Virus "Windows Repair" ? Résolu/Fermé

Question

Bonjour,     

J'écris car je ne sais pas comment me sortir de mon problème.    
Normalement Google is my friend mais là je ne trouve aucune réponse, comme si j'étais le seul à qui ça arrive.    

Hier, je surfais sur le net et mon Internet ramait.    
A un moment, Vista me demande si j'accepte d'exécuter l'application dont je n'étais pas à l'origine. Instinctivement, et surtout comme un con, je clique sur Oui.    

Ensuite mon ordi bug. Je redémarre mon PC et là surprise ... l'écran est noir, mon bureau vide, et mon compte utilisateur a été supprimé (Mes documents, ma musique, mes photos, mes téléchargements...    

Et j'ai soit-disant Windows Repair qui se lance et qui me dit qu'il a déctecté je sais pas quoi...    

Bref, je pense que j'ai téléchargé un virus mais je ne sais pas comment m'en débarrasser et surtout comment retrouver tous mes fichiers qui étaient sur le bureau.    

En attendant, j'ai créé un nouveau compte sur mon PC...    

Alors si quelqu'un peut m'aider...    
Merci beaucoup d'avance    

Configuration: Windows Vista / Internet Explorer 9.0

Smart91 · Accepted Answer

Bonjour,

- Télécharge sur le bureau RogueKiller de Tigzy
- Quitte tous tes programmes en cours
- Sous Vista/Seven , clique droit -> lancer en tant qu'administrateur
- Sinon lance simplement RogueKiller.exe
- Lorsque demandé, tape 2 [DELETE] et valide
- Poste le rapport RKreport.txt présent sur le bureau.

* Note : Si le programme a été bloqué, ne pas hésiter à essayer plusieurs fois.

Et ensuite tu fais l'option 6

Smart

petitmoi2 · Answer

Bonjour Smart :) Merci de la rapidité de ta réponse. Voici le rapport : RogueKiller V4.3.4 par Tigzy contact sur https://www.luanagames.com/index.fr.html mail: tigzyRKgmailcom Remontees: https://www.luanagames.com/index.fr.html Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version Demarrage : Mode normal Utilisateur: Oops [Droits d'admin] Mode: Suppression -- Date : 28/03/2011 21:41:10 Processus malicieux: 0 Entrees de registre: 1 [APPDT/TMP/DESKTOP] HKLM\[...]\RunOnce : Uninstall Adobe Download Manager ("C:\Users\Oops\AppData\Local\Temp\getPlusUninst_Adobe.exe" /Get1noarp) -> DELETED Fichier HOSTS: 127.0.0.1 localhost ::1 localhost Termine : << RKreport[1].txt >> RKreport[1].txt Sinon, javais déjà lancé un antivirus qui fait que Windows Repair ne se lance plus au démarrage. Et par ailleurs, mes favoris sur IE ont été supprimés ainsi que les icones en bas à gauche qui permettent entre autres de revenir sur le bureau directement. :(

petitmoi2 · Answer

Puis j'ai fait l'option 6 et le 2e rapport : RogueKiller V4.3.4 par Tigzy contact sur https://www.luanagames.com/index.fr.html mail: tigzyRKgmailcom Remontees: https://www.luanagames.com/index.fr.html Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version Demarrage : Mode normal Utilisateur: Oops [Droits d'admin] Mode: Raccourcis RAZ -- Date : 28/03/2011 21:46:27 Processus malicieux: 0 Attributs de fichiers restaures: Bureau: Success 363 / Fail 1 Lancement rapide: Success 10 / Fail 0 Programmes: Success 1 / Fail 0 Menu demarrer: Success 42 / Fail 0 Dossier utilisateur: Success 2862 / Fail 0 Mes documents: Success 4698 / Fail 0 Mes favoris: Success 64 / Fail 0 Mes images: Success 1 / Fail 0 Ma musique: Success 1 / Fail 0 Mes videos: Success 1 / Fail 0 Disques locaux: Success 2100 / Fail 2 Termine : << RKreport[2].txt >> RKreport[1].txt ; RKreport[2].txt mes fichiers sur le bureau sont revenus !!! Mes favoris aussi sur IE ! Tu me troues le cul Smart ! Merci 10000 fois ! - Seulement, mon fond d'écran est toujours noir - Je n'ai toujours les raccourcis en bas à gauche qui me permettent entre autres de revenir directement sur le bureau. - Et surtout, j'ai un raccourci du "virus" (je pense) de Windows Repair qui s'est retrouvé sur mon bureau... - Pleins de nouveaux fichiers sont apparus dans C:, et dans mon compte utilisateur C:/Utilisateurs.

petitmoi2 · Answer

J'avais regardé les fichiers cachés mais je n'avais trouvé. Je sais pas pourquoi.  

