Infection?, écran bloqué+zéroInternet
Bonjour,
Problème sur pc portable de ma copine:
Suite à tentative de téléchargement d'un film siglé "mégaulpoad", il semble que son pc ait planté: blocage avec le fond d'écran sans icones après entrée du code utilisateur et "bienvenue sur vista", idem aux redémarrages suivants.
(à présent: écran noir après "bienvenue sur vista" curseur présent et mobile)
Je ne suis pas expert en informatique mais j'ai opéré comme suit:
1*démarrage en mode sans échec
2*là: observation qu'il n'y a plus de connexion internet, ni en wifi, ni en ethernet
3*je vérifie grâce à un tutorial dans le registre: j'obtiens "erreur 1068" (pour ce qui est du wifi)
4*)et j'ai alors suivi le conseil:
https://forums.commentcamarche.net/forum/affich-2726046-erreur-1068-le-service-ou-le-groupe-de-dep
"(...)Dans cette clé il y a une entrée nommée "START", double cliquez dessus. Cette entrée doit être 3 pour que le protocole NDIS E/S demarre correctement." j'ai vérifié cela et cette entrée est bien sur 3
Il y a certainement autre chose à vérifier dans le registre mais je ne sais pas quoi chercher et comment
5*)j'ai alors procédé à un scan avec son antivirus AVG :
de nombreux fichiers ont été marqués comme verrouillés et non analysés, cependant il a repéré un cheval de troie qu'il a mis en quarantaine
6*) j'ai téléchargé sur une clef usb : ccleaner et malwarebytes que je connais un peu et utilise sur mon propre pc (ma copine surfe beaucoup sur le net et télécharge beaucoup de choses mais je doute qu'elle fasse des "nettoyages" fréquents)
ccleaner a fait du ménage et réparé pas mal de fichiers registre
malwarebytes à nettoyé 181 éléments infectés
7*) le redémarrage du pc a mené ensuite à un démarrage partiel tout comme précédemment sauf que le fond d'écran n'apparaît même plus: l'écran reste noir après le "bienvenue" (et la flèche curseur reste présente et mobile comme dans les premiers symptômes)
8*)Me voilà à nouveau en mode sans échec et je ne sais quoi faire
Merci pour l'attention portée à ma demande ainsi que pour vos conseils avisés (qui seront bienvenus)
Alexandre
Problème sur pc portable de ma copine:
Suite à tentative de téléchargement d'un film siglé "mégaulpoad", il semble que son pc ait planté: blocage avec le fond d'écran sans icones après entrée du code utilisateur et "bienvenue sur vista", idem aux redémarrages suivants.
(à présent: écran noir après "bienvenue sur vista" curseur présent et mobile)
Je ne suis pas expert en informatique mais j'ai opéré comme suit:
1*démarrage en mode sans échec
2*là: observation qu'il n'y a plus de connexion internet, ni en wifi, ni en ethernet
3*je vérifie grâce à un tutorial dans le registre: j'obtiens "erreur 1068" (pour ce qui est du wifi)
4*)et j'ai alors suivi le conseil:
https://forums.commentcamarche.net/forum/affich-2726046-erreur-1068-le-service-ou-le-groupe-de-dep
"(...)Dans cette clé il y a une entrée nommée "START", double cliquez dessus. Cette entrée doit être 3 pour que le protocole NDIS E/S demarre correctement." j'ai vérifié cela et cette entrée est bien sur 3
Il y a certainement autre chose à vérifier dans le registre mais je ne sais pas quoi chercher et comment
5*)j'ai alors procédé à un scan avec son antivirus AVG :
de nombreux fichiers ont été marqués comme verrouillés et non analysés, cependant il a repéré un cheval de troie qu'il a mis en quarantaine
6*) j'ai téléchargé sur une clef usb : ccleaner et malwarebytes que je connais un peu et utilise sur mon propre pc (ma copine surfe beaucoup sur le net et télécharge beaucoup de choses mais je doute qu'elle fasse des "nettoyages" fréquents)
ccleaner a fait du ménage et réparé pas mal de fichiers registre
malwarebytes à nettoyé 181 éléments infectés
7*) le redémarrage du pc a mené ensuite à un démarrage partiel tout comme précédemment sauf que le fond d'écran n'apparaît même plus: l'écran reste noir après le "bienvenue" (et la flèche curseur reste présente et mobile comme dans les premiers symptômes)
8*)Me voilà à nouveau en mode sans échec et je ne sais quoi faire
Merci pour l'attention portée à ma demande ainsi que pour vos conseils avisés (qui seront bienvenus)
Alexandre
19 réponses
-
Contributeur sécuritéSalut alexstique
L'infection t'a installer un Proxy peut-être :
Pour Internet Exlporer, dans le haut clique sur Outils/Options Internet, clique sur l'onglet Connexions/Paramètres réseau et voir a décoché la case Serveur proxy.
