c:\windows\system32\svchost.exe Rootkit ;-(

[Calambo]

Well, the patches didn't work for me. I used the Russian patch, I also ran WinSocksFix... and my Internet connection is still down!

Any other advice, people..?

Yes, I have one, as it worked for me.

In my previous message I said it didn't worked for me, as the registry did not seem to save the update.
Searching why, I found that all updates in the reg file were located in HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
On my computer, I have ControlSet001 but also ControlSet002, ControlSet004 and CurrentControlSet
So, I modified the reg file with a text editor, replacing ControlSet001 by all the others, and it worked

I think it wasn't necessary to change all control sets, but using CurrentControlSet instead of ControlSet001 could be an idea.
The microsoft documentation (http://support.microsoft.com/kb/100010/en-us/) says :

The most valuable and reliable control set is CurrentControlSet. If you need to modify system settings in the Registry, CurrentControlSet is the best subkey to choose because you know that it is the correct control set.

----------

Pour ceux qui comme moi n'ont pas réglé le problème avec le fichier .reg d'avast, je vous conseille d'éditer ce fichier et de remplacer le texte "ControlSet001" par "CurrentControlSet" dans tout le fichier, ainsi vous serez certain de modifier la bonne configuration. En tout cas, pour moi, ça a marché après cette petite manipulation

[kstmb]

In my previous message I said it didn't worked for me, as the registry did not seem to save the update.
Searching why, I found that all updates in the reg file were located in HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
On my computer, I have ControlSet001 but also ControlSet002, ControlSet004 and CurrentControlSet
So, I modified the reg file with a text editor, replacing ControlSet001 by all the others, and it worked

I think it wasn't necessary to change all control sets, but using CurrentControlSet instead of ControlSet001 could be an idea.
The microsoft documentation (http://support.microsoft.com/kb/100010/en-us/) says :

No matter, because ControlSet001 is the copy of CurrentControlSet. Number of current ControlSet you can find in HKEY_LOCAL_MACHINE\SYSTEM\Select\Current.

If some services don't work correctly, you try to recover your personal settings. See Reply #116

[Lisandro]

Yes, that's right. The false positive does not happen on "ordinary" system

Hmmm... seems cracked systems are being used...
Like a friend of mine said:

That are the users of illegal Windows? They cannot easily recover, and they cry loudest that avast is to blame. Where people cannot pay the official version well that is hard if they cannot easily recover.

The system can be booted without this file, certainly into safe mode, so I'm not sure this is exactly the (probably quite rare) case when it would make a difference.

But you will agree that it would happen with a file that Windows need to boot/logon.
Can it be implemented?

My questions remain unanswered:

So do mine (reply #48).

Hope the affected users drop the answer...

Thanks Igor.

[kostik]

Well, the patches didn't work for me. I used the Russian patch, I also ran WinSocksFix... and my Internet connection is still down!

Any other advice, people..?

Yes, I have one, as it worked for me.

In my previous message I said it didn't worked for me, as the registry did not seem to save the update.
Searching why, I found that all updates in the reg file were located in HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
On my computer, I have ControlSet001 but also ControlSet002, ControlSet004 and CurrentControlSet
So, I modified the reg file with a text editor, replacing ControlSet001 by all the others, and it worked

I think it wasn't necessary to change all control sets, but using CurrentControlSet instead of ControlSet001 could be an idea.
The microsoft documentation (http://support.microsoft.com/kb/100010/en-us/) says :

The most valuable and reliable control set is CurrentControlSet. If you need to modify system settings in the Registry, CurrentControlSet is the best subkey to choose because you know that it is the correct control set.

----------

Pour ceux qui comme moi n'ont pas réglé le problème avec le fichier .reg d'avast, je vous conseille d'éditer ce fichier et de remplacer le texte "ControlSet001" par "CurrentControlSet" dans tout le fichier, ainsi vous serez certain de modifier la bonne configuration. En tout cas, pour moi, ça a marché après cette petite manipulation

Calambo, cette méthode de changement des controlset, tu l'appliques avec les fichiers de Pierre ou celui mis en ligne par Avast (message de Igor, page 8 ) ?

[fonzy44]

Is it a joke ?

My Windows XP version is LEGAL, and I'm still stuck, so please stop to argue that only cracked version of Windows are affected.
And more, I don't use any third party software as nLite.

     !@#&!ç!!!!

Et puis zut, ras le bol de taper du texte en anglais vu que de toute façon les seuls à réagir sont francophones (excepté polonus).

Ma version d'XP est légale et je suis toujours autant "din l'brin non di tchosss" !
Et évidemment le patch d'Avast ne fonctionne pas ! Je vais essayer la modification proposée par Calambo.

