ordinateur vérolé besoin d'aide Résolu

Question

bonjour, mon ordi rame depuis plusieurs jours.
l'UC est à 100%

j'ai fait plusieurs restauration système, elles n'ont pas pu être menées à bien.
j'essaie d'enregistrer le système windows par défaut mais je n'y arrive pas non plus (l'opération ne va pas à son terme).

jai fait une analyse de mon ordi avec avast et antivir et ils n'ont rien trouvés.

Que puis je faire ?. Tout fonctionne mais tout est au ralenti, souvent les applications plantent.

Configuration: Windows Vista / Firefox 3.5.9

Electricien 69 · Answer

bonsoir,

* Télécharge ZHPDiag 

https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html 

* Laisse toi guider lors de l'installation, il se lancera automatiquement à la fin. 
* Clique sur l'icône représentant une loupe (« Lancer le diagnostic ») 
* Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette 
* Héberge le rapport ZHPDiag.txt sur ce site, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum. 
http://www.cijoint.fr/

Electricien 69 · Answer

*	/!\ Utilisateur de Vista : Ne pas oublier de désactiver l'UAC juste le temps de désinfection de ton pc, il sera à réactiver plus tard :
Tuto : https://www.commentcamarche.net/faq/8343-vista-desactiver-l-uac
	
Télécharge Malwarebytes' Anti-Malware et enregistre le sur ton bureau:
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/ 

ou ici : http://www.malwarebytes.org/mbam/program/mbam-setup.exe

 
/!\Utilisateur de Vista et Windows 7 : Clique droit sur le logo de Malwarebytes' Anti-Malware, « exécuter en tant qu'Administrateur »

. Double cliques sur le fichier téléchargé pour lancer le processus d'installation. 
. Dans l'onglet "mise à jour", cliques sur le bouton Recherche de mise à jour 
. si le pare-feu demande l'autorisation de se connecter pour malwarebytes, acceptes 
. Une fois la mise à jour terminé
. rend-toi dans l'onglet, Recherche 
. Sélectionnes Exécuter un examen complet
. Cliques sur Rechercher
. Le scan démarre. 
. A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. Cliquez sur 'Afficher les résultats' pour afficher tous les objets trouvés. 
. Cliques sur Ok pour poursuivre. 
. Si des malwares ont été détectés, cliques sur Afficher les résultats 
. Sélectionnes tout (ou laisses cochés) et cliques sur Supprimer la sélection Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine. 
. Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse. 
. rends toi dans l'onglet rapport/log 
. tu cliques dessus pour l'afficher une fois affiché 
. tu cliques sur edition en haut du boc notes,et puis sur sélectionner tous 
. tu recliques sur edition et puis sur copier et tu reviens sur le forum et dans ta réponse 
. Tu cliques droit dans le cadre de la réponse et coller 
. À la fin du scan, il se peut que MBAM ait besoin de redémarrer le pc pour finaliser la suppression, donc pas de panique, redémarre ton pc !!!

Si tu as besoin d'aide regarde ce tutoriel : 
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/


je regarde la suite demain  @ ++

edoms · Answer

j'ai fait ce que tu as dis mais à la fin de l'analyse il  affiché le rapport mais il m'a demandé si je voulais redémarrer le pc. j'ai appuyé sur non car je n'avais pas encore été sur l'onglet "rapport/log". quand j'ai appuyé sur non l'application a planté, windows a fermé l'application automatiquement. Aprés je suis retourné sur l'application et j'ai remarqué que bien qu'il avait signalé 4 fichiers infectés, seulement 3 étaient en quarantaine. Est ce normal ?

voici le rapport d'analyse:

Malwarebytes' Anti-Malware 1.45
www.malwarebytes.org

Version de la base de données: 4043

Windows 6.0.6002 Service Pack 2
Internet Explorer 8.0.6001.18904

28/04/2010 05:25:32
mbam-log-2010-04-28 (05-25-32).txt

Type d'examen: Examen complet (C:\|)
Elément(s) analysé(s): 241417
Temps écoulé: 7 heure(s), 29 minute(s), 41 seconde(s)

Processus mémoire infecté(s): 1
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 2
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\svchost.exe (Trojan.Agent) -> Unloaded process successfully.

