Impossible de démarrer windows

nadyyyyy -  
nadyyyyy Messages postés 4 Statut Membre -
Bonsoir à toute et à tous,

je vous prie de bien vouloir m'aider ne serai-ce que par un conseil, j'ai une unité ( celle d'une amie qui ne mets pas son antivirus à jour régulièrement :P ) elle est bien infectée de virus au point ou elle ne démarre plus sous windows, j'arrive seulement à entrer dans le mode sans échec, qu'est ce que je peux faire ?! j'aimerai sauvegarder les documents s'ils ne sont pas infectés... est ce qu'il faut que je la passe à un technicien carrément !

Merci d'avance pour votre aide
Configuration: Windows XP
Firefox 3.5.7

4 réponses

  1.
    choubaka Messages postés 5534 Date d'inscription   Statut Modérateur Dernière intervention   2 113
     
    Salut

    si tu accèdes au mode sans échec, pas de problème. Tu peux sauvegarder tes données sur un disque externe par exemple. Il faudra veiller à scanner les données par un antivirus à jour avant de les réinsérer dans un pc sain.
    0
  2. dédétraqué Messages postés 4522 Statut Contributeur sécurité 286
     
    Salut nadyyyyy

    Si plus d'internet faudra mettre sur le bureau du PC malade via clé USB ou autre.

    Télécharge combofix.exe (de sUBs) sur le bureau :

    Faire un clic droit sur ce lien :

    http://download.bleepingcomputer.com/sUBs/ComboFix.exe

    Pour Internet Explorer

    - Choisi Enregistrer la cible sous ...

    Pour Firefox

    - Choisi Enregistrer la cible du lien sous...

    - Choisi le bureau comme lieu d'enregistrement

    - Donne lui ce nom bibite.exe clique sur Enregistrer

    Double clique sur bibite.exe sur le bureau du PC malade, clique sur OUI et valide par Entrée

    Lorsque le scan sera complété, un rapport apparaîtra. Copie/colle ce rapport dans ta prochaine réponse.

    NOTE : Le rapport se trouve également ici : C:\Combofix.txt

    Combofix est détecté par certains antivirus comme une infection, ne pas en tenir compte, il s'agit d'un faux positif, continue la procédure

    @++ :)
    0
    1. nadyyyyy
       
      Merci pour votre réponse à tous les deux,

      combofix à besoin de créer un point de restauration avec prise en charge internet ( ce qui n'est pas le cas avec le mode sans echec ) comment faire surtout que ce matériel est très dangereux si je fais des erreurs !
      0
    2. nadyyyyy
       
      salut j'ai fait quand même le scan combofix en acceptant de faire le point de restauration sans connexion et je l'ai laissé faire l'analyse. voilà le rapport

      ComboFix 10-01-04.01 - Administrateur 10/01/2010 20:05:55.1.1 - x86 MINIMAL
      Microsoft Windows XP Professionnel 5.1.2600.2.1252.33.1036.18.895.756 [GMT 1:00]
      Lancé depuis: c:\documents and settings\Administrateur\Bureau\bibite.exe

      AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !!
      .

      (((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
      .

      c:\windows\system32\msconfig.exe
      D:\autorun.inf
      D:\logoneui.exe
      D:\zPharaoh.exe
      E:\Autorun.inf
      E:\cb.exe
      E:\logoneui.exe
      E:\zPharaoh.exe
      F:\Autorun.inf
      F:\cb.exe
      F:\logoneui.exe
      F:\zPharaoh.exe

      .
      ((((((((((((((((((((((((((((( Fichiers créés du 2009-12-10 au 2010-01-10 ))))))))))))))))))))))))))))))))))))
      .

