Démarrage lent et thème modifié Résolu/Fermé

Question

Bonjour,  

J'ai entre les mains un pc qui était sévèrement infecté et après les passages de antivir, ccleaner, ad-aware, combofix, malwarebytes, spybot et j'en passe un problème persiste. 

En effet au démarrage du pc, en suivant de la page de chargement Windows, le pc met reste bloqué 5 bonnes minutes sur le fond d'écran avant d'enfin affiché le bureau, et de plus le bureau est selon le thème de Windows classique (tout gris) alors que ce n'était pas le cas à l'origine. 

Donc je viens demander de l'aide pour éradiquer ce dernier problème. 

Merci d'avance. 

Ps: A savoir qu'au démarrage je n'ai laissé que l'antivirus comme programme


Configuration: Windows Vista / Firefox 3.6.3

gen-hackman · Answer

salut tu peux fournir les rapports si tu les as encore ?

benn13 · Answer

POur quel logiciel ? je peux faire hijackthis eventuellement aussi ?

gen-hackman · Answer

tu as toujours C:\Combofix.txt ?

sinon ne le relance pas , tant pis

benn13 · Answer

Je ne l'ai plus et curieux quand je veux re lancer combofix, il s'ouvre me met qu'il est pas à jour qu'il va fonctionner en fonctionnalités réduites, je met OK, et se ferme et suppr le logo combofix du bureau, enfin bon une solution sinon ?

gen-hackman · Answer

Télécharge OTL de OLDTimer

&#9654 enregistre le sur ton Bureau.

&#9654 Double clic ( pour vista / 7 => clic droit "executer en tant qu'administrateur") sur OTL.exe pour le lancer.

&#9654 Coche les 2 cases Lop et Purity

&#9654 Coche la case devant tous les utilisateurs

&#9654 règle age du fichier sur "60 jours"

&#9654 dans la moitié gauche , mets tout sur "tous"

ne modifie pas ceci : 

"fichiers créés" et "fichiers Modifiés" 

&#9654Clic sur Analyse.

A la fin du scan, le Bloc-Notes va s'ouvrir avec le rapport (OTL.txt).

Ce fichier est sur ton Bureau (en général C:\Documents and settings\le_nom_de_ta_session\OTL.txt)

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/

&#9654 Clique sur Parcourir et cherche le fichier ci-dessus.

&#9654 Clique sur Ouvrir.

&#9654 Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

est ajouté dans la page.

&#9654 Copie ce lien dans ta réponse.

&#9654&#9654 Tu feras la meme chose avec le "Extra.txt" qui logiquement sera aussi sur ton bureau.

benn13 · Answer

je m'occupe de ça  !

benn13 · Answer

Voici le otl.txt => http://www.cijoint.fr/cjlink.php?file=cj201006/cijrhiDqHP.txt

et le extra.txt => http://www.cijoint.fr/cjlink.php?file=cj201006/cij3MW0w9h.txt

gen-hackman · Answer

&#9654 Clique sur le menu Demarrer /Panneau de configuration/Options des dossiers/ puis dans l'onglet Affichage
* - Coche    Afficher les fichiers et dossiers cachés
* - Décoche Masquer les extensions des fichiers dont le type est connu
* - Décoche Masquer les fichiers protégés du système d'exploitation (recommandé)

&#9654 clique sur Appliquer, puis OK.

N'oublie pas de recacher à nouveau les fichiers cachés et protégés du système d'exploitation en fin de désinfection, c'est important

Fais analyser le(s) fichier(s) suivants sur Virustotal :

Virus Total

    * Clique sur Parcourir en haut, choisis Poste de travail et cherche ces fichiers :

C:\WINDOWS\System32\drivers\wnuoqlku.sys

    * Clique maintenant sur Envoyer le fichier. et laisse travailler tant que "Situation actuelle : en cours d'analyse" est affiché.
    * Il est possible que le fichier soit mis en file d'attente en raison d'un grand nombre de demandes d'analyses. En ce cas, il te faudra patienter sans actualiser la page.
    * Lorsque l'analyse est terminée ("Situation actuelle: terminé"), clique sur Formaté
    * Une nouvelle fenêtre de ton navigateur va apparaître
    * Clique alors sur les deux fleches
    * Fais un clic droit sur la page, et choisis Sélectionner tout, puis copier
    * Enfin colle le résultat dans ta prochaine réponse.

Note : Pour analyser un autre fichier, clique en bas sur Autre fichier.

benn13 · Answer

Jai un message d'erreur quand je clique sur envoyer le fichier, une page apparait avec ecris : "0 bytes size received / Se ha recibido un archivo vacio"

gen-hackman · Answer

quand as-tu passé combofix ?

benn13 · Answer

Euh si on est jeudi c'était mardi et j'ai tente aujourd'hui en vain

gen-hackman · Answer

DESACTIVE TON ANTIVIRUS ET TON PAREFEU SI PRESENTS !!!!!(car il est detecté a tort comme infection)

&#9654 Télécharge List_Kill'em

 et enregistre le sur ton bureau 

double clique ( clic droit "executer en tant qu'administrateur" pour Vista/7 ) sur le raccourci sur ton bureau pour lancer l'installation

Laisse coché :

&#9830 Executer Shortcut
&#9830 Executer List_Kill'em

une fois terminée , clic sur "terminer" et le programme se lancera seul

choisis l'option Search

&#9654 laisse travailler l'outil

à l'apparition de la fenetre blanche , c'est un peu long , c'est normal , le programme n'est pas bloqué.

