Windows recovery a mis un gros bazar,,,

Question

Bonjour, 

Hier soir j'ai chopé ce Windows recovery.
J'essaye depuis hier de supprimer tout les traces de ce virus mais il semble persistant.

J'ai perdu ma barre de lancement rapide, et tout les dossiers du menu demarrer sont vides.
Chrome ne charge plus aucune page.

J'ai lancé MBAM, ComboFox, Unhide, RogueKiller, AD-R, Ad Aware amsi a chaque fois j'obtient encore des popups....

Quel solution?


Configuration: Windows XP  SP3/ Firefox 4.0.1

parisestmagic63 · Answer

télécharge le 1er outil de la liste :

https://support.kaspersky.com/fr/viruses/utility

Démarre en mode sans échec,
lance l'outil et fait une analyse complète

Pour démarrer en sans échec il faut appuyer sur F6 ou F8 dès que tu allume le PC.

Utilisateur anonyme · Answer

bonjour
parisestmagic63
Ce que tu lui propose sera inefficace contre cette crasse

tayax
Windows Recovery est un rogue qui fou le boxon dans le PC
Pourrais tu poster le (ou les) rapport de Rogue Killer, et celui de ComboFix

tayax · Answer

rapport combofix [url=http://up.sur-la-toile.com/sMyZ]ComboFix.txt/url
rien dans les rapports de rk

tayax · Answer

Log Rkill vide aussi

tayax · Answer

rapport ZHPDiag : ' target='_blank'>http://www.lenig.me/ZHPDiag.txt

tayax · Answer

http://www.lenig.me/Ad-Report-CLEAN[2].txt

rapport Ad Remover

tayax · Answer

personne pour m'aider? (dsl de l'impatience mais ce probleme me tue..)
Chrome ne charge plus rien et impossible d'acceder au windows update (juste impossible d'afficher la page)

Utilisateur anonyme · Answer

Télécharge TDSSKiller (de Kaspersky) sur ton bureau
https://support.kaspersky.com/downloads/utils/tdsskiller.exe

Double clique sur TDSSKiller pour le lancer (avec Vista/Seven, clic droit
dessus, et sur exécuter en tant qu'administrateur

Clique sur Start scan, et laisse l'outil travailler

Si des fichiers infectés sont trouvés, une nouvelle fenêtre va s'ouvrir

Si TDSS. tdl2 est détecté, l'option delete sera cochée par défaut

Si TDSS.tdl3 est détecté, vérifie que Cure est bien cochée

Si TDSS.tdl4 (\HardDisk0\MBR) est détecté, vérifie que Cure 
est bien cochée

Si Suspicious file est indiqué, laisse l'option cochée sur Skip

Clique sur Continue, puis sur Reboot now pour 
redémarrer le PC

Poste le rapport qui est sauvegardé dans C:\TDSSKiller_Quarantine\
JJ.MM.AA_HH.MM.SS. (JJ.MM.AA date du passage de l'outil, HH.MM.SS 
heure de passage).

tayax · Answer

http://lenig.me/TDSSKiller.2.5.0.0_08.05.2011_16.55.03_log.txt


voil c'est fait

Utilisateur anonyme · Answer

Trop fort, tu avais deux rootkits TDSS, c'est de la vraie cochonnerie ça

Pourrais tu me refaire ZHPDiag, et héberge le rapport et donne le lien

tayax · Answer

Merci de ton aide

http://lenig.me/ZHPDiag.txt voila pour le log.

Tu peux m'expliquer rapidement ce que fait un rootkits TDSS?

Utilisateur anonyme · Answer

Un rootkit TDSS, cela attaque le noyau du système, infecte le secteur
d'amorçage du disque dur, droppe (qui veut dire installe) des rogues surtout
Je vais regarder le rapport ZHPDiag

tayax · Answer

Ok merci

Utilisateur anonyme · Answer

Voilà qui est mieux, TDSSKiller a shooté les deux rootkits 
Il reste deux clés de registre qu'on va supprimer  

Te sers tu de la conduit toolbar ?

