Dossier en .scr

Question

Bonjour, 

SVP C'est tres urgent, j'ai branche une cle USB sur mon PC. le PC a ete attaque par un virus, donc tout mes dossiers sont transformes en fichier d'extension .scr et je n'ai plus l'acces a ces dossiers!! qu'est ce que je dois faire??????????


Configuration: Windows 7 / Internet Explorer 8.0

jfkpresident · Answer

Lut'

* Telecharge et install UsbFix par El Desaparecido , C_XX & Chimay8 

 (!) Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) suceptible d avoir été infectés sans les ouvrir


* Fais un clic droit sur le raccourci UsbFix présent sur ton bureau et choisis "éxécuter en tant qu'administrateur" .

* Au menu principal choisis l'option " F " pour français et tape sur [entrée] . 

* Au second menu Choisis l'option " 1 " (recherche) et tape sur [entrée] 

* Laisse travailler l outil.

* Ensuite post le rapport UsbFix.txt qui apparaitra.

* Note : Le rapport UsbFix.txt est sauvegardé à la racine du disque. ( C:\UsbFix.txt )

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller ) 

* Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. 
          Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. 
          Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

Chahbane · Answer

J'ai pas des sources externes!! les dossiers de disque dur sont infectes!

jfkpresident · Answer

Télécharge ZhpDiag de Nicolas Coolman .
  
    Une fois le téléchargement achevé, double clique sur ZHPDiag.exe(clic droit ,"éxécuter en tant qu'administrateur" pour Vista/7).

    Une fois installé le programme s'ouvre automatiquement .

    Clique sur la loupe pour lancer l'analyse.

    A la fin de l'analyse, clique sur la "disquette" (enregistrer sous..) .

    Rend toi sur ce site : http://www.cijoint.fr/index.php
     
    Clique sur parcourir et sélectionne le fichier ZhpDiag.txt (Une aide au cas ou])

    Un lien va etre créer ,poste ce lien dans ta prochaine réponse.

Chahbane · Answer

c fait :
http://www.cijoint.fr/cjlink.php?file=cj201104/cijyzouu2D.txt

jfkpresident · Answer

Déconnecte toi d'Internet et ferme toutes les applications ouvertes.

1/Double Clique sur l'icone ZhpFix .

Clique sur l'onglet "EmptyTemp",ensuite:

2/ZhpFix va s'ouvrir ,clique sur "importer un rapport ZhpDiag" puis "ok" .

3/Laisse travailler l'outil.

4/Coche ces cases (et pas d'autres !):

[MD5.C7A772E624A966600D00E7C196543827] - (...) -- C:\USERS\BEN SMIDA\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\Adobe Online.com   [114688]      
[HKCU\Software\Abuvhufab]      
O87 - FAEL: "TCP Query User{3A639D40-68B2-4238-AC4F-FDC320AAB891}C:\users\ben smida\appdataoaming\microsoft\windows\start menu\programs\startup\adobe online.com" | In - Public - P6 - TRUE | .(...) -- C:\users\ben smida\appdataoaming\microsoft\windows      
 O87 - FAEL: "UDP Query User{8D93F98D-93C4-4EC9-9445-E148E050D806}C:\users\ben smida\appdataoaming\microsoft\windows\start menu\programs\startup\adobe online.com" | In - Public - P17 - TRUE | .(...) -- C:\users\ben smida\appdataoaming\microsoft\window      
 O87 - FAEL: "TCP Query User{6F6C901E-0BF7-4EB3-B1C2-A9FB7CCF78DB}C:\users\ben smida\appdata\local	emp\wintomrnp.exe" | In - Public - P6 - TRUE | .(...) -- C:\users\ben smida\appdata\local	emp\wintomrnp.exe      
 O87 - FAEL: "UDP Query User{D97C6671-4F76-4AFF-B61F-854CBF5DD7C0}C:\users\ben smida\appdata\local	emp\wintomrnp.exe" | In - Public - P17 - TRUE | .(...) -- C:\users\ben smida\appdata\local	emp\wintomrnp.exe      


5/Pour finir clique sur "Nettoyer" .


6/colle le rapport obtenu .

Chahbane · Answer

C'est fait! il m'a demande de redemarrer l'ordinateur, j'ai redemarre mais toujours le meme probleme! voici le rapport :


Rapport de ZHPFix 1.12.3279 par Nicolas Coolman, Update du 27/04/2011
Fichier d'export Registre : C:\ZHPExportRegistry-4-29-2011-10-19-23 AM.txt
Run by Ben Smida at 4/29/2011 10:19:16 AM
Windows 7 Home Premium Edition, 64-bit  (Build 7600)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

========== Memory Process ==========
C:\USERS\BEN SMIDA\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\Adobe Online.com   [114688]  => File delete on reboot

========== Registry Key ==========
HKCU\Software\Abuvhufab  => Registry key not removed

========== Registry Value ==========
TCP Query User{3A639D40-68B2-4238-AC4F-FDC320AAB891}C:\users\ben smida\appdataoaming\microsoft\windows\start menu\programs\startup\adobe online.com  => Registry key value removed successfully
UDP Query User{8D93F98D-93C4-4EC9-9445-E148E050D806}C:\users\ben smida\appdataoaming\microsoft\windows\start menu\programs\startup\adobe online.com  => Registry key value removed successfully
TCP Query User{6F6C901E-0BF7-4EB3-B1C2-A9FB7CCF78DB}C:\users\ben smida\appdata\local	emp\wintomrnp.exe  => Registry key value removed successfully
UDP Query User{D97C6671-4F76-4AFF-B61F-854CBF5DD7C0}C:\users\ben smida\appdata\local	emp\wintomrnp.exe  => Registry key value removed successfully


========== Summary ==========
1 : Memory Process
1 : Registry Key
4 : Registry Value


End of the scan

jfkpresident · Answer

Recolle moi un nouveau log ZhpDiag pour vérif .

jfkpresident · Answer

Ce n'est pas le bon rapport ,celui-ci date du 29/04/11

jfkpresident · Answer

Poste moi un rapport de ZhpDiag (et non ZhpFix datant d'aujourdui stp) .

