Windows recovery a mis un gros bazar,,,

tayax -
Utilisateur anonyme - 9 mai 2011 à 22:56

Bonjour,

Hier soir j'ai chopé ce Windows recovery.
J'essaye depuis hier de supprimer tout les traces de ce virus mais il semble persistant.

J'ai perdu ma barre de lancement rapide, et tout les dossiers du menu demarrer sont vides.
Chrome ne charge plus aucune page.

J'ai lancé MBAM, ComboFox, Unhide, RogueKiller, AD-R, Ad Aware amsi a chaque fois j'obtient encore des popups....

Quel solution?

Afficher la suite

A voir également:

Windows recovery a mis un gros bazar,,,
Android recovery - Guide
Mise a jour windows 10 - Accueil - Mise à jour
Clé windows 8 - Guide
Montage video gratuit windows - Guide
Windows movie maker - Télécharger - Montage & Édition

28 réponses

Réponse 21 / 28

tayax

http://www.lenig.me/TDSSKiller.2.5.0.0_08.05.2011_22.11.14_log.txt

Réponse 22 / 28

Utilisateur anonyme

Parfait, je confirme bien que TDSSKiller a bien shooté les deux rootkits

Copie les lignes suivantes en gras ci dessous, c'est à dire
que tu sélectionnes les lignes indiquées en gras avec ta souris, tu fait
clic droit dessus>copier

SysRestore
O42 - Logiciel: Messenger Plus FR Toolbar - (.Messenger Plus FR.) [HKLM] -- Messenger_Plus_FR Toolbar => Toolbar.Conduit
OPT:O4 - HKLM\..\Run: [SunJavaUpdateSched] . (.Sun Microsystems, Inc. - Java Update Scheduler.) -- C:\Program Files\Fichiers communs\Java\Java Update\jusched.exe
OPT:O4 - HKCU\..\Run: [ctfmon.exe] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\ctfmon.exe
O43 - CFD: 26/03/2011 - 14:18:08 - [85778517] ----D- C:\Program Files\PokerStars => PartyGaming PokerStars
O43 - CFD: 31/05/2009 - 14:13:54 - [0] ----D- C:\Program Files\Spybot - Search & Destroy => Spybot - Search & Destroy
O44 - LFC:[MD5.13F58D812680048270EA8E24EE3404ED] - 08/05/2011 - 15:11:43 ---A- . (...) -- C:\Ad-Report-CLEAN[2].txt [6851]
O44 - LFC:[MD5.C36F096B5331090D5069AF8715112903] - 08/05/2011 - 13:04:05 ---A- . (...) -- C:\Ad-Report-CLEAN[1].txt [8612]
O44 - LFC:[MD5.5F9D15441F474A8326BCF9AE82B74496] - 08/05/2011 - 13:01:29 ---A- . (...) -- C:\Ad-Report-SCAN[1].txt [8699]
O64 - Services: CurCS - (.not file.) - de92c160 (de92c160) .(...) - LEGACY_DE92C160 => Fichier absent
O64 - Services: CurCS - (.not file.) - (.not file.) - PostgreSQL Database Server 8.3 (pgsql-8.3) .(...) - LEGACY_PGSQL-8.3 => Fichier absent
CTFDisabled
EmptyTemp
EmptyFlash

* Lance ZHPFix, soit à partir d'un raccourci sur le bureau, soit à partir de
ZHPDiag (avec Vista/Seven, clic droit dessus, et sur exécuter en
tant qu'administrateur)
Clique sur l'icône représentant la lettre H (« coller les lignes Helper »)
- Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes
- Clique sur le bouton « GO » pour lancer le nettoyage,
- Copie/colle la totalité du rapport dans ta prochaine réponse

Redémarre ton PC

Réponse 23 / 28

tayax

Rapport de ZHPFix 1.12.3282 par Nicolas Coolman, Update du 06/05/2011
Fichier d'export Registre : C:\ZHPExportRegistry-08-05-2011-22-26-39.txt
Run by Clement at 08/05/2011 22:26:39
Windows XP Home Edition Service Pack 3 (Build 2600)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

========== Registry Key ==========
O42 - Logiciel: Messenger Plus FR Toolbar - (.Messenger Plus FR.) [HKLM] -- Messenger_Plus_FR Toolbar => Software uninstall stopped by user or not full uninstall !
O64 - Services: CurCS - (.not file.) - de92c160 (de92c160) .(...) - LEGACY_DE92C160 => Registry Key removed successfully
O64 - Services: CurCS - (.not file.) - (.not file.) - PostgreSQL Database Server 8.3 (pgsql-8.3) .(...) - LEGACY_PGSQL-8.3 => Registry Key removed successfully

