Pb bureau = Windows Recovery

Question

Bonjour, 

Je poste ce message pour demander un peu d'aide. En effet, hier sur l'ordi de mes parents est apparu un virus: le Windows Recovery. J'ai pu le supprimer graçe à l'utilisation de Rogue Killer et j'ai également rétabli tous les dossiers cachés encore une fois avec Rogue Killer.

Et ce matin, a ma grande surprise, j'allume mon pc et je vois la fenêtre de Windows Recovery s'ouvrir. Même démarche que sur l'ordi de mes parents: suppression du virus avec Rogue Killer et rétablissement des dossiers cachés.

Le problème est que les îcones de mon bureau n'ont pas étaient rétabli et que l'accès à mon bureau est totalement bloqué. Je ne peu même pas copier de nouveau raccourci dessus et le clic droit semble désactivé. La seul chose qu'il reste est mon ancien fond d'écran.

Si quelqu'un s'est déjà retrouvé confronté à une tel situation, je suis preneur d'informations.

Merci, Léo.

Configuration: Windows XP / Internet Explorer 8.0

Utilisateur anonyme · Answer

Bonjour
Tu as un dropper qui réinstalles Windows Recovery, et tant que tu auras ce
dropper dans le PC, Windows Recovery se réinstallera


Télécharge aswMBR (de Alwil Software) sur ton bureau
http://public.avast.com/~gmerek/aswMBR.exe
ou
https://www.avast.com/c-rootkit-scanner-tool
Double-clique sur aswMBR.exe pour le lancer (avec Vista/Seven, clic droit
sur l'outil, et sur exécuter en tant qu'administrateur)
Clique sur le bouton Scan
Clique sur le bouton Fix si une infection a été trouvée (lignes rouges)
Clique sur le bouton Save Log, et enregistre le rapport sur le bureau
Copie/colle le contenu du rapport dans ta prochaine réponse

Blood-Stone · Answer

Ok, merci, j'essaye de ce pas et je te tient au courant ;)

Blood-Stone · Answer

C'est bon, il n'a, apparement rien trouvé:
aswMBR version 0.9.5.232 Copyright(c) 2011 AVAST Software
Run date: 2011-05-02 14:26:11
-----------------------------
14:26:11.765    OS Version: Windows 5.1.2600 Service Pack 3
14:26:11.765    Number of processors: 2 586 0xF06
14:26:11.765    ComputerName: LE-C11321C1C05D  UserName: Utilisateur
14:26:12.406    Initialize success
14:26:16.390    Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T0L0-3
14:26:16.390    Disk 0 Vendor: ST3320620AS 3.ADG Size: 305245MB BusType: 3
14:26:18.421    Disk 0 MBR read successfully
14:26:18.421    Disk 0 MBR scan
14:26:18.421    Disk 0 unknown MBR code
14:26:20.421    Disk 0 scanning sectors +625137345
14:26:20.437    Disk 0 scanning C:\WINDOWS\system32\drivers
14:26:26.421    Service scanning
14:26:28.437    Disk 0 trace - called modules:
14:26:28.437    ntkrnlpa.exe CLASSPNP.SYS disk.sys atapi.sys hal.dll pciide.sys PCIIDEX.SYS 
14:26:28.437    1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0x8ac97030]
14:26:28.437    3 CLASSPNP.SYS[ba108fd7] -> nt!IofCallDriver -> \Device\Ide\IdeDeviceP0T0L0-3[0x8ac1fd98]
14:26:28.437    Scan finished successfully
14:27:05.843    Disk 0 MBR has been saved successfully to "C:\Documents and Settings\Utilisateur\Mes documents\MBR.dat"
14:27:05.843    The log file has been saved successfully to "C:\Documents and Settings\Utilisateur\Mes documents\aswMBR.txt"

J'ai deja scanné mon pc avec avast qui n'as lui non plus rien trouvé.
As-tu d'autres idées stp?

Utilisateur anonyme · Answer

On va vérifier si le MBR (secteur d'amorçage du disque dur) est bien infecté

Page explicative par Malekal : https://forum.malekal.com/viewtopic.php?t=29519&start= 

Télécharge sur ton bureau bootkit_remover.rar, et décompresse le sur le bureau 
http://www.esagelab.com/files/bootkit_remover.rar 

Un fichier remover.exe se trouve dedans, et place le dans c:emover.exe, et pas ailleurs 

Tu peux installer 7zip pour décompresser le dossier (clic droit sur le rar \ extraire ici ) 
https://www.7-zip.org/download.html 

Ouvre ton bloc-notes [exécuter---> notepad] 

Copie_colle dans la fenêtre du bloc-notes le contenu du texte ci dessous : 

 
@ECHO OFF 
cd \ 
start remover.exe dump \.\PhysicalDrive0 tralala 
EXIT 


Nomme le fichier copymbr.bat, et place le à coté de remover.exe 
(Tu peux télécharger tout fait copymbr.bat là : https://www.luanagames.com/index.fr.html 


Double clic (clic droit, exécuter en tant qu'administrateur sous vista) sur copymbr.bat , et un fichier tralala est créé à côté de remover.exe 

Rend toi sur le site https://www.virustotal.com/gui/ ou https://virusscan.jotti.org/ afin de scanner le fichier tralala , il faut cliquer reanalyze si l'archive a déjà été au préalable analysée. 