Utilises Cijoint pour héberger le rapport .

jfkpresident · Answer

ZhpDiag  /!\ Et en utilisant le site Cijoint /!\

jfkpresident · Answer

C'est pas fini :

Copie dans le Presse-papier les lignes ci-dessous (sélectionne les avec la souris et fais simultanément Ctrl et C)

O42 - Logiciel: Foxit Toolbar - (.Ask.com.) [HKLM][64Bits] -- Ask Toolbar_is1  
[HKCU\Software\AppDataLow\AskBarDis]    
[HKCU\Software\AskBarDis]   
O43 - CFD: 5/3/2011 - 9:09:26 AM - [1211109] --H-D- C:\Program Files (x86)\AskBarDis    
[HKLM\Software\Classes\askibar.popswatterbarbutton]  
[HKLM\Software\Classes\askibar.popswatterbarbutton.1]  
[HKLM\Software\Classes\askibar.popswattersettingscontrol]   
[HKLM\Software\Classes\askibar.popswattersettingscontrol.1]   
[HKLM\Software\Classes\asktoolbar.settingsplugin]    
[HKLM\Software\Classes\asktoolbar.settingsplugin.1]    
[HKCR\CLSID\{0702a2b6-13aa-4090-9e01-bcdc85dd933f}]   
[HKLM\Software\Classes\CLSID\{0702a2b6-13aa-4090-9e01-bcdc85dd933f}]   
[HKCR\CLSID\{08993a7c-e764-4172-9627-bfb5ea6897b2}]    
[HKLM\Software\Classes\CLSID\{08993a7c-e764-4172-9627-bfb5ea6897b2}]    
[HKCR\CLSID\{128a6c66-ac6a-4617-8268-ab7f47b7215e}] 
[HKLM\Software\Classes\CLSID\{128a6c66-ac6a-4617-8268-ab7f47b7215e}]    
[HKCR\Interface\{4634804a-f0b0-4a74-a550-fc0eef8a4362}]   
[HKLM\Software\Classes\Interface\{4634804a-f0b0-4a74-a550-fc0eef8a4362}]    => Infection BT (Adware.BHO)  
[HKCR\Interface\{4c07ea4f-5f52-4222-b170-4cd9ed33baea}]    
[HKLM\Software\Classes\Interface\{4c07ea4f-5f52-4222-b170-4cd9ed33baea}]    
[HKCR\CLSID\{571715d7-3395-4df0-b43c-784836209e60}]   
[HKLM\Software\Classes\CLSID\{571715d7-3395-4df0-b43c-784836209e60}]   
[HKCR\CLSID\{622fd888-4e91-4d68-84d4-7262fd0811bf}]    
[HKLM\Software\Classes\CLSID\{622fd888-4e91-4d68-84d4-7262fd0811bf}]   
[HKLM\Software\Classes\CLSID\{b0de3308-5d5a-470d-81b9-634fc078393b}]    
[HKCR\Interface\{c44feff4-ef0c-4cf7-83d0-92b4266a32b9}]   
[HKLM\Software\Classes\Interface\{c44feff4-ef0c-4cf7-83d0-92b4266a32b9}]    
[HKCR\TypeLib\{d2e5fa06-dcc7-46f9-beff-bfd06f69b9b2}]   
[HKLM\Software\Classes\Wow6432Node\TypeLib\{d2e5fa06-dcc7-46f9-beff-bfd06f69b9b2}]   
[HKLM\Software\Classes\TypeLib\{d2e5fa06-dcc7-46f9-beff-bfd06f69b9b2}]    
[HKCR\Interface\{f131923c-381d-4e4c-a472-4a17118fd742}]   
[HKLM\Software\Classes\Interface\{f131923c-381d-4e4c-a472-4a17118fd742}] 
[HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\Ask Toolbar_is1]   
C:\Program Files (x86)\AskBarDis  
O87 - FAEL: "TCP Query User{38B5B2C4-791D-4C5E-99B5-F5CC1A171086}C:\users\ben smida\appdata\local	emp\winliay.exe" |In - Public - P6 - TRUE | .(...) -- C:\users\ben smida\appdata\local	emp\winliay.exe (.not file.)  
O87 - FAEL: "UDP Query User{BAF13AD9-56E4-46AE-9AEB-4C229819C44E}C:\users\ben smida\appdata\local	emp\winliay.exe" |In - Public - P17 - TRUE | .(...) -- C:\users\ben smida\appdata\local	emp\winliay.exe (.not file.)    4DFB-9E12-0C96C22C2A61}C:\users\ben smida\appdata\local	emp\winvlxts.exe" |In - Public - P6 - TRUE | .(...) -- C:\users\ben smida\appdata\local	emp\winvlxts.exe (.not file.) 
O87 - FAEL: "UDP Query User{BE624549-FE8C-486D-A02D-E38FD9B3F427}C:\users\ben smida\appdata\local	emp\winvlxts.exe" |In - Public - P17 - TRUE | .(...) -- C:\users\ben smida\appdata\local	emp\winvlxts.exe (.not file.)  
O87 - FAEL: "TCP Query User{647C5F33-B83C-4059-8D52-F7F15EF14D74}C:\users\ben smida\appdata\local	emp\winrestty.exe" |In - Public - P6 - TRUE | .(...) -- C:\users\ben smida\appdata\local	emp\winrestty.exe (.not file.)   
O87 - FAEL: "UDP Query User{81D7A786-B847-4068-9D7C-A176CF416EE8}C:\users\ben smida\appdata\local	emp\winrestty.exe" |In - Public - P17 - TRUE | .(...) -- C:\users\ben smida\appdata\local	emp\winrestty.exe (.not file.)    
O87 - FAEL: "TCP Query User{9EFD9E17-6ACB-428E-B4FC-03C4F9BB4C00}C:\users\ben smida\appdata\local	emp\wingijxth.exe" |In - Public - P6 - TRUE | .(...) -- C:\users\ben smida\appdata\local	emp\wingijxth.exe (.not file.)   
