64) HKEY_LOCAL_MACHINE\System\ControlSet002\Services\FairplayKD (\??\C:\ProgramData\MTA San Andreas All\Common\temp\FairplayKD.sys) -> Trouvé(e)

¤¤¤ Tâches : 0 ¤¤¤

¤¤¤ Fichiers : 0 ¤¤¤

¤¤¤ Fichier Hosts : 16 ¤¤¤
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   rad.live.com
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   rad.msn.com
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   adnxs.com
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   m.adnxs.com
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   tradedoubler.com
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   bs.serving-sys.com
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   s0.2mdn.net
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   astatic.weborama.fr
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   sanofi.solution.weborama.fr
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   sncfpromo.solution.weborama.fr
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   m.eulerian.net
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   smartadserver.com
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   ww58.smartadserver.com
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   ww58.2-01-275d-0005.cdx.cedexis.net
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   ww58-itx4.smartadserver.com
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   www6.smartadserver.com

¤¤¤ Antirootkit : 7 (Driver: Chargé) ¤¤¤
[IRP:Addr(Hook.IRP)] \SystemRoot\system32\drivers\winhv.sys - IRP_MJ_CREATE[0] : Unknown @ 0x70c02c0
[IRP:Addr(Hook.IRP)] \SystemRoot\system32\drivers\winhv.sys - IRP_MJ_CLOSE[2] : Unknown @ 0x70c02c0
[IRP:Addr(Hook.IRP)] \SystemRoot\system32\drivers\winhv.sys - IRP_MJ_DEVICE_CONTROL[14] : Unknown @ 0x70c02c0
[IRP:Addr(Hook.IRP)] \SystemRoot\system32\drivers\winhv.sys - IRP_MJ_INTERNAL_DEVICE_CONTROL[15] : Unknown @ 0x70c02c0
[IRP:Addr(Hook.IRP)] \SystemRoot\system32\drivers\winhv.sys - IRP_MJ_POWER[22] : Unknown @ 0x70c02c0
[IRP:Addr(Hook.IRP)] \SystemRoot\system32\drivers\winhv.sys - IRP_MJ_SYSTEM_CONTROL[23] : Unknown @ 0x70c02c0
[IRP:Addr(Hook.IRP)] \SystemRoot\system32\drivers\winhv.sys - IRP_MJ_PNP[27] : Unknown @ 0x70c02c0

¤¤¤ Navigateurs web : 1 ¤¤¤
[PUM.HomePage][FIREFX:Config] i8cgg446.default : user_pref("browser.startup.homepage", "chrome://fvd.speeddial/content/fvd_about_blank.html"); -> Trouvé(e)

¤¤¤ Vérification MBR : ¤¤¤
+++++ PhysicalDrive0: ST1000DM003-1CH162 ATA Device +++++
--- User ---
[MBR] 3d6a7156c57f05cf8ad706733d8aaffd
[BSP] 64b9059cafb918d783193131b7dba2ac : Windows Vista/7/8 MBR Code
Partition table:
0 - [ACTIVE] NTFS (0x7) [VISIBLE] Offset (sectors): 2048 | Size: 100 MB [Windows Vista/7/8 Bootstrap | Windows Vista/7/8 Bootloader]
1 - [XXXXXX] NTFS (0x7) [VISIBLE] Offset (sectors): 208848 | Size: 200004 MB [Windows Vista/7/8 Bootstrap | Windows Vista/7/8 Bootloader]
2 - [XXXXXX] NTFS (0x7) [VISIBLE] Offset (sectors): 409818153 | Size: 753760 MB [Windows XP Bootstrap | Windows XP Bootloader]
User = LL1 ... OK
User = LL2 ... OK

+++++ PhysicalDrive1: WD Ext HDD 1021 USB Device +++++
--- User ---
[MBR] 0cc6bbeebe4d1a89ea9ad6b5009baf78
[BSP] bc975fe3e5315c0f9304cabc4a86a916 : Compressed BootMgr|VT.Unknown MBR Code
Partition table:
0 - [XXXXXX] NTFS (0x7) [VISIBLE] Offset (sectors): 63 | Size: 1430796 MB [Windows XP Bootstrap | Windows XP Bootloader]
User = LL1 ... OK
Error reading LL2 MBR! ([32] Cette demande n?est pas prise en charge. )