Une fois le scan terminé , lien dans ta prochaine réponse  
O.o°*??? Ex Nathandre aux 12938 messages depuis le 27.10.2008 °.Oø¤º°'°º¤ø

Blood-Stone · Answer

Ok,
je viens de tout faire comme tu ma l'as dit et voici le rapport de VirusTotal:

Antivirus	Version	Last update	Result
AhnLab-V3 2011.05.02.01	2011.05.02	
-AntiVir	         7.11.7.113	2011.05.02	
-Antiy-AVL	2.0.3.7	2011.05.02	
-Avast	        4.8.1351.0	2011.05.02	
-Avast5	          5.0.677.0	2011.05.02	
-AVG	      10.0.0.1190	2011.05.02	
-BitDefender	7.2	2011.05.02	
-CAT-QuickHeal	11.00	2011.05.02	
-ClamAV	            0.97.0.0	2011.05.02	
-Commtouch	5.3.2.6	2011.05.02	
-Comodo	8555	2011.05.02	
-DrWeb	5.0.2.03300	2011.05.02	
-eSafe	 7.0.17.0	2011.05.01	
-eTrust-Vet   36.1.8302	2011.05.02	
-F-Prot	4.6.2.117	2011.05.02	
-F-Secure      9.0.16440.0 2011.05.02	
-Fortinet	4.2.257.0	2011.05.01	
-GData	        22	             2011.05.02	
-Ikarus	T3.1.1.103.0	2011.05.02	
-Jiangmin 13.0.900	2011.05.01	
-K7AntiVirus 9.98.4541	2011.05.02	
-Kaspersky 9.0.0.837	2011.05.02	
-McAfee	5.400.0.1158	2011.05.02	
-McAfee-GW-Edition2010.1D2011.05.02	
-Microsoft	1.6802	2011.05.02	
-NOD32	          6088	 2011.05.02	
-Norman 	6.07.07	2011.05.02	
-Panda	 10.0.3.5	2011.05.02	
-PCTools	   7.0.3.5	2011.04.29	
-Prevx	       3.0	             2011.05.02	
-Rising	23.55.04.03	2011.04.29	
-Sophos	    4.64.0	2011.05.02	
-SUPERAntiSpywar 4.40.0.1006	2011.05.02	
-Symantec	20101.3.2.89	2011.05.02	
-TheHacker	6.7.0.1.186	2011.05.01	
-TrendMicro	9.200.0.1012	2011.05.02	
-TrendMicro-HouseCall	9.200.0.1012	2011.05.02	
-VBA32	3.12.16.0	2011.05.02	
-VIPRE	9177	2011.05.02	
-ViRobot	2011.5.2.4441	2011.05.02	
-VirusBuster	13.6.331.0	2011.05.02
	
-MD5: 0bc3917bfcb6b26c34494dd9de5ced16
SHA1: b4358a674e21d6c9bc9cb561ac6fd374df90b381
SHA256: 938df482428138de4088410e58f06ab8661edf76a09dc5476bff192d3ef1c0a9
File size: 512 bytes
Scan date: 2011-05-02 15:05:34 (UTC)

Je ne sais pas trop ce que ca veut dire mais je pense qu'il n'y a rien de ce coté la.
Comme je l'ai déjà dis précedemment, le virus n'est plus là et tous mes dossiers sont revenus mis à part ceux de mon bureau (bureau à partir duquel je ne peux rien faire, ni clic droit ni copier/coller).

Utilisateur anonyme · Answer

On va regarder s'il reste quelque chose
* Télécharge ZHPDiag (de Nicolas Coolman)
http://www.premiumorange.com/zeb-help-process/zhpdiag.html

Au cas où le premier lien ne marcherai pas, clique sur celui de dessous
ftp://zebulon.fr/ZHPDiag2.exe

* Laisse toi guider lors de l'installation, il se lancera automatiquement à la fin.
* Surtout, n'oublie pas d'installer son icône sur le bureau
* Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
* Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
Héberge le rapport ICI

Blood-Stone · Answer

Ok, ca télécharge, mais je doute fort que je puisse mettre le lien sur le bureau car il est bloqué.  

EDIT:  
C'est bon, le rapport est ici: https://www.luanagames.com/index.fr.html

zak · Answer

Salut, 

j'ai exactement le même soucis. 
Si ça peut aider les icônes sont en réalité toujours présentes, on peut accéder au bureau en passant par un des disques sur l'explorateur et en remontant au dossier parent. 
On peu aussi l'avoir dans la barre des taches ( clic droit sur la barre des taches /barre d'outils/Bureau). 
   