Logiciels peer to peer  
Danger du P2P 
https://forum.malekal.com/viewtopic.php?t=3257&start= 
Les logiciels P2P (Shareaza, Limewire, Emule) sont de vrai dangers, car on peut 
télécharger des fichiers infectés 

Il va falloir mettre à jour java, désinstalle le 
Télécharge et installe la nouvelle version de Java 
https://java.com/fr/ 

ll est très important de maintenir tous les logiciels à jour pour boucher les 
failles de sécurité* 

Il faut que tu installes un antivirus, ad aware ne sert à rien 

Copie les lignes suivantes en gras ci dessous, c'est à dire 
que tu sélectionnes les lignes indiquées en gras avec ta souris, tu fait 
clic droit dessus>copier  

O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe    => Infection Rootkit (Rootkit.TDSS) 
O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [FEATURE_BROWSER_EMULATION] -- svchost.exe    => Infection Rootkit (Rootkit.TDSS) 
 

* Lance ZHPFix, soit à partir d'un raccourci sur le bureau, soit à partir de 
ZHPDiag (avec Vista/Seven, clic droit dessus, et sur exécuter en 
tant qu'administrateur) 
Clique sur l'icône représentant la lettre H (« coller les lignes Helper ») 
- Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes 
- Clique sur le bouton « GO » pour lancer le nettoyage, 
- Copie/colle la totalité du rapport dans ta prochaine réponse 

Redémarre ton PC 

Ensuite, poste moi un nouveau rapport ZHPDiag 




O.o°*??? Ex Nathandre aux 12938 messages depuis le 27.10.2008 °.Oø¤º°'°º¤ø

tayax · Answer

http://lenig.me/ZHPDiag.txt 


Voici le rapport : A noter que javais pas copier le rapport en premiere instance mais  la premiere ligne avait bine ete supprimé, et la deuxieme affichait le meme message qu'actuellement


Rapport de ZHPFix 1.12.3282 par Nicolas Coolman, Update du 06/05/2011
Fichier d'export Registre : C:\ZHPExportRegistry-08-05-2011-18-09-43.txt
Run by Clement at 08/05/2011 18:09:43
Windows XP Home Edition Service Pack 3 (Build 2600)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

========== Registry Value ==========
O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe  => Registry key value not found
O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [FEATURE_BROWSER_EMULATION] -- svchost.exe  => Registry key value not found


========== Summary ==========
2 : Registry Value


End of the scan

Utilisateur anonyme · Answer

pourrais tu me poster le lien d'un nouveau rapport ZHPDiag que tu doit faire

tayax · Answer

http://lenig.me/ZHPDiag2.txt 

le lien etait bon j'avais ecrasé le fichier, mais le voila renommer si il y a des probleme avec le cache du navigateur.

Utilisateur anonyme · Answer

Pour le cache du navigateur, il doit être saturé, il faudrait le vider avec C Cleaner

Tu n'as pas mis à jour Java

Tu n'as pas installé d'antivirus, pourtant y'en a des gratuits qui sont bien:
Antivir, ou Avast6, ou AVG

Tu n'as pas répondu à ma question, utilises tu conduit toolbar ?

Si tu ne fais pas ce que je te demandes, comment veux tu continuer ?

tayax · Answer

http://www.lenig.me/ZHPDiag.txt

Non je n'utilise pas conduite toolbar. 

Désolé pour le manque de rapidité, j'ai enfin pu effectuer les mises a jour windows (94 mises a jour)

J'ai installé Avast et mis a jour Java

Utilisateur anonyme · Answer

Pourrais tu me relancer TDSSKiller, car je voudrais vérifier quelque chose
pour un fichier

tayax · Answer

http://www.lenig.me/TDSSKiller.2.5.0.0_08.05.2011_22.11.14_log.txt

Utilisateur anonyme · Answer

Parfait, je confirme bien que TDSSKiller a bien shooté les deux rootkits


Copie les lignes suivantes en gras ci dessous, c'est à dire
que tu sélectionnes les lignes indiquées en gras avec ta souris, tu fait
clic droit dessus>copier 

