security tool Résolu/Fermé

Question

Bonjour, 

j'ai un soucis, et suis novice dans l'informatique. J'ai chopé hier ce virus. J'ai mis en place MALWAREBYTES, puis un C CLEANER. A priori je n'aurai plus le virus. Par contre lorsque je retourne en ouvrant en mode normal l'ordinateur, je revois  nouveau mon bureau mais dès que je clique sur n'importe quelle application, le sablier rest bloqué et je ne peux plus rien faire (même pas CONTR+ALT+SUP).

pouvez vous m'aider ?
Merci

Configuration: Windows XP / Firefox 3.6.10

moment de grace · Answer

essaie ainsi  

redémarrer le pc en mode sans échec avec prise en charge réseau

https://www.micro-astuce.com/depannage/demarrer-mode-sans-echec.php  


Télécharge rkill   

Enregistre-le sur ton Bureau  
Double-clique sur l'icone rkill ( pour Vista/Seven clic-droit Exécuter en tant qu'Administrateur)  
Un bref écran noir t'indiquera que le tool s'est correctement exécuter, s'il ne lance pas  
change de lien de téléchargement en utilisant le suivant à partir d'ici:  
https://download.bleepingcomputer.com/grinler/rkill.exe   
https://download.bleepingcomputer.com/grinler/rkill.exe   

Rkill COM: Rkill COM:   
https://download.bleepingcomputer.com/grinler/rkill.com  
 https://download.bleepingcomputer.com/grinler/rkill.com   

Rkill SCR: Rkill RCS:   
https://download.bleepingcomputer.com/grinler/rkill.scr   
https://download.bleepingcomputer.com/grinler/rkill.scr   



une fois qu'il aura terminé  

Télécharge ZHPDiag ( de Nicolas coolman ).   
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html   

 Double clique sur le fichier d'installation, puis installe le avec les paramètres par défaut ( N'oublie pas de cocher " Créer une icône sur le bureau " )  
   
Lance ZHPDiag en double cliquant sur l'icône présente sur ton bureau (Clique droit -> Executer en tant qu'admin ( vista )   

Clique sur la loupe en haut à gauche, puis laisse l'outil scanner.   

Une fois le scan terminé, clique sur l'icône en forme de disquette et enregistre le fichier sur ton bureau.   

ensuite  

Rend toi sur Cjoint : http://www.cijoint.fr/   

Clique sur "Parcourir " dans la partie " Joindre un fichier[...] "   

Sélectionne le rapport ZHPdiag.txt qui se trouve sur ton bureau   

Clique ensuite sur "Cliquez ici pour déposer le fichier " et copie/colle le lien dans ton prochain message  


pour t'aider sur ci joijnt : https://www.commentcamarche.net/faq/29493-utiliser-cjoint-pour-heberger-des-fichiers

ciro76 · Answer

je vais essayer. Merci

ciro76 · Answer

quand je télécharge RKILL voici ce qu'il me marque :

This log file is located at C:\rkill.log. 
Please post this only if requested to by the person helping you. 
Otherwise you can close this log when you wish. 
Ran as Administrateur on 26/09/2010 at 14:27:23. 


Services Stopped:


Processes terminated by Rkill or while it was running: 


C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Mozilla Firefox\plugin-container.exe
C:\Documents and Settings\Administrateur\Mes documents\Téléchargements\rkill(7).com


Rkill completed on 26/09/2010  at 14:27:26. 


C'est normal ?

ciro76 · Answer

avec du mal pourtant simple, mais quand pas habitué !

http://www.cijoint.fr/cjlink.php?file=cj201009/cijTrBGYIh.txt

moment de grace · Answer

une version maison de windows !!!

beaucoup d'infections différentes

1)

poste moi le dernier rapport de MBAM sans le refaire

.............

2)

Copie  tout le texte présent en gras ci-dessous ( tu le selectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C )