&#9654 Poste le contenu du rapport qui s'ouvre aux 100 % du scan à l'ecran "COMPLETED"

benn13 · Answer

Je le laisse travailler, en revanche pour :

C:\WINDOWS\System32\drivers\wnuoqlku.sys 

sur virus scan, il n'y a pas moyen.

gen-hackman · Answer

je pense que c'est l'infection rootkitée dans ton ordinateur qui bloque Combofix 
supprime-le pour l instant

ainsi que :

C:\Combofix
C:\Qoobox

benn13 · Answer

Une idée du temps de l'analyse du logiciel List_Kill'em car je vais bientôt ne plus être dispo avant demain

gen-hackman · Answer

ca depend du degré d'infection ;)

benn13 · Answer

Le rapport enfin fini voici le lien => http://www.cijoint.fr/cjlink.php?file=cj201006/cijG2lGT63.txt

gen-hackman · Answer

&#9654 Relance List_Kill'em(soit en clic droit pour vista/7),avec le raccourci sur ton bureau.
mais cette fois-ci :

&#9654 choisis l'Option Clean

ton PC va redemarrer,

laisse travailler l'outil.

en fin de scan la fenetre se ferme , et tu as un rapport du nom de Kill'em.txt sur ton bureau ,

&#9654 colle le contenu dans ta reponse

benn13 · Answer

Voici le contenu de l'outil clean : http://www.cijoint.fr/cjlink.php?file=cj201006/cijX9duezR.txt

Par contre j'ai remarque qu'au démarrage de l'ordinateur (à la suite du passage de l'outil clean) que tout fonctionner, mais après un redémarrage tout est redevenu comme au départ... à savoir démarrage lent avec windows classique...

Merci pour l'aide en tout cas

gen-hackman · Answer

salut :

&#9654 Télécharge : Gmer (by Przemyslaw Gmerek) et enregistre-le sur ton bureau

Desactive toutes tes protections le temps du scan de gMer

Pour XP => double clique sur gmer.exe
Pour Vista et 7 => clique droit "executer en tant que...."

&#9654 Dezippe gmer ,cliques sur l'onglet rootkit,lances le scan,des lignes rouges vont apparaitre.

&#9654 Les lignes rouges indiquent la presence d'un rootkit.Postes moi le rapport gmer (cliques sur copy,puis vas dans demarrer ,puis ouvres le bloc note,vas dans edition et cliques sur coller,le rapport gmer va apparaitre,postes moi le)

Ensuite

&#9654 sur les lignes rouge:

&#9654 Services:cliques droit delete service
&#9654 Process:cliques droit kill process
&#9654 Adl ,file:cliques droit delete files

benn13 · Answer

Je viens de lancer l'analyse, voici le rapport : http://www.cijoint.fr/cjlink.php?file=cj201006/cijZ9LWvEu.txt

Cependant aucune ligne rouge n'est apparu est ce normal ?

gen-hackman · Answer

/!\ ATTENTION SUIVRE A LA LETTRE CES INDICATIONS/!\ __________________________________________________________ >Ce logiciel n'est à utiliser que prescrit par un helper qualifié et formé à l'outil.< >>>>>>>Ne pas utiliser en dehors de ce cas de figure : dangereux!<<<<<<<< ===================================================== ▶ Surtout , pense à l'enregistrement à renommer Combofix en "ton prenom.exe" avant qu'il soit enregistré sur ton disque dur ▶ On va utiliser ComboFix.exe. Rends toi sur cette page web pour obtenir les liens de téléchargement, ainsi que des instructions pour exécuter l'outil: https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix Avant d'utiliser ComboFix : ________________________________________________________ >> referme les fenêtres de tous les programmes en cours. >> Désactive provisoirement et seulement le temps de l'utilisation de ComboFix, >>la protection en temps réel de ton Antivirus et de tes Antispywares, >>qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil. °°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°° si tu as XP => double clique si tu as Vista ou windows 7 => clic droit "executer en tant que...." ▶ !!!!!NE TOUCHE A RIEN PENDANT LE TRAVAIL DE COMBOFIX (SOURIS/CLAVIER.....)!!!!! ▶ n'oublie pas de reactiver la garde de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet. ▶▶ Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

benn13 · Answer

Problème même renommé au lancement de combofix, le logiciel me dit il est périmé il va être utilisé en fonctions réduites, je met OK sa me ferme le logiciel et me le supprime. J'essaie en mode sans échec ?

Ps : Même en mode sans échec le même soucis avec Combofix.

Que faire ?

gen-hackman · Answer

Télécharge SF.exe de C_XX


*Double clique sur SF.exe (Exécuter en tant qu'administrateur pour Vista/7) .

*Une fenêtre "cmd" va s'ouvrir .

*Tape dmio.sys   dans cette fenêtre et [Entrée].

*Patiente pendant la recherche.

*Une fenêtre avec un log.txt va s'afficher.

