Infectée par le virus Windows recovery Fermé

Question

Bonjour, 

je viens d'etre attaquée par ce virus, et je n'arrive pas à m'en debarrasser..
de plus, j'ai perdu toutes mes données bien que mon disque dur apparaisse comme plein.
J'ai cru comprendre que je pouvais les recuperer ? 
J'aimerais savoir comment faire, car je suis vraiment nulle en informatique, et j'ai besoin de mes données notamment pour le bac, mon option facultative est dans 6 jours, et j'avais toutes mes ecoutes sur ordi ! 
Bref, je desepère totalement.

Votre aide serait vraiment une bénédiction..


Configuration: Windows Vista / Firefox 3.6.17

jfkpresident · Accepted Answer

Bonsoir,

* Télécharge sur le bureau RogueKiller (par tigzy)
* Quitte tous tes programmes en cours
* Lance le.
* Lorsque demandé, tape 2 et valide
* Un rapport (RKreport.txt) a du se créer à côté de l'exécutable, colle son contenu dans la réponse
* Si le programme a été bloqué, ne pas hésiter a essayer plusieurs fois.

Sara · Answer

Voici le rapport (parcontre desolée, j'avais oublié de fermer Word)

RogueKiller V5.1.1 [05/05/2011] par Tigzy
contact sur http://www.sur-la-toile.com
mail: tigzyRK<at>gmail<dot>com
Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html

Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version
Demarrage : Mode normal
Utilisateur: Sara [Droits d'admin]
Mode: Suppression -- Date : 11/05/2011 22:16:45

Processus malicieux: 2
[APPDT/TMP/DESKTOP] cacaoweb.exe -- c:\users\sara\appdata\roaming\cacaoweb\cacaoweb.exe -> KILLED
[APPDATA/TEMP/DESKTOP] Wlkaetcp.dll -- C:\Users\Sara\AppData\Local\Wlkaetcp.dll -> KILLED

Entrees de registre: 3
[APPDT/TMP/DESKTOP] HKCU\[...]\Run : cacaoweb ("C:\Users\Sara\AppData\Roaming\cacaoweb\cacaoweb.exe" -noplayer) -> DELETED
[APPDT/TMP/DESKTOP] HKCU\[...]\Run : YvYKyGbjbi (C:\ProgramData\YvYKyGbjbi.exe) -> DELETED
[BLACKLIST DLL] HKCU\[...]\Run : Wpatorohugewuxiq (rundll32.exe "C:\Users\Sara\AppData\Local\Wlkaetcp.dll",Startup) -> DELETED

Fichier HOSTS:
127.0.0.1 localhost
::1 localhost

Termine : << RKreport[1].txt >>
RKreport[1].txt

Sara · Answer

(ps : y'a t il un risque pour mes fichiers ? je ne veux vraiment pas les perdre...)

jfkpresident · Answer

Relance RogueKiller mais ce coup ci choisis l'option 6 

Ensuite:

 Télécharge ZhpDiag de Nicolas Coolman .
  
    Une fois le téléchargement achevé, double clique sur ZHPDiag.exe(clic droit ,"éxécuter en tant qu'administrateur" pour Vista/7).

    Une fois installé le programme s'ouvre automatiquement .

    Clique sur la loupe pour lancer l'analyse.

    A la fin de l'analyse, clique sur la "disquette" (enregistrer sous..) .

    Rend toi sur ce site : http://www.cijoint.fr/index.php
     
    Clique sur parcourir et sélectionne le fichier ZhpDiag.txt (Une aide au cas ou])

    Un lien va etre créer ,poste ce lien dans ta prochaine réponse.

Sara · Answer

http://www.cijoint.fr/cjlink.php?file=cj201105/cijgIpz4Tj.txt

Voici le lien

par ailleurs je vous remercie beaucoup pour l'aide que vous m'apportez.

jfkpresident · Answer

Encore beaucoup de fichiers infectés sur ce pc ....

Télécharge OTM de OldTimer sur ton Bureau en cliquant sur ce lien :

http://www.geekstogo.com/forum/files/file/402-otm-oldtimers-move-it/

Double-clique sur OTMoveIt3.exe pour le lancer.