Grace aux manip' de Smart, les fichiers sont revenus, ainsi que mes favoris IE.  
Je vais supprimer le raccourci Windows Repair ainsi que sa cible. 

Mais il me reste le fait qu'il me manque les icones en bas à gauche de l'écran, juste à droite du "Démarrer".

=> En redémarrant mon ordi, tout est bon :)
Thanks !!

Smart91 · Answer

@petimoi, 

ce n'est pas terminé. Il faut terminer la désinfection et faire un dignostic de ton PC, pour voir s'il n'y pas d'utre infections

Tu vas faire ceci:

* Télécharge et installe Malwarebytes
* A la fin de l'installation, veille à ce que l'option « mettre a jour Malwarebyte's Anti-Malware » soit cochée
* Lance MBAM et laisse les Mises à jour se télécharger (sinon fais les manuellement au lancement du programme)
* Puis va dans l'onglet "Recherche", coche "Exécuter un examen complet puis "Rechercher"
* Ne t'inquiète pas, l'analyse peut durer plusieurs heures en fonction du nombre de fichiers et infections à analyser 
* A la fin de l'analyse, clique sur "Afficher les résultats"
* Coche tous les éléments détectés puis clique sur "Supprimer la sélection"
* Enregistre le rapport
* S'il t'est demandé de redémarrer l'ordinateur, clique sur Yes
* Un rapport apparait après la suppression : poste le dans ta prochaine réponse.

Et ensuite:
Télécharge ZHPDiag (de Nicolas Coolman) sur ton bureau 
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html 

Une fois le téléchargement achevé, double clique sur ZHPDiag.exe et suis les instructions.
 
/!\Utilisateurs de Vista et Windows 7 : Clique droit sur le logo de ZHPDiag.exe, « exécuter en tant qu'Administrateur »

N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau. 
-  Double clique sur le raccourci ZHPDiag sur ton Bureau pour le lancer. 
(/!\L'outil a créé 2 icônes ZHPDiag et ZHPFix)
-  Clique sur la loupe pour lancer l'analyse. 
-  Laisse l'outil travailler, il peut être assez long. 
-  Ferme ZHPDiag en fin d'analyse. 
-  Pour transmettre le rapport clique sur ce lien : http://www.cijoint.fr/ 
-  Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag). 
-  Sélectionne le fichier ZHPDiag.txt. 
-  Clique sur "Cliquez ici pour déposer le fichier". 
-  Un lien de cette forme : http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt est ajouté dans la page. 
-  Copie ce lien dans ta réponse.

Cela fait deux rapports à poster

Smart

petitmoi2 · Answer

Je fais tout ça 

Pour info, MBAM est le logiciel qui m'a permis de supprimer le démarrage automatique de Windows Repair au démarrage

Smart91 · Answer

Cela je le sais. Mais tu ne me l'avais pas dit. Il serait bien que tu postes le rapport MBAM. Et ensuite faire le diagnostic avec ZHPDiag. Tu sais, le rogue que tu as eu ne s'attrape pas tout seul ...  

Smart  
"Si tu n'as pas d'ambitions, tu t'installes au bord de la chute" (Kundera)

petitmoi2 · Answer

1er rapport 
Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Version de la base de données: 6184

Windows 6.0.6002 Service Pack 2
Internet Explorer 9.0.8112.16421

29/03/2011 02:28:53
mbam-log-2011-03-29 (02-28-53).txt

Type d'examen: Examen complet (C:\|)
Elément(s) analysé(s): 275152
Temps écoulé: 1 heure(s), 5 minute(s), 56 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

2e rapport 
http://www.cijoint.fr/cjlink.php?file=cj201103/cijYAfndHr.txt


MERCI

Smart91 · Answer

Il reste encore des traces: 
- Ferme toutes tes applications en ours 
- Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag en cliquant sur l'écusson vert)  
Si tu ne l'as pas, télécharge le depuis ce lien: https://www.zebulon.fr/telechargements/securite/systeme/zhpfix.html 
Copie/colle les lignes en gras suivantes : 
  
----------------------------------------------------------  
EmptyTemp 
[HKCR\.bc!] 
[HKCR\bittorrent] 
O4 - HKLM\..\Run: [Acer Tour] Clé orpheline 
O4 - HKLM\..\Run: [eRecoveryService] Clé orpheline 
O23 - Service:  (LiveUpdate Notice Ex) - Clé orpheline 
----------------------------------------------------------  
- Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)  
- Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes  
- Clique sur le bouton  <gras>« GO » pour le lancer le nettoyage 
- Copie/colle la totalité du rapport dans ta prochaine réponse  

Redémarre le PC 

Smart 
"Si tu n'as pas d'ambitions, tu t'installes au bord de la chute" (Kundera)

petitmoi2 · Answer

Rapport de ZHPFix 1.12.3267 par Nicolas Coolman, Update du 28/03/2011
Fichier d'export Registre : C:\ZHPExportRegistry-30-03-2011-00-17-56.txt
Run by Oops at 30/03/2011 00:17:56
Windows Vista Home Premium Edition, 32-bit Service Pack 2 (Build 6002)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