O87 - FAEL: "UDP Query User{319CF75D-9238-45D6-A509-09BAAC654300}C:\users\ben smida\appdata\local	emp\wingijxth.exe" |In - Public - P17 - TRUE | .(...) -- C:\users\ben smida\appdata\local	emp\wingijxth.exe (.not file.) 
O87 - FAEL: "TCP Query User{13E80012-77F5-44EF-A578-4FE5561D8AC3}C:\users\ben smida\appdata\local	emp\kvtg.exe" |In - Public - P6 - TRUE | .(...) -- C:\users\ben smida\appdata\local	emp\kvtg.exe (.not file.)    
O87 - FAEL: "UDP Query User{00A287FC-EC1B-41A1-8D16-0F7B95CD3AB5}C:\users\ben smida\appdata\local	emp\kvtg.exe" |In - Public - P17 - TRUE | .(...) -- C:\users\ben smida\appdata\local	emp\kvtg.exe (.not file.)   
O87 - FAEL: "TCP Query User{851354C0-7054-4E2D-B1A0-C15712BE3D46}C:\users\ben smida\appdata\local	emp
rqq.exe" |In - Public - P6 - TRUE | .(...) -- C:\users\ben smida\appdata\local	emp
rqq.exe (.not file.)    
O87 - FAEL: "UDP Query User{DDAEB7B2-8AF4-46B6-B7A1-E5C440CC92CC}C:\users\ben smida\appdata\local	emp
rqq.exe" |In - Public - P17 - TRUE | .(...) -- C:\users\ben smida\appdata\local	emp
rqq.exe (.not file.)    
O87 - FAEL: "TCP Query User{31954E79-394E-42F5-8729-867B9E80F77A}C:\users\ben smida\appdata\local	emp\winrxtdj.exe" |In - Public - P6 - TRUE | .(...) -- C:\users\ben smida\appdata\local	emp\winrxtdj.exe (.not file.)   
O87 - FAEL: "UDP Query User{37A91FEF-BF1A-42FE-B118-04763E498D3B}C:\users\ben smida\appdata\local	emp\winrxtdj.exe" |In - Public - P17 - TRUE | .(...) -- C:\users\ben smida\appdata\local	emp\winrxtdj.exe (.not file.)   
O87 - FAEL: "TCP Query User{C7E7C887-02A6-4E06-840D-BAF07CEE9E4D}C:\users\ben smida\appdata\local	emp\winviagca.exe" |In - Public - P6 - TRUE | .(...) -- C:\users\ben smida\appdata\local	emp\winviagca.exe (.not file.)    B774-C5A1F0BE44EE}C:\users\ben smida\appdata\local	emp\winviagca.exe" |In - Public - P17 - TRUE | .(...) -- C:\users\ben smida\appdata\local	emp\winviagca.exe (.not file.)    
O87 - FAEL: "TCP Query User{7CB75261-B0FE-452E-A57B-AFF0CBC488BD}C:\users\ben smida\appdata\local	emp\winkplxfl.exe" |In - Public - P6 - TRUE | .(...) -- C:\users\ben smida\appdata\local	emp\winkplxfl.exe (.not file.)    
O87 - FAEL: "UDP Query User{EB8ACF00-69C1-4130-B396-52CC4CB209D4}C:\users\ben smida\appdata\local	emp\winkplxfl.exe" |In - Public - P17 - TRUE | .(...) -- C:\users\ben smida\appdata\local	emp\winkplxfl.exe (.not file.)    
O87 - FAEL: "TCP Query User{4333D32B-ADDE-49A6-A1C4-6177C48402C4}C:\users\ben smida\appdata\local	emp\winpfacs.exe" |In - Public - P6 - TRUE | .(...) -- C:\users\ben smida\appdata\local	emp\winpfacs.exe (.not file.)  
O87 - FAEL: "UDP Query User{970E41D9-3B47-447D-B72A-A7347D730B27}C:\users\ben smida\appdata\local	emp\winpfacs.exe" |In - Public - P17 - TRUE | .(...) -- C:\users\ben smida\appdata\local	emp\winpfacs.exe (.not file.)    
O87 - FAEL: "TCP Query User{48B2D1E4-FA4E-4051-8CB0-89C019F9BF72}C:\users\ben smida\appdata\local	emp\wingbscu.exe" |In - Public - P6 - TRUE | .(...) -- C:\users\ben smida\appdata\local	emp\wingbscu.exe (.not file.)    
O87 - FAEL: "UDP Query User{02702674-D42B-4208-B6DD-860849C30652}C:\users\ben smida\appdata\local	emp\wingbscu.exe" |In - Public - P17 - TRUE | .(...) -- C:\users\ben smida\appdata\local	emp\wingbscu.exe (.not file.) 
[MD5.C7A772E624A966600D00E7C196543827] - (...) -- C:\Users\Ben Smida\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Adobe Online.com   [114688]      
 [MD5.C7A772E624A966600D00E7C196543827] - (...) -- C:\Users\Ben Smida\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Adobe update.com   [114688]      
 [HKCU\Software\Abuvhufab]      
 O87 - FAEL: "TCP Query User{B0320404-A3EA-4367-BE1A-7DEE427A2368}C:\users\ben smida\appdata\local	emp\qwjqi.exe" | In - Public - P6 - TRUE | .(...) -- C:\users\ben smida\appdata\local	emp\qwjqi.exe      
 O87 - FAEL: "UDP Query User{21DAA084-0083-4F38-95CB-E9C361FF0244}C:\users\ben smida\appdata\local	emp\qwjqi.exe" | In - Public - P17 - TRUE | .(...) -- C:\users\ben smida\appdata\local	emp\qwjqi.exe      

