Infection?, écran bloqué+zéroInternet

alexstique -  
 alexstique -
Bonjour,
Problème sur pc portable de ma copine:
Suite à tentative de téléchargement d'un film siglé "mégaulpoad", il semble que son pc ait planté: blocage avec le fond d'écran sans icones après entrée du code utilisateur et "bienvenue sur vista", idem aux redémarrages suivants.
(à présent: écran noir après "bienvenue sur vista" curseur présent et mobile)

Je ne suis pas expert en informatique mais j'ai opéré comme suit:

1*démarrage en mode sans échec

2*là: observation qu'il n'y a plus de connexion internet, ni en wifi, ni en ethernet

3*je vérifie grâce à un tutorial dans le registre: j'obtiens "erreur 1068" (pour ce qui est du wifi)

4*)et j'ai alors suivi le conseil:
https://forums.commentcamarche.net/forum/affich-2726046-erreur-1068-le-service-ou-le-groupe-de-dep
"(...)Dans cette clé il y a une entrée nommée "START", double cliquez dessus. Cette entrée doit être 3 pour que le protocole NDIS E/S demarre correctement." j'ai vérifié cela et cette entrée est bien sur 3
Il y a certainement autre chose à vérifier dans le registre mais je ne sais pas quoi chercher et comment

5*)j'ai alors procédé à un scan avec son antivirus AVG :
de nombreux fichiers ont été marqués comme verrouillés et non analysés, cependant il a repéré un cheval de troie qu'il a mis en quarantaine

6*) j'ai téléchargé sur une clef usb : ccleaner et malwarebytes que je connais un peu et utilise sur mon propre pc (ma copine surfe beaucoup sur le net et télécharge beaucoup de choses mais je doute qu'elle fasse des "nettoyages" fréquents)
ccleaner a fait du ménage et réparé pas mal de fichiers registre
malwarebytes à nettoyé 181 éléments infectés

7*) le redémarrage du pc a mené ensuite à un démarrage partiel tout comme précédemment sauf que le fond d'écran n'apparaît même plus: l'écran reste noir après le "bienvenue" (et la flèche curseur reste présente et mobile comme dans les premiers symptômes)

8*)Me voilà à nouveau en mode sans échec et je ne sais quoi faire

Merci pour l'attention portée à ma demande ainsi que pour vos conseils avisés (qui seront bienvenus)

Alexandre

19 réponses

  1.
    dédétraqué Messages postés 4522 Statut Contributeur sécurité 286
     
    Salut alexstique

    L'infection t'a installer un Proxy peut-être :
    Pour Internet Exlporer, dans le haut clique sur Outils/Options Internet, clique sur l'onglet Connexions/Paramètres réseau et voir a décoché la case Serveur proxy.

    Pour Firefox :
    Ouvre Firefox, dans le haut clique sur Outils/Options/Avancé clique sur l'onglet Réseau/Paramètres, coche Pas de proxy.

    -----

    Télécharge RSIT (de random/random) sur le bureau ici :
    http://images.malwareremoval.com/random/RSIT.exe

    - Double clique sur RSIT.exe qui est sur le bureau
    Vista - Clique droit sur RSIT.exe qui est sur le bureau et choisir exécuter en tant qu'administrateur

    - Clique sur Continue dans la fenêtre
    - RSIT téléchargera HijackThis si il n'est pas présent où détecté, alors il faudra accepter la licence
    - Poste le contenue des deux rapports, log.txt et info.txt(réduit dans la barre des tâches) à la fin de l'analyse

    Utilise cjoint.com pour poster en lien tes rapports :
    https://www.cjoint.com/

    - Clique sur Parcourir pour aller chercher le rapport C:\rsit\log.txt
    - Clique sur Ouvrir ensuite sur Créer le lien Cjoint

    - Fais un copier/coller du lien qui est devant Le lien a été créé: dans ta prochaine réponse.

    Et fais la même chose avec l'autre rapport C:\rsit\info.txt

    @++ :)
    0
  2. alexstique
     
    un grand merci pour cette réponse rapide (à cette heure tardive!)
    je vais tenter cela avant de me coucher (je fatigue)
    et j'en donnerai les résultats
    0
  3. alexstique
     
    serveur proxy non coché
    (d'ailleurs rien n'est coché dans Paramètres du réseau local)

    je vais donc directement faire la suite de la procédure mais passerai par une clef usb pour importer HijackThis
    0
  4. dédétraqué Messages postés 4522 Statut Contributeur sécurité 286
     
    Salut alexstique

    passerai par une clef usb pour importer HijackThis
    Ne pas oublié RSIT aussi, installe HJT et après exécute RSIT....