========== Clé(s) du Registre ==========
HKCR\.bc!  => Clé supprimée avec succès
HKCR\bittorrent  => Clé supprimée avec succès
O23 - Service: (LiveUpdate Notice Ex) - Clé orpheline  => Clé absente

========== Valeur(s) du Registre ==========
O4 - HKLM\..\Run: [Acer Tour] Clé orpheline  => Valeur supprimée avec succès
O4 - HKLM\..\Run: [eRecoveryService] Clé orpheline  => Valeur supprimée avec succès

========== Dossier(s) ==========
Dossiers temporaires Windows supprimés: 171

========== Fichier(s) ==========
Fichiers temporaires Windows supprimés : 4009


========== Récapitulatif ==========
3 : Clé(s) du Registre
2 : Valeur(s) du Registre
1 : Dossier(s)
1 : Fichier(s)


End of the scan

Smart91 · Answer

Redémarre le PC. Refais un sacn ZHPdiag et poste le rapport via cijoint. Normalement on a presque terminé.
 il nous reste à faire:
- les mises à jour prioritaires
- l'optimisation du PC
- la désinstallation des outils de désinfection
- les conseils de prévention quand on surfe sur Internet.

Je regarderai ton rapport demain, là, je dois aller me coucher, demain je bosse tôt

Smart

petitmoi2 · Answer

Merci. Je vais m'y atteler. 

Demain, je fais un mini déménagement, donc je risque de pas me servir de mon ordi. 
Dans tous les cas, je fais au plus vite. 

Je te remercie encore et déjà pour tout !

bonne nuit

petitmoi2 · Answer

http://www.cijoint.fr/cjlink.php?file=cj201103/cij00cUlOI.txt

Smart91 · Answer

Fais les mises à jour suivantes;

Mise à jour Adobe Reader 10.0.1
Désinstalle Adobe
Installer Adobe 10.0.1
Décoche la case "Inclure dans botre téléchargement la barre Google"

Tu dois aussi mettre à jour tous tes autres programmes pour combler des failles de sécurité... Vérifie les mises disponibles à l'aide de ce petit programme (choisis la version sans installation) : https://www.commentcamarche.net/faq/9908-filehippo-app-manager-vos-logiciels-sont-ils-a-jour
et lis ceci: Pourquoi tenir ses programmes a jour

Optimisation:

- Ferme toutes tes applications en ours
- Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag en cliquant sur l'écusson vert) 
Si tu ne l'as pas, télécharge le depuis ce lien: https://www.zebulon.fr/telechargements/securite/systeme/zhpfix.html
Copie/colle les lignes en gras suivantes :
 
---------------------------------------------------------- 
OPT:O4 - HKLM\..\Run: [QuickTime Task] . (.Apple Inc. - QuickTime Task.) -- C:\Program Files\QuickTime\QTTask.exe
OPT:O4 - HKLM\..\Run: [iTunesHelper] . (.Apple Inc. - iTunesHelper.) -- C:\Program Files\iTunes\iTunesHelper.exe
OPT:O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter]  oobefldr.dll
OPT:O4 - HKUS\S-1-5-20\..\Run: [WindowsWelcomeCenter]  oobefldr.dll
OPT:O4 - Global Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Adobe Reader Speed Launch.lnk . (.Adobe Systems Incorporated.)  -- C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
OPT:O23 - Service:  (Bonjour Service) . (.Apple Inc. - Bonjour Service.) - C:\Program Files\Bonjour\mDNSResponder.exe
[HKLM\Software\BrowserChoice]
OPT:SR - | Auto 07/10/2010 345376 |  (Bonjour Service) . (.Apple Inc..) - C:\Program Files\Bonjour\mDNSResponder.exe
---------------------------------------------------------- 
- Clique sur l'icone représentant la lettre H (« coller les lignes Helper ») 
- Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes 
- Clique sur le bouton  <gras>« GO » pour le lancer le nettoyage
- Copie/colle la totalité du rapport dans ta prochaine réponse

1. Désinstallation des outils

Lance ZHPFix (pour ça, fais un clic-droit dessus et choisis « Exécuter en temps qu'administrateur ») --> clique sur le « A » rouge (Nettoyeur de Tools) --> clique sur « Nettoyer » 
Tutoriel pour t'aide

2. Télécharge et installe CCleaner (N'installe pas la Yahoo Toolbar) : 
Avec ce logiciel on va supprimer les fichiers temporaires et inutiles sur ton PC. Ce n'est pas un logiciel qui supprime les infections
- Lance-le. Va dans Options puis Avancé et décoche la case Effacer uniquement les fichiers etc.... 
- Va dans Nettoyeur, choisis Analyse. Une fois terminé, lance le nettoyage. 
- Ensuite, choisis Registre, puis Chercher des erreurs. Une fois terminé, répare toutes les erreurs (Sauvegarde la base de registre). 