SysRestore
O42 - Logiciel: Messenger Plus FR Toolbar - (.Messenger Plus FR.) [HKLM] -- Messenger_Plus_FR Toolbar    => Toolbar.Conduit
OPT:O4 - HKLM\..\Run: [SunJavaUpdateSched] . (.Sun Microsystems, Inc. - Java Update Scheduler.) -- C:\Program Files\Fichiers communs\Java\Java Update\jusched.exe
OPT:O4 - HKCU\..\Run: [ctfmon.exe] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\ctfmon.exe
O43 - CFD: 26/03/2011 - 14:18:08 - [85778517] ----D- C:\Program Files\PokerStars    => PartyGaming PokerStars
O43 - CFD: 31/05/2009 - 14:13:54 - [0] ----D- C:\Program Files\Spybot - Search & Destroy    => Spybot - Search & Destroy
O44 - LFC:[MD5.13F58D812680048270EA8E24EE3404ED] - 08/05/2011 - 15:11:43 ---A- . (...) -- C:\Ad-Report-CLEAN[2].txt   [6851]
O44 - LFC:[MD5.C36F096B5331090D5069AF8715112903] - 08/05/2011 - 13:04:05 ---A- . (...) -- C:\Ad-Report-CLEAN[1].txt   [8612]
O44 - LFC:[MD5.5F9D15441F474A8326BCF9AE82B74496] - 08/05/2011 - 13:01:29 ---A- . (...) -- C:\Ad-Report-SCAN[1].txt   [8699]
O64 - Services: CurCS - (.not file.) - de92c160 (de92c160)  .(...) - LEGACY_DE92C160    => Fichier absent
O64 - Services: CurCS - (.not file.) - (.not file.) - PostgreSQL Database Server 8.3 (pgsql-8.3)  .(...) - LEGACY_PGSQL-8.3    => Fichier absent
CTFDisabled
EmptyTemp
EmptyFlash


* Lance ZHPFix, soit à partir d'un raccourci sur le bureau, soit à partir de
ZHPDiag (avec Vista/Seven, clic droit dessus, et sur exécuter en
tant qu'administrateur)
Clique sur l'icône représentant la lettre H (« coller les lignes Helper »)
- Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes
- Clique sur le bouton « GO » pour lancer le nettoyage,
- Copie/colle la totalité du rapport dans ta prochaine réponse

Redémarre ton PC

tayax · Answer

Rapport de ZHPFix 1.12.3282 par Nicolas Coolman, Update du 06/05/2011
Fichier d'export Registre : C:\ZHPExportRegistry-08-05-2011-22-26-39.txt
Run by Clement at 08/05/2011 22:26:39
Windows XP Home Edition Service Pack 3 (Build 2600)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

========== Registry Key ==========
O42 - Logiciel: Messenger Plus FR Toolbar - (.Messenger Plus FR.) [HKLM] -- Messenger_Plus_FR Toolbar  => Software uninstall stopped by user or not full uninstall !
O64 - Services: CurCS - (.not file.) - de92c160 (de92c160) .(...) - LEGACY_DE92C160  => Registry Key removed successfully
O64 - Services: CurCS - (.not file.) - (.not file.) - PostgreSQL Database Server 8.3 (pgsql-8.3) .(...) - LEGACY_PGSQL-8.3  => Registry Key removed successfully

========== Registry Value ==========
O4 - HKLM\..\Run: [SunJavaUpdateSched] . (.Sun Microsystems, Inc. - Java Update Scheduler.) -- C:\Program Files\Fichiers communs\Java\Java Update\jusched.exe  => Registry key value removed successfully
O4 - HKCU\..\Run: [ctfmon.exe] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\ctfmon.exe  => Registry key value removed successfully

========== Registry Data Items ==========
CTFDisabled  => Registry key value data removed successfully

