Windows security alert Résolu

Question

Bonjour, 

J'ai attrapé ce malware : Windows security alert
J'essaie tant bien que mal de l'enlever que ce soit avec malwarebytes, a2, spybot, antivr, mode sans échec.
Le résultat est que la fenêtre d'avertissement "Windows Diagnostic" ne revient pas ni l'icône en bas à droite malgré les redémarrages.
Par contre mon gestionnaire de fichiers/dossiers ne fonctionne pas bien : je n'ai pas accès à mes dossiers et programmes. Et ne ne vois pas mes icônes.

J'ai réussi à télécharger RogueKiller et à exécuter le "1".
Je sus sous Windows xp.
Pourriez-vous m'aider. Je vous posterais mon premier résultat de RogueKiller.

Des milliers de merci d'avance!

Walaidn


Configuration: Windows XP / Firefox 3.6.15

Malekal_morte- · Answer

Salut,

Poste le rapport RogueKiller - option 2

Waladin · Answer

Bonjour,

Voici le rapport RogueKiller - option 2 suite à votre message.

2RogueKiller V4.3.2 par Tigzy
contact sur http://www.sur-la-toile.com
mail: tigzyRK<at>gmail<dot>com
Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version
Demarrage : Mode sans echec
Utilisateur: Alain Hardy [Droits d'admin]
Mode: Recherche -- Date : 20/03/2011 14:00:55

Processus malicieux: 0

Entrees de registre: 2
[APPDT/TMP/DESKTOP] Dropbox.lnk : C:\Documents and Settings\Alain Hardy\Application Data\Dropbox\bin\Dropbox.exe -> FOUND
[IFEO] HKLM\[...]\Image File Execution Options : taskmgr.exe (C:\Program Files\TuneUp Utilities 2010\PMLauncher.exe) -> FOUND

Fichier HOSTS:
127.0.0.1 localhost
127.0.0.1 www.007guard.com
127.0.0.1 007guard.com
127.0.0.1 008i.com
127.0.0.1 www.008k.com
127.0.0.1 008k.com
127.0.0.1 www.00hq.com
127.0.0.1 00hq.com
127.0.0.1 010402.com
127.0.0.1 www.032439.com
127.0.0.1 032439.com
127.0.0.1 www.0scan.com
127.0.0.1 0scan.com
127.0.0.1 www.1000gratisproben.com
127.0.0.1 1000gratisproben.com
127.0.0.1 www.1001namen.com
127.0.0.1 1001namen.com
127.0.0.1 100888290cs.com
127.0.0.1 www.100888290cs.com
127.0.0.1 100sexlinks.com
[...]

Termine : << RKreport[1].txt >>
RKreport[1].txt

Waladin

Merci!!

Malekal_morte- · Answer

C'est pas l'option 2 mais pas grave.
La session Alain... c'est celle qui est infectée ?

Waladin · Answer

Rebonjour,

Pour la session, scusez de ne pas savoir, je suis le seul à cet ordi qui est le mien, je suppose que c'est oui pour votre question.

Oups, voici le post pour le"2" de Roguekiller :

RogueKiller V4.3.2 par Tigzy
contact sur http://www.sur-la-toile.com
mail: tigzyRK<at>gmail<dot>com
Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version
Demarrage : Mode sans echec
Utilisateur: Alain Hardy [Droits d'admin]
Mode: Suppression -- Date : 20/03/2011 18:40:47

Processus malicieux: 0

Entrees de registre: 1
[IFEO] HKLM\[...]\Image File Execution Options : taskmgr.exe (C:\Program Files\TuneUp Utilities 2010\PMLauncher.exe) -> DELETED

Fichier HOSTS:
127.0.0.1 localhost
127.0.0.1 www.007guard.com
127.0.0.1 007guard.com
127.0.0.1 008i.com
127.0.0.1 www.008k.com
127.0.0.1 008k.com
127.0.0.1 www.00hq.com
127.0.0.1 00hq.com
127.0.0.1 010402.com
127.0.0.1 www.032439.com
127.0.0.1 032439.com
127.0.0.1 www.0scan.com
127.0.0.1 0scan.com
127.0.0.1 www.1000gratisproben.com
127.0.0.1 1000gratisproben.com
127.0.0.1 www.1001namen.com
127.0.0.1 1001namen.com
127.0.0.1 100888290cs.com
127.0.0.1 www.100888290cs.com
127.0.0.1 100sexlinks.com
[...]

