Virus windows recovery

gandalf_44 -  
Bonjour,



Je viens vers vous après 3 jours de galère à essayer tout seul... en vain.

J'ai choppé 2 virus d'affilé, des faux antivirus qui lancent des scans... le premier je l'ai roguekillé (je ne me rappelle plus le nom) et le second aussi (je crois) mais ce dernier est parti avec mon fond d'écran, mes icones et mes lancement rapides !

J'ai donc tenté roguekiller, malware... sans résultats...

Un conseil avisé me serait d'une grande aide, merci par avance.

Pour ceux qui maîtrisent le mandarin : ) le rapport combofix

http://www.cijoint.fr/cjlink.php?file=cj201105/cijT2Dl11w.txt

19 réponses

Résumé de la discussion

Le fil concerne une infection par des faux antivirus sur Windows Vista avec Internet Explorer 9, qui masque le bureau et efface les icônes après deux infections consécutives, RogueKiller et une solution similaire. Plusieurs réponses recommandent RogueKiller en mode administrateur, la remontée du rapport RKreport.txt et le passage à l’option 6; si nécessaire, renommer l’exécutable en winlogon.exe et relancer. D’autres conseils évoquent la vérification des dossiers cachés dans C:/DocSettings/[nom]/Bureau, l’usage d’unoutil comme unhide.exe et la possibilité que le « Windows Vista Recovery » masque temporairement les icônes sans les supprimer. En complément, plusieurs échanges soulignent que les liens et outils peuvent évoluer selon les versions, rendant parfois nécessaire une reconstruction manuelle du bureau et des programmes.

Bobot (l’IA à votre service)
  1. Utilisateur anonyme
    Bonsoir

    Commence par ceci:

    Supprime Rogue killer


    1)    * Télécharger sur le bureau RogueKiller(par Tigzy)
    * Quitter tous les programmes en cours
    * Sous Vista/Seven , clic droit -> lancer en tant qu'administrateur
    * Sinon lancer simplement RogueKiller.exe
    * Lorsque demandé, taper 2 et valider
    * Un rapport à dû s'ouvrir (RKreport.txt se trouve également à côté de l'exécutable), donner son contenu à la personne qui vous aide
    * Si le programme a été bloqué, ne pas hésiter a essayé plusieurs fois. Si vraiment cela ne passe pas (ça peut arriver), le renommer en winlogon.exe

    2)Relance ensuite RogueKiller et passe à l'option 6

    Poste moi ces deux rapports ;merci.

    @+
    3
    1. gandalf_44 Auteur
      Bonjour Tigzy,

      Le lien ne semble pas fonctionner :

      "Désolé, il semble que le fichier que vous demandez n'existe pas."
      1
      1. gandalf_44 Auteur
        je tape 2 :

        RogueKiller V5.1.3 [16/05/2011] par Tigzy
        contact sur https://www.luanagames.com/index.fr.html
        mail: tigzyRK<at>gmail<dot>com
        Remontees: https://www.luanagames.com/index.fr.html

        Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version
        Demarrage : Mode normal
        Utilisateur: driss [Droits d'admin]
        Mode: Suppression -- Date : 17/05/2011 22:10:38

        Processus malicieux: 1
        [SUSP PATH] RtHDVCpl.exe -- c:\windows\rthdvcpl.exe -> KILLED

        Entrees de registre: 0

        Fichier HOSTS:
        127.0.0.1 localhost

        Termine : << RKreport[1].txt >>
        RKreport[1].txt
        0
        1. gandalf_44 Auteur
          je tape 6 :

          RogueKiller V5.1.3 [16/05/2011] par Tigzy
          contact sur https://www.luanagames.com/index.fr.html
          mail: tigzyRK<at>gmail<dot>com
          Remontees: https://www.luanagames.com/index.fr.html

          Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version
          Demarrage : Mode normal
          Utilisateur: driss [Droits d'admin]
          Mode: Raccourcis RAZ -- Date : 17/05/2011 22:12:01

          Processus malicieux: 0

          Attributs de fichiers restaures:
          Bureau: Success 0 / Fail 0
          Lancement rapide: Success 0 / Fail 0
          Programmes: Success 0 / Fail 0
          Menu demarrer: Success 0 / Fail 0
          Dossier utilisateur: Success 3 / Fail 0
          Mes documents: Success 0 / Fail 0
          Mes favoris: Success 0 / Fail 0
          Mes images: Success 0 / Fail 0
          Ma musique: Success 0 / Fail 0
          Mes videos: Success 0 / Fail 0
          Disques locaux: Success 1 / Fail 0

          Termine : << RKreport[2].txt >>
          RKreport[1].txt ; RKreport[2].txt
          0
          2. Utilisateur anonyme
            Re

            Tu confirmes que tu n'as plus d'icônes sur le bureau et que tous tes programmes via le bouton "Démarrer" ont disparus.

            @+
            0
            1. gandalf_44 Auteur
              tout à fait, j'ai juste un ou deux docs word qui sont revenus sur le bureau. c'est tout malheureusement !
              0
              1. Utilisateur anonyme
                Re

                Et bien tu n'as pas d'autre solution que de tout remettre à la main.
                -Icônes sur le bureau
                -tous tes programmes

                @+
                0
                1. gandalf_44 Auteur
                  ok je vais faire, tu penses que mon pc est sain maintenant? pas de rsique de rechute?
                  0
                  1. Utilisateur anonyme
                    Re

                    Procède à ces diverses installations et ensuite nous verrons la suite.

                    Tiens moi au courant;merci.