============================================
RKreport_SCN_07022015_100136.log - RKreport_DEL_07022015_102942.log - RKreport_DEL_07022015_102946.log - RKreport_DEL_07022015_103457.log
RKreport_SCN_07022015_111248.log - RKreport_DEL_07022015_114922.log - RKreport_SCN_07022015_122624.log - RKreport_SCN_07022015_161143.log
RKreport_SCN_07032015_094325.log - RKreport_SCN_07032015_104044.log - RKreport_SCN_07032015_153115.log - RKreport_DEL_07032015_153334.log
RKreport_DEL_07032015_153337.log - RKreport_SCN_07032015_161248.log


Voila, j'espère que quelqu'un saura m'aider car cela fait un moment que j'ai ces problèmes.
Merci d'avance.
« Last Edit: July 05, 2015, 07:17:19 PM by PotatoesEater »
Logged
Reply #1July 05, 2015, 05:18:13 PM

Curson

  • Global Moderator
  • Hero Member
  • Offline
  • *****
  • 2809
  • Reputation:
    100
    • View Profile
Re: Hook.IRP drivers winhv.sys
« Reply #1 on: July 05, 2015, 05:18:13 PM »
Bonjour PotatoesEater,

Bienvenue sur le forum Adlice.
Peux-tu poster le rapport RogueKiller dans son intégralité ?

Cordialement.
Logged
Reply #2July 05, 2015, 07:25:08 PM

PotatoesEater

  • Newbie
  • Offline
  • *
  • 7
  • Reputation:
    0
    • View Profile
Re: Hook.IRP drivers winhv.sys
« Reply #2 on: July 05, 2015, 07:25:08 PM »
Bonsoir Curson, merci de prendre du temps pour m'aider. J'ai édité mon premier message avec le rapport complet que je remets également ici.

RogueKiller V10.8.7.0 (x64) [Jun 29 2015] par Adlice Software
email : http://www.adlice.com/contact/
Remontées : http://forum.adlice.com
Site web : http://www.adlice.com/fr/logiciels/roguekiller/
Blog : http://www.adlice.com

Système d'exploitation : Windows 7 (6.1.7601 Service Pack 1) 64 bits version
Démarré en  : Mode normal
Utilisateur : Nico [Administrateur]
Démarré depuis : C:\Users\Nico\Desktop\RogueKillerX64.exe
Mode : Scan -- Date : 07/03/2015  17:06:40

¤¤¤ Processus : 0 ¤¤¤

¤¤¤ Registre : 3 ¤¤¤
[Suspicious.Path] (X64) HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\FairplayKD (\??\C:\ProgramData\MTA San Andreas All\Common\temp\FairplayKD.sys) -> Trouvé(e)
[Suspicious.Path] (X64) HKEY_LOCAL_MACHINE\System\ControlSet001\Services\FairplayKD (\??\C:\ProgramData\MTA San Andreas All\Common\temp\FairplayKD.sys) -> Trouvé(e)
[Suspicious.Path] (X64) HKEY_LOCAL_MACHINE\System\ControlSet002\Services\FairplayKD (\??\C:\ProgramData\MTA San Andreas All\Common\temp\FairplayKD.sys) -> Trouvé(e)

¤¤¤ Tâches : 0 ¤¤¤

¤¤¤ Fichiers : 0 ¤¤¤

¤¤¤ Fichier Hosts : 16 ¤¤¤
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   rad.live.com
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   rad.msn.com
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   adnxs.com
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   m.adnxs.com
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   tradedoubler.com
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   bs.serving-sys.com
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   s0.2mdn.net
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   astatic.weborama.fr
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   sanofi.solution.weborama.fr
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   sncfpromo.solution.weborama.fr
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   m.eulerian.net
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   smartadserver.com
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   ww58.smartadserver.com
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   ww58.2-01-275d-0005.cdx.cedexis.net
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   ww58-itx4.smartadserver.com
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   www6.smartadserver.com

