pc infecté Fermé

Question

Bonjour,

Mon pc est infecté, quand je lance mon anti-virus zonelabs il bloque sur l'analyse du fichier _default.pif et m'affiche un écran bleu qui m'oblige à éteindre l'ordi. De plus avant le blocage plusieurs fenêtres messages de sécurité de windows apparaissent me disant que l'ordi est en danger. Je redémarre et essaye d'accéder au site kaspersky pour faire un scan en ligne mais il m'affiche cette page ne peut être trouvée. Du coup je ne sais pas si je peux accéder à d'autres sites pour télécharger par exemple rsit ou hijackthis. Donc je dois le faire au boulot et les mettre sur une cle usb ou un cd : probleme je ne peux telecharger de fichiers exe. Existe-t-il un zip de rsit ?

Que dois-je faire ?

Merci d'avance

Trying2 · Answer

Je te propose, d'apprendre à déceler toi même le problème viral éventuel de ton pc:


Télécharge GenProc de Lazzy et Narco4 sur ton bureau:
http://www.alt-shift-return.org/Info/Fichiers/GenProc.zip

Dézippe le dossier, double-clique sur GenProc.bat et poste le contenu du rapport qui s'ouvre.

Toutes les indications pour agir convenablement se trouvent ici (je te conseille de lire l'intégralité de cette page):
http://www.alt-shift-return.org/Info/GenProc-HowTo.html

Poste les rapports tels que GenProc te l'indique au fur et à mesure, je serai là pour te guider et/ou confirmer certaines actions.

Trying2 · Answer

Tu as lancé MSNFIX?
Tu as le rapport STP?

Trying2 · Answer

Sur les conseils de Jlpjlp, je vais te faire exécuter Combo-fix, qui est un outil puissant à ne pas mettre entre toutes les mains:



Télécharge combofix (par sUBs) ici :

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

Enregistre le sur le bureau sous le nom de antibagle.

Fais le avant que le fichier ne soit enregistré sur le bureau.

Déconnecte toi d'internet et ferme toutes tes applications.

Désactive tes protections (antivirus, parefeu, garde en temps réel de l'antispyware)


Double-clique sur combofix.exe et suis les instructions

A la fin, il va produire un rapport C:\ComboFix.txt

Réactive ton parefeu, ton antivirus, la garde de ton antispyware

Copie/colle le rapport C:\ComboFix.txt dans ta prochaine réponse.

Attention, n'utilise pas ta souris ni ton clavier (ni un autre système de pointage) pendant que le programme tourne. Cela pourrait figer l'ordi.

Tu as un tutoriel complet ici :

https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

jlpjlp · Answer

slt je prends la suite pour vérifier



scan avec malwarebyte , fais un scan rapide et colle le rapport obtenu et vire ce qui est trouvé:


https://www.malekal.com/tutoriel-malwarebyte-anti-malware/­

______________________ 

Téléchargez Dr.Web CureIt! : ftp://ftp.drweb.com/pub/drweb/cureit/launch.exe

colle un rapport avec   rq: Choisissez Désinfecter comme option!

jlpjlp · Answer

ok mais n'hésite pas à passer!

jlpjlp · Answer

ok

fais DR WEB

puis remets un rapport RSIT

et dis si encore des soucis

a plus

jlpjlp · Answer

oui j'ai eu

tu peux virer le dossier quarantine situé dans poste de travail puis

c:\Qoobox\quarantine

___________________

tu as déjà l'infection TDSS qui a été virée et qui empechait les scan en ligne chez bitdefender.... qui n'est plus mais il faut verifier alors


fais DR WEB

puis remets un rapport RSIT

et dis si encore des soucis 



si je suis pas dispo tu peux faire un scan en ligne pour avancer et le coller


bitdefender en ligne : 
http://www.bitdefender.fr/scan_fr/scan8/ie.html 

Panda en ligne : 
http://pandasoftware.fr

Kaspersky en ligne
https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr

Eset (Nod32) en ligne
https://www.eset.com/

jlpjlp · Answer

ok


utilise  pour supprimer tes traces 

CCLEANER: (lance un nettoyage et répare 3 fois le registre) sans installer la barre yahoo 
(dans les options puis avancé :désactive la case: effacer les fichiers de plus de 48 heures)
https://www.malekal.com/tutoriel-ccleaner/
https://www.01net.com/telecharger/windows/Utilitaire/nettoyeurs_et_installeurs/fiches/32599.html
----------------------- 

Télécharge ToolsCleaner sur ton bureau. 
-->  http://www.commentcamarche.net/telecharger/telecharger 34055291 toolscleaner
# Clique sur Recherche et laisse le scan agir ... 
# Clique sur Suppression pour finaliser. 
# Tu peux, si tu le souhaites, te servir des Options facultatives. 
# Clique sur Quitter pour obtenir le rapport. 
# Poste le rapport (TCleaner.txt) qui se trouve à la racine de ton disque dur (C:\). 