    @++ :)
    0

  5. Vous n’avez pas trouvé la réponse que vous recherchez ?

    Posez votre question
  7. dédétraqué Messages postés 4522 Statut Contributeur sécurité 286
     
    Salut alexstique

    OK j'analyse les rapports, fais ceci :

    Clique sur le menu démarrer/Exécuter et tape cmd puis sur OK pour valider.

    Dans la nouvelle fenêtre noire, tape :

    ipconfig /all > c:\testcnx.txt et appuie sur la touche entrée du clavier
    ping www.google.fr >> c:\testcnx.txt et appuie sur la touche entrée du clavier
    ping 209.85.135.103 >> c:\testcnx.txt et appuie sur la touche entrée du clavier
    exit et appuie sur la touche entrée du clavier pour quitter

    Ouvre le poste de travail --> Disque C --> double-clic sur testcnx.txt
    Copie/colle le contenu entier ici dans un nouveau message.

    @++ :)
    0
  8. dédétraqué Messages postés 4522 Statut Contributeur sécurité 286
     
    Salut alexstique

    Désinstalle ce programme QuestBrowse via Programmes et fonctionnalités

    As-tu un rapport HJT?

    @++ :)
    0
  10. alexstique
     
    j'ai tenté une analyse sur hijackthis.de
    je sais que ce n'est pas génial mais c'est déjà ça
    apparemment, d'après l'analyse, pas grand chose à signaler semble-t-il
    à supprimer d'après eux:
    O4 - Startup: Notification de cadeaux MSN.lnk = C:\Users\user\AppData\Roaming\Microsoft\Notification de cadeaux MSN\lsnfier.exe
    Nasty (2.97 / 5.00)

    je ne fais rien par précaution et attends vos propres analyses d'experts
    0
  11. dédétraqué Messages postés 4522 Statut Contributeur sécurité 286
     
    Salut alexstique

    On va vérifier avec un autre outils de diagnostique :

    Télécharge OTL (de OldTimer) et enregistre-le sur ton Bureau.
    http://www.itxassociates.com/OT-Tools/OTL.exe

    - Quitte les applications en cours afin de ne pas interrompre le scan.
    - Double clique sur OTL.exe pour lancer le.
    Vista/Seven -- Faire un clique droit sur OTL.exe présent sur le bureau et choisir exécuter en tant qu'administrateur pour lancer le programme
    - Une fenêtre apparaît. Sous Custom Scans (en bas), copie/colle ceci :

    netsvcs
    %SYSTEMDRIVE%\*.*
    %SYSTEMDRIVE%\*.exe
    %PROGRAMFILES%\*.*
    %PROGRAMFILES%\*.
    /md5start
    hidserv.dll
    appmgmts.dll
    eventlog.dll
    winlogon.exe
    scecli.dll
    netlogon.dll
    cngaudit.dll
    sceclt.dll
    ntelogon.dll
    logevent.dll
    iaStor.sys
    nvstor.sys
    atapi.sys
    IdeChnDr.sys
    viasraid.sys
    AGP440.sys
    vaxscsi.sys
    nvatabus.sys
    viamraid.sys
    wininet.dll
    wininit.exe
    nvata.sys
    nvgts.sys
    iastorv.sys
    ViPrt.sys
    eNetHook.dll
    explorer.exe
    svchost.exe
    userinit.exe
    qmgr.dll
    ws2_32.dll
    proquota.exe
    imm32.dll
    kernel32.dll
    ndis.sys
    autochk.exe
    spoolsv.exe
    xmlprov.dll
    ntmssvc.dll
    mswsock.dll
    Beep.SYS
    ntfs.sys
    termsrv.dll
    sfcfiles.dll
    st3shark.sys
    winlogon.exe
    /md5stop
    %systemroot%\*. /mp /s
    %systemroot%\system32\*.dll /lockedfiles
    %systemroot%\Tasks\*.job /lockedfiles
    %systemroot%\system32\drivers\*.sys /lockedfiles
    %systemroot%\System32\config\*.sav
    c:\$recycle.bin\*.* /s

    - Clique sur le bouton Run Scan.
    - Une fois l'analyse terminée, deux fenêtres vont s'ouvrir dans le Bloc-notes : OTL.txt et Extras.txt. Ils se trouvent au même endroit que OTListIT2 (donc par défaut sur le Bureau).