Pour Firefox :
Ouvre Firefox, dans le haut clique sur Outils/Options/Avancé clique sur l'onglet Réseau/Paramètres, coche Pas de proxy.
-----
Télécharge RSIT (de random/random) sur le bureau ici :
http://images.malwareremoval.com/random/RSIT.exe
- Double clique sur RSIT.exe qui est sur le bureau
Vista - Clique droit sur RSIT.exe qui est sur le bureau et choisir exécuter en tant qu'administrateur
- Clique sur Continue dans la fenêtre
- RSIT téléchargera HijackThis si il n'est pas présent où détecté, alors il faudra accepter la licence
- Poste le contenue des deux rapports, log.txt et info.txt(réduit dans la barre des tâches) à la fin de l'analyse
Utilise cjoint.com pour poster en lien tes rapports :
https://www.cjoint.com/
- Clique sur Parcourir pour aller chercher le rapport C:\rsit\log.txt
- Clique sur Ouvrir ensuite sur Créer le lien Cjoint
- Fais un copier/coller du lien qui est devant Le lien a été créé: dans ta prochaine réponse.
Et fais la même chose avec l'autre rapport C:\rsit\info.txt
@++ :) -
un grand merci pour cette réponse rapide (à cette heure tardive!)
je vais tenter cela avant de me coucher (je fatigue)
et j'en donnerai les résultats -
serveur proxy non coché
(d'ailleurs rien n'est coché dans Paramètres du réseau local)
je vais donc directement faire la suite de la procédure mais passerai par une clef usb pour importer HijackThis -
Contributeur sécuritéSalut alexstique
passerai par une clef usb pour importer HijackThis
Ne pas oublié RSIT aussi, installe HJT et après exécute RSIT....
@++ :) -
ouf, je crois que j'ai fini par y arriver
https://www.cjoint.com/?0mFcVYNamVa
https://www.cjoint.com/?0mFcWNzQitr -
Contributeur sécuritéSalut alexstique
OK j'analyse les rapports, fais ceci :
Clique sur le menu démarrer/Exécuter et tape cmd puis sur OK pour valider.
Dans la nouvelle fenêtre noire, tape :
ipconfig /all > c:\testcnx.txt et appuie sur la touche entrée du clavier
ping www.google.fr >> c:\testcnx.txt et appuie sur la touche entrée du clavier
ping 209.85.135.103 >> c:\testcnx.txt et appuie sur la touche entrée du clavier
exit et appuie sur la touche entrée du clavier pour quitter
Ouvre le poste de travail --> Disque C --> double-clic sur testcnx.txt
Copie/colle le contenu entier ici dans un nouveau message.
@++ :) -
Contributeur sécuritéSalut alexstique
Désinstalle ce programme QuestBrowse via Programmes et fonctionnalités
As-tu un rapport HJT?
@++ :) -
Bonjour,
un peu plus frais ce matin je poursuis:
voilà ce que me donne testcnx:
https://www.cjoint.com/?0mFlfQ5TtPf
puis j'ai désinstallé questbrowse et redémarré en mode ss échec
rapport HJT? HJT était installé sur une clef usb, je vais la remettre et le mettre en action alors-
voilà le rapport hjt:
https://www.cjoint.com/?0mFlwdkTVU4
-
-
j'ai tenté une analyse sur hijackthis.de
je sais que ce n'est pas génial mais c'est déjà ça
apparemment, d'après l'analyse, pas grand chose à signaler semble-t-il
à supprimer d'après eux:
O4 - Startup: Notification de cadeaux MSN.lnk = C:\Users\user\AppData\Roaming\Microsoft\Notification de cadeaux MSN\lsnfier.exe
Nasty (2.97 / 5.00)
je ne fais rien par précaution et attends vos propres analyses d'experts -
Contributeur sécuritéSalut alexstique
On va vérifier avec un autre outils de diagnostique :
Télécharge OTL (de OldTimer) et enregistre-le sur ton Bureau.
http://www.itxassociates.com/OT-Tools/OTL.exe
- Quitte les applications en cours afin de ne pas interrompre le scan.
- Double clique sur OTL.exe pour lancer le.