Déconnecte toi d'Internet et ferme toutes les applications ouvertes.


Pour Xp : Double clique sur l'icône ZHPFix.exe sur ton Bureau.

Pour Vista et W7 : Clique droit sur l'icône ZHPFix.exe sur ton Bureau,
puis sélectionne 'Exécuter en tant qu'administrateur'.

Clique successivement sur l'icône H (pour effacer le rapport qui s'est affiché) puis sur l'icône de la malette cachée par la feuille.

Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.

Clique sur OK, ce qui fait apparaître un carré à gauche de chaque ligne.

Clique sur "Tous" puis sur "Nettoyer".

Laisse l'outil travailler.

Si il te demande de redémarrer l'ordi pour achever le nettoyage, fais le immédiatement.

Le rapport d'exécution va apparaître dans la fenêtre.

Copie le dans ta réponse.

chahbane · Answer

Rapport de ZHPFix 1.12.3279 par Nicolas Coolman, Update du 27/04/2011
Fichier d'export Registre : C:\ZHPExportRegistry-5-3-2011-2-19-59 PM.txt
Run by Ben Smida at 5/3/2011 2:19:59 PM
Windows 7 Home Premium Edition, 64-bit  (Build 7600)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

========== Software ==========
O42 - Logiciel: Foxit Toolbar - (.Ask.com.) [HKLM][64Bits] -- Ask Toolbar_is1  => Software Already Removed

========== Registry Key ==========
HKCU\Software\AppDataLow\AskBarDis  => Registry key not removed
HKCU\Software\AskBarDis  => Registry Key removed successfully
HKLM\Software\Classes\askibar.popswatterbarbutton  => Registry key not removed
HKLM\Software\Classes\askibar.popswatterbarbutton.1  => Registry key not removed
HKLM\Software\Classes\askibar.popswattersettingscontrol  => Registry key not removed
HKLM\Software\Classes\askibar.popswattersettingscontrol.1  => Registry key not removed
HKLM\Software\Classes\asktoolbar.settingsplugin  => Registry key not removed
HKLM\Software\Classes\asktoolbar.settingsplugin.1  => Registry key not removed
HKCR\CLSID\{0702a2b6-13aa-4090-9e01-bcdc85dd933f}  => Registry key not removed
HKLM\Software\Classes\CLSID\{0702a2b6-13aa-4090-9e01-bcdc85dd933f}  => Registry key not removed
HKCR\CLSID\{08993a7c-e764-4172-9627-bfb5ea6897b2}  => Registry key not removed
HKLM\Software\Classes\CLSID\{08993a7c-e764-4172-9627-bfb5ea6897b2}  => Registry key not removed
HKCR\CLSID\{128a6c66-ac6a-4617-8268-ab7f47b7215e}  => Registry key not removed
HKLM\Software\Classes\CLSID\{128a6c66-ac6a-4617-8268-ab7f47b7215e}  => Registry key not removed
HKCR\Interface\{4634804a-f0b0-4a74-a550-fc0eef8a4362}  => Registry key not removed
HKLM\Software\Classes\Interface\{4634804a-f0b0-4a74-a550-fc0eef8a4362}  => Registry key not removed
HKCR\Interface\{4c07ea4f-5f52-4222-b170-4cd9ed33baea}  => Registry key not removed
HKLM\Software\Classes\Interface\{4c07ea4f-5f52-4222-b170-4cd9ed33baea}  => Registry key not removed
HKCR\CLSID\{571715d7-3395-4df0-b43c-784836209e60}  => Registry key not removed
HKLM\Software\Classes\CLSID\{571715d7-3395-4df0-b43c-784836209e60}  => Registry key not removed
HKCR\CLSID\{622fd888-4e91-4d68-84d4-7262fd0811bf}  => Registry key not removed
HKLM\Software\Classes\CLSID\{622fd888-4e91-4d68-84d4-7262fd0811bf}  => Registry key not removed
HKLM\Software\Classes\CLSID\{b0de3308-5d5a-470d-81b9-634fc078393b}  => Registry key not removed
HKCR\Interface\{c44feff4-ef0c-4cf7-83d0-92b4266a32b9}  => Registry key not removed
HKLM\Software\Classes\Interface\{c44feff4-ef0c-4cf7-83d0-92b4266a32b9}  => Registry key not removed
HKCR\TypeLib\{d2e5fa06-dcc7-46f9-beff-bfd06f69b9b2}  => Registry key not removed
HKLM\Software\Classes\Wow6432Node\TypeLib\{d2e5fa06-dcc7-46f9-beff-bfd06f69b9b2}  => Registry key not removed
HKLM\Software\Classes\TypeLib\{d2e5fa06-dcc7-46f9-beff-bfd06f69b9b2}  => Registry key not removed
HKCR\Interface\{f131923c-381d-4e4c-a472-4a17118fd742}  => Registry key not removed
HKLM\Software\Classes\Interface\{f131923c-381d-4e4c-a472-4a17118fd742}  => Registry key not removed
HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\Ask Toolbar_is1  => Registry Key removed successfully
HKCU\Software\Abuvhufab  => Registry key not removed