Fonzy

[kostik]

Voici donc où j'en suis.

essai de la méthode de Pierre en mode normal : aucun changement.
essai de la méthode de Pierre en mode sans échec : aucun changement.
je n'ai pas utilisé winxpfix machinchose, vraissemblablement ça ne sert à rétablir que la connexion Internet...un des multiples problèmes.

essai du correctif proposé par Avast. D'ailleurs, le readme semble incomplet car s'il est bien spécifié de copier/coller svchost sur le support amovible, il n'en est plus fait mention par la suite (faut-il double cliquer dessus ? Le copier/coller depuis le support amovible vers le PC instable en passant par DOS ?)
J'ai consideré qu'il fallait le copier dans system32 en passant par DOS.

Donc, essai du correctif Avast avec copie de svchost en mode normal : aucun changement.
essai du correctif Avast avec copie de svchost ET modification de "ControlSet001" par "CurrentControlSet" (dans le Regfile) en mode normal : aucun changement.
essai du correctif Avast avec copie de svchost ET modification de "Controlset001" par "CurrentControlSet" en mode sans échec : aucun changement.

Bref...la cata. Si certains ont des idées, je suis preneur.


-----------------

I tried :

Pierre's method in normal mode : unchanged
Pierre's method in safe mode : unchanged
Avast patch with cut&paste of "svchost.exe" in system32, using DOS , in normal mode : unchanged
Avast patch with cut&pasye of "svchost.exe" in system32, using DOS + modification of "ControlSet001" into "CurrentControlSet" in the regfile, in normal mode : unchanged
The same, in safe mode : unchanged.

So...if anyone has anoyher solution...:s

[fonzy44]

Ne le prends pas mal Kostic, mais grâce à toi je me sens moins seul ...

[pierrebulle]

Gare messieurs les Current control set ne sont pas forcément trés documentés,
en effet les 001 et 002 ne correspondent pas forcement à des états précis, j'explique:

Le 001 peut etre la derniére bonne configuration, le 002 utilisé pour un démarrage normal
ET INVERSEMENT d'ou la necessite pour certains d'inscrire les valeurs dans tous les control set,
soit modifier les reg à la mano et injecter.

[Raf]

Bon ! résultat des courses pour moi, le patch  de pierre n'a pas fonctionné en mode normal (et pourtant les entrées étaient bien ajoutées dans le registre). je n'avais pas accès au mode sans échec donc cette solution me semblait foutu.

Or donc j'ai tenté la réparation de windows en bootant sur le cd XP,
(voir là pour ceux qui voudraient essayer http://www.informatruc.com/reparer_2.php )

Après quelques kwaq divers j'ai eu l'air de récupérer la plupart de mes tartines... (tous mes logiciels installés et mes préférences utilisateurs sont là, tous mes fichiers aussi) en tout cas l'ordi est fonctionnel et je n'ai pas l'air d'avoir perdu des plumes... Je n'ai pas tout contrôlé encore (notamment pas l'impression)

PAR CONTRE impossible de reconnecter le modem que j'ai bien évidemment désinstaller réinstaller, utiliser le fix de pierre, rien n'y fait. La synchronisation refuse de se faire. Une idée ?

et Oui je suis toujours en XP sp1 non parcequ'il est illégal mais parceque je ne veux pas installer une version plus récente et que je refuse que mon ordi communique avec windows update (j'ai désactivé cela et un certain nombre de trucs de XP que je n'apprécie pas) c'est comme ça, c'est mon choix, et ça fonctionne depuis 8 ans sans soucis de cette manière... sauf à avoir avast of course... Quand je changerai de système, JAMAIS pour Vista, ce sera pour Linux et certainement pas pour un upgrade de windaube.

Merci de ne pas méconsidérer vos ex-utilisateurs qui vous ont fait confiance longtemps.

Merci à tous encore et courage à ceux qui sotn encore dans la galère

**** Traduc google***

result for me, the patch of Pierre did not work in normal mode (and yet the entries were added to the register). I did not have access to safe mode so this solution seemed foutu.

So I tried repair windows with the cd XP, I had to recover most of my stuffs... In any case, the computer is functional and I did not seem to have lost feathers ... But I did not yet control everything (including printing)

BUT it's impossible to reconnect the modem that I obviously uninstall reinstall, use the Pierre fix , nothing done. The synchronization refuses to do so. Any idea?

and Yes I am still in XP sp1 not because it is illegal but because I do not want to install a newer version and that I refuse that my computer communicates with windows update (I disabled it and a number of tips XP I do not appreciate) . That's my choice, and it works for 8 years without worries in this way ... except with avast of course ... When I will change system, NEVER for Vista, it will be for Linux and certainly not for an upgrade windaube.

Please do not blame your ex-users who have trusted you for a long time.