      2010-01-10 18:36 . 2001-08-23 16:04 12288 ----a-w- c:\windows\system32\drivers\mouhid.sys
      2010-01-10 18:36 . 2001-08-17 21:02 9600 ----a-w- c:\windows\system32\drivers\hidusb.sys

      .
      (((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
      .
      2010-01-10 18:36 . 2010-01-03 10:34 90112 ----a-w- c:\windows\DUMP538e.tmp
      2010-01-03 10:17 . 2010-01-03 09:58 -------- d-----w- c:\documents and settings\Administrateur\Application Data\uTorrent
      2010-01-03 10:06 . 2010-01-03 10:06 -------- d-----w- c:\program files\Nouveau dossier
      2010-01-03 10:04 . 2002-08-30 14:00 63950 ----a-w- c:\windows\system32\perfc00C.dat
      2010-01-03 10:04 . 2002-08-30 14:00 439070 ----a-w- c:\windows\system32\perfh00C.dat
      2010-01-03 09:58 . 2010-01-03 09:58 -------- d-----w- c:\program files\Taskix
      2010-01-03 09:58 . 2010-01-03 09:58 -------- d-----w- c:\program files\TransBar
      2010-01-03 09:58 . 2010-01-03 09:58 -------- d-----w- c:\program files\VisualTaskTips
      2010-01-03 09:58 . 2010-01-03 09:58 -------- d-----w- c:\program files\LClock
      2010-01-03 09:58 . 2010-01-03 09:58 -------- d-----w- c:\program files\VistaDriveStatus
      2010-01-03 09:58 . 2010-01-03 09:58 -------- d-----w- c:\program files\FastStone Capture
      2010-01-03 09:58 . 2010-01-03 09:58 -------- d-----w- c:\program files\IrfanView
      2010-01-03 09:58 . 2010-01-03 09:58 -------- d-----w- c:\program files\uTorrent
      2010-01-03 09:58 . 2010-01-03 09:58 -------- d-----w- c:\program files\TUGZip
      2010-01-03 09:48 . 2010-01-03 09:48 -------- d-----w- c:\program files\WPI
      2010-01-03 09:44 . 2010-01-03 09:44 21892 ----a-w- c:\windows\system32\emptyregdb.dat
      2010-01-03 09:44 . 2010-01-03 09:43 -------- d-----w- c:\program files\Notepad++
      2010-01-03 09:43 . 2010-01-03 09:43 -------- d-----w- c:\program files\Unlocker
      2010-01-03 09:43 . 2010-01-03 09:43 -------- d-----w- c:\program files\Paint.NET
      2010-01-03 09:43 . 2010-01-03 09:43 -------- d-----w- c:\program files\Windows Trust
      2007-10-26 06:17 . 2010-01-03 09:58 66408 ----a-w- c:\program files\mozilla firefox\components\jar50.dll
      2007-10-26 06:17 . 2010-01-03 09:58 54112 ----a-w- c:\program files\mozilla firefox\components\jsd3250.dll
      2007-10-26 06:17 . 2010-01-03 09:58 34688 ----a-w- c:\program files\mozilla firefox\components\myspell.dll
      2007-10-26 06:17 . 2010-01-03 09:58 46456 ----a-w- c:\program files\mozilla firefox\components\spellchk.dll
      2007-10-26 06:17 . 2010-01-03 09:58 171880 ----a-w- c:\program files\mozilla firefox\components\xpinstal.dll
      .

      ------- Sigcheck -------

      [-] 2007-11-18 . BB4D3A8E6F7EB1D370BC4AD27AB23368 . 360576 . . [5.1.2600.2892] . . c:\windows\system32\drivers\tcpip.sys


      [-] 2007-11-18 . F75F1A6D307F39239CC9E29989291AC2 . 2323968 . . [5.1.2600.3093] . . c:\windows\system32\ntoskrnl.exe

      [-] 2007-11-18 . 39AD2A0B2E445C2A9E2E48ADBD03058F . 636416 . . [5.1.2600.3099] . . c:\windows\system32\user32.dll

      [-] 2007-11-18 . 7A0ADBFEC6AB00F73EDD829FF1709F0B . 1016832 . . [6.00.2900.3156] . . c:\windows\explorer.exe


      [-] 2007-11-18 . 90B1452213C586D75617AD2BC58EE052 . 1548288 . . [5.1.2600.2180] . . c:\windows\system32\sfcfiles.dll

      [-] 2007-11-18 . 2455CF6CCA7BDF1E47FCB17FA46022C1 . 2201216 . . [5.1.2600.3093] . . c:\windows\system32\ntkrnlpa.exe

      c:\windows\System32\wuauclt.exe ... manque !!
      c:\windows\System32\wscntfy.exe ... manque !!
      .
      ((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))
      .
      .
      *Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés
      REGEDIT4