Termine : << RKreport[2].txt >>
RKreport[1].txt ; RKreport[2].txt

Malekal_morte- · Answer

Télécharge et installe Malwarebyte : https://www.malekal.com/tutoriel-malwarebyte-anti-malware/  
Mets le à jour, fais un scan rapide, supprime tout et poste le rapport ici.  
!!! Malwarebyte doit être à jour avant de faire le scan !!! 

ensuite : 

Tu peux suivre les indications de cette page pour t'aider : https://www.malekal.com/tutorial-otl/ 

* Télécharge http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/ sur ton bureau. 
(Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur) 

* Lance OTL 
* Sous Peronnalisation, copie-colle ce qu'il y a dans le cadre ci-dessous : 
netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%temp%\.exe /s
%SYSTEMDRIVE%\*.exe
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
/md5start
explorer.exe
winlogon.exe
wininit.exe
/md5stop
CREATERESTOREPOINT
nslookup www.google.fr /c 
* Clique sur le bouton Analyse. 
* Quand le scan est fini, utilise le site http://pjjoint.malekal.com/ pour envoyer les rapports. 
Donnes le liens pjjoint ici ensuite pour pouvoir être consultés.

Waladin · Answer

Bonjour Malekal,

Voici les 2 log : Malwaarebyte et OTL


Le point pjjoint du log de OTL:
http://pjjoint.malekal.com/files.php?id=6cb733825a7812

J'ai dû enregistrer et exécuter le mbam-rules.exe que j'ai vu dans une autre correspondance de votre site pour le mettre à jour sinon j'avais le message suivant : Programn_Error_Updating (12007,0,WinHttpSendRequest)
Je n'avais rien à supprimer.


Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Version de la base de données: 6092

Windows 5.1.2600 Service Pack 3 (Safe Mode)
Internet Explorer 8.0.6001.18702

2011-03-21 19:19:45
mbam-log-2011-03-21 (19-19-45).txt

Type d'examen: Examen rapide
Elément(s) analysé(s): 157093
Temps écoulé: 6 minute(s), 35 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

Malekal_morte- · Answer

Relance OTL. 
o sous Personnalisation, copie_colle le contenu du cadre ci dessous et clic Correction, un rapport apparraitra suite à l'operation que tu conserveras sur clé usb par exemple afin d'en coller le resultat: 

:OTL
O4 - Startup: C:\Documents and Settings\Alain Hardy\Menu Démarrer\Programmes\Démarrage\qslice.exe () 

* redemarre le pc sous windows et poste le rapport ici

Waladin · Answer

Bonjour, 

Voici le rapport d'OTL:

========== OTL ==========
C:\Documents and Settings\Alain Hardy\Menu Démarrer\Programmes\Démarrage\qslice.exe moved successfully.
 
OTL by OldTimer - Version 3.2.22.3 log created on 03222011_182957


Au fait, jusqu'à maintenant je faisais ce que vous me demandiez en Mode sans échec., sauf cette fois-ci.
Je me suis toujours aidé d'une clé USB et de l'autre ordi à coté, qui lui n'est pas infecté.

Avant de redémarrer, juste après avoir coller le contenu de votre dernier message dans OTL et Correction, il semblait que j'avais retrouvé mes icônes. Mais là, après avoir redémarrer, les icônes ne sont plus là.

Tigzy · Answer

Salut

Juste en passant.
Pour tes icônes, relance RogueKiller en mode 6

Waladin · Answer

Bonjour Malekal et maintenant Tigzy,

Le rapport du mode 6 de Roguekiller :

RogueKiller V4.3.2 par Tigzy
contact sur http://www.sur-la-toile.com
mail: tigzyRK<at>gmail<dot>com
Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version
Demarrage : Mode sans echec
Utilisateur: Alain Hardy [Droits d'admin]
Mode: Raccourcis RAZ -- Date : 23/03/2011 06:36:20

Processus malicieux: 0

Attributs de fichiers restaures:
Bureau: Success 247 / Fail 0
Lancement rapide: Success 6 / Fail 0
Programmes: Success 372 / Fail 0
Menu demarrer: Success 54 / Fail 0
Mes documents: Success 246 / Fail 0
Mes favoris: Success 942 / Fail 4

Termine : << RKreport[3].txt >>
RKreport[1].txt ; RKreport[2].txt ; RKreport[3].txt

Les icônes sont en effet revenus mais les dossiers de programmes dans Program Files par exemple et mes fichiers de photos - autre exemple - ne sont pas encore là.

J'envoie le zip demandé de MovedFiles sur le site de Malekal.

Waladin

Waladin · Answer

Bonjour Malekal et Tigzi,

Je  vous écrit de mon ordi en mode normal.