Thanks

[kostik]

Gare messieurs les Current control set ne sont pas forcément trés documentés,
en effet les 001 et 002 ne correspondent pas forcement à des états précis, j'explique:

Le 001 peut etre la derniére bonne configuration, le 002 utilisé pour un démarrage normal
ET INVERSEMENT d'ou la necessite pour certains d'inscrire les valeurs dans tous les control set,
soit modifier les reg à la mano et injecter.

En définitive, tu penses qu'il faut faire comme Calambo : mettre tous les ControlSet (001, 002, 003, etc.) ?
D'ailleurs question : comment acceder à la base de registre, de façon à ce que je puisse voir si les entrées proposées par les patch (que ce soit les tiens Pierre ou celui d'Avast) s'implantent bien ?

Fonzy : pas de souci ça m'fait plaisir également de voir que j'suis pas le seul à ramer ^_^

Sinon, bien d'accord pour dénoncer cet espèce d'amalgame qui est fait. Ma version d'XP est également réglo, sauf que c'est une OEM, donc pas de CD pour moi.
de même, j'ai déliberement refusé de passer au SP2, pour ^des raisons analogues à celles de Raf. D'ailleurs tout comme toi Raf, je sens que le prochain ordi, ce sera Ubuntu.

[pierrebulle]

Dans le principe il y a 3 Current control set:

Le Current control set
Le Control set 001
Le Control set 002

Si tu n'as pas la barre de tache il faut faire la combinaison de touches Ctrl+Alt+Suppr et démarrer une nouvelle tache: regedit

Développes le registre par les + sur la partie gauche et vas à la section:
Poste de travail\HKEY_LOCAL_MACHINE\SYSTEM\

Explores les différents current control et control set, tu y trouveras une clé nommée services, elle doit etre identique dans les trois Control

Bases toi sur la sous-clé services la plus fournie et exportes la par un clic droit sur services et exporter.

Ensuite le fichier reg généré est modifiable clic droit modifier comme un texte, il s'agit alors de modifier la valeur controlset001 par controlset002 ou currentcontrolset, une fois modifié rappelles ta base de registre et importe ton reg modifié ou fusionnes par double clic sur le .reg.

[kostik]

Dans le principe il y a 3 Current control set:

Le Current control set
Le Control set 001
Le Control set 002

Si tu n'as pas la barre de tache il faut faire la combinaison de touches Ctrl+Alt+Suppr et démarrer une nouvelle tache: regedit

Développes le registre par les + sur la partie gauche et vas à la section:
Poste de travail\HKEY_LOCAL_MACHINE\SYSTEM\

Explores les différents current control et control set, tu y trouveras une clé nommée services, elle doit etre identique dans les trois Control

Bases toi sur la sous-clé services la plus fournie et exportes la par un clic droit sur services et exporter.

Ensuite le fichier reg généré est modifiable clic droit modifier comme un texte, il s'agit alors de modifier la valeur controlset001 par controlset002 ou currentcontrolset, une fois modifié rappelles ta base de registre et importe ton reg modifié ou fusionnes par double clic sur le .reg.

Merci pour ton soutien Pierre...mais bon, je ne suis pas un as du PC :-/
Enfin bref, reprennons tes étapes.

1/J'ai un total de 4 controlset : 001, 002, 003 et Current.
2/dans chacun d'entre-eux, il y a bien un sous dossier (est-ce celà que tu appelles "sous-clé" ?) nommé Services.
3/Dans les sous-dossiers Services, il y a respectivement :
*329 sous-sous-dossiers dans control001
*326 sous-sous-dossiers dans control002
*327 sous-sous-dossiers dans control003
*326 sous-sous-dossiers dans Current
Est-ce à dire que le currentcontrol est en fait le 002 ?

4/A près, je suis largué.
Il faudrait que je fasse donc un clic droit sur le sous-dossier service de control 001 (vu que c'est le plus fourni), puis "exporter".
Cela est sensé générer un .reg, mais qui arriverait où, sur le bureau ?
Vu que ce serait le sous-dossier Service de control001, il va falloir que j'en crée trois copies (une pour control002, une pour 003 et une pour current), en remplaçant à chaque fois l'expression "ControlSet001" par "ControlSet002" ou "003", etc. Est-ce cela ?

5/Il faut alors que j'importe ces copies. Comment faire ?

Et au final, quel est l'interet de faire celà ? en quoi celà va-t-il réparer le souci ?

[pierrebulle]

Alors reprenons:

Le currentcontrolset donne une image instantanée de ton systéme, dans le cas de la clé "services", il s'agit des services et dépendances actifs. Dans la théorie à la fermeture de Windows le currentcontrolset est copié dans le controlset001, il s'agit donc d'une sauvegarde, les 002 003 et suite donnent une derniére bonne configuration ainsi que les configs pour d'autres utilisateurs existants ou ayant existés.