[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusOverride: Modified     
[HKLM\SOFTWARE\Microsoft\Security Center] FirewallOverride: Modified     
O2 - BHO: EOBHO - {C10DC1F4-CCDF-4224-A24D-B23AFC3573C8} . (.Pas de propriétaire - Pas de description.) -- C:\Program Files\EoRezo\EoRezoBHO.dll     
O2 - BHO: EoBHO - {C7B76B90-3455-4AE6-A752-EAC4D19689E5} . (.Pas de propriétaire - Pas de description.) -- C:\Program Files\EoRezo\EoAdv\EoRezoBHO.dll     
O4 - HKLM\..\Run: [SoftwareHelper] C:\Documents and Settings\Administrateur\Application Data\EoRezo\SoftwareUpdate\SoftwareUpdateHP.exe (.not file.)     
O23 - Service: SpyHunter 4 Service (SpyHunter 4 Service) . (.Enigma Software Group USA, LLC. - Service scanner interface.) - C:\PROGRA~1\ENIGMA~1\SPYHUN~1\SH4SER~1.exe     
 O42 - Logiciel: EoRezo 10.3 - (.EoRezo.) [HKLM] -- EoRezo_is1     
O42 - Logiciel: SpyHunter - (.Enigma Software Group USA, LLC.) [HKLM] -- {95431C66-CF9A-4913-BFFF-6050785AFB65}     
O64 - Services: CurCS - C:\PROGRA~1\ENIGMA~1\SPYHUN~1\SH4SER~1.exe - SpyHunter 4 Service (SpyHunter 4 Service)  .(.Enigma Software Group USA, LLC. - Service scanner interface.) - LEGACY_SPYHUNTER_4_SERVICE     
SS - | Auto 14/07/2010 326488 | SpyHunter 4 Service (SpyHunter 4 Service) . (.Enigma Software Group USA, LLC..) - C:\PROGRA~1\ENIGMA~1\SPYHUN~1\SH4SER~1.exe   
MBRfix 
HOSTFix 


Puis Lance ZHPFix depuis le raccourci du bureau .

* Une fois l'outil ZHPFix ouvert , clique sur le bouton [ H ] ( "coller les lignes Helper" ) .

* Dans l'encadré principal tu verras donc les lignes que tu as copié précédemment apparaitrent .

Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.

Clique sur " Ok " , puis " Tous " et enfin " Nettoyer ".

Copie/Colle le rapport à l'écran dans ton prochain message 

le rapport se trouve dans le dossier de zhpdiag dans program files sous le nom de ZHPFixReport 

.....................


3)

Téléchargez USBFIX de El Desaparecido, C_xx

http://pagesperso-orange.fr/NosTools/Chiquitine29/UsbFix.exe
ou
https://www.ionos.fr/?affiliate_id=77097

/!\ Utilisateur de vista et windows 7 :
ne pas oublier de désactiver Le contrôle des comptes utilisateurs 
https://www.commentcamarche.net/faq/8343-vista-desactiver-l-uac 

/!\ Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d'avoir été infectées sans les ouvrir 

Double clic sur le raccourci UsbFix présent sur le bureau . 

 Choisir l'option suppression
(d'autres options disponibles, voir le tutoriel). 
 Laissez travailler l'outil.
Le menu démarrer et les icônes vont disparaître.. c'est normal. 

Si un message te demande de redémarrer l'ordinateur fais le ... 

 Au redémarrage, le fix se relance... laisses l'opération s'effectuer. 

Le bloc note s'ouvre avec un rapport, envoies le dans la prochaine réponse

 
* Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque. ( C:\UsbFix.txt ) 

( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller ) 

* Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. 
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. 
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus. 


* Tuto : http://pagesperso-orange.fr/NosTools/usbfix.html


UsbFix peut te demander d'uploader un dossier compressé à cette adresse : https://www.ionos.fr/?affiliate_id=77097 

 Il est enregistré sur ton bureau. 

Merci de l'envoyer à l'adresse indiquée afin d'aider l'auteur de UsbFix dans ses recherches. 

......................

4)

* Télécharge de AD-Remover sur ton Bureau. (Merci à C_XX) 
http://pagesperso-orange.fr/NosTools/C_XX/AD-R.exe 

Miroir: 

https://www.androidworld.fr/ 

/!\ Déconnecte-toi d'internet et ferme toutes applications en cours /!\ 

 Désactive provisoirement et seulement le temps de l'utilisation de ADremover, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil. 

- Double-clique sur l'icône Ad-remover située sur ton Bureau. 
- Sur la page, clique sur le bouton « NETTOYER » 
- Confirme lancement du scan 
- Laisse travailler l'outil. 
- Poste le rapport qui apparaît à la fin. 

(Le rapport est sauvegardé aussi sous C:\Ad-report(Scan/clean).Txt) 

(CTRL+A pour tout sélectionner, CTRL+C pour copier et CTRL+V pour coller)

ciro76 · Answer

je vais voir ce que je peux faire. ca me paraît vraiment compliqué !

ciro76 · Answer

c'est où que je peux trouver le dernier rapport de MBAM ?

ciro76 · Answer

j'ai trouvé le rapport MBAM  : 

http://www.cijoint.fr/cjlink.php?file=cj201009/cijY8rUWmG.txt

moment de grace · Answer

rien n'est compliqué, tu suis pas à pas ce qui est écrit

pour mbam lance le, onglet rapport

ciro76 · Answer

quand je fais ok + tous + nettoyer, il me demande "voulez-vous désinstaller ce produit". J'ai mis oui et il me répond :

impossible d'accéder au service windows installer. ceci peut se produire si windows est en mode sans échec ou si le programme d'installation windows n'est pas bien installé.contacter votre support technique pour assistante.