*Copie/colle ce rapport dans ta prochaine réponse.

fais de meme avec atapi.sys

fais 2 messages pour les rapports

benn13 · Answer

Voici le rapport pour dmio.sys :

1. ========================= SEAF 1.0.0.7 - C_XX
2. 
3. Commencé à: 17:54:33 le 14/06/2010
4. 
5. Valeur(s) recherchée(s):
6. 
7. dmio.sys
8. 
9. 
10. ====== Fichier(s) (TC: Date de création, TM: Date de modification, DA, Dernier accès) ======
11. 
12. "c:\WINDOWS\system32\drivers\dmio.sys" [ ----A---- | 154496 ]
13. TC: 19/08/2004,19:01:21 | TM: 14/04/2008,04:05:12 | DA: 08/07/2009,21:25:33
14. 
15. =========================
16. 
17. "c:\WINDOWS\system32\dllcache\dmio.sys" [ ----AC---- | 154496 ]
18. TC: 19/08/2004,19:01:21 | TM: 14/04/2008,04:05:12 | DA: 08/07/2009,21:25:33
19. 
20. =========================
21. 
22. "c:\WINDOWS\ServicePackFiles\i386\dmio.sys" [ ----N---- | 154496 ]
23. TC: 08/07/2009,21:25:33 | TM: 14/04/2008,04:05:12 | DA: 08/07/2009,21:25:33
24. 
25. =========================
26. 
27. "c:\WINDOWS\$NtServicePackUninstall$\dmio.sys" [ ----C---- | 154496 ]
28. TC: 25/04/2010,15:18:12 | TM: 19/08/2004,19:01:21 | DA: 25/04/2010,15:18:12
29. 
30. =========================
31. 
32. ====== Dossier(s) (TC: Date de création, TM: Date de modification, DA, Dernier accès) ======
33. 
34. Aucun dossier trouvé
35. 
36. =========================
37. 
38. Fin à: 17:55:32 le 14/06/2010 ( E.O.F )

benn13 · Answer

Voici pour atapi.sys : 

http://www.cijoint.fr/cjlink.php?file=cj201006/ciju17UhzC.txt

En tout cas je sais pas ce que c'est mais il est vraiment bien ancré dans l'ordinateur !

gen-hackman · Answer

ouvre l'explorateur Windows, cherche c:\WINDOWS\ServicePackFiles\i386\dmio.sys 

clic droit et Copier 

mets toi dans C:\ et clic droit et Coller. 

Clix droit sur le nouveau fichier et Renommer. 

Tu l'appelles truc.bak 

Tu ignores l'alerte. 

=== 

1. Télécharge The Avenger par Swandog46 sur le Bureau 

http://www.geekstogo.com/forum/files/file/393-the-avenger-by-swandog46/ 

Clique sur Avenger.zip pour ouvrir le fichier 
Extraire avenger.exe sur le bureau 

2. Copier tout le texte en gras ci-dessous : mettre en surbrillance et appuyer sur les touches(Ctrl+C): 

Begin copying here: 

Files to move: 
c:	ruc.bak | c:\WINDOWS\system32\drivers\dmio.sys 

IMPORTANT: Le code ci-dessus a été intentionnellement rédigé pour CET utilisateur. 
si vous n'êtes pas CET utilisateur, NE PAS appliquer ces directives : elles pourraient endommager votre système. 

Ferme toutes les applications et ton navigateur 

3. Maintenant, lance The Avenger en cliquant sur son icône du bureau. 

Vérifie que la case devant "Automatically disable any rootkits found" n'est pas cochée. 


Cclique sur l'icone de droite (en rose et bleu). Le texte va se copier dans la fenêtre. 

Clique sur Execute 

4. The Avenger va automatiquement faire ce qui suit: 


Il va Re-démarrer le système. 
Pendant le re-démarrage, il apparaitra brièvement une fenêtre de commande de windows noire sur le bureau, ceci est NORMAL. 
Après le re-démarrage, il crée un fichier log qui s'ouvrira, faisant apparaitre les actions exécutées par The Avenger. Ce fichier log se trouve ici : C:\avenger.txt 
The Avenger aura également sauvegardé tous les fichiers, etc., que tu lui as demandé de supprimer, les aura compactés (zipped) et tranféré l'archive zip ici C:\avenger\backup.zip. 

5. Pour finir copier/coller le contenu du ficher c:\avenger.txt dans ta réponse  

ensuite : 

ouvre l'explorateur Windows, cherche c:\WINDOWS\ServicePackFiles\i386\atapi.sys 

clic droit et Copier 

mets toi dans C:\ et clic droit et Coller. 

Clix droit sur le nouveau fichier et Renommer. 

Tu l'appelles truc.bak2

Tu ignores l'alerte. 

=== 

1. Télécharge The Avenger par Swandog46 sur le Bureau 

http://www.geekstogo.com/forum/files/file/393-the-avenger-by-swandog46/ 

Clique sur Avenger.zip pour ouvrir le fichier 
Extraire avenger.exe sur le bureau 

2. Copier tout le texte en gras ci-dessous : mettre en surbrillance et appuyer sur les touches(Ctrl+C): 

Begin copying here: 

Files to move: 
c:	ruc.bak | c:\WINDOWS\system32\drivers\atapi.sys 

IMPORTANT: Le code ci-dessus a été intentionnellement rédigé pour CET utilisateur. 
si vous n'êtes pas CET utilisateur, NE PAS appliquer ces directives : elles pourraient endommager votre système. 

Ferme toutes les applications et ton navigateur 

3. Maintenant, lance The Avenger en cliquant sur son icône du bureau. 

Vérifie que la case devant "Automatically disable any rootkits found" n'est pas cochée. 