========== Repertory ==========
C:\Program Files\PokerStars  => Quarantined and Deleted successfully
C:\Program Files\Spybot - Search & Destroy  => Quarantined and Deleted successfully
Dossiers temporaires Windows supprimés: 77
Dossiers Flash Cookies supprimés : 28

========== File ==========
c:\ad-report-clean[2].txt  => Quarantined and Deleted successfully
c:\ad-report-clean[1].txt  => Quarantined and Deleted successfully
c:\ad-report-scan[1].txt  => Quarantined and Deleted successfully
Fichiers temporaires Windows supprimés : 127
Fichiers Flash Cookies supprimés : 9

Utilisateur anonyme · Answer

est ce que tous les dossiers du menu démarrer sont toujours vides ?

tayax · Answer

Oui malheureusement, mais j'ai recommencer a les remplir manuellement. Ce ne sont que les dossiers menu demarrer de "All User"

Utilisateur anonyme · Answer

Bonjour tayax
Effectivement, il faut tout recréer à la main, c'est le rogue Windows Recovery
qui a tout supprimé

On va finaliser
Télécharge Del Fix (de Xplode), sur ton bureau

http://www.general-changelog-team.fr/telechargements/logiciels/viewdownload/75-outils-de-xplode/3-delfix 

Lance le, (avec Vista/Seven, clic droit dessus, et sur exécuter en tant qu'administrateur)
  
Sélectionne Suppression

Copie/colle le contenu du rapport qui s'ouvrira à l'écran dans ton prochain message.

Note : Le rapport est également sauvegardé à la racine du disque dur ( C:\DelFixSuppr.txt )

Une fois le rapport posté sur le forum, relance DelFix en sélectionnant Désinstallation.

tayax · Answer

# DelFix v7.8 - Rapport créé le 09/05/2011 à 20:09
# Mis à jour le 02/05/11 à 18h par Xplode
# Système d'exploitation : Microsoft Windows XP (32 bits) [version 5.1.2600] Service Pack 3
# Nom d'utilisateur : Clement - DRAFTMASTER (Administrateur)
# Exécuté depuis : C:\Documents and Settings\Clement\Bureau\delfix.exe
# Option [Suppression]


~~~~~~ Dossier(s) ~~~~~~

-> C:\Qoobox\BackEnv ... ACL modifié avec succès.
Supprimé : C:\32788R22FWJFW
-> C:\Qoobox\BackEnv ... ACL modifié avec succès.
Supprimé : C:\Qoobox
Supprimé : C:\Program Files\Ad-Remover
Supprimé : C:\Program Files\ZHPDiag
Supprimé : C:\Documents and Settings\Clement\Bureau\RK_Quarantine
Supprimé : C:\Documents and Settings\All Users\Menu Démarrer\Programmes\ZHP