Je dois faire quoi ?

moment de grace · Answer

pour quel programme as tu eu ce message ?

ciro76 · Answer

quand j'ai collé dans ZHPFIX le texte

moment de grace · Answer

ok

refais la manip

avec ce texte

[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusOverride: Modified 
[HKLM\SOFTWARE\Microsoft\Security Center] FirewallOverride: Modified 
O4 - HKLM\..\Run: [SoftwareHelper] C:\Documents and Settings\Administrateur\Application Data\EoRezo\SoftwareUpdate\SoftwareUpdateHP.exe (.not file.) 
MBRfix 
HOSTFix

ciro76 · Answer

je suis désolé je suis peut-être bête avec mes questions, mais je ne trouve rien lorsque j'ouvre :

zhpdiag

Mais je l'ouvre depuis le bureau, car ne sais pas comment faire pour l'ouvrir autrement

moment de grace · Answer

ZHPfix et non ZHPdiag

ciro76 · Answer

ce serait ça le rapport ? : Rapport de ZHPFix 1.12.32 par Nicolas Coolman, Update du 25/09/2010 Fichier d'export Registre : C:\ZHPExportRegistry-26-09-2010-17-38-30.txt Run by Administrateur at 26/09/2010 17:38:30 Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html Contact : nicolascoolman@yahoo.fr ========== Valeur(s) du Registre ========== O4 - HKLM\..\Run: [SoftwareHelper] C:\Documents and Settings\Administrateur\Application Data\EoRezo\SoftwareUpdate\SoftwareUpdateHP.exe (.not file.) => Valeur absente ========== Elément(s) de donnée du Registre ========== [HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusOverride: Modified => Donnée supprimée avec succès [HKLM\SOFTWARE\Microsoft\Security Center] FirewallOverride: Modified => Donnée supprimée avec succès ========== Fichier(s) ========== c:\documents and settings\administrateur\application data\eorezo\softwareupdate\softwareupdatehp.exe () => Fichier absent ========== Fichier HOSTS ========== Le fichier Hosts est sain ========== Master Boot Record ========== Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net device: opened successfully user: MBR read successfully called modules: ntoskrnl.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll >>UNKNOWN [0x823DC1F8]<< kernel: MBR read successfully detected MBR rootkit hooks: \Driver\atapi -> 0x823dc1f8 Warning: possible MBR rootkit infection ! user & kernel MBR OK Use "Recovery Console" command "fixmbr" to clear infection ! Resultat après le fix : Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net device: opened successfully user: MBR read successfully kernel: MBR read successfully user & kernel MBR OK

moment de grace · Answer

ok

maintenant

Téléchargez USBFIX de El Desaparecido, C_xx

http://pagesperso-orange.fr/NosTools/Chiquitine29/UsbFix.exe
ou
https://www.ionos.fr/?affiliate_id=77097

/!\ Utilisateur de vista et windows 7 :
ne pas oublier de désactiver Le contrôle des comptes utilisateurs 
https://www.commentcamarche.net/faq/8343-vista-desactiver-l-uac 

/!\ Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d'avoir été infectées sans les ouvrir 

Double clic sur le raccourci UsbFix présent sur le bureau . 

 Choisir l'option2 suppression
(d'autres options disponibles, voir le tutoriel). 
 Laissez travailler l'outil.
Le menu démarrer et les icônes vont disparaître.. c'est normal. 

Si un message te demande de redémarrer l'ordinateur fais le ... 

 Au redémarrage, le fix se relance... laisses l'opération s'effectuer. 

Le bloc note s'ouvre avec un rapport, envoies le dans la prochaine réponse

 
* Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque. ( C:\UsbFix.txt ) 

( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller ) 

* Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. 
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. 
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus. 


* Tuto : http://pagesperso-orange.fr/NosTools/usbfix.html


UsbFix peut te demander d'uploader un dossier compressé à cette adresse : https://www.ionos.fr/?affiliate_id=77097 

 Il est enregistré sur ton bureau. 