Par ailleurs je ne sais pas si tu as le même problème mais ma barre de lancement rapide est vide elle aussi et si je mets une application dedans elle ne se lance pas.

Utilisateur anonyme · Answer

Bonsoir zak
Merci de bien vouloir ouvrir un topic pour qu'on puisse t'aider

Blood Stone
Il y a des infections

Télécharge Ad-Remover (de C_XX) sur ton bureau:
http://www.teamxscript.org/adremoverTelechargement.html    
ou
https://www.androidworld.fr/ 
Désactive l'anti-virus

Double clique sur le fichier que tu viens de télécharger, à l'écran qui apparait, clique sur Scanner.
Laisse travailler l'outil.
Poste le rapport qui s'affiche à l'écran quand l'analyse est terminée.
Il est sauvegardé dans C:\Ad-Remover-SCAN[1].txt

Blood-Stone · Answer

Ok, c'est fait, le rapport est ici:
https://www.luanagames.com/index.fr.html

Merci, et bonne nuit, je ne pourrais répondre avant demain matin ;)

Utilisateur anonyme · Answer

Pour demain 

Double clique sur AD Remover, et clique sur Nettoyer. 
Laisse travailler l'outil. 
Poste le rapport qui s'affiche à l'écran quand l'analyse est terminée. 
Il est sauvegardé dans C:\Ad-Remover-CLEAN[1].txt 


O.o°*??? Ex Nathandre aux 12938 messages depuis le 27.10.2008 °.Oø¤º°'°º¤ø

Blood-Stone · Answer

Ok, voila, le rapport est ici:

https://www.luanagames.com/index.fr.html

zak · Answer

Essai ça, j'ai un peu galéré à trouver, j'espère que j'ai rien cassé dans ma base de registres en farfouillant ;) 
En tout cas, ça à marché pour moi. 
  
Lance la commande regedit (depuis Démarrer/exécuter) et recherche la valeur suivante :  

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer 

NoDesktop doit être à 1 chez toi, passe le à 0. 

Redémarre ton PC.

Attention, ça ne change évidemment rien concernant ton infection éventuelle.

Blood-Stone · Answer

GENIAL!! Ca a marché, merci beaucoup a vous deux, grâce à cela je n'est plus aucun virus et tous mes icones sont rétablis =)

Utilisateur anonyme · Answer

Bonjour Blood-Stone
Les symptômes ont disparu, mais il faut vérifier qu'il ne reste plus de traces
d'infections
Pourrais tu me poster un nouveau rapport ZHPDiag pour vérifier

Blood-Stone · Answer

Voila le dernier rapport ZHPDiag:

https://www.luanagames.com/index.fr.html

Utilisateur anonyme · Answer

C:\Program Files\AutoRun.exe   
C:\Program Files\EASetup.exe   
C:\Program Files\GDFBinary.dll   [1283344]

As tu une idée de ce que c'est ?


Copie les lignes suivantes en gras ci dessous, c'est à dire
que tu sélectionnes les lignes indiquées en gras avec ta souris, tu fait
clic droit dessus>copier 

[HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\conduitEngine]   =>Toolbar.Conduit
[HKLM\Software\Classes\imside1egate.application.1]   =>Adware.BHO
[HKCR\CLSID\{601ac3dc-786a-4eb0-bf40-ee3521e70bfb}]   =>Toolbar.Crawler
[HKLM\Software\Classes\CLSID\{601ac3dc-786a-4eb0-bf40-ee3521e70bfb}]   =>Toolbar.Crawler
[HKCU\Software\FRgaming]   =>Toolbar.Conduit
[HKLM\Software\FRgaming]   =>Toolbar.Conduit
[HKCU\Software\WideStream]   =>Adware.SPointer
[HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\FRgaming Toolbar]   =>Toolbar.Conduit
[HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\Softonic_France_FF Toolbar]   =>Toolbar.Conduit
C:\Program Files\Softonic_France_FF   =>Toolbar.Conduit
C:\Documents and Settings\Utilisateur\Application Data\Widestream   =>Adware.SPointer
C:\Documents and Settings\Utilisateur\Local Settings\Application Data\Softonic_France_FF   =>Toolbar.Conduit

* Lance ZHPFix, soit à partir d'un raccourci sur le bureau, soit à partir de
ZHPDiag (avec Vista/Seven, clic droit dessus, et sur exécuter en
tant qu'administrateur)
Clique sur l'icône représentant la lettre H (« coller les lignes Helper »)
- Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes
- Clique sur le bouton « GO » pour lancer le nettoyage,
- Copie/colle la totalité du rapport dans ta prochaine réponse

Redémarre ton PC

Ensuite, poste moi un nouveau rapport ZHPDiag

Pb bureau => Windows Recovery

17 réponses

Votre réponse

Newsletters