Bug Windows Vista-Cheval de Troie

Résolu/Fermé
letoane Messages postés 107 Date d'inscription jeudi 25 décembre 2008 Statut Membre Dernière intervention 5 avril 2011 - Modifié par letoane le 28/03/2011 à 21:55
Smart91 Messages postés 29096 Date d'inscription dimanche 15 juillet 2007 Statut Contributeur sécurité Dernière intervention 5 avril 2014 - 30 mars 2011 à 22:41
Bonjour,

J'ai un bug sur mon ordinateur portable sous vista et je viens vous demander conseil.

Tout d'abord, voici le probleme.

Avast s'est ouvert en me disant qu'il avait bloqué un cheval de troie, puis juste après, j'ai eu plusieurs demandes d'autorisation pour l'execution d'un programme type "setup****(plein de chiffres)", à chaque fois je refusait au fichier de s'executer mais les demandes revenaient instantanément. J'ai pu voir aussi que le fichier .exe se trouvait dans mon local/temp. J'éteints et redémarre ma machine, j'ai perdu quelques icones, mon fond d'écran et un programme "windows repair" s'ouvre tout seul. Si je vais dans mon disque dur, je ne vois plus aucun de mes fichiers et des messages surgissent "critical problem" "hda fail" et tutti quanti. Voila pour les symptomes.

Ce que j'ai fait:
Ayant un dual boot Ubuntu, je redémarre sous linux qui marche normalement et là je peux accéder à mes dossiers habituels que j'ai sous windows. Je suis allé supprimer tout ce qu'il y avait dans le local/temp, mais quand je redéémarre windows, j'ai le même probleme que auparavant.

Avez vous une solution?

Merci.

Antoine




A voir également:

47 réponses

Smart91 Messages postés 29096 Date d'inscription dimanche 15 juillet 2007 Statut Contributeur sécurité Dernière intervention 5 avril 2014 2 326
26 mars 2011 à 23:15
Bonjour,

On va essayer de faire un dignostic de ton PC, si tu peux télécharger et lancer une application:

Télécharge ZHPDiag (de Nicolas Coolman) sur ton bureau
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

Une fois le téléchargement achevé, double clique sur ZHPDiag.exe et suis les instructions.

/!\Utilisateurs de Vista et Windows 7 : Clique droit sur le logo de ZHPDiag.exe, « exécuter en tant qu'Administrateur »

N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau.
- Double clique sur le raccourci ZHPDiag sur ton Bureau pour le lancer.
(/!\L'outil a créé 2 icônes ZHPDiag et ZHPFix)
- Clique sur la loupe pour lancer l'analyse.
- Laisse l'outil travailler, il peut être assez long.
- Ferme ZHPDiag en fin d'analyse.
- Pour transmettre le rapport clique sur ce lien : http://www.cijoint.fr/
- Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag).
- Sélectionne le fichier ZHPDiag.txt.
- Clique sur "Cliquez ici pour déposer le fichier".
- Un lien de cette forme : http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt est ajouté dans la page.
- Copie ce lien dans ta réponse.

Smart
0
letoane Messages postés 107 Date d'inscription jeudi 25 décembre 2008 Statut Membre Dernière intervention 5 avril 2011 3
27 mars 2011 à 00:08
Bonsoir,
merci de ta réponse. Le téléchargement de l'application ZHPDiag ne veux pas se lancer. En derniers recours est ce qu'une réinstallations de windows éliminerai le problème?

Antoine
0
Smart91 Messages postés 29096 Date d'inscription dimanche 15 juillet 2007 Statut Contributeur sécurité Dernière intervention 5 avril 2014 2 326
27 mars 2011 à 00:11
On va essayer d'éviter le formatage du disque et la réinstallation.

Est-ce que tu peux le faire en mode sans echec avec connexions réseaux
Comment redémarrer en mode sans échec ?

Smart
0
letoane Messages postés 107 Date d'inscription jeudi 25 décembre 2008 Statut Membre Dernière intervention 5 avril 2011 3
Modifié par letoane le 27/03/2011 à 00:21
Je vais essayer de le faire en mode sans échec, mais je suis connecté via hotspot neuf/sfr. Est ce que ça change quelque chose?
Par ailleurs, suite à un message qui parlait de "system32" (?), le pc a redemarré tout seul.