Merci de l'envoyer à l'adresse indiquée afin d'aider l'auteur de UsbFix dans ses recherches.

ciro76 · Answer

voici le copier coller rapport du USBfix. je dois faire quoi après ?

############################## | UsbFix 7.026 | [Suppression]

Utilisateur: Administrateur (Administrateur) # OXIDIUMSQUARE [ ]
Mis à jour le 24/09/10 par El Desaparecido / C_XX
Lancé à 17:50:37 | 26/09/2010
Site Web: http://www.teamxscript.org
Contact: FindyKill.Contact@gmail.com

CPU: AMD Sempron(tm) Processor 3000+
Microsoft Windows XP Professionnel (5.1.2600 32-Bit) # Service Pack 2
Internet Explorer 8.0.6001.18702

Pare-feu Windows: Désactivé /!\
Antivirus: avast! Antivirus 5.0.83886757 [Enabled | Updated]
RAM -> 510 Mo 
C:\ (%systemdrive%) -> Disque fixe # 149 Go (80 Go libre(s) - 54%) [WINDOWS] # NTFS
D:\ -> CD-ROM
L:\ -> CD-ROM
M:\ -> CD-ROM

################## | Éléments infectieux |



################## | Registre |

Supprimé! HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoRecentDocsHistory
Supprimé! HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoRecentDocsMenu
Supprimé! HKLM\Software\Microsoft\Windows\CurrentVersion\Run|MSConfig

################## | Mountpoints2 |

Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{e1daac09-b008-11de-a00e-00030d000001}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{eb0fd0fc-4936-11de-9f4e-001109164a75}

################## | Listing |

[14/04/2009 - 19:07:31 | A | 0] 	C:\AUTOEXEC.BAT
[26/09/2010 - 13:41:05 | RSH | 421] 	C:\boot.ini
[24/08/2001 - 16:00:00 | RASH | 4952] 	C:\Bootfont.bin
[09/11/2009 - 16:34:11 | D ] 	C:\cléusbaperture
[14/04/2009 - 19:12:58 | D ] 	C:\Documents and Settings
[27/07/2009 - 12:42:11 | A | 133171200] 	C:\EXTRCUST
[05/09/2010 - 11:14:06 | A | 519] 	C:\hpfr3420.xml
[05/09/2010 - 11:14:04 | A | 5448] 	C:\hpfr3425.log
[14/04/2009 - 19:07:31 | RASH | 0] 	C:\IO.SYS
[14/04/2009 - 19:07:31 | RASH | 0] 	C:\MSDOS.SYS
[22/12/2009 - 15:23:47 | RHD ] 	C:\MSOCache
[04/08/2004 - 01:38:34 | RASH | 47564] 	C:\NTDETECT.COM
[04/08/2004 - 01:59:44 | RASH | 251712] 	C:
tldr
[26/09/2010 - 13:43:18 | ASH | 805306368] 	C:\pagefile.sys
[26/09/2010 - 14:30:38 | RD ] 	C:\Program Files
[26/09/2010 - 11:40:29 | A | 3559] 	C:apport.txt
[14/04/2009 - 19:20:07 | SHD ] 	C:\RECYCLER
[26/09/2010 - 14:32:38 | A | 432] 	C:kill.log
[25/09/2010 - 23:45:04 | D ] 	C:\sh4ldr
[27/07/2009 - 11:57:11 | A | 81920] 	C:\STATIC_EEP
[28/09/2009 - 17:00:55 | SHD ] 	C:\System Volume Information
[26/09/2010 - 17:52:48 | D ] 	C:\UsbFix
[26/09/2010 - 17:52:54 | A | 953] 	C:\UsbFix.txt
[26/09/2010 - 13:25:00 | D ] 	C:\WINDOWS
[26/09/2010 - 16:41:31 | A | 14076] 	C:\ZHPExportRegistry-26-09-2010-16-41-31.txt
[26/09/2010 - 16:42:22 | A | 1278] 	C:\ZHPExportRegistry-26-09-2010-16-42-22.txt
[26/09/2010 - 16:46:12 | A | 1278] 	C:\ZHPExportRegistry-26-09-2010-16-46-12.txt
[26/09/2010 - 17:34:52 | A | 1278] 	C:\ZHPExportRegistry-26-09-2010-17-34-52.txt
[26/09/2010 - 17:38:07 | A | 1278] 	C:\ZHPExportRegistry-26-09-2010-17-38-07.txt
[26/09/2010 - 17:38:30 | A | 1278] 	C:\ZHPExportRegistry-26-09-2010-17-38-30.txt

################## | Vaccin |

C:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)