      [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
      "TransBar"="c:\program files\TransBar\TransBar.exe" [2005-06-01 65536]

      [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
      "Vistadrv"="c:\program files\VistaDriveStatus\vsdrv.exe" [2006-07-30 121089]
      "VisualTaskTips"="c:\program files\VisualTaskTips\VisualTaskTips.exe" [2007-09-05 36352]
      "LClock"="c:\program files\LClock\LClock.exe" [2004-09-19 65536]
      "Taskix"="c:\program files\Taskix\Taskix32.exe" [2007-01-25 65536]

      [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
      "ShowDeskFix"="shell32" [X]

      [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
      "SynchronousMachineGroupPolicy"= 0 (0x0)
      "SynchronousUserGroupPolicy"= 0 (0x0)

      [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]
      "NoResolveTrack"= 1 (0x1)
      "HideRunAsVerb"= 1 (0x1)

      [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
      "NoSMHelp"= 1 (0x1)
      "NoResolveTrack"= 1 (0x1)
      "NoSMBalloonTip"= 1 (0x1)
      "NoSMConfigurePrograms"= 1 (0x1)
      "NoStrCmpLogical"= 0 (0x0)
      "NoWelcomeScreen"= 1 (0x1)

      [HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer]
      "NoSMHelp"= 1 (0x1)
      "ForceClassicControlPanel"= 1 (0x1)
      "NoResolveTrack"= 1 (0x1)
      "NoSMBalloonTip"= 1 (0x1)
      "NoSMConfigurePrograms"= 1 (0x1)
      "NoStrCmpLogical"= 0 (0x0)
      "NoWelcomeScreen"= 1 (0x1)

      [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
      "EnableFirewall"= 0 (0x0)
      "DisableUnicastResponsesToMulticastBroadcast"= 0 (0x0)

      [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
      "%windir%\\system32\\sessmgr.exe"=


      [COLOR=RED]NETSVCS DOIT ÊTRE RÉPARÉ - liste des éléments présents/COLOR
      6to4
      AppMgmt
      AudioSrv
      Browser
      CryptSvc
      DMServer
      DHCP
      EventSystem
      FastUserSwitchingCompatibility
      HidServ
      Ias
      Iprip
      Irmon
      LanmanServer
      LanmanWorkstation
      Netman
      Nla
      Ntmssvc
      NWCWorkstation
      Nwsapagent
      Rasauto
      Rasman
      Remoteaccess
      Schedule
      Seclogon
      SENS
      Sharedaccess
      SRService
      Tapisrv
      Themes
      W32Time
      WZCSVC
      Wmi
      WmdmPmSp
      winmgmt
      xmlprov
      BITS
      ShellHWDetection
      WmdmPmSN

      HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs

      .
      .
      ------- Examen supplémentaire -------
      .
      uStart Page = hxxp://www.google.com/
      mStart Page = hxxp://www.google.com/
      ucustomizesearch = hxxp://www.google.com/ie
      usearchassistant = hxxp://www.google.com/ie
      FF - ProfilePath -
      .

      **************************************************************************

      catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
      Rootkit scan 2010-01-10 20:08
      Windows 5.1.2600 Service Pack 2 NTFS

      Recherche de processus cachés ...

      Recherche d'éléments en démarrage automatique cachés ...

      Recherche de fichiers cachés ...

      Scan terminé avec succès
      Fichiers cachés: 0

      **************************************************************************
      .
      --------------------- DLLs chargées dans les processus actifs ---------------------

      - - - - - - - > 'winlogon.exe'(224)
      c:\windows\system32\SETUPAPI.dll

      - - - - - - - > 'lsass.exe'(280)
      c:\windows\system32\SETUPAPI.dll
      .
      Heure de fin: 2010-01-10 20:09:49
      ComboFix-quarantined-files.txt 2010-01-10 19:09

      Avant-CF: 39 221 534 720 octets libres
      Après-CF: 39 201 366 016 octets libres

      - - End Of File - - 663C978293239102721AD10A23789FE0
      0
  3. dédétraqué Messages postés 4522 Statut Contributeur sécurité 286
     
    Salut nadyyyyy

    j'aimerai sauvegarder les documents s'ils ne sont pas infectés
    Tes documents ne sont pas infectés, tu peux procédé a une sauvegarde de tes document.