Antoine
0
Smart91 Messages postés 29096 Date d'inscription dimanche 15 juillet 2007 Statut Contributeur sécurité Dernière intervention 5 avril 2014 2 326
27 mars 2011 à 00:24
A partir du moment ou tu as une connexion Internet c'est OK pour télécharger le programme.
Mais tu peux télécharger le fichier d'installation sous ubuntu et ensuite lancer l'installation sous Windows.

Smart
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
letoane Messages postés 107 Date d'inscription jeudi 25 décembre 2008 Statut Membre Dernière intervention 5 avril 2011 3
27 mars 2011 à 00:34
Depuis ubuntu j'y ai pensé mais étant donné que je n'arrive pas a voir mes dossier quand je suis sous windows j'ai peur de ne pas pouvoir retrouver le fichier d'installation. Je vais essayer le mode sans échec. Merci de ton aide.

Antoine
0
letoane Messages postés 107 Date d'inscription jeudi 25 décembre 2008 Statut Membre Dernière intervention 5 avril 2011 3
27 mars 2011 à 00:52
J'ai reussi à installer ZHPDiag, je lance l'analyse et transmet les résultats comme expliqué plus haut.
Antoine
0
letoane Messages postés 107 Date d'inscription jeudi 25 décembre 2008 Statut Membre Dernière intervention 5 avril 2011 3
27 mars 2011 à 01:06
Et voila.

http://www.cijoint.fr/cjlink.php?file=cj201103/cijyp08yXi.txt

Antoine
0
Smart91 Messages postés 29096 Date d'inscription dimanche 15 juillet 2007 Statut Contributeur sécurité Dernière intervention 5 avril 2014 2 326
27 mars 2011 à 01:19
C'est bien ce que je pensais:

- Télécharge sur le bureau RogueKiller de Tigzy
- Quitte tous tes programmes en cours
- Sous Vista/Seven , clique droit -> lancer en tant qu'administrateur
- Sinon lance simplement RogueKiller.exe
- Lorsque demandé, tape 2 [DELETE] et valide
- Poste le rapport RKreport.txt présent sur le bureau.

* Note : Si le programme a été bloqué, ne pas hésiter à essayer plusieurs fois. Ou alors tu le renommes en winlogon.exe.

Ensuite tu le relances et tu choisis l'option 6
et poste le rapport

Smart
0
letoane Messages postés 107 Date d'inscription jeudi 25 décembre 2008 Statut Membre Dernière intervention 5 avril 2011 3
27 mars 2011 à 01:26
Quand tu dis "c'est bien ce que je pensais" c'est quoi en gros?

Antoine
0
Smart91 Messages postés 29096 Date d'inscription dimanche 15 juillet 2007 Statut Contributeur sécurité Dernière intervention 5 avril 2014 2 326
27 mars 2011 à 01:35
Que tu as un rogue ou des restes, un faux antimalware ou faux antivirus

Smart
0
letoane Messages postés 107 Date d'inscription jeudi 25 décembre 2008 Statut Membre Dernière intervention 5 avril 2011 3
Modifié par letoane le 27/03/2011 à 01:54
Je viens de faire l'etape 2 avec roguekiller, dans le rapport il avait trouvé 2 malicieux, mais le rapport à disparu de mon bureau quand j'allais te le poster via cijoint (ainsi que l'appli roguekiller), du coup je retelecharge roguekiller, il me demande si je veux le remplacer, et je refait une analyse qui s'enregistre sous le nom RKreport[2], comme quoi l'autre existe toujours sur le bureau mais je ne le vois pas du tout. Dans la deuxieme analyse, il y a 0 malicieux.