========== Registry Value ==========
O4 - HKLM\..\Run: [SunJavaUpdateSched] . (.Sun Microsystems, Inc. - Java Update Scheduler.) -- C:\Program Files\Fichiers communs\Java\Java Update\jusched.exe => Registry key value removed successfully
O4 - HKCU\..\Run: [ctfmon.exe] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\ctfmon.exe => Registry key value removed successfully

========== Registry Data Items ==========
CTFDisabled => Registry key value data removed successfully

========== Repertory ==========
C:\Program Files\PokerStars => Quarantined and Deleted successfully
C:\Program Files\Spybot - Search & Destroy => Quarantined and Deleted successfully
Dossiers temporaires Windows supprimés: 77
Dossiers Flash Cookies supprimés : 28

========== File ==========
c:\ad-report-clean[2].txt => Quarantined and Deleted successfully
c:\ad-report-clean[1].txt => Quarantined and Deleted successfully
c:\ad-report-scan[1].txt => Quarantined and Deleted successfully
Fichiers temporaires Windows supprimés : 127
Fichiers Flash Cookies supprimés : 9

Réponse 24 / 28

Utilisateur anonyme

est ce que tous les dossiers du menu démarrer sont toujours vides ?

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question

Réponse 25 / 28

tayax

Oui malheureusement, mais j'ai recommencer a les remplir manuellement. Ce ne sont que les dossiers menu demarrer de "All User"

Réponse 26 / 28

Utilisateur anonyme

Bonjour tayax
Effectivement, il faut tout recréer à la main, c'est le rogue Windows Recovery
qui a tout supprimé

On va finaliser
Télécharge Del Fix (de Xplode), sur ton bureau

http://www.general-changelog-team.fr/telechargements/logiciels/viewdownload/75-outils-de-xplode/3-delfix

Lance le, (avec Vista/Seven, clic droit dessus, et sur exécuter en tant qu'administrateur)

Sélectionne Suppression

Copie/colle le contenu du rapport qui s'ouvrira à l'écran dans ton prochain message.

Note : Le rapport est également sauvegardé à la racine du disque dur ( C:\DelFixSuppr.txt )

Une fois le rapport posté sur le forum, relance DelFix en sélectionnant Désinstallation.

Réponse 27 / 28

tayax

# DelFix v7.8 - Rapport créé le 09/05/2011 à 20:09
# Mis à jour le 02/05/11 à 18h par Xplode
# Système d'exploitation : Microsoft Windows XP (32 bits) [version 5.1.2600] Service Pack 3
# Nom d'utilisateur : Clement - DRAFTMASTER (Administrateur)
# Exécuté depuis : C:\Documents and Settings\Clement\Bureau\delfix.exe
# Option [Suppression]

~~~~~~ Dossier(s) ~~~~~~

-> C:\Qoobox\BackEnv ... ACL modifié avec succès.
Supprimé : C:\32788R22FWJFW
-> C:\Qoobox\BackEnv ... ACL modifié avec succès.
Supprimé : C:\Qoobox
Supprimé : C:\Program Files\Ad-Remover
Supprimé : C:\Program Files\ZHPDiag
Supprimé : C:\Documents and Settings\Clement\Bureau\RK_Quarantine
Supprimé : C:\Documents and Settings\All Users\Menu Démarrer\Programmes\ZHP