Vista/Seven -- Faire un clique droit sur OTL.exe présent sur le bureau et choisir exécuter en tant qu'administrateur pour lancer le programme
- Une fenêtre apparaît. Sous Custom Scans (en bas), copie/colle ceci :
netsvcs
%SYSTEMDRIVE%\*.*
%SYSTEMDRIVE%\*.exe
%PROGRAMFILES%\*.*
%PROGRAMFILES%\*.
/md5start
hidserv.dll
appmgmts.dll
eventlog.dll
winlogon.exe
scecli.dll
netlogon.dll
cngaudit.dll
sceclt.dll
ntelogon.dll
logevent.dll
iaStor.sys
nvstor.sys
atapi.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
wininet.dll
wininit.exe
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
explorer.exe
svchost.exe
userinit.exe
qmgr.dll
ws2_32.dll
proquota.exe
imm32.dll
kernel32.dll
ndis.sys
autochk.exe
spoolsv.exe
xmlprov.dll
ntmssvc.dll
mswsock.dll
Beep.SYS
ntfs.sys
termsrv.dll
sfcfiles.dll
st3shark.sys
winlogon.exe
/md5stop
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
c:\$recycle.bin\*.* /s
- Clique sur le bouton Run Scan.
- Une fois l'analyse terminée, deux fenêtres vont s'ouvrir dans le Bloc-notes : OTL.txt et Extras.txt. Ils se trouvent au même endroit que OTListIT2 (donc par défaut sur le Bureau).
Utilise cjoint.com pour poster en lien tes rapports :
https://www.cjoint.com/
- Clique sur Parcourir pour aller chercher le rapport
- Clique sur Ouvrir ensuite sur Créer le lien Cjoint
- Fais un copier/coller du lien qui est devant Le lien a été créé: dans ta prochaine réponse.
@++ :) -
Merci pour ton aide
bon alors j'ai importé via usb OTL
j'ai fait executer en tant qu'admin (par clic droit sur nom de l'application, je n'ai pas de OTL.exe) , il apparaît une fenètre en français, j'ai cliqué "analyse" car pas de "custom scans"
ce n'est peut-être pas la marche à suivre
je joins qd même le résultat du scan
sous les noms otl1 et extras1
https://www.cjoint.com/?0mFuAM5ElNJ
https://www.cjoint.com/?0mFuBmfIBpa
et après je fais autrement (j'interprète les indications car je n'ai pas tout à fait la même chose sur mon écran):
je colle le texte que tu m'as joint dans la fenêtre en bas "personnalisation"
ça m'a l'air d'être ça, non?
par contre je n'ai absolument pas touché aux réglages par défaut de OTL:
(processus, modules,services,pilotes: avec liste blanche; registre standard: tous; âge fichier: 30jours; use no-compagny-name white list; fichiers créés ou modifiés: âge du fichier)
le scan est manifestement beaucoup plus long que mon 1er essai
voilà les résultats de ce 2ème scan (qui me semble conforme à tes indications):
https://www.cjoint.com/?0mFuB4EJ8gE
https://www.cjoint.com/?0mFuCwy6dQ7
voilà, je pense qu'à cette heure ta soirée de réveillon démarre (pour moi, mes invités ne vont pas tarder)
Excellente soirée et à l'année prochaine
Meilleurs voeux
à très bientôt -
Contributeur sécuritéSalut alexstique
Faire un clique droit sur OTL.exe pour lancer le programme et choisi "Exécuter en tant qu'administrateur".
? Copie la liste qui se trouve en gras ci-dessous, et colle-la dans la zone sous " Personnalisation "
:OTL
SRV - File not found [Auto | Stopped] -- C:\Program Files\Norton Internet Security\Engine\16.0.0.125\ccSvcHst.exe -- (Norton Internet Security)
DRV - File not found [Kernel | System | Stopped] -- C:\Windows\System32\drivers\NIS\1000000.07D\SRTSPX.SYS -- (SRTSPX)
DRV - File not found [File_System | System | Stopped] -- C:\Windows\System32\drivers\NIS\1000000.07D\SRTSP.SYS -- (SRTSP)
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\Windows\System32\DRIVERS\nwlnkfwd.sys -- (NwlnkFwd)
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\Windows\System32\DRIVERS\nwlnkflt.sys -- (NwlnkFlt)
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\ProgramData\Norton\{0C55C096-0F1D-4F28-AAA2-85EF591126E7}\Norton\Definitions\VirusDefs\20080829.024\NAVEX15.SYS -- (NAVEX15)
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\ProgramData\Norton\{0C55C096-0F1D-4F28-AAA2-85EF591126E7}\Norton\Definitions\VirusDefs\20080829.024\NAVENG.SYS -- (NAVENG)
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\Windows\System32\DRIVERS\ipinip.sys -- (IpInIp)
O2 - BHO: (no name) - {474597C5-AB09-49d6-A4D5-2E8D7341384E} - No CLSID value found.