Cclique sur l'icone de droite (en rose et bleu). Le texte va se copier dans la fenêtre. 

Clique sur Execute 

4. The Avenger va automatiquement faire ce qui suit: 


Il va Re-démarrer le système. 
Pendant le re-démarrage, il apparaitra brièvement une fenêtre de commande de windows noire sur le bureau, ceci est NORMAL. 
Après le re-démarrage, il crée un fichier log qui s'ouvrira, faisant apparaitre les actions exécutées par The Avenger. Ce fichier log se trouve ici : C:\avenger.txt 
The Avenger aura également sauvegardé tous les fichiers, etc., que tu lui as demandé de supprimer, les aura compactés (zipped) et tranféré l'archive zip ici C:\avenger\backup.zip. 

5. Pour finir copier/coller le contenu du ficher c:\avenger.txt dans ta réponse  
?G3?-?@¢??@?(TM)©®?

gen-hackman · Answer

autant pour moi je la refais  :

ouvre l'explorateur Windows, cherche c:\WINDOWS\ServicePackFiles\i386\dmio.sys

clic droit et Copier

mets toi dans C:\ et clic droit et Coller.

Clix droit sur le nouveau fichier et Renommer.

Tu l'appelles truc.bak

Tu ignores l'alerte.

===

1. Télécharge The Avenger par Swandog46 sur le Bureau

http://www.geekstogo.com/forum/files/file/393-the-avenger-by-swandog46/

Clique sur Avenger.zip pour ouvrir le fichier
Extraire avenger.exe sur le bureau

2. Copier tout le texte en gras ci-dessous : mettre en surbrillance et appuyer sur les touches(Ctrl+C):

Begin copying here:

Files to move:
c:	ruc.bak | c:\WINDOWS\system32\drivers\dmio.sys

IMPORTANT: Le code ci-dessus a été intentionnellement rédigé pour CET utilisateur.
si vous n'êtes pas CET utilisateur, NE PAS appliquer ces directives : elles pourraient endommager votre système.

Ferme toutes les applications et ton navigateur

3. Maintenant, lance The Avenger en cliquant sur son icône du bureau.

Vérifie que la case devant "Automatically disable any rootkits found" n'est pas cochée.


Cclique sur l'icone de droite (en rose et bleu). Le texte va se copier dans la fenêtre.

Clique sur Execute

4. The Avenger va automatiquement faire ce qui suit:


Il va Re-démarrer le système.
Pendant le re-démarrage, il apparaitra brièvement une fenêtre de commande de windows noire sur le bureau, ceci est NORMAL.
Après le re-démarrage, il crée un fichier log qui s'ouvrira, faisant apparaitre les actions exécutées par The Avenger. Ce fichier log se trouve ici : C:\avenger.txt
The Avenger aura également sauvegardé tous les fichiers, etc., que tu lui as demandé de supprimer, les aura compactés (zipped) et tranféré l'archive zip ici C:\avenger\backup.zip.

5. Pour finir copier/coller le contenu du ficher c:\avenger.txt dans ta réponse

ensuite :

ouvre l'explorateur Windows, cherche c:\WINDOWS\ServicePackFiles\i386\atapi.sys

clic droit et Copier

mets toi dans C:\ et clic droit et Coller.

Clix droit sur le nouveau fichier et Renommer.

Tu l'appelles truc.bak2

Tu ignores l'alerte.

===

1. Télécharge The Avenger par Swandog46 sur le Bureau

http://www.geekstogo.com/forum/files/file/393-the-avenger-by-swandog46/

Clique sur Avenger.zip pour ouvrir le fichier
Extraire avenger.exe sur le bureau

2. Copier tout le texte en gras ci-dessous : mettre en surbrillance et appuyer sur les touches(Ctrl+C):

Begin copying here:

Files to move:
c:	ruc.bak | c:\WINDOWS\system32\drivers\atapi.sys

IMPORTANT: Le code ci-dessus a été intentionnellement rédigé pour CET utilisateur.
si vous n'êtes pas CET utilisateur, NE PAS appliquer ces directives : elles pourraient endommager votre système.

Ferme toutes les applications et ton navigateur

3. Maintenant, lance The Avenger en cliquant sur son icône du bureau.

Vérifie que la case devant "Automatically disable any rootkits found" n'est pas cochée.


Cclique sur l'icone de droite (en rose et bleu). Le texte va se copier dans la fenêtre.

Clique sur Execute

4. The Avenger va automatiquement faire ce qui suit:


Il va Re-démarrer le système.
Pendant le re-démarrage, il apparaitra brièvement une fenêtre de commande de windows noire sur le bureau, ceci est NORMAL.
Après le re-démarrage, il crée un fichier log qui s'ouvrira, faisant apparaitre les actions exécutées par The Avenger. Ce fichier log se trouve ici : C:\avenger.txt
The Avenger aura également sauvegardé tous les fichiers, etc., que tu lui as demandé de supprimer, les aura compactés (zipped) et tranféré l'archive zip ici C:\avenger\backup.zip.