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_CLASSES_ROOT\popcaploader.popcaploaderctrl2 (Adware.PopCap) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\popcaploader.popcaploaderctrl2.1 (Adware.PopCap) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\svchost.exe (Trojan.Agent) -> Quarantined and deleted successfully.

Electricien 69 · Answer

bonjour, 
il fallait redemarer le pc : 

. À la fin du scan, il se peut que MBAM ait besoin de redémarrer le pc pour finaliser la suppression, donc pas de panique, redémarre ton pc !!!  

recommence l'opération ici mais tu n'as pas besoin de retélécharger MBAM, juste faire une mise à jour et lancer le scan  : 

https://forums.commentcamarche.net/forum/affich-17525115-ordinateur-verole-besoin-d-aide#4

edoms · Answer

Bonjour,

Je crois que j'ai un autre virus....

je ne peux plus accéder à ma boite de messagerie msn et mon compte facebook. On m'explique que le mot de passe n'est plus valide...

J'ai fais une nouvelle analyse, je te poste le rapport

Malwarebytes' Anti-Malware 1.45
www.malwarebytes.org

Version de la base de données: 4043

Windows 6.0.6002 Service Pack 2
Internet Explorer 8.0.6001.18904

05/05/2010 16:17:53
mbam-log-2010-05-05 (16-17-53).txt

Type d'examen: Examen complet (C:\|)
Elément(s) analysé(s): 244006
Temps écoulé: 1 heure(s), 12 minute(s), 7 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

edoms · Answer

mon ordi fonctionne plus lentement aussi

Electricien 69 · Answer

bonsoir,
repasse un autre zhp, hébérge le rapport sur cinjoit ou un autre hébérgeur, poste le lien foiurni sur ton prochain message

edoms · Answer

tu peux me donner un lien d'hébergeur stp ?

edoms · Answer

c'est bon j'ai trouvé


http://www.cijoint.fr/cjlink.php?file=cj201005/cijpTMFBPH.docx

Electricien 69 · Answer

bonjour,
ce n'est pas le bon que tu as posté sur cijoint,
il doit être ici : 

c:\ZHPDiag.txt

edoms · Answer

je ne comprends pas ce que tu dis. l'extension du fichier du rapport ne pouvait être pris par l'hébergeur. j'ai donc fait un copié collé sur un document word. il s'agit donc d bon rapport (d'après ce que je comprends)

Electricien 69 · Answer

un rapport zhp ressemble à ceci que tu as déjà passé au poste 2 : 

link poste : 

https://forums.commentcamarche.net/forum/affich-17525115-ordinateur-verole-besoin-d-aide#2


link rapport : 

http://www.cijoint.fr/cjlink.php?file=cj201004/cijYA1GDRb.txt

ce que tu m'as posté n'a rien avoir avec un rapport, regarde les liens et tu verras la différance  :-)

edoms · Answer

je suis bien conscient que ce n'est pas le même format de fichier. Ce n'est pas le format originel car je ne sais pas pourquoi mais l'hébergeur ne voulait pas l'accepter. j'ai donc été obligé de faire un copié collé sur un doc word. cependant il me semble que e rapport es correct non ?

edoms · Answer

j'ai recommencé:

http://www.cijoint.fr/cjlink.php?file=cj201005/cij8kqL4Hj.txt

Electricien 69 · Answer

bin voilà :-) 

Déconnecte toi d'Internet et ferme toutes les applications ouvertes.  


Pour Xp : Double clique sur l'icône ZHPFix.exe sur ton Bureau.  

Pour Vista : Clique droit sur l'icône ZHPFix.exe sur ton Bureau,  
puis sélectionne 'Exécuter en tant qu'administrateur'.  

Clique successivement sur l'icône H (pour effacer le rapport qui s'est affiché) puis sur l'icône de la malette cachée par la feuille.  