    Tes lecteurs D:\, E:\ et F:\ sont détectés comme infectés, une réinstallation de Windows va obligatoirement réinfecté le PC.

    Télécharge et installe UsbFix par Chiquitine29
    http://pagesperso-orange.fr/NosTools/Chiquitine29/UsbFix.exe

    (!) Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d'avoir été infectées sans les ouvrir.

    • Double clic sur le raccourci UsbFix présent sur ton bureau .

    • Au menu principal choisis l'option " F " pour français et tape sur [entrée] .

    • Au second menu Choisis l'option " 2 " ( Suppression ) et tape sur [entrée]
    -- > Si tu est encore en MSE choisi l'option " 4 " ( Suppression MSE )

    • Ton bureau disparaîtra et le pc redémarrera.

    • Au redémarrage, UsbFix scannera ton PC, laisse travailler l'outil.

    • Ensuite poste le rapport UsbFix.txt qui apparaîtra avec le bureau.

    • Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque.( C:\UsbFix.txt )

    ( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

    Note2 : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.
    Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.
    Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

    • Tuto : http://pagesperso-orange.fr/NosTools/usbfix.html

    @++ :)
    0
    1. nadyyyyy
       
      Bonjour dédétraqué,

      si ce message passe c'est que le rapport est trop volumineux il ne passe pas après quatre tentatives d'envoi !! comment faire !

      j'ai fait le scan usbfix j'ai arrêté l'ordi sans fermer la fenêtre d'usbfix j'espère que ce n'est pas grave !!

      le scan à généré un dossier zip uploadme sur le bureau et avira l'a détecté comme virus !

      les documents sur l'ordi infecté sont sans sigle W on dirait qu'ils sont perdus :(
      0
    2. nadyyyyy
       
      Re Bonjour, j'ai utilisé un autre moyen pour poster ce rapport ( vu dans d'autres postes ;) ) le liens pour le rapport usbfix sur Cjoint ; https://www.cjoint.com/?blmhnZ4Svf
      0
  4. dédétraqué Messages postés 4522 Statut Contributeur sécurité 286
     
    Salut nadyyyyy

    Télécharge Dr.Web CureIt! sur le Bureau :
    ftp://ftp.drweb.com/pub/drweb/cureit/drweb-cureit.exe

    - Double clique sur l'icône de drweb-cureit.exe sur le bureau et clique sur Commencer le scan.
    - Si des infections sont trouvées après ce scan rapide, clique sur le bouton Oui pour Tout.
    - Après ce scan rapide, sélectionnez Analyse complète et clique sur la flèche verte à droite.
    - Le scan du PC va débuter, le scan peut-être très très long.
    - Si une infection sont trouvée, clique sur le bouton Oui pour Tout.
    - A la fin du scan, si des infections sont trouvées, clique sur Tout sélectionner, puis sur Désinfecter. Si la désinfection est impossible, clique sur Quarantaine.
    - Au menu principal de l'outil, en haut à gauche, clique sur le menu Fichier et choisissez Enregistrer le rapport.
    - Sauvegarde le rapport sur votre Bureau. Ce dernier se nommera DrWeb.csv.
    - Ferme Dr.Web CureIt!
    - Redémarre ton PC (très important) car certains fichiers peuvent être déplacés/réparés au redémarrage.
    - Suite au redémarrage, poste (Copie/Colle) le contenu du rapport de l'outil Dr.Web dans ta prochaine réponse.

    @++ :)
    0
    1. nadyyyyy
       
      Bonjour Dédétraqué,

      le rapport est trop volumineux 3,60 Mo il ne passe pas sur Cjoint comment faire pour le poster ?!

      pour l'ordi l'office à complètement disparu, et après l'avoir redémarré il s'est mis à ouvrir des documents notepad tout seul sans que je le touche !!
      0
    2. nadyyyyy Messages postés 4 Statut Membre
       
      Bonjour Dédétraqué;

      le rapport USBfix sur cijoint.fr

      http://www.cijoint.fr/cjlink.php?file=cj201001/cijWJ1Xs06.txt
      0