5. Pour finir copier/coller le contenu du ficher c:\avenger.txt dans ta réponse

benn13 · Answer

A la suite de ça, j'ai un écran bleu avec écrit tout en bas atapi.sys ! Je me demande si c'est pas dû au fait que dans :  

Begin copying here:  

Files to move:  
c:	ruc.bak | c:\WINDOWS\system32\drivers\atapi.sys   

il ne fallait pas plutôt mettre c:	ruc.bak2? 
Donc il est impossible de retourner sur Windows en mode normal ou en mode sans échec...

C'est trop tard, formatage obligatoire ?

gen-hackman · Answer

non

t'est-il possible de le demarrer en invité de commande

benn13 · Answer

Je ne peux pas le faire pour ce soir, je te tiens au courant demain dans l'après midi ! merci en tout cas

gen-hackman · Answer

pas de soucis

ne t'inquietes pas quoi qu'il en soit , ton pc redemarrera ne le formates pas je te garantis qu'on corrigera ca

autant pour moi c'etait une erreur d'indication

il ne fallait pas plutôt mettre c:	ruc.bak2? 

exact ta logique est tres bonne

benn13 · Answer

Alors le seul accés que j'ai est la console de récupération de windows, quand je tente d'aller sur la console dos ecran bleu également.

gen-hackman · Answer

ok marque ceci :

copy /Y "truc.bak2" "C:\Windows\System32\Drivers\atapi.sys"

puis entrée

benn13 · Answer

J'ai le message suivant : "le parametre n'est pas valide. essayez /? pour obtenir de l'aide"

gen-hackman · Answer

meme chose sans le /Y

benn13 · Answer

La il me dit le fichier spécifié est introuvable ... sa semble plus inquiétant sa

gen-hackman · Answer

tu l'avais copié en truc.bak2 ou pas ?

benn13 · Answer

Ben oui j'ai suivi les instructions que tu m'avais donné... tu me fais douter mais il me semble que si

gen-hackman · Answer

copy "c:\WINDOWS\ServicePackFiles\i386\atapi.sys" "C:\Windows\System32\Drivers\atapi.sys"

benn13 · Answer

Le fichier spécifié est introuvable j'ai tout de même verifié plusieurs fois l'ecriture. Il existe une autre solution de récupérer le fichier atapi.sys ?

gen-hackman · Answer

oui rien n'est perdu

tu as la possibilité de graver ?

benn13 · Answer

Oui bien sur, j'attends les instructions :) et si par usb c'est possible je peux aussi

gen-hackman · Answer

il faudrait que tu graves un cd de linux , systeme d'exploitation totalement gratuit

https://kubuntu.org/

ensuite que tu bootes le pc sur le cd en selectionnant "essayer sans installer"

une fois fait , et booté dessus , je te donnerai les indications

benn13 · Answer

Téléchargement en cours je pense finir le téléchargement dans une 40taine de minutes

gen-hackman · Answer

ok tu sais faire booter le pc sur le cd a partir du bios ?

benn13 · Answer

Oui oui c'est bon

gen-hackman · Answer

ok tu as nero d'installé sur ce pc ?

benn13 · Answer

Non mais j'ai cdburner xp, ce sera suffisant pour les .iso ?

gen-hackman · Answer

oui c'est bon

benn13 · Answer

C'est bon pour moi cd graver ubuntu lancer en mode "essayer sans l'installer"

gen-hackman · Answer

ok alors verifie qu'il n'y ait pas atapi.sys dans C:\windows\system32\Drivers

benn13 · Answer

atapi.sys est présent !

gen-hackman · Answer

ok supprime-le puis copie celui-ci à la place

c:\WINDOWS\ServicePackFiles\i386\atapi.sys

benn13 · Answer

Je viens de faire ! Je redémarre sans le cd ou on en profite pour faire d'autres manip ?

gen-hackman · Answer

redemarre le pc normalement sur windows

benn13 · Answer

Deux informations :

- La première le pc redémarre ce qui est super :)

- La deuxième le démarrage est toujours aussi long avec le thème classique de Windows.

gen-hackman · Answer

tu peux me refaire un scan avec gMer ?

desactive tout avant

benn13 · Answer

Je fais sa, je te copie le rapport une fois terminé !

gen-hackman · Answer

ok :) avoue que t'as flippé sur le coup quand tu as vu qu'on avait planté le pc..?

benn13 · Answer

Sérieux oui me suis dis : toutes ces heures à tenter de nettoyer sans formater pour rien... Ben écoute tu m'en appris beaucoup et je sais que je ferais appel au forum et voir à toi quand je bloquerais au lieu de formater betement ^^ mais bon celui ci n'est pas encore résolu. mais merci pour l'aide !!!

Ps : le scan de gmer n'a toujours décelé aucune ligne rouge

gen-hackman · Answer

surtout que le plantage est dû a une erreur stupide de ma part mais bon corrigé

pour ne rien te cacher je pensais que tu allais laisser tomber et reformater car je pensais que tu aurais perdu confiance en moi

sincerement ca m'aurais ennuyé mais tu as su m'ecouter et c'est cool

depuis quand tu l'as ce pc ?

benn13 · Answer

Ben y a deux semaines on me la passé car il bugé, donc j'ai passé les logiciels classiques et à première vue sa semblait aller, mais deux jours après on me le redonne car y a toujours un soucis et effectivement le soucis du démarrage était présent (alors qu'il ne l'était pas la première fois) et donc je galère depuis 10 jours dessus... 