~~~~~~ Fichier(s) ~~~~~~

Supprimé : C:\ComboFix.txt
Supprimé : C:\PhysicalDisk0_MBR.bin
Supprimé : C:\rkill.log
Supprimé : C:\TDSSKiller.2.5.0.0_08.05.2011_16.55.03_log.txt
Supprimé : C:\TDSSKiller.2.5.0.0_08.05.2011_22.11.14_log.txt
Supprimé : C:\ZHPExportRegistry-08-05-2011-22-26-39.txt
Supprimé : C:\WINDOWS\grep.exe
Supprimé : C:\WINDOWS\MBR.exe
Supprimé : C:\WINDOWS\NIRCMD.exe
Supprimé : C:\WINDOWS\PEV.exe
Supprimé : C:\WINDOWS\sed.exe
Supprimé : C:\WINDOWS\SWREG.exe
Supprimé : C:\WINDOWS\SWSC.exe
Supprimé : C:\WINDOWS\SWXCACLS.exe
Supprimé : C:\WINDOWS\zip.exe
Supprimé : C:\Documents and Settings\Clement\Bureau\AD-R.lnk
Supprimé : C:\Documents and Settings\Clement\Bureau\ComboFix.exe
Supprimé : C:\Documents and Settings\Clement\Bureau\Dial-a-fix-v0.60.0.24.zip
Supprimé : C:\Documents and Settings\Clement\Bureau\RKreport[10].txt
Supprimé : C:\Documents and Settings\Clement\Bureau\RKreport[11].txt
Supprimé : C:\Documents and Settings\Clement\Bureau\RKreport[1].txt
Supprimé : C:\Documents and Settings\Clement\Bureau\RKreport[2].txt
Supprimé : C:\Documents and Settings\Clement\Bureau\RKreport[3].txt
Supprimé : C:\Documents and Settings\Clement\Bureau\RKreport[4].txt
Supprimé : C:\Documents and Settings\Clement\Bureau\RKreport[5].txt
Supprimé : C:\Documents and Settings\Clement\Bureau\RKreport[6].txt
Supprimé : C:\Documents and Settings\Clement\Bureau\RKreport[7].txt
Supprimé : C:\Documents and Settings\Clement\Bureau\RKreport[8].txt
Supprimé : C:\Documents and Settings\Clement\Bureau\RKreport[9].txt
Supprimé : C:\Documents and Settings\Clement\Bureau\RogueKiller.exe
Supprimé : C:\Documents and Settings\Clement\Bureau\tdsskiller.exe
Supprimé : C:\Documents and Settings\Clement\Bureau\ZHPDiag.txt
Supprimé : C:\Documents and Settings\Clement\Bureau\ZHPDiag2.exe
Supprimé : C:\Documents and Settings\Clement\Bureau\ZHPFixReport.txt
Supprimé : C:\Documents and Settings\All Users\Bureau\MBRCheck.lnk
Supprimé : C:\Documents and Settings\All Users\Bureau\ZHPDiag.lnk
Supprimé : C:\Documents and Settings\All Users\Bureau\ZHPFix.lnk

~~~~~~ Registre ~~~~~~

Clé Supprimée : HKCU\SOFTWARE\Ad-Remover
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MenuOrder\Start Menu2\Programs\ZHP
Clé Supprimée : HKLM\Software\Classes\.cfxxe
Clé Supprimée : HKLM\Software\Classes\cfxxefile
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\Ad-Remover
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\ZHPDiag_is1
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\App Paths\combofix.exe
ACL [0] -> [7] & Clé Supprimée : HKLM\SOFTWARE\Swearware

~~~~~~ Autre ~~~~~~

-> Prefetch vidé

########## EOF - "C:\DelFixSuppr.txt" - [3596 octets] ##########

1000 mercis.

Réponse 28 / 28

Utilisateur anonyme

On va vérifier quelque chose quand même, car tu avais un fichier patché, et
ça me turlupine

Attention, cet outil n'est pas à utiliser à la légère, et doit
être recommandé que par une personne formée à cet outil

Télécharge ComboFix de sUBs sur ton Bureau :
http://download.bleepingcomputer.com/sUBs/ComboFix.exe

tutoriel pour bien utiliser l'outil
http://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

/!\ Déconnecte-toi du net et DESACTIVE TOUTES LES DEFENSES, antivirus et antispyware y compris /!\

---> Clic droit sur ComboFix.exe, et sur exécuter en tant qu'administrateur
Un "pop-up" va apparaître qui dit que ComboFix est utilisé à vos risques et avec aucune garantie...Clique sur oui pour accepter
---> Mets-le en langue française F
Tape sur la touche 1 (Yes) pour démarrer le scan.

Ne touche à rien(souris, clavier) tant que le scan n'est pas terminé, car tu risques de figer ton PC

En fin de scan, il est possible que ComboFix ait besoin de redémarrer le PC pour finaliser la désinfection, laisse-le faire.

Une fois le scan achevé, un rapport va s'afficher : Poste son contenu

/!\ Réactive la protection en temps réel de ton antivirus et de ton antispyware avant de te reconnecter à Internet. /!\

Note : Le rapport se trouve également là : C:\ComboFix.txt

Windows recovery a mis un gros bazar,,,

28 réponses

Votre réponse

Newsletters