3. Il est nécessaire de désactiver puis réactiver la restauration système de Vista pour la purger.

Quelques conseils de Prévention

- Réactive l'UAC si ce n'est pas déjà fait. 

- Conserve MBAM. Il te servira à scanner les fichiers douteux en complément de l'antivirus et scanne le disque dur régulièrement. Mais n'oublie pas de faire la mise à jour avant de lancer le scan. 

- Par rapport au P2P : http://www.libellules.ch/... 

- Voici un dossier complet sur le prévention et protection, il est absolument à lire (avec Adobe Reader ou Foxit Reader) : 
Prévention et Protection

Sois plus vigilant(e) sur Internet à l'avenir

Voilà pour moi c'est terminé. Si tu as des questions n'hésite pas 

Smart

Tam · Answer

Moi aussi j'ai ce virus, et pour l'instant j'ai toujours pas réussit a le supprimer ...

Est-ce que je peux tout simplement suivre les indices que vous avez donné a Petitmoi ? 

Merci

Smart91 · Answer

@tam

Non ne suis pas la procédure pour petitmoi. Chaque procédure est différente.
Poste une nouvelle discussion dans le forum Virus et securité

Smart

petitmoi2 · Answer

Rebonjour !

Voici mon scan suite à ZHPfix :

Rapport de ZHPFix 1.12.3268 par Nicolas Coolman, Update du 29/03/2011
Fichier d'export Registre : 
Run by Oops at 02/04/2011 03:46:57
Windows Vista Home Premium Edition, 32-bit Service Pack 2 (Build 6002)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

========== Clé(s) du Registre ==========
O23 - Service: (Bonjour Service) . (.Apple Inc. - Bonjour Service.) - C:\Program Files\Bonjour\mDNSResponder.exe  => Clé supprimée avec succès
HKLM\Software\BrowserChoice  => Clé supprimée avec succès

========== Valeur(s) du Registre ==========
O4 - HKLM\..\Run: [QuickTime Task] . (.Apple Inc. - QuickTime Task.) -- C:\Program Files\QuickTime\QTTask.exe  => Valeur supprimée avec succès
O4 - HKLM\..\Run: [iTunesHelper] . (.Apple Inc. - iTunesHelper.) -- C:\Program Files\iTunes\iTunesHelper.exe  => Valeur supprimée avec succès
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] oobefldr.dll  => Valeur supprimée avec succès
O4 - HKUS\S-1-5-20\..\Run: [WindowsWelcomeCenter] oobefldr.dll  => Valeur supprimée avec succès

========== Fichier(s) ==========
c:\programdata\microsoft\windows\start menu\programs\startup\adobe reader speed launch.lnk  => Fichier absent


========== Récapitulatif ==========
2 : Clé(s) du Registre
4 : Valeur(s) du Registre
1 : Fichier(s)


End of the scan



MERCI !!!

Smart91 · Answer

Petimoi fais la suite

Smart

petitmoi2 · Answer

Bonjour Smart ! 

1.
Juste une question (débile) : "désactiver puis réactiver la restauration système de Vista pour la purger" ne vas pas m'effacer de dossiers/fichiers ou quoi que ce soit ? 

2.
Réactive l'UAC... Kézako ?

MERCI

Smart91 · Answer

Juste une question (débile) : "désactiver puis réactiver la restauration système de Vista pour la purger" ne vas pas m'effacer de dossiers/fichiers ou quoi que ce soit ? 

Mais pas du tout. Ce n'est uniquement des fichiers systèmes que windows sauvegarde une fois par jour en gros et dasn ces points de restauration, il y a les infections que tu avais. Il faut donc les supprimer en désactivant cette restauration et en créer un autre puisque ton système est sain 
Va sur ce lien pour créer un point de restauration: 
http://www.vista-xp.fr/forum/topic209.html 

Pour l'UAC va sur ce lien et fait l'inverse 
https://www.commentcamarche.net/faq/8343-vista-desactiver-l-uac 

Smart 
"Si tu n'as pas d'ambitions, tu t'installes au bord de la chute" (Kundera)

petitmoi2 · Answer

Bonjour, 

j'ai fait la suite (restauration et UAC était déjà activé). 
Dois-je refaire tourner un scan ? 

Merci !!

Smart91 · Answer

C'est bon
Heureux de t'avoir aidé

Smart

petitmoi2 · Answer

Merci infiniment :)

Smart91 · Answer

Se fut un plaisir, on est là pour ça

Smart

Virus "Windows Repair" ? - Page 2

Newsletters