Et non j'ai bien vu que l'erreur était "minimes" en apparence un peu mois pour les conséquences mais vu tout ce que tu m'as dis de faire, je pouvais pas abandonner comme ça ^^  

Sinon voici le rapport : 
http://www.cijoint.fr/cjlink.php?file=cj201006/cijkYVaLTz.txt

PS : quand on ma redonner l'ordinateur il y avait deux antivirus d'installer... Donc j'ai supprimer via ccleaner avast et antivir, puis j'ai réinstaller antivir...

gen-hackman · Answer

vire tout ce qui concerne Combofix , renommé ou pas , et retente un lancement renommé après telechargement

renomme-le en l'enregistrant sur le bureau au moment du telechargement

benn13 · Answer

Oula magique j'ai retélécharger combofix via cette ordinateur et le scan est parti je t'envoie le rapport dès que c'est fini !

Un rootkit a été détecte combofix redémarre l'ordinateur !!

gen-hackman · Answer

ok impec :)

benn13 · Answer

Bon je te poste le rapport de combofix :   

http://www.cijoint.fr/cjlink.php?file=cj201006/cijjFc5LwD.txt  

Dis moi si tu vois un truc intéressant, je re démarre l'ordi voir si y a du changement en attendant ! 

Mauvais nouvelle, pas de changement au démarrage mais il est bon de savoir qu'au démarrage de l'ordinateur par combofix deux alertes anti virus se sont lancés concernant lit_killem ... et des fichiers avec plein de lettres finissant par .pif je crois


Ps : j'ai re lancer combofix et il me re dis la précense du rootkit c'est curieux

gen-hackman · Answer

__________________________________________________ =>/!\Le script qui suit a été écrit spécialement cet ordinateur/!\ <= =>il est fort déconseillé de le transposer sur un autre ordinateur !<= ---------------------------------------------------------------------------- Toujours avec toutes les protections désactivées, fais ceci : ▶ Ouvre le bloc-notes (Menu démarrer --> programmes --> accessoires --> bloc-notes) ▶ Copie/colle dans le bloc-notes ce qui entre les lignes ci dessous (sans les lignes) : ---------------------------------------------------------- KillAll:: MBR:: TDL:: %Systemroot%\System32\Drivers\dmio.sys %Systemroot%\system32\drivers\atapi.sys SkipFix:: ------------------------------------------------------------------ ▶ Enregistre ce fichier sur ton Bureau (et pas ailleurs !) sous le nom CFScript.txt ▶ Quitte le Bloc Notes ▶ Fais un glisser/déposer de ce fichier CFScript sur le fichier combofix ▶ Patiente le temps du scan. Le Bureau va disparaître à plusieurs reprises : c'est normal ! Ne touche à rien tant que le scan n'est pas terminé. ▶ Une fois le scan achevé, un rapport va s'afficher: poste son contenu. ▶ Si le fichier ne s'ouvre pas, il se trouve ici => C:\ComboFix.txt ?G3?-?@¢??@?(TM)©®?

benn13 · Answer

J'ai repasser Combofix en mettant en quarantaine les alertes anti virus et le problème a l'air d'être résolu, tu veux je fasse quand même ton dernier message ? 

Après redémarrage je confirme que j'ai récupérer le bureau windows normal et la rapidité du démarrage !

gen-hackman · Answer

oui fais quand meme

benn13 · Answer

Voici le rapport :

http://www.cijoint.fr/cjlink.php?file=cj201006/cij2dg914f.txt

Pour moi le problème a l'air résolu donne moi ton avis

gen-hackman · Answer

&#9654 Relance List&Kill'em(soit en clic droit pour vista),avec le raccourci sur ton bureau.

mais cette fois-ci :

&#9654 choisis l'option command lines

un document texte va s'ouvrir à l'apparition de : Text Please

&#9654copie/colle le texte en gras ci-dessous :


@echo off
mbr -f
mbr -t > a.txt
notepad a.txt
del /F /Q a.txt
del /F /Q mbr.log
goto eof


ensuite onglet "Fichier" clic sur enregistrer , puis ferme ce bloc notes

Laisse travailler l'outil 

à la fin un rapport s'ouvre ,

&#9654 poste le resultat

benn13 · Answer

Voici le rapport :

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net 

device: opened successfully 
user: MBR read successfully 
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll atapi.sys pciide.sys PCIIDEX.SYS  
kernel: MBR read successfully 
user & kernel MBR OK  
copy of MBR has been found in sector 0x01D1C41D0  
malicious code @ sector 0x01D1C41D3 ! 
PE file found in sector at 0x01D1C41E9 !

gen-hackman · Answer

impec :)


Imprime ces instructions car il faudra fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.



&#9654 Télécharge :

Malwarebytes  

ou  :

Malwarebytes

&#9654 Installe le ( choisis bien "francais" ; ne modifie pas les paramètres d'installe ) et mets le à jour .

(NB : Si tu as un message d'erreur t'indiquant qu'il te manque "COMCTL32.OCX" lors de l'installe, alors télécharge le ici : COMCTL32.OCX

&#9654 Potasses le Tuto pour te familiariser avec le prg :


( cela dit, il est très simple d'utilisation ).

relance malwarebytes en suivant scrupuleusement ces consignes :

! Déconnecte toi et ferme toutes applications en cours !

&#9654 Lance Malwarebyte's .

Fais un examen dit "Complet" .