¤¤¤ Antirootkit : 7 (Driver: Chargé) ¤¤¤
[IRP:Addr(Hook.IRP)] \SystemRoot\system32\drivers\winhv.sys - IRP_MJ_CREATE[0] : Unknown @ 0x70c02c0
[IRP:Addr(Hook.IRP)] \SystemRoot\system32\drivers\winhv.sys - IRP_MJ_CLOSE[2] : Unknown @ 0x70c02c0
[IRP:Addr(Hook.IRP)] \SystemRoot\system32\drivers\winhv.sys - IRP_MJ_DEVICE_CONTROL[14] : Unknown @ 0x70c02c0
[IRP:Addr(Hook.IRP)] \SystemRoot\system32\drivers\winhv.sys - IRP_MJ_INTERNAL_DEVICE_CONTROL[15] : Unknown @ 0x70c02c0
[IRP:Addr(Hook.IRP)] \SystemRoot\system32\drivers\winhv.sys - IRP_MJ_POWER[22] : Unknown @ 0x70c02c0
[IRP:Addr(Hook.IRP)] \SystemRoot\system32\drivers\winhv.sys - IRP_MJ_SYSTEM_CONTROL[23] : Unknown @ 0x70c02c0
[IRP:Addr(Hook.IRP)] \SystemRoot\system32\drivers\winhv.sys - IRP_MJ_PNP[27] : Unknown @ 0x70c02c0

¤¤¤ Navigateurs web : 1 ¤¤¤
[PUM.HomePage][FIREFX:Config] i8cgg446.default : user_pref("browser.startup.homepage", "chrome://fvd.speeddial/content/fvd_about_blank.html"); -> Trouvé(e)

¤¤¤ Vérification MBR : ¤¤¤
+++++ PhysicalDrive0: ST1000DM003-1CH162 ATA Device +++++
--- User ---
[MBR] 3d6a7156c57f05cf8ad706733d8aaffd
[BSP] 64b9059cafb918d783193131b7dba2ac : Windows Vista/7/8 MBR Code
Partition table:
0 - [ACTIVE] NTFS (0x7) [VISIBLE] Offset (sectors): 2048 | Size: 100 MB [Windows Vista/7/8 Bootstrap | Windows Vista/7/8 Bootloader]
1 - [XXXXXX] NTFS (0x7) [VISIBLE] Offset (sectors): 208848 | Size: 200004 MB [Windows Vista/7/8 Bootstrap | Windows Vista/7/8 Bootloader]
2 - [XXXXXX] NTFS (0x7) [VISIBLE] Offset (sectors): 409818153 | Size: 753760 MB [Windows XP Bootstrap | Windows XP Bootloader]
User = LL1 ... OK
User = LL2 ... OK

+++++ PhysicalDrive1: WD Ext HDD 1021 USB Device +++++
--- User ---
[MBR] 0cc6bbeebe4d1a89ea9ad6b5009baf78
[BSP] bc975fe3e5315c0f9304cabc4a86a916 : Compressed BootMgr|VT.Unknown MBR Code
Partition table:
0 - [XXXXXX] NTFS (0x7) [VISIBLE] Offset (sectors): 63 | Size: 1430796 MB [Windows XP Bootstrap | Windows XP Bootloader]
User = LL1 ... OK
Error reading LL2 MBR! ([32] Cette demande n?est pas prise en charge. )


============================================
RKreport_SCN_07022015_100136.log - RKreport_DEL_07022015_102942.log - RKreport_DEL_07022015_102946.log - RKreport_DEL_07022015_103457.log
RKreport_SCN_07022015_111248.log - RKreport_DEL_07022015_114922.log - RKreport_SCN_07022015_122624.log - RKreport_SCN_07022015_161143.log
RKreport_SCN_07032015_094325.log - RKreport_SCN_07032015_104044.log - RKreport_SCN_07032015_153115.log - RKreport_DEL_07032015_153334.log
RKreport_DEL_07032015_153337.log - RKreport_SCN_07032015_161248.log



J'ai cependant ré-effectuer un scan et la présence des Hook.IRP a disparu. J'avais pris une capture lors du premier scan, et je l'ai comparé aux résultats actuelles.

