Virus? "Hard Drive Failure" , bureau vidé

Hello,

Depuis le mode sans échec avec prise en charge réseau, tente ça :

▶ Télécharge sur le bureau RogueKiller (par tigzy)

▶ ▶ Sous Windows XP, double clic gauche

▶ ▶ Sous Vista/Seven, clique droit, lancer en tant qu''administrateur

▶ Quitte tous tes programmes en cours
▶ Lance RogueKiller.exe.
▶ Un scan se lance, puis tu verra d''indiqué dans la fenêtre
▶ ▶ 1. Scan (écrit en vert)
▶ ▶ 2. Delete (écrit en rouge)
▶ ▶ 3. Hosts RAZ (écrit en rouge)
▶ ▶ 4. Proxy RAZ (écrit en rouge)
▶ ▶ 5. DNS RAZ (écrit en rouge)
▶ ▶ 6. Raccourcis RAZ (écrit en rouge)
▶ A ce moment tape 2 et valide
Note: s''il te demande de supprimer le proxy, tape 4
▶ Un rapport (RKreport1.txt) a du se créer à côté de l''exécutable, colle son contenu dans la réponse
▶ Si le programme a été bloqué, ne pas hésiter à essayer plusieurs fois ou a changer son nom en winlogon.exe

================================

Relance Rogue Killer, tape 6 et poste le second rapport

premier rapport:

RogueKiller V5.1.1 [05/05/2011] by Tigzy
contact at https://www.luanagames.com/index.fr.html
mail: tigzyRK<at>gmail<dot>com
Feedback: https://www.luanagames.com/index.fr.html

Operating System: Windows XP (5.1.2600 Service Pack 3) 32 bits version
Started in : Safe mode with network support
User: Administrator [Admin rights]
Mode: Remove -- Date : 05/11/2011 12:31:24

Bad processes: 0

Registry Entries: 3
[APPDT/TMP/DESKTOP] HKLM\[...]\Run : Anti-phishing Domain Advisor ("D:\Documents and Settings\All Users\Application Data\Anti-phishing Domain Advisor\visicom_antiphishing.exe") -> DELETED
[HJPOL] HKLM\[...]\System : DisableTaskMgr (1) -> DELETED
[HJ] HKLM\[...]\SystemRestore : DisableSR (1) -> REPLACED (0)

HOSTS File:
127.0.0.1 localhost

Finished : << RKreport[1].txt >>
RKreport[1].txt

2° rapport:

RogueKiller V5.1.1 [05/05/2011] by Tigzy
contact at https://www.luanagames.com/index.fr.html
mail: tigzyRK<at>gmail<dot>com
Feedback: https://www.luanagames.com/index.fr.html

Operating System: Windows XP (5.1.2600 Service Pack 3) 32 bits version
Started in : Safe mode with network support
User: Administrator [Admin rights]
Mode: Shortcuts HJfix -- Date : 05/11/2011 12:35:24

Bad processes: 0

File attributes restored:
Desktop: Success 0 / Fail 0
Quick launch: Success 0 / Fail 0
Programs: Success 104 / Fail 1
Start menu: Success 0 / Fail 0
User folder: Success 8 / Fail 0
My documents: Success 0 / Fail 0
My favorites: Success 0 / Fail 0
My pictures: Success 0 / Fail 0
My music: Success 0 / Fail 0
My videos: Success 0 / Fail 0
Local drives: Success 10268 / Fail 1

Finished : << RKreport[2].txt >>
RKreport[1].txt ; RKreport[2].txt

redémarre le pc en normal

===================

▶ Télécharge Malwarebytes'' Anti-Malware et enregistre le sur ton bureau.