&#9654 Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ).
&#9654 à la fin tu cliques sur "résultat" .
&#9654 Vérifie que tous les objets infectés soient validés, puis clique sur " suppression " .

&#9654 Note : si il faut redémarrer ton PC pour finir le nettoyage, fais le !


&#9654 Poste le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwarebytes, le dernier en date)

benn13 · Answer

Bon je vais le laisser travailler alors car je pense il y en a pour un petit moment lol.

Tant que j'ai le temps, vu que je fais que transferer via ma clé usb de mon pc portable à l'ordinateur infecte, tu me conseille de passer quoi comme logiciiel sur mon pc portable et ma clé par prévention ?

gen-hackman · Answer

1 heure un peu plus je pense :)

benn13 · Answer

Voici le rapport : 


http://www.cijoint.fr/cjlink.php?file=cj201006/cijvxoetAO.txt

gen-hackman · Answer

on est bons

on finalise ?

benn13 · Answer

Oui oui :) et tu me conseille quoi pour ma clé usb et mon ordinateur portable qui ont servis dans tout sa ?

Tu es parti ?^^

benn13 · Answer

Gen-hackman, je pensais tu m'aurais répondu

gen-hackman · Answer

non salut j avais repondu mais apparement je me suis fait manger mon post ou j'ai oublié de valider lol ^^ Pour nettoyer les outils utilsés et mieux sécuriser ton pc -------------------------------------------------------------- Je t'invite à suivre ce tutoriel pour le final il inclut ♦ du nettoyage après desinfection ♦ des mises à jour pour combler des failles de securité de logiciels importants non mis à jour ▶ et enfin quelques conseils à suivre afin que la protection soit plus efficace ▶---> Télécharge ToolsCleaner2sur ton Bureau. * Double-clique (clic droit "en tant qu'administrateur" pour Vista) sur ToolsCleaner2.exe pour le lancer. * Clique sur Recherche et laisse le scan agir. * Clique sur Suppression pour finaliser. * Tu peux, si tu le souhaites, te servir des Options Facultatives. * Clique sur Quitter pour obtenir le rapport. * Poste le rapport (TCleaner.txt) qui se trouve à la racine de ton disque dur (C:\). ___________________________________________________ ▶ Tu peux supprimer ToolCleaner ___________________________________________________ ▶ Télécharge :ATF Cleaner par Atribune Double-clique (clic droit "en tant qu'administrateur" pour Vista) ATF-Cleaner.exe afin de lancer le programme. Sous l'onglet Main, choisis : Select All Clique sur le bouton Empty Selected Si tu utilises le navigateur Firefox : Clique Firefox au haut et choisis : Select All Clique le bouton Empty Selected a NOTE : Si tu veux conserver tes mots de passe sauvegardés, clique No à l'invité. Si tu utilises le navigateur Opera : Clique Opera au haut et choisis : Select All Clique le bouton Empty Selected NOTE : Si tu veux conserver tes mots de passe sauvegardés, clique No à l'invité. Clique Exit, du menu prinicipal, afin de fermer le programme. Pour obtenir du Support technique, double-clique l'adresse électronique située au bas de chacun des menus. __________________________________________________ ▶ Tu peux garder ATF pour d'eventuels netttoyages un peu plus poussés __________________________________________________ ▶ Télécharge et installe CCleaner (N'installe pas la Yahoo Toolbar) : * Lance-le.(clic droit "en tant qu'administrateur" pour Vista) Va dans Options puis Avancé et décoche la case Effacer uniquement les fichiers etc.... * Va dans Nettoyeur, choisis Analyse. Une fois terminé, lance le nettoyage. * Ensuite, choisis Registre, puis Chercher des erreurs. Une fois terminé, répare toutes les erreurs tant de fois qu il en trouve a l analyse * Veille a ce que dans les options le reglage soit au demarrage de windows et réglé sur "effacement securisé" 35 passes (guttman) __________________________________________________ Attention : ne pas toucher au PC pendant qu'il travaille ! ▶ Nettoyage et Défragmentation de tes Disques *Nettoyage : Clic droit sur "poste de travail"(ordinateur pour vista) ==>"ouvrir" ==>clic droit sur le disque C ==>Propriétés ==>onglet "Général" Cliques sur le bouton "nettoyage de disque", OK tu le fais pour chacun de tes disques ________________________________________________ *Vérifications des erreurs : Clic droit sur "poste de travail"(ordinateur pour vista) ==>"ouvrir" ==>clic droit sur le disque C ==>Propriétés ==>onglet "Outil" "Vérifier maintenant", une boîte s'ouvre, cocher les cases : -réparer automatiquement les erreurs... -rechercher et tenter une récupération... --->Démarrer, ok Note : s'il te dis de redémarrer ton Pc pour le faire , tu redémarres et tu laisses faire, cela prend un peu de temps c'est normal tu le fais pour chacun de tes disques ________________________________________________ ensuite toujours dans le même onglet tu choisis : *Défragmentation : "défragmenter maintenant", OK une boîte s'ouvre, tu sélectionnes le disque à défragmenter, et tu cliques sur "analyser", puis après l'analyse, "défragmenter" . OK tu le fais pour chacun de tes disques _______________________________________________ Note : si tu as un utilitaire pour défragmenter , utilises le à la place pour ce faire Defraggler est proposé _________________________________________________ ▶ Peux-tu vérifier ta Console