Le rapport RogueKiller :

RogueKiller V10.8.7.0 (x64) [Jun 29 2015] par Adlice Software
email : http://www.adlice.com/contact/
Remontées : http://forum.adlice.com
Site web : http://www.adlice.com/fr/logiciels/roguekiller/
Blog : http://www.adlice.com

Système d'exploitation : Windows 7 (6.1.7601 Service Pack 1) 64 bits version
Démarré en  : Mode normal
Utilisateur : Nico [Administrateur]
Démarré depuis : C:\Users\Nico\Desktop\RogueKillerX64.exe
Mode : Scan -- Date : 07/05/2015  17:12:35

¤¤¤ Processus : 0 ¤¤¤

¤¤¤ Registre : 0 ¤¤¤

¤¤¤ Tâches : 0 ¤¤¤

¤¤¤ Fichiers : 0 ¤¤¤

¤¤¤ Fichier Hosts : 16 ¤¤¤
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   rad.live.com
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   rad.msn.com
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   adnxs.com
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   m.adnxs.com
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   tradedoubler.com
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   bs.serving-sys.com
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   s0.2mdn.net
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   astatic.weborama.fr
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   sanofi.solution.weborama.fr
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   sncfpromo.solution.weborama.fr
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   m.eulerian.net
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   smartadserver.com
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   ww58.smartadserver.com
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   ww58.2-01-275d-0005.cdx.cedexis.net
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   ww58-itx4.smartadserver.com
[C:\Windows\System32\drivers\etc\hosts] 127.0.0.1   www6.smartadserver.com

¤¤¤ Antirootkit : 0 (Driver: Chargé) ¤¤¤

¤¤¤ Navigateurs web : 1 ¤¤¤
[PUM.HomePage][FIREFX:Config] i8cgg446.default : user_pref("browser.startup.homepage", "chrome://fvd.speeddial/content/fvd_about_blank.html"); -> Trouvé(e)

¤¤¤ Vérification MBR : ¤¤¤
+++++ PhysicalDrive0: ST1000DM003-1CH162 ATA Device +++++
--- User ---
[MBR] 3d6a7156c57f05cf8ad706733d8aaffd
[BSP] 64b9059cafb918d783193131b7dba2ac : Windows Vista/7/8 MBR Code
Partition table:
0 - [ACTIVE] NTFS (0x7) [VISIBLE] Offset (sectors): 2048 | Size: 100 MB [Windows Vista/7/8 Bootstrap | Windows Vista/7/8 Bootloader]
1 - [XXXXXX] NTFS (0x7) [VISIBLE] Offset (sectors): 208848 | Size: 200004 MB [Windows Vista/7/8 Bootstrap | Windows Vista/7/8 Bootloader]
2 - [XXXXXX] NTFS (0x7) [VISIBLE] Offset (sectors): 409818153 | Size: 753760 MB [Windows XP Bootstrap | Windows XP Bootloader]
User = LL1 ... OK
User = LL2 ... OK


============================================
RKreport_SCN_07022015_100136.log - RKreport_DEL_07022015_102942.log - RKreport_DEL_07022015_102946.log - RKreport_DEL_07022015_103457.log
RKreport_SCN_07022015_111248.log - RKreport_DEL_07022015_114922.log - RKreport_SCN_07022015_122624.log - RKreport_SCN_07022015_161143.log
RKreport_SCN_07032015_094325.log - RKreport_SCN_07032015_104044.log - RKreport_SCN_07032015_153115.log - RKreport_DEL_07032015_153334.log
RKreport_DEL_07032015_153337.log - RKreport_SCN_07032015_161248.log - RKreport_SCN_07032015_170640.log - RKreport_SCN_07052015_162002.log
RKreport_DEL_07052015_162639.log



L'image avec le Hook.IRP sous RogueKiller :
http://puu.sh/iLSOx/bebbb4eb4b.png
De même sans le Hook.IRP :
http://puu.sh/iO5kp/e744206711.png
On remarque que les adresses ne sont pas les mêmes, mais n'étant pas un spécialiste, ça ne m'aide pas.

Encore merci pour l'aide. Cordialement.
Logged
Reply #3July 08, 2015, 04:06:54 PM

Curson

  • Global Moderator
  • Hero Member
  • Offline
  • *****
  • 2809
  • Reputation:
    100
    • View Profile
Re: Hook.IRP drivers winhv.sys
« Reply #3 on: July 08, 2015, 04:06:54 PM »
Bonjour PotatoesEater,

A priori, il n'y a aucun élément malveillant.
Nous allons tout de même procéder à une vérification supplémentaire :
  • Télécharge TDSSKiller et enregistre-le sur ton bureaau.
  • Effectue un double-clique sur TDSSKiller.exe pour lancer l'application, ensuite clique sur Change parameters.



  • CocheLoaded Modules etDetect TDLFS file system. 
  • Le programme va demander à redémarrer le système, accepte.