~~~~~~ Fichier(s) ~~~~~~

Supprimé : C:\ComboFix.txt
Supprimé : C:\PhysicalDisk0_MBR.bin
Supprimé : C:kill.log
Supprimé : C:\TDSSKiller.2.5.0.0_08.05.2011_16.55.03_log.txt
Supprimé : C:\TDSSKiller.2.5.0.0_08.05.2011_22.11.14_log.txt
Supprimé : C:\ZHPExportRegistry-08-05-2011-22-26-39.txt
Supprimé : C:\WINDOWS\grep.exe
Supprimé : C:\WINDOWS\MBR.exe
Supprimé : C:\WINDOWS\NIRCMD.exe
Supprimé : C:\WINDOWS\PEV.exe
Supprimé : C:\WINDOWS\sed.exe
Supprimé : C:\WINDOWS\SWREG.exe
Supprimé : C:\WINDOWS\SWSC.exe
Supprimé : C:\WINDOWS\SWXCACLS.exe
Supprimé : C:\WINDOWS\zip.exe
Supprimé : C:\Documents and Settings\Clement\Bureau\AD-R.lnk
Supprimé : C:\Documents and Settings\Clement\Bureau\ComboFix.exe
Supprimé : C:\Documents and Settings\Clement\Bureau\Dial-a-fix-v0.60.0.24.zip
Supprimé : C:\Documents and Settings\Clement\Bureau\RKreport[10].txt
Supprimé : C:\Documents and Settings\Clement\Bureau\RKreport[11].txt
Supprimé : C:\Documents and Settings\Clement\Bureau\RKreport[1].txt
Supprimé : C:\Documents and Settings\Clement\Bureau\RKreport[2].txt
Supprimé : C:\Documents and Settings\Clement\Bureau\RKreport[3].txt
Supprimé : C:\Documents and Settings\Clement\Bureau\RKreport[4].txt
Supprimé : C:\Documents and Settings\Clement\Bureau\RKreport[5].txt
Supprimé : C:\Documents and Settings\Clement\Bureau\RKreport[6].txt
Supprimé : C:\Documents and Settings\Clement\Bureau\RKreport[7].txt
Supprimé : C:\Documents and Settings\Clement\Bureau\RKreport[8].txt
Supprimé : C:\Documents and Settings\Clement\Bureau\RKreport[9].txt
Supprimé : C:\Documents and Settings\Clement\Bureau\RogueKiller.exe
Supprimé : C:\Documents and Settings\Clement\Bureau	dsskiller.exe
Supprimé : C:\Documents and Settings\Clement\Bureau\ZHPDiag.txt
Supprimé : C:\Documents and Settings\Clement\Bureau\ZHPDiag2.exe
Supprimé : C:\Documents and Settings\Clement\Bureau\ZHPFixReport.txt
Supprimé : C:\Documents and Settings\All Users\Bureau\MBRCheck.lnk
Supprimé : C:\Documents and Settings\All Users\Bureau\ZHPDiag.lnk
Supprimé : C:\Documents and Settings\All Users\Bureau\ZHPFix.lnk

~~~~~~ Registre ~~~~~~

Clé Supprimée : HKCU\SOFTWARE\Ad-Remover
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MenuOrder\Start Menu2\Programs\ZHP
Clé Supprimée : HKLM\Software\Classes\.cfxxe
Clé Supprimée : HKLM\Software\Classes\cfxxefile
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\Ad-Remover
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\ZHPDiag_is1
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\App Paths\combofix.exe
ACL [0] -> [7] & Clé Supprimée : HKLM\SOFTWARE\Swearware

~~~~~~ Autre ~~~~~~

-> Prefetch vidé

########## EOF - "C:\DelFixSuppr.txt" - [3596 octets] ##########


1000 mercis.

Utilisateur anonyme · Answer

On va vérifier quelque chose quand même, car tu avais un  fichier patché, et
ça me turlupine

Attention, cet outil n'est pas à utiliser à la légère, et doit
être recommandé que par une personne formée à cet outil


Télécharge ComboFix de sUBs sur ton Bureau :
http://download.bleepingcomputer.com/sUBs/ComboFix.exe

tutoriel pour bien utiliser l'outil
http://www.bleepingcomputer.com/combofix/fr/comment-utiliser­-combofix

/!\ Déconnecte-toi du net et DESACTIVE TOUTES LES DEFENSES, antivirus et antispyware y compris /!\

---> Clic droit sur ComboFix.exe, et sur exécuter en tant qu'administrateur
Un "pop-up" va apparaître qui dit que ComboFix est utilisé à vos risques et avec aucune garantie...Clique sur oui pour accepter 
---> Mets-le en langue française F
Tape sur la touche 1 (Yes) pour démarrer le scan.

 Ne touche à rien(souris, clavier) tant que le scan n'est pas terminé, car tu risques de figer ton PC

En fin de scan, il est possible que ComboFix ait besoin de redémarrer le PC pour finaliser la désinfection, laisse-le faire.

Une fois le scan achevé, un rapport va s'afficher : Poste son contenu

/!\ Réactive la protection en temps réel de ton antivirus et de ton antispyware avant de te reconnecter à Internet. /!\

Note : Le rapport se trouve également là : C:\ComboFix.txt

Windows recovery a mis un gros bazar,,,

28 réponses

Votre réponse

Newsletters