▶ ▶ Miroir 1 si inaccessible

▶ ▶ Miroir 2 si inaccessible

▶ ▶ /!\ Utilisateur de Vista et Windows 7 : Clique droit sur le logo de Malwarebytes'' Anti-Malware, « exécuter en tant qu''Administrateur »

▶ Double clique sur le fichier téléchargé pour lancer le processus d''installation.
▶ Dans l''onglet "mise à jour", clique sur le bouton Recherche de mise à jour
▶ si le pare-feu demande l''autorisation de se connecter pour Malwarebytes, accepte
▶ Une fois la mise à jour terminée
▶ rends-toi dans l''onglet Recherche
▶ Sélectionne Exécuter un examen complet
▶ Clique sur Rechercher
▶ ▶ Le scan démarre.
▶ A la fin de l''analyse, un message s''affiche : L''examen s''est terminé normalement. Cliquez sur ''Afficher les résultats'' pour afficher tous les objets trouvés.
▶ Clique sur Ok pour poursuivre.
▶ Si des malwares ont été détectés, cliques sur Afficher les résultats
▶ Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection . Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
▶ Malwarebytes va ouvrir le bloc-notes et y copier le rapport d''analyse. Copie/colle le ici (ctrl+a pour tout sélectionner, ctrl+c pour copier, ctrl+v pour coller)

▶ ▶ Il se peut que MBAM ait besoin de redémarrer le pc pour finaliser la suppression, donc pas de panique, redémarre ton pc !!!
▶ Une fois le PC redémarré, rends toi dans l''onglet rapport/log
▶ Tu clique dessus pour l''afficher, une fois affiché
▶ Copie/colle le ici (ctrl+a pour tout sélectionner, ctrl+c pour copier, ctrl+v pour coller)

Si tu as besoin d''aide regarde ce tutoriel :
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/

▶ ▶ Si tu n''arrive pas à le mettre à jour, télécharge ce fichier , ferme MBAM, et exécute le

voila le rapport Malewarebyte avant redémarrage:

Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Version de la base de données: 6554

Windows 5.1.2600 Service Pack 3 (Safe Mode)
Internet Explorer 7.0.5730.13

11/05/2011 20:33:12
mbam-log-2011-05-11 (20-33-12).txt

Type d'examen: Examen complet (C:\|D:\|)
Elément(s) analysé(s): 326524
Temps écoulé: 40 minute(s), 30 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 3
Dossier(s) infecté(s): 1
Fichier(s) infecté(s): 5

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\KMsAsKYhhcwX (Rogue.Installer.Gen) -> Value: KMsAsKYhhcwX -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\SearchURL\SearchAssistant (Hijack.SearchPage) -> Bad: (http://www.cherche.us) Good: (https://www.google.com/?gws_rd=ssl -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\ActiveDesktop\NoChangingWallPaper (PUM.Hijack.DisplayProperties) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr (PUM.Hijack.TaskManager) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
d:\documents and settings\vincent\start menu\Programs\windows recovery (Trojan.FakeAV) -> Quarantined and deleted successfully.

Fichier(s) infecté(s):
d:\documents and settings\all users\application data\kmsaskyhhcwx.exe (Rogue.Installer.Gen) -> Quarantined and deleted successfully.
d:\documents and settings\all users\application data\18079524.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
d:\documents and settings\vincent\Desktop\windows recovery.lnk (Trojan.FakeAV) -> Quarantined and deleted successfully.
d:\documents and settings\vincent\start menu\Programs\windows recovery\uninstall windows recovery.lnk (Trojan.FakeAV) -> Quarantined and deleted successfully.
d:\documents and settings\vincent\start menu\Programs\windows recovery\windows recovery.lnk (Trojan.FakeAV) -> Quarantined and deleted successfully.

Re,

Tu étais toujours en mode sans échec, ton ordinateur devait démarrer en normal après rogue killer normalement.

--> donc, redémarre le pc normalement cette fois.

Une fois que ta session est ouverte.

Nous allons effectuer un diagnostic de ton PC:
▶ Télécharge ZHPDiag sur ton bureau :

https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html
ou :
http://www.premiumorange.com/zeb-help-process/zhpdiag.html
ou :
ftp://zebulon.fr/ZHPDiag2.exe

▶ Laisse toi guider lors de l''installation,coche "Ajouter une icône sur le bureau" et décoche la case "Exécuter ZHPDiag"

/!\Utilisateur de Vista et Seven : Clique droit sur le logo de ZHPdiag, « exécuter en tant qu''Administrateur »