  • Clique Start Scan et autorise le déroullement du scab.
    Si des menaces sont détectés, sélectionne Skipfor all of them.
  • Clique Continue



  • Clique sur Reboot computer.
Merci de copier/coller le contenu du fichier TDSSKiller.[Version]_[Date]_[Time]_log.txt présent dans ton répertoire racine (habituellement C:\) dans ta prochaine réponse.

Meilleures salutations.
Logged
Reply #4July 08, 2015, 07:27:38 PM

PotatoesEater

  • Newbie
  • Offline
  • *
  • 7
  • Reputation:
    0
    • View Profile
Re: Hook.IRP drivers winhv.sys
« Reply #4 on: July 08, 2015, 07:27:38 PM »
Bonsoir Curson, merci encore de prendre le temps de m'aider !

Je mets les deux rapports de TDSSKiller ci-dessous :


Le premier :

18:21:34.0473 0x15ac  TDSS rootkit removing tool 3.0.0.44 Jan 22 2015 08:27:04
18:21:38.0922 0x15ac  ============================================================
18:21:38.0922 0x15ac  Current date / time: 2015/07/08 18:21:38.0922
18:21:38.0922 0x15ac  SystemInfo:
18:21:38.0922 0x15ac 
18:21:38.0922 0x15ac  OS Version: 6.1.7601 ServicePack: 1.0
18:21:38.0922 0x15ac  Product type: Workstation
18:21:38.0922 0x15ac  ComputerName: XYZ-PC
18:21:38.0922 0x15ac  UserName: Nico
18:21:38.0923 0x15ac  Windows directory: C:\Windows
18:21:38.0923 0x15ac  System windows directory: C:\Windows
18:21:38.0923 0x15ac  Running under WOW64
18:21:38.0923 0x15ac  Processor architecture: Intel x64
18:21:38.0923 0x15ac  Number of processors: 4
18:21:38.0923 0x15ac  Page size: 0x1000
18:21:38.0923 0x15ac  Boot type: Normal boot
18:21:38.0923 0x15ac  ============================================================
18:22:35.0249 0x15ac  KLMD registered as C:\Windows\system32\drivers\66744553.sys
18:22:35.0510 0x15ac  System UUID: {088B77F4-4678-5575-EB86-70600F0E5A94}
18:22:38.0436 0x15ac  Drive \Device\Harddisk0\DR0 - Size: 0xE8E0DB6000 ( 931.51 Gb ), SectorSize: 0x200, Cylinders: 0x1DB01, SectorsPerTrack: 0x3F, TracksPerCylinder: 0xFF, Type 'K0', Flags 0x00000040
18:22:38.0442 0x15ac  ============================================================
18:22:38.0442 0x15ac  \Device\Harddisk0\DR0:
18:22:38.0442 0x15ac  MBR partitions:
18:22:38.0442 0x15ac  \Device\Harddisk0\DR0\Partition1: MBR, Type 0x7, StartLBA 0x800, BlocksNum 0x32000
18:22:38.0442 0x15ac  \Device\Harddisk0\DR0\Partition2: MBR, Type 0x7, StartLBA 0x32FD0, BlocksNum 0x186A2456
18:22:38.0442 0x15ac  \Device\Harddisk0\DR0\Partition3: MBR, Type 0x7, StartLBA 0x186D5429, BlocksNum 0x5C030598
18:22:38.0442 0x15ac  ============================================================
18:22:40.0268 0x15ac  C: <-> \Device\Harddisk0\DR0\Partition2
18:22:41.0545 0x15ac  G: <-> \Device\Harddisk0\DR0\Partition3
18:22:41.0545 0x15ac  ============================================================
18:22:41.0545 0x15ac  Initialize success
18:22:41.0545 0x15ac  ============================================================
18:23:35.0088 0x0bd8  KLMD registered as C:\Windows\system32\drivers\22394067.sys
18:23:51.0113 0x0bd8  Deinitialize success




Le deuxième : http://puu.sh/iRMs7/fdea00c3ff.txt

Merci encore de prendre le temps de m'aider !



PS :
Quote from: PotatoesEater on July 05, 2015, 07:25:08 PM
J'ai cependant ré-effectuer un scan et la présence des Hook.IRP a disparu. J'avais pris une capture lors du premier scan, et je l'ai comparé aux résultats actuelles.