################## | E.O.F |

ciro76 · Answer

l'ordinateur ne m'a pas demandé de redémarrer

ciro76 · Answer

A priori je dois suivre le point 4. Mais je n'ai pas besoin de désactiver l'antivirus  puisque je suis en mode sans échec ? Si oui comment faire SVP ? C'est Avast

moment de grace · Answer

je pense surtout que tu peux revenir en mode normal

ciro76 · Answer

Donc je peux redémarrer mon ordinateur normalement ?

moment de grace · Answer

oui essaie

si ca coince on revient en mode sans echec

ciro76 · Answer

ok a tout de suite

ciro76 · Answer

me revoilà. désolé. je me retrouve toujours avec le même problème qu'au début, à savoir que lorsque je démarre en normal, tous les icônes sur le bureau s'affichent, mais dès que je clique sur un ou même sur une autre application, j'ai le sablier qui s'affiche, et reste bloqué. La seule solution est d'éteindre l'ordinateur au bouton.

moment de grace · Answer

ok


Attention, avant de commencer, lit attentivement la procédure, et imprime la 

Aide à l'utilisation
https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix



Télécharge ComboFix de sUBs en le renommant CIRO.exe avant de l'enregistrer sur ton Bureau : 
http://download.bleepingcomputer.com/sUBs/ComboFix.exe 

/!\ Déconnecte-toi du net et DESACTIVES TOUTES LES DEFENSES, antivirus et antispyware y compris /!\ 

---> Double-clique sur ComboFix.exe 
Un "pop-up" va apparaître qui dit que ComboFix est utilisé à vos risques et avec aucune garantie... Clique sur oui pour accepter 

SURTOUT INSTALLES LA CONSOLE DE RECUPERATION 
(si il te propose de l'installer remets  internet)

---> Mets-le en langue française F 
Tape sur la touche 1 (Yes) pour démarrer le scan. 

Ne touche à rien(souris, clavier) tant que le scan n'est pas terminé, car tu risques de planter ton PC 

En fin de scan, il est possible que ComboFix ait besoin de redémarrer le PC pour finaliser la désinfection, laisse-le faire. 

Une fois le scan achevé, un rapport va s'afficher : Poste son contenu 

/!\ Réactive la protection en temps réel de ton antivirus et de ton antispyware avant de te reconnecter à Internet. /!\ 

Note : Le rapport se trouve également là : C:\ComboFix.txt

ciro76 · Answer

Mon imprimante m'a lâchée il y a une semaine !
A ce moment là si ça ne vous dérange pas, je vais demain au bureau l'imprimer et reviendrai demain en fin de journée pour continuer vers 17h30 si vous êtes dispo bien sûr ! 
Déjà vous avez consacré une grande partie de votre temps pour moi, et je vous en remercie.
En plus comme tout le reste, ça ne me paraît pas simple, bien que tout ce que vous m'avez écrit est très clair. Mais toujours la peur de faire une "bêtise" !
On fait comme ça ?

ciro76 · Answer

déjà lorsque je vais en mode normal, je n'ai plus de messages de SECURITY TOOL. C'est un premier pas !

moment de grace · Answer

bien

alors @ demain donc...

ciro76 · Answer

merci encore pour tout. bonne soirée

ciro76 · Answer

Bonsoir,

J'ai eu mon fils qui m'a débloqué et je peux à nouveau me remettre en normal.
Voici son message ci-dessous.
Merci quand même pour le temps que vous m'avez consacré, et continuez à aider des novices comme moi, c'est toujours sympathique d'avoir des personnes qui sont toujours là pour nous aider, ça devient tellement rare de nos jours.  
A bientôt peut-être  

"J'ai redémarré en "Mode Sans Échec avec prise en charge réseau" de façon à lancer un Windows disons, propre.
Puis, accédé à l'éditeur de registre vià Windows + R (éxécuter) et "regedit"
En naviguant dans la clé HKEY_LOCAL_MACHINE > SOFTWARE > Microsoft > Windows > CurrentVersion > Run, j'ai pu désactiver les programmes dont je n'avais pas besoin et ceux qui me semblaient suspects.*
Puis, j'ai redémarré et tout s'est bien passé.

Je vous conseille de ne pas installer SpyMonitor (je suis pas sûr de l'ortographe) car il vous donne tout une liste de virus à supprimmer (la plupart sont faux et les restes sont ajoutés par lui même) et de plus, pour les supprimmer il faut acheter une licence !
Il en existe pleins comme ça alors faites attention quand vous téléchargez (légalement où pas)"

Security tool

31 réponses

Discussions similaires