    Utilise cjoint.com pour poster en lien tes rapports :
    https://www.cjoint.com/

    - Clique sur Parcourir pour aller chercher le rapport
    - Clique sur Ouvrir ensuite sur Créer le lien Cjoint

    - Fais un copier/coller du lien qui est devant Le lien a été créé: dans ta prochaine réponse.

    @++ :)
    0
  12. alexstique
     
    Merci pour ton aide

    bon alors j'ai importé via usb OTL
    j'ai fait executer en tant qu'admin (par clic droit sur nom de l'application, je n'ai pas de OTL.exe) , il apparaît une fenètre en français, j'ai cliqué "analyse" car pas de "custom scans"
    ce n'est peut-être pas la marche à suivre
    je joins qd même le résultat du scan
    sous les noms otl1 et extras1
    https://www.cjoint.com/?0mFuAM5ElNJ
    https://www.cjoint.com/?0mFuBmfIBpa

    et après je fais autrement (j'interprète les indications car je n'ai pas tout à fait la même chose sur mon écran):
    je colle le texte que tu m'as joint dans la fenêtre en bas "personnalisation"

    ça m'a l'air d'être ça, non?

    par contre je n'ai absolument pas touché aux réglages par défaut de OTL:
    (processus, modules,services,pilotes: avec liste blanche; registre standard: tous; âge fichier: 30jours; use no-compagny-name white list; fichiers créés ou modifiés: âge du fichier)
    le scan est manifestement beaucoup plus long que mon 1er essai

    voilà les résultats de ce 2ème scan (qui me semble conforme à tes indications):
    https://www.cjoint.com/?0mFuB4EJ8gE
    https://www.cjoint.com/?0mFuCwy6dQ7

    voilà, je pense qu'à cette heure ta soirée de réveillon démarre (pour moi, mes invités ne vont pas tarder)
    Excellente soirée et à l'année prochaine
    Meilleurs voeux

    à très bientôt
    0
  13. dédétraqué Messages postés 4522 Statut Contributeur sécurité 286
     
    Salut alexstique

    Faire un clique droit sur OTL.exe pour lancer le programme et choisi "Exécuter en tant qu'administrateur".

    ? Copie la liste qui se trouve en gras ci-dessous, et colle-la dans la zone sous " Personnalisation "

    :OTL
    SRV - File not found [Auto | Stopped] -- C:\Program Files\Norton Internet Security\Engine\16.0.0.125\ccSvcHst.exe -- (Norton Internet Security)
    DRV - File not found [Kernel | System | Stopped] -- C:\Windows\System32\drivers\NIS\1000000.07D\SRTSPX.SYS -- (SRTSPX)
    DRV - File not found [File_System | System | Stopped] -- C:\Windows\System32\drivers\NIS\1000000.07D\SRTSP.SYS -- (SRTSP)
    DRV - File not found [Kernel | On_Demand | Stopped] -- C:\Windows\System32\DRIVERS\nwlnkfwd.sys -- (NwlnkFwd)
    DRV - File not found [Kernel | On_Demand | Stopped] -- C:\Windows\System32\DRIVERS\nwlnkflt.sys -- (NwlnkFlt)
    DRV - File not found [Kernel | On_Demand | Stopped] -- C:\ProgramData\Norton\{0C55C096-0F1D-4F28-AAA2-85EF591126E7}\Norton\Definitions\VirusDefs\20080829.024\NAVEX15.SYS -- (NAVEX15)
    DRV - File not found [Kernel | On_Demand | Stopped] -- C:\ProgramData\Norton\{0C55C096-0F1D-4F28-AAA2-85EF591126E7}\Norton\Definitions\VirusDefs\20080829.024\NAVENG.SYS -- (NAVENG)
    DRV - File not found [Kernel | On_Demand | Stopped] -- C:\Windows\System32\DRIVERS\ipinip.sys -- (IpInIp)
    O2 - BHO: (no name) - {474597C5-AB09-49d6-A4D5-2E8D7341384E} - No CLSID value found.

    :Files
    C:\Program Files\Everest Poker

    :Commands
    [Emptytemp]

    ? Clique sur " Correction " pour lancer la suppression.

    ? Si un fichier ou dossier ne peut pas être supprimé immédiatement, le logiciel te demandera de redémarrer. Accepte en cliquant sur YES.

    ? Au redémarrage , autorise OTL a s'exécuter.

    ? Poste le rapport généré par OTL.