RogueKiller V4.3.4 par Tigzy
contact sur https://www.luanagames.com/index.fr.html
mail: tigzyRK<at>gmail<dot>com
Remontees: https://www.luanagames.com/index.fr.html

Systeme d'exploitation: Windows Vista (6.0.6001 Service Pack 1) 32 bits version
Demarrage : Mode normal
Utilisateur: Antoine [Droits d'admin]
Mode: Suppression -- Date : 27/03/2011 00:49:09

Processus malicieux: 0

Entrees de registre: 1
[APPDT/TMP/DESKTOP] HKCU\[...]\Run : Sdafoh (rundll32.exe "C:\Users\Antoine\AppData\Local\inaprdt.dll",Startup) -> DELETED

Fichier HOSTS:
127.0.0.1 localhost
::1 localhost


Termine : << RKreport[2].txt >>
RKreport[1].txt ; RKreport[2].txt



Antoine
0
letoane Messages postés 107 Date d'inscription jeudi 25 décembre 2008 Statut Membre Dernière intervention 5 avril 2011 3
27 mars 2011 à 03:09
L'étape 6 est impressionante, elle m'a remis tous mes fichiers du bureau.
Voici le premier rapport de la fonction 2 de roguekiller:http://www.cijoint.fr/cjlink.php?file=cj201103/cijNyr6HSh.txt

Voici le rapport de la fonction 6: http://www.cijoint.fr/cjlink.php?file=cj201103/cijDwjSsB0.txt

Par contre est ce que c'est normale que dans le volet de navigation de windows explorer, le sommet de l'arborescence soit le bureau et non ordinateur/C ?

Antoine
0
Smart91 Messages postés 29096 Date d'inscription dimanche 15 juillet 2007 Statut Contributeur sécurité Dernière intervention 5 avril 2014 2 326
Modifié par Smart91 le 27/03/2011 à 03:06
Poste le rapport RKreport[1].txt

et Fais l'option 6

Smart
"Si tu n'as pas d'ambitions, tu t'installes au bord de la chute" (Kundera)
0
letoane Messages postés 107 Date d'inscription jeudi 25 décembre 2008 Statut Membre Dernière intervention 5 avril 2011 3
27 mars 2011 à 03:14
Oui, je l'ai fait au dessus.
Antoine
0
Smart91 Messages postés 29096 Date d'inscription dimanche 15 juillet 2007 Statut Contributeur sécurité Dernière intervention 5 avril 2014 2 326
27 mars 2011 à 03:18
"Par contre est ce que c'est normale que dans le volet de navigation de windows explorer, le sommet de l'arborescence soit le bureau et non ordinateur/C ?"

Je ne vois où est le Pb, c'est normal, tu devrais avoir dans l'ordre Bureau, mes documents, ordinateur et c'est dans ce derneir que tu as ton disque.

Maintenant tu vas faire ceci:

* Télécharge et installe Malwarebytes
* A la fin de l'installation, veille à ce que l'option « mettre a jour Malwarebyte's Anti-Malware » soit cochée
* Lance MBAM et laisse les Mises à jour se télécharger (sinon fais les manuellement au lancement du programme)
* Puis va dans l'onglet "Recherche", coche "Exécuter un examen complet puis "Rechercher"
* Ne t'inquiète pas, l'analyse peut durer plusieurs heures en fonction du nombre de fichiers et infections à analyser
* A la fin de l'analyse, clique sur "Afficher les résultats"
* Coche tous les éléments détectés puis clique sur "Supprimer la sélection"
* Enregistre le rapport
* S'il t'est demandé de redémarrer l'ordinateur, clique sur Yes
* Un rapport apparait après la suppression : poste le dans ta prochaine réponse.

Smart
0
letoane Messages postés 107 Date d'inscription jeudi 25 décembre 2008 Statut Membre Dernière intervention 5 avril 2011 3
Modifié par letoane le 27/03/2011 à 12:00
Mon probléme par rapport à l'arborescence c'est qu'avant j'allais dans mes fichiers en passant par Ordinateur/C/Users/Antoine/.... et maintenant dans utilisateur je n'ai plus que invité ou public.
Et est ce que c'est normal que je n'ai plus rien dans mon dossier telechargement, là où j'avais tous mes .exe?

Je vais lancé l'operation avec malwarebytes, si sa dure plusieurs heures, je te transmettrais le rapport demain. En tout cas merci beaucoup pour ton aide.

Antoine
0
letoane Messages postés 107 Date d'inscription jeudi 25 décembre 2008 Statut Membre Dernière intervention 5 avril 2011 3
27 mars 2011 à 11:08
Bonjour,

je suis là, dis moi quand on peut continuer si t'as le temps.
Merci.