La présence du Hook.IRP est finalement toujours présente, mais avec une adresse différente. Je me demandais si il ne fallait pas remettre les adresses d'origine pour peut-être découvrir où se cache le problème ? Bien sûr je ne sais pas faire cela, et je ne sais pas non-plus si cela sera efficace.
Cordialement.
« Last Edit: July 08, 2015, 07:33:03 PM by PotatoesEater »
Logged
Reply #5July 09, 2015, 07:24:33 PM

Curson

  • Global Moderator
  • Hero Member
  • Offline
  • *****
  • 2809
  • Reputation:
    100
    • View Profile
Re: Hook.IRP drivers winhv.sys
« Reply #5 on: July 09, 2015, 07:24:33 PM »
Bonsoir PotatoesEater,

Les hooks IRP semblent légitimes.
Tu peux cependant procéder à la désinstallation des drivers StarForce qui peuvent parfois être la cause de problèmes.

Meilleures salutations.
Logged
Reply #6July 09, 2015, 11:30:27 PM

PotatoesEater

  • Newbie
  • Offline
  • *
  • 7
  • Reputation:
    0
    • View Profile
Re: Hook.IRP drivers winhv.sys
« Reply #6 on: July 09, 2015, 11:30:27 PM »
Bonsoir Curson,

Merci de ta réponse, j'ai désinstallé StarForce ( via ce site : http://www.star-force.com/support/drivers )
Je te tiendrai au courant par rapport à l'état de mon problème, si il est toujours présent ou non !

A bientôt !
Logged
Reply #7July 10, 2015, 01:30:00 PM

Curson

  • Global Moderator
  • Hero Member
  • Offline
  • *****
  • 2809
  • Reputation:
    100
    • View Profile
Re: Hook.IRP drivers winhv.sys
« Reply #7 on: July 10, 2015, 01:30:00 PM »
Bonjour PotatoesEater,

C'est parfait.

Meilleures salutations.
Logged
Reply #8July 12, 2015, 02:09:48 PM

PotatoesEater

  • Newbie
  • Offline
  • *
  • 7
  • Reputation:
    0
    • View Profile
Re: Hook.IRP drivers winhv.sys
« Reply #8 on: July 12, 2015, 02:09:48 PM »
Bonjour Curson,

Mon problème est toujours présent malheureusement, même après avoir supprimer deux cheval de Troie détectés par Avira.
Le plus étrange est que par moment tout va bien pendant quelque temps, puis d'un coup ça se met à se bloquer quelques secondes. Et c'est comme ça jusqu'à ce que je redémarre l'ordinateur. (Et encore, même en le redémarrant ça ne re-fonctionne pas toujours, et environ une fois sur deux cela met 30 minutes à redémarrer, et si ça fonctionne, ça n'est que temporaire)

Finalement qu'importe ce que je fais, l'exécution des tâches est vraiment lente. J'en viens à me demander si ce n'est pas un réel problème matériel, ou bien si un formatage réglerait ce soucis vraiment gênant.

Pour rappel je suis sous windows 7, 64 bit. Processeur intel 3e génération de 3.3GHz, carte graphique nVidia GTX660 et j'ai 8GB de RAM. Le tout n'a que 2 ans d'âge et je n'ai jamais fais de formatage jusqu'à maintenant.

Merci d'avance pour ton aide !
Logged
Reply #9July 15, 2015, 11:45:53 PM

Curson

  • Global Moderator
  • Hero Member
  • Offline
  • *****
  • 2809
  • Reputation:
    100
    • View Profile
Re: Hook.IRP drivers winhv.sys
« Reply #9 on: July 15, 2015, 11:45:53 PM »
Bonsoir PotatoesEater,

Peux-tu poster le rapport de scan d'Avira ?