:Files
C:\Program Files\Everest Poker
:Commands
[Emptytemp]
? Clique sur " Correction " pour lancer la suppression.
? Si un fichier ou dossier ne peut pas être supprimé immédiatement, le logiciel te demandera de redémarrer. Accepte en cliquant sur YES.
? Au redémarrage , autorise OTL a s'exécuter.
? Poste le rapport généré par OTL.
Voir ce que cela dit en mode normal
@++ :) -
Bonjour et bonne année
Il y a du nouveau:
l'ordinateur de ma copine a démarré normalement
(effet 2011?, résultat d'une opération précédente? hormis les premiers nettoyages je croyais que ce que tu m'avais fait faire n'était que des actions purement de recherche diagnostique)
avec cependant quelques différences:
1)il y a des icônes de raccourci qui étaient absents avant le problème, notamment "popular screen savers" et "dark orbit free", (ma copine ne sait pas ce que c'est, je vais chercher sur google)
2)le pc signale (en bas à droite) le blocage d'un certain nombre de programmes de démarrage
quand je demande à afficher les programmes de démarrage bloqués ça m'ouvre une fenêtre "configuration du système" (contrairement à windows defender sur mon propre ordi) avec la liste de tous les programmes de démarrage (notamment AVG, MalwareAnti,...)
3)une fenêtre MacAfee s'est ouverte pour mise à jour (payante) alors que ce n'est plus son antivirus depuis longtemps
d'autres différences peut-être
voilà les dernières nouvelles
on pourrait croire que c'est réparé mais je préfère être prudent
vu que l'internet marche à nouveau, je vais qd même faire un scan online
qu'en penses-tu?
marche à suivre?
Merci -
ah tiens, nos messages se sont croisés
je vais lire le tien avant réponse -
bon, si j'ai bien compris il faut supprimer "Everest Poker"
mais ma copine me dit que c'est le site de poker avec lequel elle joue depuis longtemps
il y a des raisons de le supprimer? -
Contributeur sécuritéSalut alexstique
Ce fichier n'est pas infecté, mais considéré comme un Adware, tous autre logiciel de sécurité l'aurais supprimé :
Contraction d'advertising spyware pour logiciel espion de publicité. Les adwares inspectent les sites visités par leurs utilisateurs afin d'afficher des publicités ciblées, sous la forme de fenêtres pop-up ou de bannières. Dans certains cas, ces espions se servent des informations collectées pour alimenter des bases de données commerciales. De nombreux programmes parrainés par de la publicité intègrent des adwares, installés souvent à l'insu des utilisateurs.
À toi de voir pour leur suppression, tu enlèves cela du code sinon :
:Files
C:\Program Files\Everest Poker
Un peu de lecture :
https://www.google.ca/search?hl=fr&client=firefox-a&hs=FG9&rls=org.mozilla%3Afr%3Aofficial&q=Everest+Poker+adware&aq=f&aqi=&aql=&oq=&gs_rfai=&gws_rd=ssl
@++ :) -
héhé! en ce qui me concerne, sans même avoir à me convaincre en lisant ton lien sur google, je supprimerais cet adware (d'ailleurs je suis supris que ce n'est pas été fait par ccleaner ou malware antiM)
mais va falloir que j'en discute avec l'intéressée (ah les femmes!...) qui devra prendre ses responsabilités
après discussion, je ferai l'opération que tu m'as conseillée (en corrigeant everest poker ou pas)
sinon, tu vois une explication au fait que le pc redémarre en mode normal? -
Contributeur sécuritéSalut alexstique
sinon, tu vois une explication au fait que le pc redémarre en mode normal?
Non pas vraiment ne connaissant pas trop le souci de départ, voir déjà a me poster le rapport de MalwareByte's, il peut être retrouvé sous l'onglet Rapports/logs du logiciel.
@++ :) -
ok, après discussion avec madame j'ai supprimé poker everest
j'ai donc effectué l'opération que tu as demandée et en voilà le rapport:
https://www.cjoint.com/?0bdwEaJaj4Q
et les rapports Malware du 31/12/2010:
https://www.cjoint.com/?0bdwLbWPXKx
https://www.cjoint.com/?0bdwMqxrtCA
(à savoir, je viens de faire une mise à jour de Malware AntiM car il est signalé une absence de mise à jour de 14 jours -pourtant téléchargé le 31/12-)
voilà, je laisse faire l'expert pour interpréter tout ça
merci