Antoine
0
Smart91 Messages postés 29096 Date d'inscription dimanche 15 juillet 2007 Statut Contributeur sécurité Dernière intervention 5 avril 2014 2 326
27 mars 2011 à 11:47
Salut,

Peux-tu poster le rapport MBAM ?

Smart
0
letoane Messages postés 107 Date d'inscription jeudi 25 décembre 2008 Statut Membre Dernière intervention 5 avril 2011 3
Modifié par letoane le 27/03/2011 à 11:59
Salut,

voici le rapport http://www.cijoint.fr/cjlink.php?file=cj201103/cijhciy6AT.txt

Ensuite au demarrage de windows j'ai plusieurs messages qui s'affichent:
1: Catalyst Control Centre: Host l'application à cessé de fonctionner

2: Avertissement sur le nom d'un fichier
Il existe un fichier ou un dossier nommé "C:\Program" sur votre ordinateur qui pourrait étre à l'origine de dysfonctionnement pour certaines applications. Modifier son nom en "C:\Program1" résoudrait le probleme.

Que signifient ces messages?

Merci.

Antoine
0
Smart91 Messages postés 29096 Date d'inscription dimanche 15 juillet 2007 Statut Contributeur sécurité Dernière intervention 5 avril 2014 2 326
27 mars 2011 à 12:31
Ton PC a été infecté parce que tu as téléchargé un crack ou keygen. Je te conseille de le supprimer.

Relance MBAM et vide la quarantaine.
Peux tu faire une copie d'écran de ces messages.

Sinon refais un scan ZHPDiag et poste le rapport via cijoint

Smart
0
letoane Messages postés 107 Date d'inscription jeudi 25 décembre 2008 Statut Membre Dernière intervention 5 avril 2011 3
27 mars 2011 à 12:35
ok, je fais ça tout de suite, voila une iamge du message par rapport au nom de fichier
http://www.cijoint.fr/cjlink.php?file=cj201103/cijg2zziKl.jpg
0
letoane Messages postés 107 Date d'inscription jeudi 25 décembre 2008 Statut Membre Dernière intervention 5 avril 2011 3
27 mars 2011 à 12:44
Et voila le rapport zhpdiag
http://www.cijoint.fr/cjlink.php?file=cj201103/cijUUVytOt.txt

Antoine
0
Smart91 Messages postés 29096 Date d'inscription dimanche 15 juillet 2007 Statut Contributeur sécurité Dernière intervention 5 avril 2014 2 326
27 mars 2011 à 12:50
Pour le moment ne tiens pas compte de ce message

Smart
0
letoane Messages postés 107 Date d'inscription jeudi 25 décembre 2008 Statut Membre Dernière intervention 5 avril 2011 3
27 mars 2011 à 12:55
D'accord. Sinon pour le fait que je ne trouvais pas mes dossiers dans C\utilisateurs, et que je n'avais plus rien dans mes téléchargement, c'est parce que tout avait été mis en dossier caché.

Antoine
0
Smart91 Messages postés 29096 Date d'inscription dimanche 15 juillet 2007 Statut Contributeur sécurité Dernière intervention 5 avril 2014 2 326
Modifié par Smart91 le 27/03/2011 à 13:22
Ce que tu veux dire c'est que tuas changé l'attribut et tu les a récupérés.
Est-ce bien cela ?

Smart
"Si tu n'as pas d'ambitions, tu t'installes au bord de la chute" (Kundera)
0
letoane Messages postés 107 Date d'inscription jeudi 25 décembre 2008 Statut Membre Dernière intervention 5 avril 2011 3
27 mars 2011 à 13:12
Juste hier je trouvais bizare de n'avoir dans le fichier C/utilisateur que les dossiers Invité et Public, mais en realité il y avait encore le dossier C/utilisateur/Antoine, sauf qu'il été en caché alors que normalement non. De plus je ne me suis pas méfié parce que d'habitude j'affiche quand meme le dossiers caché. Il y eu des changements de réglages, mais ce n'est pas moi qui est changé. Est ce que c'est l'action du cheval de troie?

Antoine
0
letoane Messages postés 107 Date d'inscription jeudi 25 décembre 2008 Statut Membre Dernière intervention 5 avril 2011 3
27 mars 2011 à 13:14
Et je vois que plein de dossiers ont été mis en cachés
0