________________
Désactive ta restauration systeme puis redemarre ton ordi puis réactive là comme ceci:
https://www.informatruc.com
_________________

colle un scan en ligne de chez bitdefender ou kaspersky ou panda

jlpjlp · Answer

si tu n'as pas d'antivirus mets antivir et colle un scan avec:

https://www.01net.com/telecharger/windows/Securite/antivirus-antitrojan/fiches/13198.html



https://forums.cnetfrance.fr/tutoriels-securite-informatique/155069-antivir-tutoriel-antivir-en-francais





___________

sinon: colle un scan avec ton antivirus ou tente:


secuser en ligne :
http://www.secuser.com/outils/antivirus.htm
http://www.secuser.com/outils/antivirus_installation.htm

scan en ligne firefox
	
https://www.trendmicro.com/fr_fr/business.html

jlpjlp · Answer

ok bon réveil à tous :) . À plus

jlpjlp · Answer

tu as quel antivirus? Télécharge bitdefender free ( je dis bien free) et colle un rapport avec

Trying2 · Answer

Tu as bien modifier ces deux cases avant le nettoyage?
* clique sur "Options", "Avancé" et décoche la case: "Effacer uniquement les fichiers, du dossier Temp de Windows, plus vieux que 48 heures".

*Dans Nettoyeur/Windows /avancé il faut cocher la case vieilles données du prefetch.

Trying2 · Answer

Tu peux me dire si je dois désinstaller toutes les applis téléchargées et quand ?

Ne t'inquiète pas : c'est prévu.

Comment tourne ton pc?


Tu peux me faire un dernier rapport Hijack stp?

Télécharge hijackthis et poste moi le rapport dans ta prochaine réponse.
Comment générer un rapport. (merci à Balltrap 34 pour la démo)

fix200 · Answer

Salut a tous :

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs
qzxbpao
ptqveqfy 
....
Infecté par Conficker .... :(

Bon courage a vous ...

++

fix200 · Answer

Tu avais raison alors ...

c'est une variante qui modifie la valeur HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs 

++

fix200 · Answer

Je pense que c'est une toute nouvelle variante .. :(

Trying2 · Answer

@ Hic:


*Télécharge et installe UsbFix de C_XX & Chiquitine29.

*Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptibles d'avoir été infectés sans les ouvrir.

*Double clique sur le raccourci UsbFix présent sur ton bureau.

*Choisi l'option 1 ( Recherche )

*Laisse travailler l'outil.

*Ensuite poste le rapport UsbFix.txt qui apparaîtra dans ton prochain message.

fix200 · Answer

Salut lis bien ce qu'on t'écrit :  

*Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptibles d'avoir été infectés sans les ouvrir.

*Double clique sur le raccourci UsbFix présent sur ton bureau.

*Choisi l'option 1 ( Recherche )

*Laisse travailler l'outil.

*Ensuite poste le rapport UsbFix.txt qui apparaîtra dans ton prochain message. 

++

fix200 · Answer

Conficker toujours ...

**********************************************************
********************* Option 2 (Nettoyage) *********************
**********************************************************

&#x25B6; Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d'avoir été infectés (!) sans les ouvrir (!)

&#x25B6; Fais un double-clic sur le raccourci UsbFix présent sur ton bureau

&#x25B6; choisis l'option 2 ( Suppression )

&#x25B6; Ton bureau disparaîtra et le PC redémarrera .

&#x25B6; Au redémarrage , UsbFix scannera ton pc , laisse travailler l'outil.

&#x25B6; Ensuite poste le rapport UsbFix.txt qui apparaîtra avec le bureau .

&#x25B6; Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque.( C:\UsbFix.txt )

         Tutoriel nettoyage

++

jlpjlp · Answer

slt merci d'avoir pris le relais car je suis occupé. Faire donc usbfix option 2 .  À plus dès que possible ...

fix200 · Answer

Salut : Branche tes sources externes sans les ouvrir Si vous etes sous Vista Désactivez l'UAC Télécharge OTM (Old Timer) sur ton bureau: ---> Sous XP: Double-clique sur OTM.exe afin de le lancer. Sous Vista: fais un clic droit sur OTM et choisis "exécuter en tant qu'administrateur" ---> Copie (Ctrl+C) le texte suivant ci-dessous : :Processes explorer.exe :Reg :Files F:\LaunchU3.exe J:\LaunchU3.exe C:\procexp.exe :Commands [start explorer] [emptytemp] [purity] [reboot] ---> Colle (Ctrl+V) le texte précédemment copié dans le cadre Paste Instructions for Items to be Moved. ---> Clique maintenant sur le bouton MoveIt! puis ferme OTM. Si un fichier ou dossier ne peut pas être supprimé immédiatement, le logiciel te demandera de redémarrer. Accepte en cliquant sur YES. ---> Poste le rapport situé dans ce dossier : C:\_OTM\MovedFiles\ Le nom du rapport correspond au moment de sa création : date_heure.log Ensuite: Télécharge Random's System Information Tool (RSIT) par random/random et sauvegarde-le sur ton Bureau. * Double-clique sur RSIT.exe afin de lancer RSIT. * Clique sur Continue à l'écran " Disclaimer of warranty ". * Si l'outil HijackThis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera et tu devras accepter la licence. * Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront. Poste le contenu de log.txt (qui sera affiché) ainsi que de info.txt (<