========== Registry Value ==========
TCP Query User{38B5B2C4-791D-4C5E-99B5-F5CC1A171086}C:\users\ben smida\appdata\local	emp\winliay.exe  => Registry key value removed successfully
UDP Query User{BAF13AD9-56E4-46AE-9AEB-4C229819C44E}C:\users\ben smida\appdata\local	emp\winliay.exe  => Registry key value removed successfully
UDP Query User{BE624549-FE8C-486D-A02D-E38FD9B3F427}C:\users\ben smida\appdata\local	emp\winvlxts.exe  => Registry key value removed successfully
TCP Query User{647C5F33-B83C-4059-8D52-F7F15EF14D74}C:\users\ben smida\appdata\local	emp\winrestty.exe  => Registry key value removed successfully
UDP Query User{81D7A786-B847-4068-9D7C-A176CF416EE8}C:\users\ben smida\appdata\local	emp\winrestty.exe  => Registry key value removed successfully
TCP Query User{9EFD9E17-6ACB-428E-B4FC-03C4F9BB4C00}C:\users\ben smida\appdata\local	emp\wingijxth.exe  => Registry key value removed successfully
UDP Query User{319CF75D-9238-45D6-A509-09BAAC654300}C:\users\ben smida\appdata\local	emp\wingijxth.exe  => Registry key value removed successfully
TCP Query User{13E80012-77F5-44EF-A578-4FE5561D8AC3}C:\users\ben smida\appdata\local	emp\kvtg.exe  => Registry key value removed successfully
UDP Query User{00A287FC-EC1B-41A1-8D16-0F7B95CD3AB5}C:\users\ben smida\appdata\local	emp\kvtg.exe  => Registry key value removed successfully
TCP Query User{851354C0-7054-4E2D-B1A0-C15712BE3D46}C:\users\ben smida\appdata\local	emp
rqq.exe  => Registry key value removed successfully
UDP Query User{DDAEB7B2-8AF4-46B6-B7A1-E5C440CC92CC}C:\users\ben smida\appdata\local	emp
rqq.exe  => Registry key value removed successfully
TCP Query User{31954E79-394E-42F5-8729-867B9E80F77A}C:\users\ben smida\appdata\local	emp\winrxtdj.exe  => Registry key value removed successfully
UDP Query User{37A91FEF-BF1A-42FE-B118-04763E498D3B}C:\users\ben smida\appdata\local	emp\winrxtdj.exe  => Registry key value removed successfully
TCP Query User{C7E7C887-02A6-4E06-840D-BAF07CEE9E4D}C:\users\ben smida\appdata\local	emp\winviagca.exe  => Registry key value removed successfully
TCP Query User{7CB75261-B0FE-452E-A57B-AFF0CBC488BD}C:\users\ben smida\appdata\local	emp\winkplxfl.exe  => Registry key value removed successfully
UDP Query User{EB8ACF00-69C1-4130-B396-52CC4CB209D4}C:\users\ben smida\appdata\local	emp\winkplxfl.exe  => Registry key value removed successfully
TCP Query User{4333D32B-ADDE-49A6-A1C4-6177C48402C4}C:\users\ben smida\appdata\local	emp\winpfacs.exe  => Registry key value removed successfully
UDP Query User{970E41D9-3B47-447D-B72A-A7347D730B27}C:\users\ben smida\appdata\local	emp\winpfacs.exe  => Registry key value removed successfully
TCP Query User{48B2D1E4-FA4E-4051-8CB0-89C019F9BF72}C:\users\ben smida\appdata\local	emp\wingbscu.exe  => Registry key value removed successfully
UDP Query User{02702674-D42B-4208-B6DD-860849C30652}C:\users\ben smida\appdata\local	emp\wingbscu.exe  => Registry key value removed successfully
TCP Query User{B0320404-A3EA-4367-BE1A-7DEE427A2368}C:\users\ben smida\appdata\local	emp\qwjqi.exe  => Registry key value removed successfully
UDP Query User{21DAA084-0083-4F38-95CB-E9C361FF0244}C:\users\ben smida\appdata\local	emp\qwjqi.exe  => Registry key value removed successfully

========== Repertory ==========
C:\Program Files (x86)\AskBarDis  => Quarantined and Deleted successfully