Je n'ai pas compris la procédure exacte de Tigzi sur mon XP: "Selectionne tout, clic droit => décocher la case "caché" et valider." 
C'est pourquoi j'ai procédé différemment.
J'ai fait OK dans Explorer > Outils> Options des dossiers>Affichage>...Afficher les fichiers et dossiers cachés. (Est-ce que ça revient au même Tigzi ?)

Alors j'ai maintenant les programmes en transparence (en grisé) dans C:\Program Files. Et ils fonctionnent. 

À la question de Tigzi, les fichiers/photos sont sur le E:\DOCUMENTS\Mes images.
Je les vois maintenant aussi en transparence. 

En effet, j'ai accès aux programmes, dont Photoshop Elements qui s'ouvre et me donne accès aux jpg et dng.

J'ai pu ouvrir DXO malgré un premier message qui me disait :
"Bad configuration File : DXOOpticsPro.exe.config file corrupted . The current.user.config file will be deleted to avoid further startup problems. Please restart DXO Optics Pro afterwards."

Je l'ai donc reparti et ça semble bien marcher.

Autre bizarrerie à part les trucs en transparence : 
Photoshop Elements est censé contrôler les nouvelles photos qui s'installent dans un dossier. Ce service me dit maintenant :"Le service de dossier contrôlé n'est pas disponible" 
En effet je ne peux plus lui indiquer dans quel dossier aller regarder les nouvelles photos.

Vous me direz dans votre prochain envoie si vous voulez mes actions en mode sans échec ou normal.

Toute dernière chose : J'habite au Québec, à Montréal, c'est surement pour ça si j'ai toujours du "retard" dans mes réponses... Il est 18h chez moi.
Depuis ce matin, je vous lit/écrit aussi le matin en plus du soir.

Nous sommes sur la bonne voie. Je ne lâche pas. Pas avec de si bons aidants (et patients...en plus d'être super-compétents).

Waladin
ps : à demain matin 6h...

Waladin · Answer

Bonjour Malekal,

Tigzi m'avait demandé à 12h04 le 23 :

"Tu veux dire que le rogue a aussi fait disparaitre les dossiers de program files?
intéressant.

Tu peux les retrouver en activant l'affichage des dossiers cachés, tu les verra en transparence.
Selectionne tout, clic droit => décocher la case "caché" et valider."

C'est cette procédure-là que j'ai pas bien comprise mais que j,'ai faite d'une autre façon je pense :
Explorer > Outils> Options des dossiers>Affichage>...Afficher les fichiers et dossiers cachés>OK.


Tigzy m'a aussi demandé  à 12h05 :
"Les fichiers de photo sont localisé dans quel dossier ?"


Waladin

Tigzy · Answer

En fait mon message exact était:

Tu peux les retrouver en activant l'affichage des dossiers cachés, tu les verra en transparence.
Selectionne tout, clic droit => décocher la case "caché" et valider.

Donc toi tu as fait la première partie, à savoir activer l'affichage des dossiers cachés.
Tu peux maintenant les rétablir en cliquant droit sur chaque dossier, => décocher la case "caché" et valider.

Waladin · Answer

Bonjour,

Il semble que tout soit Ok.

J'ai décoché la case "OK" comme Tigzi me l'a dit et ça marche. Ces dossiers ne sont plus en transparence.

Hier soir j'ai fait roulé Malwarebytes en scan complet et il n'a rien trouvé.
Mais pendant le scan, Antivir a trouvé ceci :

WinPalevo.zip  : GEN/PwdZIP
Auparavant détecté comme  HEUR/Pwdzip
Potentiel de destruction: Faible 
Mis en quarantaine.

J'ai des problèmes avec Photoshop éléments mais il se peut que ça n'ait rein à voir avec le virus. Si j'avais plus de temps ce matin je ferais d'autres vérifications. J'en ferai ce soir.

Peut-on considérer que les problèmes sont réglés ?
J'attends peut-être votre toute dernière réponse...
j'ai hâte de vous dire un gros merci officiel!

Waladin

Waladin · Answer

Bonjour Malekal_morte et Tigzy,

Grâce à vous deux mon *!%&# de malware à la con est bel et bien disparu.

Je suis très heureux et très reconnaissant.

Merci de milliards de fois.

Puis-je supprimer OTL et  Roguekiller ?


Waladin

ps : Je trouve que le surnom Malekal_morte est superbe !Et le mot est faible.

Windows security alert

15 réponses

Votre réponse

Newsletters