Le souci est le suivant: certaines clés ont été supprimées lors de la pseudo désinfection, le currentcontrolset vient alors écraser le controlset001, logique ç'est sa sauvegarde, de plus on boote une fois on essaye des manips et pour finir tout est en vrac.

Mon patch ou celui d'avast (d'une grande similitude) a pour effet de corriger ces disfonctionnements, mais pour bien faire et avec le mode de copie de ces controls si le patch ne fonctionne pas du premier coup, il est nécessaire de refaire l'opération, oui je sais deux fois le meme boulot! Surtout à ce moment la ne plus rebooter la machine (sauvegarde du currentcontrolset, ecrasement controlset001, etc...)

Donc la il s'agit de reperer dans quel controlset ont été importées les clés, d'ou l'idée du plus fourni, sinon dans l'absolu retrouver les clés du patch. Ensuite un clic droit sur le mot "services" dans la partie gauche de regedit, exporter, pas d'inquiétude on te demande ou ranger le fichier et sous quel nom, le bureau n'etant pas la plus mauvaise solution.

Sur le bureau une nouvelle icone de notre exportation, donc la il s'agit de modifier, clic droit modifier, effectivement il s'agit de créer autant de fichiers que nécessaire, n'oublies pas de quitter les modifs par fichier, enregistrer sous, sur le bureau. Ensuite un double clic sur tous les fichiers reg placés sur le bureau, un par un. La et seulement la il faudra rebooter la machine.

[polonus]

Hi pierrebulle,

Despite the fact that I am not francophone myself  (but had to learn this beautiful  language at school so I can work out the general context of what is written here by you and others), I like to add that there should be an extra barrier put into the mechanism of av-scanners to be utterly careful with system files that are crucial to the functioning of the Windows Operational System (what this file discussed certainly is). First rule of an av-product should be like the physician not to do any additional harm, in the case of the doctor to the patient and in the case of malware to the Operational System, especially where certain files lost can wreak havoc on the operation of it, and also the users must be fully convinced that the properties of an av-scanner (any av-scanner for that matter) can lead to drastic consequences in the hands of the unaware. I would like to add another point if a file is flagged, go to an online base where the dll's and processes on a Windows machine are presented with a description as to what they do, their "essentialité", if they can be used for malware. There is a  fine programme to do this freefixer, see: http://www.freefixer.com/

polonus

P.S. Found this interesting link for you, please translate in into French for the readers of this thread:
http://kb.parallels.com/en/1448

Damian

[mr_knife]

mille merci pierrebulle !!! Ton patch et tes conseils semblent avoir sauvé mon ordinateur ! J'ai retrouvé ma barre des tâches... et tout le reste !

Petit message donc pour aider ceux dont le patch de chez avast ou le tien ne donnent pas de résultat...

J'ai appliqué la procédure et le patch de pierrebulle (encore merci). (Deux fois)

Ensuite, je suis allé dans la base de registre... (Ctrl Alt Suppr, nouvelle tache, regedit)

J'avais 5 controlset:

-ControlSet001
-ControlSet002
-ControlSet003
-ControlSet004
-CurrentControlSel

Tous avaient plein de paramètres (de sous-sous dossiers) dans le sous dossier 'services'

Tous sauf ControlSet001, dont le sous dossier services ne contenaient que les services ajoutés par le patch de pierrebulle (par exemple 'alerter')

Ce sous-sous dossier 'alerter' n'était pas présent dans les autres controlset...

J'en ai déduit que le patch s'était appliqué sur le ControlSet001 unisquement.

Alors j'ai exporté celui ci sur le bureau (click droit, exporter) en le nommant cset.reg

J'ai l'ai ensuite ouvert (click droit, modifier) avec le bloc notes

Par la fonction 'remplacer' du bloc notes, j'ai changé tout les 'ControlSet001' par 'ControlSet002', et j'ai sauvé ce fichier en l'appellant cset2.reg

et j'ai recommencé: j'ai changé tout les 'ControlSet001' par 'ControlSet003', et j'ai sauvé ce fichier en l'appellant cset3.reg

puis une dernière fois :j'ai changé tout les 'ControlSet001' par 'ControlSet004', et j'ai sauvé ce fichier en l'appellant cset4.reg


Ensuite, par double click sur cset2.reg, cset3.reg, cset4.reg, j'ai mis à jour ControlSet002, ControlSet003, ControlSet004 dela base de registre

J'ai redémarré


et tout est redevenu comme avant

(ouf!)

et merci ! ce petit mot de 5 lettres n'est pas assez grand...

J'espère que cela pourra vous aider !!!