========== File ==========
c:\program files (x86)\askbardis  => File not found
c:\users\ben smida\appdataoaming\microsoft\windows\start menu\programs\startup\adobe online.com [114688]  => File not found
c:\users\ben smida\appdataoaming\microsoft\windows\start menu\programs\startup\adobe update.com [114688]  => File not found


========== Summary ==========
32 : Registry Key
22 : Registry Value
1 : Repertory
3 : File
1 : Software


End of the scan

chahbane · Answer

ah sorry :
http://www.cijoint.fr/cjlink.php?file=cj201105/cijebTJCo8.txt

jfkpresident · Answer

Tu va me trouver chiant mais certaines clés n'ont pas pu etre supprimés ...Peux tu me recoller un nouveau log ZhpDiag pour voir quelles clés sont encore actives .

jfkpresident · Answer

Télécharge OTM de OldTimer sur ton Bureau en cliquant sur ce lien :

http://www.geekstogo.com/forum/files/file/402-otm-oldtimers-move-it/

Double-clique sur OTMoveIt3.exe pour le lancer.

Copie la liste qui se trouve en gras ci-dessous,

et colle-la dans le cadre de gauche de OTMoveIt : "Paste instructions for item to be moved".


:Reg
[-HKCU\Software\AppDataLow\AskBarDis]   
[-HKLM\Software\Classes\askibar.popswatterbarbutton]  
[-HKLM\Software\Classes\askibar.popswatterbarbutton.1]    
[-HKLM\Software\Classes\askibar.popswattersettingscontrol]    
[-HKLM\Software\Classes\askibar.popswattersettingscontrol.1]    
[-HKLM\Software\Classes\asktoolbar.settingsplugin]    
[-HKLM\Software\Classes\asktoolbar.settingsplugin.1]    
[-HKCR\CLSID\{0702a2b6-13aa-4090-9e01-bcdc85dd933f}]   
[-HKLM\Software\Classes\CLSID\{0702a2b6-13aa-4090-9e01-bcdc85dd933f}]    
[-HKCR\CLSID\{08993a7c-e764-4172-9627-bfb5ea6897b2}]    
[-HKLM\Software\Classes\CLSID\{08993a7c-e764-4172-9627-bfb5ea6897b2}]    
[-HKCR\CLSID\{128a6c66-ac6a-4617-8268-ab7f47b7215e}]  
[-HKLM\Software\Classes\CLSID\{128a6c66-ac6a-4617-8268-ab7f47b7215e}]    
[-HKCR\Interface\{4634804a-f0b0-4a74-a550-fc0eef8a4362}]   
[-HKLM\Software\Classes\Interface\{4634804a-f0b0-4a74-a550-fc0eef8a4362}]    
[-HKCR\Interface\{4c07ea4f-5f52-4222-b170-4cd9ed33baea}]   
[-HKLM\Software\Classes\Interface\{4c07ea4f-5f52-4222-b170-4cd9ed33baea}]  
[-HKCR\CLSID\{571715d7-3395-4df0-b43c-784836209e60}]    
[-HKLM\Software\Classes\CLSID\{571715d7-3395-4df0-b43c-784836209e60}]   
[-HKCR\CLSID\{622fd888-4e91-4d68-84d4-7262fd0811bf}]   
[-HKLM\Software\Classes\CLSID\{622fd888-4e91-4d68-84d4-7262fd0811bf}]    
[-HKLM\Software\Classes\CLSID\{b0de3308-5d5a-470d-81b9-634fc078393b}]    
[-HKCR\Interface\{c44feff4-ef0c-4cf7-83d0-92b4266a32b9}]  
[-HKLM\Software\Classes\Interface\{c44feff4-ef0c-4cf7-83d0-92b4266a32b9}]    
[-HKCR\TypeLib\{d2e5fa06-dcc7-46f9-beff-bfd06f69b9b2}]    
[-HKLM\Software\Classes\Wow6432Node\TypeLib\{d2e5fa06-dcc7-46f9-beff-bfd06f69b9b2}]  
[-HKLM\Software\Classes\TypeLib\{d2e5fa06-dcc7-46f9-beff-bfd06f69b9b2}]    
[-HKCR\Interface\{f131923c-381d-4e4c-a472-4a17118fd742}]    
[-HKLM\Software\Classes\Interface\{f131923c-381d-4e4c-a472-4a17118fd742}] 

:files
C:\Users\Ben Smida\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Adobe Online.com   
C:\Users\Ben Smida\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Adobe update.com    

:commands
[emptytemp]
[start explorer]
[reboot]



Clique sur "MoveIt!" pour lancer la suppression.

Le résultat apparaitra dans le cadre "Results".

Clique sur "Exit" pour fermer.

Poste le rapport situé dans C:\_OTMoveIt\MovedFiles sous le nom xxxxxx_xxxxxxxxxx.log .

Il te sera peut-être demander de redémarrer le pc pour achever la suppression. Si c'est le cas accepte par Yes.


================

Rends toi sur ce site :

https://www.virustotal.com/gui/

Clique sur parcourir et cherche ce fichier :

C:\Program Files (x86)\JERMY. ARemoval Tool\JERMY.ARemovalTool.exe      

Clique sur Send File.

Un rapport va s'élaborer ligne à ligne.

Attends la fin. Il doit comprendre la taille du fichier envoyé.

Sauvegarde le rapport avec le bloc-note.