Copie  

O16 - DPF: {DF780F87-FF2B-4DF8-92D0-73DB16A1543A} (PopCapLoader Object) - http://files-mjf.jeuxvideo-flash.com/popcap/popcaploader_v10_fr.cab    


O51 - MPSK:{2169537a-c88d-11de-91c5-00235aeb8ec7}\Shell\AutoRun\command. (.Pas de propriÃ©taire - Pas de description.) -- qazwsx\zaqxsw.exe (.not file.) 
O51 - MPSK:{2169537a-c88d-11de-91c5-00235aeb8ec7}\Shell\explore\command. (.Pas de propriÃ©taire - Pas de description.) -- qazwsx/zaqxsw.exe (.not file.) 
O51 - MPSK:{2169537a-c88d-11de-91c5-00235aeb8ec7}\Shell\open\command. (.Pas de propriÃ©taire - Pas de description.) -- qazwsx/zaqxsw.exe (.not file.) 
O51 - MPSK:{2d6ff615-c3f7-11de-aa52-00235aeb8ec7}\Shell\AutoRun\command. (.Pas de propriÃ©taire - Pas de description.) -- folder.tmp/tmp.exe (.not file.) 
O51 - MPSK:{2d6ff615-c3f7-11de-aa52-00235aeb8ec7}\Shell\explore\command. (.Pas de propriÃ©taire - Pas de description.) -- folder.tmp/tmp.exe (.not file.) 
O51 - MPSK:{2d6ff615-c3f7-11de-aa52-00235aeb8ec7}\Shell\open\command. (.Pas de propriÃ©taire - Pas de description.) -- folder.tmp/tmp.exe (.not file.) 

copie ceci dans la zone de saisie.  

Vérifie que seule ces lignes soient dans la fenêtre.  

Clique sur OK, ce qui fait apparaître un carré à gauche de la ligne.  

Clique sur "Tous" puis sur "Nettoyer".  

Laisse l'outil travailler.  

Si il te demande de redémarrer l'ordi pour achever le nettoyage, fais le immédiatement.  

Le rapport d'exécution va apparaître dans la fenêtre.  

Copie le dans ta réponse.

 tuto :  
http://www.premiumorange.com/zeb-help-process/zhpfix.html

edoms · Answer

dans la première ligne y a un lien. Je le copie tel quel ?

Electricien 69 · Answer

non, vire la ligne entière

edoms · Answer

ZHPFix v1.12.3094  by Nicolas Coolman - Rapport de suppression du 06/05/2010 22:14:57
Fichier d'export Registre : C:\ZHPExportRegistry-06-05-2010-22-14-57.txt
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html


Processus mémoire :
(Néant)

Module mémoire :
(Néant)

Clé du Registre :
O51 - MPSK:{2169537a-c88d-11de-91c5-00235aeb8ec7}\Shell\AutoRun\command. (.Pas de propriÃ©taire - Pas de description.) -- qazwsx\zaqxsw.exe (.not file.)  => Clé supprimée avec succès
O51 - MPSK:{2169537a-c88d-11de-91c5-00235aeb8ec7}\Shell\explore\command. (.Pas de propriÃ©taire - Pas de description.) -- qazwsx/zaqxsw.exe (.not file.)  => Clé absente
O51 - MPSK:{2169537a-c88d-11de-91c5-00235aeb8ec7}\Shell\open\command. (.Pas de propriÃ©taire - Pas de description.) -- qazwsx/zaqxsw.exe (.not file.)  => Clé absente
O51 - MPSK:{2d6ff615-c3f7-11de-aa52-00235aeb8ec7}\Shell\AutoRun\command. (.Pas de propriÃ©taire - Pas de description.) -- folder.tmp/tmp.exe (.not file.)  => Clé supprimée avec succès
O51 - MPSK:{2d6ff615-c3f7-11de-aa52-00235aeb8ec7}\Shell\explore\command. (.Pas de propriÃ©taire - Pas de description.) -- folder.tmp/tmp.exe (.not file.)  => Clé absente
O51 - MPSK:{2d6ff615-c3f7-11de-aa52-00235aeb8ec7}\Shell\open\command. (.Pas de propriÃ©taire - Pas de description.) -- folder.tmp/tmp.exe (.not file.)  => Clé absente