▶ Clique sur l''icône représentant une loupe (« Lancer le diagnostic »)
▶ Enregistre le rapport sur ton Bureau à l''aide de l''icône représentant une disquette
▶ Héberge le rapport ZHPDiag.txt sur un des sites ci dessous, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum :
http://pjjoint.malekal.com/

Si indispo:
http://www.cijoint.fr/
ou :
http://ww38.toofiles.com/fr/documents-upload.html
ou :
https://www.cjoint.com/
ou :
https://www.casimages.com/

▶ Tuto zhpdiag :
http://www.premiumorange.com/zeb-help-process/zhpdiag.html

Hébergement de rapport sur pjjoint.malekal.com

▶ Rends toi sur pjjoint.malekal.com
▶ Clique sur le bouton Parcourir
▶ Sélectionne le fichier que tu veux heberger et clique sur Ouvrir
▶ Clique sur le bouton Envoyer
▶ Un message de confirmation s''affiche (L''upload a réussi ! - Le lien à transmettre à vos correspondant pour visualiser le fichier est : https://pjjoint.malekal.com/files.php?id=df5ea299241015 Copie le lien dans ta prochaine réponse.

lien Pjjoint:

https://pjjoint.malekal.com/files.php?id=bb3406be3e1077

Tu étais toujours en mode sans échec, ton ordinateur devait démarrer en normal après rogue killer normalement.

J'ai du lancer Malewarebyte en mode sans échec car en normal, le programme "Windows Recorvery" se lançait et bloquait tout.

Ah oui ok. Désolé. Normalement Rogue Killer aurait du supprimer le démarrage du rogue, mais en mode sans échec, c'est possible que son champ d'action soit réduit.

On va vérifier quelque chose :

▶ Rentre dans ton panneau de configuration....
▶ Apparence et personnalisation...
▶ Option des dossiers...(double cliquer dessus)
▶ Dans l''onglet affichage un peu plus bas où il est indiqué "Afficher les dossiers et fichiers cachés": Coche cette option
▶ Encore plus bas : Masquer les fichiers protégés du système d''exploitation (recommandé) : à décocher.

Ensuite, dis moi si tu vois les dossiers/fichiers suivants :

D:\Documents and Settings\vincent\Local Settings\Application Data\QZooaw6zZr3Msm

D:\Documents and Settings\vincent\Local Settings\Application Data\DPyxAGv4z5Nb162

D:\Documents and Settings\vincent\Local Settings\Application Data\ArmA

D:\Documents and Settings\vincent\Local Settings\Application Data\a1vM2WOmZ

Si oui, est-ce bien des dossiers ?

-ok pour les options d'affichage

-oui, je vois tous les dossiers cités, et oui ce sont bien des dossiers.

Ok , dans ce cas:

▶ Télécharger SystemLook à partir d''un des liens ci dessous sur ton Bureau.
Download Mirror
Download Mirror #2

▶ Double-click SystemLook.exe pour le lançer.
▶ Clic droit|copier le texte dans la balise code ci dessous ,et clic droit|coller dans le cadre blanc de SystemLook:

 
:dir 
D:\Documents and Settings\vincent\Local Settings\Application Data\QZooaw6zZr3Msm /S /MD5

D:\Documents and Settings\vincent\Local Settings\Application Data\DPyxAGv4z5Nb162 /S /MD5

D:\Documents and Settings\vincent\Local Settings\Application Data\ArmA /S /MD5

D:\Documents and Settings\vincent\Local Settings\Application Data\a1vM2WOmZ  /S /MD5 

▶ Click le bouton Look pour commencer le scan.
▶ Copie-colle dans ta prochaine réponse le rapport contenu du fichier texte qui s''affiche

▶ Note: Le rapport peut aussi être trouvé sur ton Bureau nommé SystemLook.tx

En cliquant sur "Look", il ne se passe rien. Le fichier SystemLook.tx n'apparait pas.

Au passage, toutes les icones de mon bureau apparaissent en fichiers cachés dans l'explorateur!

Bizarre, chez moi ça fonctionne bien.

Es-tu sûr d'avoir téléchargé sur ton bureau SystemLook et de l'avoir exécuter en tant qu'administrateur ?

=========

Relance Rogue Killer, successivement en option 2 et 6 puis poste les 2 rapports qu'il aura généré.