Copie le dans ta réponse.

chahbane · Answer

des que j'ai redemarre le pc, cette fenetre s'est affichee (j'espere que c'est le fichier .log) All processes killed Error: Unable to interpret <[-HKLM\Software\Classes\askibar.popswattersettingscontrol.1] > in the current context! Error: Unable to interpret <[-HKLM\Software\Classes\asktoolbar.settingsplugin] > in the current context! Error: Unable to interpret <[-HKLM\Software\Classes\asktoolbar.settingsplugin.1] > in the current context! Error: Unable to interpret <[-HKCR\CLSID\{0702a2b6-13aa-4090-9e01-bcdc85dd933f}] > in the current context! Error: Unable to interpret <[-HKLM\Software\Classes\CLSID\{0702a2b6-13aa-4090-9e01-bcdc85dd933f}] > in the current context! Error: Unable to interpret <[-HKCR\CLSID\{08993a7c-e764-4172-9627-bfb5ea6897b2}] > in the current context! Error: Unable to interpret <[-HKLM\Software\Classes\CLSID\{08993a7c-e764-4172-9627-bfb5ea6897b2}] > in the current context! Error: Unable to interpret <[-HKCR\CLSID\{128a6c66-ac6a-4617-8268-ab7f47b7215e}] > in the current context! Error: Unable to interpret <[-HKLM\Software\Classes\CLSID\{128a6c66-ac6a-4617-8268-ab7f47b7215e}] > in the current context! Error: Unable to interpret <[-HKCR\Interface\{4634804a-f0b0-4a74-a550-fc0eef8a4362}] > in the current context! Error: Unable to interpret <[-HKLM\Software\Classes\Interface\{4634804a-f0b0-4a74-a550-fc0eef8a4362}] > in the current context! Error: Unable to interpret <[-HKCR\Interface\{4c07ea4f-5f52-4222-b170-4cd9ed33baea}] > in the current context! Error: Unable to interpret <[-HKLM\Software\Classes\Interface\{4c07ea4f-5f52-4222-b170-4cd9ed33baea}] > in the current context! Error: Unable to interpret <[-HKCR\CLSID\{571715d7-3395-4df0-b43c-784836209e60}] > in the current context! Error: Unable to interpret <[-HKLM\Software\Classes\CLSID\{571715d7-3395-4df0-b43c-784836209e60}] > in the current context! Error: Unable to interpret <[-HKCR\CLSID\{622fd888-4e91-4d68-84d4-7262fd0811bf}] > in the current context! Error: Unable to interpret <[-HKLM\Software\Classes\CLSID\{622fd888-4e91-4d68-84d4-7262fd0811bf}] > in the current context! Error: Unable to interpret <[-HKLM\Software\Classes\CLSID\{b0de3308-5d5a-470d-81b9-634fc078393b}] > in the current context! Error: Unable to interpret <[-HKCR\Interface\{c44feff4-ef0c-4cf7-83d0-92b4266a32b9}] > in the current context! Error: Unable to interpret <[-HKLM\Software\Classes\Interface\{c44feff4-ef0c-4cf7-83d0-92b4266a32b9}] > in the current context! Error: Unable to interpret <[-HKCR\TypeLib\{d2e5fa06-dcc7-46f9-beff-bfd06f69b9b2}] > in the current context! Error: Unable to interpret <[-HKLM\Software\Classes\Wow6432Node\TypeLib\{d2e5fa06-dcc7-46f9-beff-bfd06f69b9b2}] > in the current context! Error: Unable to interpret <[-HKLM\Software\Classes\TypeLib\{d2e5fa06-dcc7-46f9-beff-bfd06f69b9b2}] > in the current context! Error: Unable to interpret <[-HKCR\Interface\{f131923c-381d-4e4c-a472-4a17118fd742}] > in the current context! Error: Unable to interpret <[-HKLM\Software\Classes\Interface\{f131923c-381d-4e4c-a472-4a17118fd742}] > in the current context! ========== FILES ========== C:\Users\Ben Smida\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Adobe Online.com moved successfully. C:\Users\Ben Smida\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Adobe update.com moved successfully. ========== COMMANDS ========== [EMPTYTEMP] User: All Users User: Ben Smida ->Temp folder emptied: 13289892 bytes ->Temporary Internet Files folder emptied: 31599260 bytes ->Java cache emptied: 158457 bytes ->Google Chrome cache emptied: 352125220 bytes ->Flash cache emptied: 1420 bytes User: Default ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 0 bytes User: Default User ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 0 bytes User: Public %systemdrive% .tmp files removed: 0 bytes %systemroot% .tmp files removed: 0 bytes %systemroot%\System32 .tmp files removed: 0 bytes %systemroot%\System32 (64bit) .tmp files removed: 0 bytes %systemroot%\System32\drivers .tmp files removed: 0 bytes Windows Temp folder emptied: 11156497 bytes %systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 33170 bytes RecycleBin emptied: 18193719 bytes Total Files Cleaned = 407.00 mb OTM by OldTimer - Version 3.1.17.2 log created on 05042011_134229 Registry key HKEY_LOCAL_MACHINE\Software\Classes\askibar.popswattersettingscontrol.1\ deleted successfully. OTM by OldTimer - Version 3.1.17.2 log created on 05042011_134202 Files moved on Reboot... C:\Users\Ben Smida\AppData\Local\Temp\FXSAPIDebugLogFile.txt moved successfully. Registry entries deleted on Reboot...

jfkpresident · Answer

Je me suis trompé sur la syntaxe mais de toute maniere on va faire autrement :

Réouvre ZhpDiag puis clique sur la fleche verte (Update) ensuite fait ceci :