fix200 · Answer

Je vous laisse .. je pars maintenant.


A+ tard :)

Trying2 · Answer

@ Hic, ne fais pas la manip avec OTM, elle est inutile.



Télécharge le RT de BitDefender.
Double clique sur le fichier téléchargé pour le dézipper.

Clique ensuite sur le fichier nommé: cleaner_gui.exe
Une fenêtre s'ouvre: Clique sur Start.
Si l'infection est détectée, l'utilitaire te le dira et lancera le nettoyage.

A la fin il te sera proposé de redémarrer: Accepte en cliquant sur Yes.

Poste nous un rapport Rsit ensuite quand tu auras redémarré ton pc.

hic · Answer

voila un rapport

All processes killed
========== PROCESSES ==========
No active process named explorer.exe was found!
========== REGISTRY ==========
========== FILES ==========
File move failed. F:\LaunchU3.exe scheduled to be moved on reboot.
J:\LaunchU3.exe moved successfully.
C:\procexp.exe moved successfully.
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: admin
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 67 bytes
 
User: All Users
 
User: am
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 23005016 bytes
->Google Chrome cache emptied: 7408548 bytes
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 67 bytes
 
User: hic
->Temp folder emptied: 9598257 bytes
->Temporary Internet Files folder emptied: 5282213 bytes
->Java cache emptied: 0 bytes
 
User: hif
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 78991 bytes
 
User: LocalService
->Temp folder emptied: 32913 bytes
File delete failed. C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat scheduled to be deleted on reboot.
->Temporary Internet Files folder emptied: 137832 bytes
 
User: lou
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 78991 bytes
 
User: NetworkService
->Temp folder emptied: 0 bytes
File delete failed. C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\index.dat scheduled to be deleted on reboot.
->Temporary Internet Files folder emptied: 1172882 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 4096 bytes
File delete failed. C:\WINDOWS	emp	mp000063c9	mp00000000 scheduled to be deleted on reboot.
File delete failed. C:\WINDOWS	emp\ZLT063df.TMP scheduled to be deleted on reboot.
Windows Temp folder emptied: 256 bytes
 
RecycleBin emptied: 0 bytes
 
Total Files Cleaned = 44,63 mb
 
 
OTM by OldTimer - Version 3.0.0.2 log created on 06262009_215445

Files moved on Reboot...
File move failed. F:\LaunchU3.exe scheduled to be moved on reboot.
File C:\WINDOWS	emp	mp000063c9	mp00000000 not found!
C:\WINDOWS	emp\ZLT063df.TMP moved successfully.

Registry entries deleted on Reboot...

hic · Answer

par contre ça rame de nouveau

jlpjlp · Answer

Pour fusionner:

http://img.photobucket.com/albums/v666/sUBs/CFScript.gif

_______________

telecharge combofix:

http://download.bleepingcomputer.com/sUBs/ComboFix.exe
Sauvegarde le sur ton bureau et pas ailleurs !

_________________

Ferme tous tes navigateurs (donc copie ou imprime les instructions avant)

Crée un nouveau document texte : clic droit de souris sur le bureau > Nouveau > Document Texte, et copie dedans les lignes suivantes :




Driver :: 
ethxvqrq
amirnlkl
hhtgmre 
mbr
pkjqju 
qhayq 
xpxbtxvt
dwshd 
File::
C:\WINDOWS\system\1sass.exe
C:\WINDOWS\system\smsc.exe
C:\WINDOWS\System32\66.scr
C:\WINDOWS\System32\40.scr
C:\WINDOWS\System32\86.scr
C:\WINDOWS\system32\drivers\ethxvqrq.sys
C:\WINDOWS\System32\??.scr
C:\WINDOWS\system32\021.tmp
C:\WINDOWS\system32\082.tmp
C:\WINDOWS\system32\??.tmp
C:\DOCUME~1\hic\LOCALS~1\Temp\mbr.sys
C:\WINDOWS\system32\04.tmp
C:\WINDOWS\system32\04.tmp
C:\WINDOWS\system32\090.tmp
C:\WINDOWS\System32\drivers\dwshd.sys
Registry::
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersio­n\Run]
"WSSVC"=-
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersio­n\Explorer\Browser Helper Objects\{7E853D72-626A-48EC-A868-BA8D5E23E045}]
[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"C:\WINDOWS\system\1sass.exe"=- 
"C:\WINDOWS\system\smsc.exe"=- 
"C:\WINDOWS\System32\66.scr"=-
"C:\WINDOWS\System32\40.scr"=-
"C:\WINDOWS\System32\86.scr"=-