Télécharge Farbar Recovery Scan Tool et enregistre-le sur le Bureau.
  • Fais un clic droit sur le fichier téléchargé (FRST64.exe) et choissi "Exécuter en tant qu'administrateur". Quand l'outil démarre, clique sur Oui pour accepter les termes de la fenêtre Disclaimer (clause de non-responsabilité).
  • Clique sur le bouton Scan.
  • L'outil va créer un fichier rapport [log] nommé FRST.txt situé dans le dossier depuis lequel l'outil s'exécute.
  • Copie/colle ce rapport dans ta prochaine réponse.
  • La première fois où l'outil est exécuté, il crée un autre rapport nommé Addition.txt - situé également dans le même dossier que FRST64.exe. Copie/colle également ce rapport dans ta réponse.
Meilleures salutations.
Logged
Reply #10July 16, 2015, 09:09:35 PM

PotatoesEater

  • Newbie
  • Offline
  • *
  • 7
  • Reputation:
    0
    • View Profile
Re: Hook.IRP drivers winhv.sys
« Reply #10 on: July 16, 2015, 09:09:35 PM »
Bonsoir Curson,

Malheureusement après avoir constaté aucune amélioration après la suppression de ces cheval de Troie, j'ai décidé de formater l'ordinateur. Mais au final rien à changer, et je crois de plus en plus à un problème matériel. (Les ralentissements, et j'en passe, sont à présent plus fréquents).

On m'a conseillé de vérifier si cela ne venait pas des barrettes de RAM (mémoire vive), j'ai donc fais un diagnostic de la mémoire depuis l'outil fournis avec Windows 7, mais il n'a rien trouvé de mauvais. (Régler en scan étendu, cache actif, et passe à 5).

J'ai également réinitialisé le BIOS en "nettoyant" le CMOS (j'ai retiré la pile pendant quelques minutes). Le BIOS a ensuite bien détecté une réinitialisation, j'ai donc réglé la date et l'heure et laisser les paramètres se configurer de manière optimale. Maaais, ça ne change rien...

En ce qui concerne FRST, je mets Addition en premier, puis FRST.
Addition : http://puu.sh/j1D7w/24366c2d49.txt
FRST: http://puu.sh/j1Dif/297932399c.txt

J'ai également remarqué que lorsque mes blocages ou ralentissements survenaient, l'UC du gestionnaire des tâches se bloquait à 0%, puis remontait à un taux normal lorsqu'il n'y avait plus de ralentissement/blocage.
Je précise également que je n'ai quasiment rien d'installé jusqu'à présent : http://puu.sh/j1DoQ/80a8030123.png

Je te remercie encore de prendre de ton temps pour me venir en aide.

Cordialement.
Logged
Reply #11July 16, 2015, 10:39:47 PM

Curson

  • Global Moderator
  • Hero Member
  • Offline
  • *****
  • 2809
  • Reputation:
    100
    • View Profile
Re: Hook.IRP drivers winhv.sys
« Reply #11 on: July 16, 2015, 10:39:47 PM »
Bonsoir PotatoesEater,

Les rapports FRST ne révèlent rien d'anormal, ce qui est attendu après une réinstallation complète du système
Je pense en effet, qu'il y a de fortes chances que tout ceci soit causé par un problème matériel.

Cependant, pour te guider dans les investigations à ce niveau, je ne peux que te recommander d'ouvrir un sujet dans un forum spécialisé dans le dépannage/matériel. La personne qui te prendra en charge sera certainement plus à même que moi de t'aider.

Meilleures salutations.
Logged
Reply #12July 18, 2015, 11:57:33 PM

PotatoesEater

  • Newbie
  • Offline
  • *
  • 7
  • Reputation:
    0
    • View Profile
Re: Hook.IRP drivers winhv.sys
« Reply #12 on: July 18, 2015, 11:57:33 PM »
Bonsoir Curson,

Finalement il semblerait qu'en réinitialisant le BIOS, cela fonctionne. Je pense qu'un programme indésirable a du se cacher dans celui-ci, et lors d'un formatage, le BIOS reste inchangé.

En tout cas, je te remercie encore pour ton aide. Je pense que l'on peut placer ce sujet en tant que problème résolu.
Si par malheur je subis d'autre problème non-matériel je reviendrai faire un tour par-ici.

Cordialement.
Logged
Reply #13July 21, 2015, 04:14:53 PM

Curson

  • Global Moderator
  • Hero Member
  • Offline
  • *****
  • 2809
  • Reputation:
    100
    • View Profile
Re: Hook.IRP drivers winhv.sys
« Reply #13 on: July 21, 2015, 04:14:53 PM »
Bonjour PotatoesEater,

Je suis heureux d'entendre que tes problèmes ont finalement pu être résolus.
Au plaisir d'avoir pu t'aider. :)

Meilleures salutations.
Logged
Pages: [1]
« previous next »