Copie dans le Presse-papier les lignes ci-dessous (sélectionne les avec la souris et fais simultanément Ctrl et C)

[HKCU\Software\AppDataLow\AskBarDis]
[HKLM\Software\Classes\askibar.popswatterbarbutton]
[HKLM\Software\Classes\askibar.popswatterbarbutton.1]
[HKLM\Software\Classes\askibar.popswattersettingscontrol]
[HKLM\Software\Classes\askibar.popswattersettingscontrol.1]
[HKLM\Software\Classes\asktoolbar.settingsplugin]
[HKLM\Software\Classes\asktoolbar.settingsplugin.1]
[HKCR\CLSID\{0702a2b6-13aa-4090-9e01-bcdc85dd933f}]
[HKLM\Software\Classes\CLSID\{0702a2b6-13aa-4090-9e01-bcdc85dd933f}]
[HKCR\CLSID\{08993a7c-e764-4172-9627-bfb5ea6897b2}]
[HKLM\Software\Classes\CLSID\{08993a7c-e764-4172-9627-bfb5ea6897b2}]
[HKCR\CLSID\{128a6c66-ac6a-4617-8268-ab7f47b7215e}]
[HKLM\Software\Classes\CLSID\{128a6c66-ac6a-4617-8268-ab7f47b7215e}]
[HKCR\Interface\{4634804a-f0b0-4a74-a550-fc0eef8a4362}]
[HKLM\Software\Classes\Interface\{4634804a-f0b0-4a74-a550-fc0eef8a4362}]
[HKCR\Interface\{4c07ea4f-5f52-4222-b170-4cd9ed33baea}]
[HKLM\Software\Classes\Interface\{4c07ea4f-5f52-4222-b170-4cd9ed33baea}]
[HKCR\CLSID\{571715d7-3395-4df0-b43c-784836209e60}]
[HKLM\Software\Classes\CLSID\{571715d7-3395-4df0-b43c-784836209e60}]
[HKCR\CLSID\{622fd888-4e91-4d68-84d4-7262fd0811bf}]
[HKLM\Software\Classes\CLSID\{622fd888-4e91-4d68-84d4-7262fd0811bf}]
[HKLM\Software\Classes\CLSID\{b0de3308-5d5a-470d-81b9-634fc078393b}]
[HKCR\Interface\{c44feff4-ef0c-4cf7-83d0-92b4266a32b9}]
[HKLM\Software\Classes\Interface\{c44feff4-ef0c-4cf7-83d0-92b4266a32b9}]
[HKCR\TypeLib\{d2e5fa06-dcc7-46f9-beff-bfd06f69b9b2}]
[HKLM\Software\Classes\Wow6432Node\TypeLib\{d2e5fa06-dcc7-46f9-beff-bfd06f69b9b2}]
[HKLM\Software\Classes\TypeLib\{d2e5fa06-dcc7-46f9-beff-bfd06f69b9b2}]
[HKCR\Interface\{f131923c-381d-4e4c-a472-4a17118fd742}]
[HKLM\Software\Classes\Interface\{f131923c-381d-4e4c-a472-4a17118fd742}] 

Déconnecte toi d'Internet et ferme toutes les applications ouvertes.


Pour Xp : Double clique sur l'icône ZHPFix.exe sur ton Bureau.

Pour Vista et W7 : Clique droit sur l'icône ZHPFix.exe sur ton Bureau,
puis sélectionne 'Exécuter en tant qu'administrateur'.

Clique successivement sur l'icône H (pour effacer le rapport qui s'est affiché) puis sur l'icône de la malette cachée par la feuille.

Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.

Clique sur OK, ce qui fait apparaître un carré à gauche de chaque ligne.

Clique sur "Tous" puis sur "Nettoyer".

Laisse l'outil travailler.

Si il te demande de redémarrer l'ordi pour achever le nettoyage, fais le immédiatement.

Le rapport d'exécution va apparaître dans la fenêtre.

Copie le dans ta réponse.

jfkpresident · Answer

Certaines clés ne sont toujours pas supprimés ...Je vais voir avec l'auteur de l'outil et je te tient au jus .

jfkpresident · Answer

C'est bon pour les clés . Comment va le pc ?

jfkpresident · Answer

évite de poster partout ==> https://forums.cnetfrance.fr/desinfection-pc-virus-malwares-et-logiciels-indesirables/306855-dossier-en-scr

Cela n'rrangera pas ton probleme .

Fait ceci :

Fais un scan en ligne Kaspersky avec Internet Explorer.
- Clique sur Démarrer Online-Scanner

- Clique maintenant sur J'accepte.
- Valide l'installation d'un ou de plusieurs ActiveX si c'est nécessaire.
- Patiente pendant l'installation des Mises à jour.
- Choisis par la suite l'analyse du Poste de travail.
- Sauvegarde puis colle le rapport généré en fin d'analyse.

AIDE : Configurer le contrôle des ActiveX

NOTE : Si tu reçois le message "La licence de Kaspersky On-line Scanner est périmée", va dans Ajout/Suppression de programmes puis désinstalle On-Line Scanner, reconnecte toi sur le site de Kaspersky pour retenter le scan en ligne.

jfkpresident · Answer

s'il detecte les dossier .scr, ils les considerent comme des virus donc il va les supprimer! non??

Il supprimera les fichiers doublés mais pas les originaux .

jfkpresident · Answer

Regarde ici pour le scan en ligne .

Dossier en .scr

22 réponses

Votre réponse

Discussions similaires

Newsletters