Java ? : et installer la nouvelle version si besoin est (dans ce cas désinstalle avant l'ancienne version). voici pour desinstaller : JavaRa Décompresse le fichier sur le Bureau (Clic droit > Extraire tout). * Double-clique (clic droit "en tant qu'administrateur" pour Vista) sur le répertoire JavaRa. * Puis double-clique sur le fichier JavaRa.exe (le exe peut ne pas s'afficher). * Choisis Français puis clique sur Select. * Clique sur Recherche de mises à jour. * Sélectionne Mettre à jour via jucheck.exe puis clique sur Rechercher. * Autorise le processus à se connecter s'il le demande, clique sur Installer et suis les instructions d'installation qui prennent quelques minutes. * L'installation est terminée, reviens à l'écran de JavaRa et clique sur Effacer les anciennes versions. * Clique sur Oui pour confirmer. Laisse travailler et clique ensuite sur OK, puis une deuxième fois sur OK. * Un rapport va s'ouvrir. Poste-le dans ta prochaine réponse. * Ferme l'application. Note : le rapport se trouve aussi dans C:\ sous le nom JavaRa.log. _________________________________________________ ▶ Mets à jour Adobe Reader si ce n'est pas le cas (désinstalle avant la version antérieure) __________________________________________________ ▶ Je te conseille si tu n en as pas , afin de mieux securiser ton pc , d'installer un parefeu : Online armor ou KERIO ou JETICO ou ZONE ALARM (mettre que le parefeu gratuit) ou COMODO https://www.commentcamarche.net/telecharger/securite/16545-online-armor-personal-firewall/ https://www.01net.com/telecharger/windows/Securite/firewall/fiches/39911.html https://forum.pcastuces.com/sujet.asp?f=25&s=35606 https://www.clubic.com/telecharger-fiche11071-sunbelt-personal-firewall-ex-kerio.html https://manuelsdaide.com/contact/ http://www.open-files.com/forum/index.php?showtopic=29277 https://www.commentcamarche.net/telecharger/securite/24863-zonealarm/ ___________________________________________________ ▶ Tu peux aussi vider ta corbeille,quoi que Ccleaner le fasse tout seul _____________________________________________________ ▶ Si nous avons utilisé MalwareByte's Anti-Malware , vide sa quarantaine : * Lance le programme puis clique sur . * Sélectionne tous les éléments puis clique sur . * Quitte le programme. ______________________________________________________ ▶ si tu as installé Antivir : Configuration ________________________________________________________ ▶ Idem pour ton antivirus : vide sa quarantaine si ce n'est pas déjà fait ______________________________________________________ ▶ Désactive et réactive la restauration de système, pour cela : suis les instructions du lien : Lien XP Lien Vista ▶ Sitôt fait , recrées un point de restoration dit "sain" pour parer à quelques eventuels problêmes dans le futur ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ Quelques conseils et recommandations pour l'avenir : ▶ Passe un coup de MalwareByte's Anti-Malware de temps en temps (1 fois par semaine , suivant l'utilisation que tu fais de ton PC. ▶ Utilise aussi tes autres logiciels de protection (scannes antivirus, antispywares...). N'oublie pas de faire les mises à jour avant de les utiliser. * Pense aussi à faire une défragmentation de tes disques durs de temps en temps (garde suffisamment d'espace sur C:\ (1/3 de libre pour être à l'aise)) _____________ ▶ Pour bien protéger ton PC : [1 seul Antivirus] + [1 seul Pare feu] + [Un bon Antispyware] + [Mises à Jour récentes Windows et Logiciels de Protection] + [Utilisation de Firefox -ou autres- (Internet Explorer présente des failles de sécurité qui mettent longtemps avant d'être corrigées mais il faut absolument le conserver pour les mises à jour Windows et Windows live Messenger)] Je te conseille d'installer cette extension pour Firefox pour securiser ton surf : WOT Je te conseille d'installer cette extension pour Internet Explorer pour securiser ton surf : WOT PS : En fait la meilleure des protections c'est toi même : ce que tu fais avec ton PC : où tu surfes, télécharges...ect.... Les virus utilisent les failles de ton PC pour infecter un système ▶ dans le souhait de vouloir desinstaller un antivirus au profit d'un autre , voici quelques liens : Desinstaller Avast Desinstaller BitDefender Desinstaller Norton Desinstaller Kaspersky Desinstaller AVG ou tout en un : Désinstallation Antivirus , Parefeu , Antispyware _____________ ▶ Si tu as Vista n'oublie pas de réactiver le controle des comptes des utilisateurs(UAC) ___________ ▶ Si tu as Spybot S&D et que nous avons desactive le "Tea-timer" tu peux le réactiver ___________ ▶ si nous avons affiché les fichiers cachés , n'oublies pas de les remettre en attribut "caché" ▶ Clique sur le menu Demarrer /Panneau de configuration/Options des dossiers/ puis dans l'onglet Affichage * - Décoche Afficher les fichiers et dossiers cachés * - coche Masquer les extensions des fichiers dont le type est connu * - coche Masquer les fichiers protégés du système d'exploitation (recommandé) ▶ clique sur Appliquer, puis OK. ____________ Voila, Bonne lecture, à bientot , une fois tout ceci fait, tu peux mettre le topic en resolu Bonne continuation et surtout , prudence et bon surf :)

benn13 · Answer

Merci bien :) je m'en occupe !