Copie la liste qui se trouve en gras ci-dessous,

et colle-la dans le cadre de gauche de OTMoveIt : "Paste instructions for item to be moved".



:files
C:\Users\Sara\AppData\Roaming\Mozilla\Firefox\Profiles\aw4mstd7.default\searchplugins\askcom.xml    
C:\Program Files\Mozilla Firefox\Plugins
pclntax_HBLiteSA.dll    
C:\Program Files\Viewpoint\Viewpoint Experience Technology
pViewpoint.dll    
C:\Program Files\AskBarDis    
C:\Program Files\HBLite    
C:\Program Files\OfferBox    
C:\Program Files\Viewpoint    
C:\ProgramData\2ACA5CC3-0F83-453D-A079-1076FE1A8B65    
C:\ProgramData\HBLiteSA    
C:\ProgramData\Viewpoint    
C:\Users\Sara\AppData\Roaming\cacaoweb    
C:\Users\Sara\AppData\Roaming\CrazyLoader    
C:\Users\Sara\AppData\Roaming\HBLite    
C:\Users\Sara\AppData\Roaming\OfferBox    
C:\Program Files\CrazyLoader
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Hotbar    
C:\Users\Sara\Appdata\Local\Temp\AskBarDis    
C:\Program Files\SweetIM    
C:\Program Files\BabylonToolbar    
C:\Users\Sara\AppData\Roaming\Mozilla\Firefox\Profiles\aw4mstd7.default\searchplugins\BearShareWebSearch.xml      
C:\Users\Sara\AppData\Local\Temp\AlawarGameBoxWebSetup.exe   
C:\Users\Sara\AppData\Local\Temp\FFSetupSoftonic260.exe   
C:\Users\Sara\AppData\Local\Temp\GLFF2CC.tmp.ConduitEngineSetup.exe   

:commands
[emptytemp]
[start explorer]
[reboot]



Clique sur "MoveIt!" pour lancer la suppression.

Le résultat apparaitra dans le cadre "Results".

Clique sur "Exit" pour fermer.

Poste le rapport situé dans C:\_OTMoveIt\MovedFiles sous le nom xxxxxx_xxxxxxxxxx.log .

Il te sera peut-être demander de redémarrer le pc pour achever la suppression. Si c'est le cas accepte par Yes.

sara · Answer

Le logiciel ne veut pas fonctionner. il se lance et trouve les resultats mais quand je veux appuyer sur exit, ma session se vide entièrement et le programme ne répond plus.

jfkpresident · Answer

Télécharges ComboFix à partir d'un de ces liens :

http://download.bleepingcomputer.com/sUBs/ComboFix.exe
https://forospyware.com
http://www.geekstogo.com/forum/files/file/197-combofix-by-subs/

Et important, enregistre le sur le bureau.

Avant d'utiliser ComboFix :

? Déconnecte toi d'internet et referme les fenêtres de tous les programmes en cours.

? Désactive provisoirement et seulement le temps de l'utilisation de ComboFix,
la protection en temps réel de ton Antivirus et de tes Antispywares,
qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil.


Une fois fait, sur ton bureau double-clic sur Combofix.exe.

- Répond oui au message d'avertissement, pour que le programme commence à procéder à l'analyse du pc.

/!\ Pendant la durée de cette étape, ne te sert pas du pc et n'ouvre aucun programmes.

- En fin de scan il est possible que ComboFix ait besoin de redémarrer le pc pour finaliser la désinfection\recherche, laisses-le faire.

- Un rapport s'ouvrira ensuite dans le bloc notes, ce fichier rapport Combofix.txt,.
est automatiquement sauvegardé et rangé à C:\Combofix.txt)

? Réactive la protection en temps réel de ton Antivirus et de tes Antispywares,
avant de te reconnecter à internet.

? Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

sara · Answer

je n'arrive pas à repondre !! 
"titre non renseigné".

Pourrais je vous envoyer le rapport sur une adresse mail ?