Valeur du Registre :
(Néant)

Elément de données du Registre :
(Néant)

Dossier :
(Néant)

Fichier :
qazwsx\zaqxsw.exe  => Fichier absent
qazwsx/zaqxsw.exe  => Fichier absent
folder.tmp/tmp.exe  => Fichier absent

Logiciel :
(Néant)

Script Registre :
(Néant)

Master Boot Record :
(Néant)

Autre :
(Néant)


Récapitulatif :
Processus mémoire : 0
Module mémoire : 0
Clé du Registre : 6
Valeur du Registre : 0
Elément de données du Registre : 0
Dossier : 0
Fichier : 3
Logiciel : 0
Master Boot Record : 0
Autre : 0


End of the scan

Electricien 69 · Answer

bonjour,
comment va ton pc ce matin ?

edoms · Answer

Il n'est plus au ralenti mais je n'ai toujours pas accés à mes comptes facebook et hotmail...

Electricien 69 · Answer

on va virer d'abord les infections, après, il se peut que tu sois obligé de réinstaller les logiciels pour facebook et hotmail, à voir

repasse un autre zhp et hébérge le rapport sur cijoint, poste le lien sur ton prochain message  :-)

edoms · Answer

Je te remercie une nouvelle fois pour ton aide.

http://www.cijoint.fr/cjlink.php?file=cj201005/cijjbNaIZ6.txt

Electricien 69 · Answer

;-)

il y a encore une petite infection qui n'a pas l'intention de partir  :-)

*	Télécharge random's system information tool (RSIT) et enregistre le sur ton bureau. 
http://images.malwareremoval.com/random/RSIT.exe
	
Tuto : https://forum.pcastuces.com/randoms_system_information_tool_rsit-f31s31.htm
Double clique sur RSIT.exe pour lancer l'outil. 
Clique sur ' continue ' à l'écran Disclaimer. 
Si l'outil HIjackThis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera et tu devras accepter la licence. 
Une fois le scan fini, 2 rapports vont apparaître. Poste le contenu des 2 rapports séparément. Ils se trouvent sur c :
(log.txt & info.txt) 
(CTRL+A Pour tout sélectionner, CTRL+C pour copier et CTRL+V pour coller) 

Note: 
si les rapports ne passent pas sur le forum, héberge les sur le site cijoint, poste moi seulement les liens 

http://www.cijoint.fr/index.php

edoms · Answer

http://www.cijoint.fr/cjlink.php?file=cj201005/cijrfe1YsZ.txt

http://www.cijoint.fr/cjlink.php?file=cj201005/cij7Kna1TM.txt

Electricien 69 · Answer

1° Fermer toutes les fenêtres. 
 
2° Lancer HijackThis, il se trouve ici :  

C:\Program Files	rend micro\franck.exe


choisir Open the misc tools section, puis choisir l'option Main, s'assurer que "Make backups before fixing items" est activé.
3° selectionne seulement les lignes ci dessous (en les cochant sur la case de gauche de chaque ligne à fixer) : 

O16 - DPF: {DF780F87-FF2B-4DF8-92D0-73DB16A1543A} (PopCapLoader Object) - http://files-mjf.jeuxvideo-flash.com/popcap/popcaploader_v10_fr.cab    => Infection Diverse (PopCapLoader.Adw)


4° Au menu principal, choisir do a scan only, puis cocher la case devant les lignes à corriger et cliquer en bas sur Fix Checked. 
5° A la fin du Scan, cliquer sur Save log,
le rapport sera généré dans le dossier initialement créé pour installer HijackThis 

tuto pour fixer les lignes : https://forum.pcastuces.com/hijackthis__fixer_les_elements_indesirables-f31s16.htm

Ordinateur vérolé besoin d'aide - Page 2

Discussions similaires

Newsletters