    Voir ce que cela dit en mode normal

    @++ :)
    0
  14. alexstique
     
    Bonjour et bonne année

    Il y a du nouveau:
    l'ordinateur de ma copine a démarré normalement
    (effet 2011?, résultat d'une opération précédente? hormis les premiers nettoyages je croyais que ce que tu m'avais fait faire n'était que des actions purement de recherche diagnostique)

    avec cependant quelques différences:

    1)il y a des icônes de raccourci qui étaient absents avant le problème, notamment "popular screen savers" et "dark orbit free", (ma copine ne sait pas ce que c'est, je vais chercher sur google)
    2)le pc signale (en bas à droite) le blocage d'un certain nombre de programmes de démarrage
    quand je demande à afficher les programmes de démarrage bloqués ça m'ouvre une fenêtre "configuration du système" (contrairement à windows defender sur mon propre ordi) avec la liste de tous les programmes de démarrage (notamment AVG, MalwareAnti,...)
    3)une fenêtre MacAfee s'est ouverte pour mise à jour (payante) alors que ce n'est plus son antivirus depuis longtemps

    d'autres différences peut-être

    voilà les dernières nouvelles
    on pourrait croire que c'est réparé mais je préfère être prudent
    vu que l'internet marche à nouveau, je vais qd même faire un scan online

    qu'en penses-tu?
    marche à suivre?
    Merci
    0
  15. alexstique
     
    ah tiens, nos messages se sont croisés
    je vais lire le tien avant réponse
    0
  16. alexstique
     
    bon, si j'ai bien compris il faut supprimer "Everest Poker"
    mais ma copine me dit que c'est le site de poker avec lequel elle joue depuis longtemps
    il y a des raisons de le supprimer?
    0
  17. dédétraqué Messages postés 4522 Statut Contributeur sécurité 286
     
    Salut alexstique

    Ce fichier n'est pas infecté, mais considéré comme un Adware, tous autre logiciel de sécurité l'aurais supprimé :

    Contraction d'advertising spyware pour logiciel espion de publicité. Les adwares inspectent les sites visités par leurs utilisateurs afin d'afficher des publicités ciblées, sous la forme de fenêtres pop-up ou de bannières. Dans certains cas, ces espions se servent des informations collectées pour alimenter des bases de données commerciales. De nombreux programmes parrainés par de la publicité intègrent des adwares, installés souvent à l'insu des utilisateurs.

    À toi de voir pour leur suppression, tu enlèves cela du code sinon :
    :Files
    C:\Program Files\Everest Poker

    Un peu de lecture :
    https://www.google.ca/search?hl=fr&client=firefox-a&hs=FG9&rls=org.mozilla%3Afr%3Aofficial&q=Everest+Poker+adware&aq=f&aqi=&aql=&oq=&gs_rfai=&gws_rd=ssl

    @++ :)
    0
  18. alexstique
     
    héhé! en ce qui me concerne, sans même avoir à me convaincre en lisant ton lien sur google, je supprimerais cet adware (d'ailleurs je suis supris que ce n'est pas été fait par ccleaner ou malware antiM)
    mais va falloir que j'en discute avec l'intéressée (ah les femmes!...) qui devra prendre ses responsabilités
    après discussion, je ferai l'opération que tu m'as conseillée (en corrigeant everest poker ou pas)

    sinon, tu vois une explication au fait que le pc redémarre en mode normal?
    0
  19. dédétraqué Messages postés 4522 Statut Contributeur sécurité 286
     
    Salut alexstique

    sinon, tu vois une explication au fait que le pc redémarre en mode normal?
    Non pas vraiment ne connaissant pas trop le souci de départ, voir déjà a me poster le rapport de MalwareByte's, il peut être retrouvé sous l'onglet Rapports/logs du logiciel.

    @++ :)
    0
  20. alexstique
     
    ok, après discussion avec madame j'ai supprimé poker everest
    j'ai donc effectué l'opération que tu as demandée et en voilà le rapport:
    https://www.cjoint.com/?0bdwEaJaj4Q

    et les rapports Malware du 31/12/2010:
    https://www.cjoint.com/?0bdwLbWPXKx
    https://www.cjoint.com/?0bdwMqxrtCA
    (à savoir, je viens de faire une mise à jour de Malware AntiM car il est signalé une absence de mise à jour de 14 jours -pourtant téléchargé le 31/12-)

    voilà, je laisse faire l'expert pour interpréter tout ça
    merci
    0