Au temps pour moi, il n'était pas sur le bureau.

voici le rapport SystemLook:

SystemLook 04.09.10 by jpshortstuff
Log created at 21:51 on 11/05/2011 by vincent
Administrator - Elevation successful

No Context:

========== dir ==========

D:\Documents and Settings\vincent\Local Settings\Application Data\QZooaw6zZr3Msm - Parameters: "/S /MD5"

---Files---
aCHW0nkS0jrM4Za.xma --ah--- 1223 bytes [19:29 22/06/2008] [19:29 22/06/2008] C18CAAFCAC143C2F5F2702D14B973349
bxIpmFSuA5bim.dtc --ah--- 1065 bytes [11:15 23/01/2009] [11:15 23/01/2009] 60C88C2AC25F2EE16571E5BAF5B2AD0B
kIw72LCc.va_ --ah--- 1048 bytes [01:00 22/07/2009] [01:00 22/07/2009] 89E34EE4BE1DA4BAC8057959DFCFF94A
kKqDozBsR.007 --ah--- 1270 bytes [01:45 14/03/2008] [01:45 14/03/2008] 93B329FF93C20C87D3FE9780829B04F8

No folders found.

D:\Documents and Settings\vincent\Local Settings\Application Data\DPyxAGv4z5Nb162 - Parameters: "/S /MD5"

---Files---
cCK9qfwz7hU.in_ --ah--- 1083 bytes [23:31 12/05/2008] [23:31 12/05/2008] 61DECBD8CAB11B235ED4967032DF97FF

No folders found.

D:\Documents and Settings\vincent\Local Settings\Application Data\ArmA - Parameters: "/S /MD5"

---Files---
arma.RPT --ah--- 49398 bytes [16:03 12/08/2010] [21:11 19/08/2010] D1D2220DE2FCCCF24ED8A9174D40B8AC

No folders found.

D:\Documents and Settings\vincent\Local Settings\Application Data\a1vM2WOmZ - Parameters: "/S /MD5 "

---Files---
None found.

No folders found.

-= EOF =-

mouais.

en attente de rogue killer.

RogueKiller:

RogueKiller V5.1.1 [05/05/2011] by Tigzy
contact at https://www.luanagames.com/index.fr.html
mail: tigzyRK<at>gmail<dot>com
Feedback: https://www.luanagames.com/index.fr.html

Operating System: Windows XP (5.1.2600 Service Pack 3) 32 bits version
Started in : Normal mode
User: vincent [Admin rights]
Mode: Remove -- Date : 05/11/2011 22:01:46

Bad processes: 0

Registry Entries: 0

HOSTS File:
127.0.0.1 localhost

Finished : << RKreport[1].txt >>
RKreport[1].txt

RogueKiller V5.1.1 [05/05/2011] by Tigzy
contact at https://www.luanagames.com/index.fr.html
mail: tigzyRK<at>gmail<dot>com
Feedback: https://www.luanagames.com/index.fr.html

Operating System: Windows XP (5.1.2600 Service Pack 3) 32 bits version
Started in : Normal mode
User: vincent [Admin rights]
Mode: Shortcuts HJfix -- Date : 05/11/2011 22:02:34

Bad processes: 0

File attributes restored:
Desktop: Success 712 / Fail 1
Quick launch: Success 1 / Fail 0
Programs: Success 104 / Fail 1
Start menu: Success 149 / Fail 0
User folder: Success 60 / Fail 0
My documents: Success 3142 / Fail 0
My favorites: Success 36 / Fail 0
My pictures: Success 0 / Fail 0
My music: Success 0 / Fail 0
My videos: Success 0 / Fail 0
Local drives: Success 1 / Fail 1

Finished : << RKreport[2].txt >>
RKreport[1].txt ; RKreport[2].txt

tes fichiers sont réapparus normalement :)

oui, je n'ai plus qu'à réorganiser le bureau.... :l

Vraiment, merci beaucoup pour votre aide et votre temps.

V.

Refais moi un zhpdiag tout neuf; la procédure se trouve là pour rappel : https://forums.commentcamarche.net/forum/affich-22069177-virus-hard-drive-failure-bureau-vide#6