Enregistre ce fichier sous le nom CFscript


Fait un glisser/déposer de ce fichier CFscrïpt sur le fichier ComboFix.exe

Clique sur le fichier CFScript, maintient le doigt enfoncé et glisse la souris pour que l'icône du CFScript vienne recouvrir l'icône de Combofix. Relache la souris. Combofix va démarrer.

Une fenêtre bleue va apparaître: au message qui apparaît ( Type 1 to continue, or 2 to abort) , tape 1 puis valide.

Patiente le temps du scan.Le bureau va disparaître à plusieurs reprises: c'est normal!

Ne touche à rien tant que le scan n'est pas terminé.

Une fois le scan achevé, un rapport va s'afficher: poste son contenu.


Si le fichier ne s'ouvre pas, il se trouve ici > C:\ComboFix.txt

___________________________


repare windows comme ceci


• Cliquez sur le menu Démarrer
• Sélectionnez exécuter
• tapez SFC*/scannow       (l'astérix représentant un espace) puis cliquez sur OK
Une popup peut alors apparaitre : Insérez le CD-ROM de Windows XP puis cliquez sur le bouton Recommencer...
Ceci ne supprime aucun programme, ni de données de votre disque dur, pas même la configuration et vos icônes.
La vérification et la réparation des fichiers s’effectuent alors ... 


__________________________
remets un rapport rsit et dis si encore des soucis

fix200 · Answer

Salut tente combofix seul ensuite essaye le CFscript ...

++

jlpjlp · Answer

sinon tente ceci:


télécharge OTM
http://www.geekstogo.com/forum/files/file/402-otm-oldtimers-move-it/
http://oldtimer.geekstogo.com/OTMoveIt3.exe (de Old_Timer) sur ton Bureau.

double-clique sur OTM.exe pour le lancer. 
copie la liste qui se trouve en citation ci-dessous, 
et colle-la dans le cadre de gauche de OTM :Paste instruction for items to be moved. 
(attention bien mettre :files)

:processes
explorer.exe
:services
ethxvqrq
amirnlkl
hhtgmre
mbr
pkjqju
qhayq
xpxbtxvt
dwshd
:files
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\6MSSBC9B\x[2] 
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\Q4X69W16\x[1]
C:\WINDOWS\system32\66.scr
C:\WINDOWS\SYSTEM\1SASS.EXE 
C:\WINDOWS\SYSTEM32\DRIVERS\ETHXVQRQ.SYS
C:\WINDOWS\system\smsc.exe
C:\WINDOWS\system\1sass.exe
C:\WINDOWS\system\smsc.exe
C:\WINDOWS\System32\66.scr
C:\WINDOWS\System32\40.scr
C:\WINDOWS\System32\86.scr
C:\WINDOWS\system32\drivers\ethxvqrq.sys
C:\WINDOWS\System32\??.scr
C:\WINDOWS\system32\021.tmp
C:\WINDOWS\system32\082.tmp
C:\WINDOWS\system32\??.tmp
C:\DOCUME~1\hic\LOCALS~1\Temp\mbr.sys
C:\WINDOWS\system32\04.tmp
C:\WINDOWS\system32\04.tmp
C:\WINDOWS\system32\090.tmp
C:\WINDOWS\System32\drivers\dwshd.sys
:reg
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersio­n\Run]
"WSSVC"=-
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersio­n\Explorer\Browser Helper Objects\{7E853D72-626A-48EC-A868-BA8D5E23E045}]
[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"C:\WINDOWS\system\1sass.exe"=-
"C:\WINDOWS\system\smsc.exe"=-
"C:\WINDOWS\System32\66.scr"=-
"C:\WINDOWS\System32\40.scr"=-
"C:\WINDOWS\System32\86.scr"=-
:commands
[purity]
[emptytemp]
[start explorer]

clique sur MoveIt! pour lancer la suppression. 
le résultat apparaitra dans le cadre "Results". 
clique sur Exit pour fermer. 
poste le rapport situé dans C:\_OTM\MovedFiles. 

il te sera peut-être demander de redémarrer le pc pour achever la suppression.si c'est le cas accepte par Yes. 

_______________________

puis

colle un scan avec bitdefender free

jlpjlp · Answer

ok tiens nous au courant

Trying2 · Answer

Ok tiens nous au courant

Effectivement.
Et merci d'avoir prévenu.

Bye.

Pc infecté

30 réponses