                    @+
                    0
                    2. Tigzy Contributeur sécurité
                      Salut

                      Passe le mode 6 de RogueKiller de cette version : https://www.luanagames.com/index.fr.html
                      RIP Jaxryley....
                      Contributeur SECURITE *** Développeur de RogueKiller ***
                      Pas de rapports par MP, hébergez les sur www.cijoint.fr. Pas de désinfection par MP, merci d'ouvrir un fil
                      0
                      1. Tigzy Contributeur sécurité
                        Désolé, j'ai oublié d'avertir.
                        Il faut retélécharger sur le lien officiel, j'ai mis à jour :)
                        0
                        1. gandalf_44 Auteur
                          ok c'est fait, il a travaillé un bon moment... mais pas de changement visible si ce n'est que mes dossiers sont nommés en anglais (pictures...), pas d'icones bureau ou de lancements rapides réapparus...

                          le rapport :

                          RogueKiller V5.1.4 [18/05/2011] par Tigzy
                          contact sur https://www.luanagames.com/index.fr.html
                          mail: tigzyRK<at>gmail<dot>com
                          Remontees: https://www.luanagames.com/index.fr.html

                          Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version
                          Demarrage : Mode normal
                          Utilisateur: driss [Droits d'admin]
                          Mode: Raccourcis RAZ -- Date : 19/05/2011 18:50:00

                          Processus malicieux: 1
                          [SUSP PATH] RtHDVCpl.exe -- c:\windows\rthdvcpl.exe -> KILLED

                          Attributs de fichiers restaures:
                          Bureau: Success 0 / Fail 0
                          Lancement rapide: Success 0 / Fail 0
                          Programmes: Success 2891 / Fail 0
                          Menu demarrer: Success 108 / Fail 0
                          Dossier utilisateur: Success 14702 / Fail 6258
                          Mes documents: Success 512 / Fail 0
                          Mes favoris: Success 3 / Fail 0
                          Mes images: Success 143 / Fail 0
                          Ma musique: Success 30 / Fail 0
                          Mes videos: Success 5 / Fail 0
                          Disques locaux: Success 46859 / Fail 38964
                          Sauvegarde: [NOT FOUND]

                          Termine : << RKreport[1].txt >>
                          RKreport[1].txt
                          0
                          1. Tigzy Contributeur sécurité
                            Il a pas trouvé la sauvegarde du rogue...
                            Le changement de nom en anglais est apparu à quel moment? Après RogueKiller?
                            0
                        2. gandalf_44 Auteur
                          oui après l'option 6 du roguekiller comme tu me l'as conseillé. As-tu un conseil pour venir à des noms français?

                          Merci
                          0
                          1. Tigzy Contributeur sécurité
                            Yep, j'ai mis au point un correctif :)

                            * Télécharge ceci FixLanguage sur le bureau (clic droit, enregistrer sous)
                            * clic droit => lancer en tant qu'admin
                            0
                            1. gandalf_44 Auteur
                              bonjour,

                              je ne parviens pas à le lancer, c'est .bat je ne connais pas cette extension. Il s'ouvre avec blocnote chez moi.
                              0
                              1. Tigzy Contributeur sécurité
                                Parce que tu as encore l'extension .txt
                                Il faut soit afficher les extensions et retirer le .txt, soit tu fais clic droit , enregistrer sous directement sur le lien
                                0
                            2. NoDiez
                              Je peux me tromper, mais le virus Windows Vista Recovery ne fait que cacher les icones sur le bureau, donc celles-ci sont bien quelque part.

                              Déjà, peux-tu regarder dans C:/Doc&Settings/lenomdetasession/Bureau/ , si en faisant une recherche dans les dossiers et fichiers cachés tu vois quelque chose ?
                              Logiquement, tu devrais voir tous tes fichiers en caché.

                              Ensuite, tu peux télécharger unhide.exe sur ton bureau, et laisse le chercher :
                              https://download.bleepingcomputer.com/grinler/unhide.exe

                              Mais bon je ne veux pas interférer sur un diagnostic, mais je pense qu'il ne pose pas de problème à l'éradication du virus.
                              0
                              1. Tigzy Contributeur sécurité
                                Oui tu te trompes.
                                Il ne fait pas que cacher les documents, il déplace certains racccourcis dans une zone temporaire.

                                Et unhide ne fera rien de plus que l'option 6 de RogueKiller
                                0
                              2. NoDiez
                                Non pour ma part l'option 6 de Rogue killer m'a réaffiché environ 60% des icones du bureau. Unhide a fait le reste ( enfin unhide a visiblement démasqué quelques programmes supplémentaires, ce qui a apparemment affiché leur raccourcis ensuite )
                                0
                              3. Tigzy Contributeur sécurité
                                Oui, parce que tu avais une vieille version de RogueKiller.
                                Tu peux me donner le numéro de version que tu as utilisé?
                                0
                              4. NoDiez
                                4.3.9

                                Edit : Ah oué effectivement j'ai pas vu la nouvelle version 5.X
                                Edit 2 : Ah ben d'ailleurs cette version a pu rétablir tous les programmes dans le menu démarrer, je bataille depuis X temps en pensant avoir la dernière version, merci du coup :d
                                0
                              5. Tigzy Contributeur sécurité
                                Oui, on en est à la version 5.1.5 :)
                                Et les MAJ les plus importantes sont depuis cette version (la 5.1.4 était encore pas terrible pour l'option 6)

                                Tu as un problème de dossiers passés en anglais?

                                EDIT: Tu peux me donner le rapport du mode 6?
                                0
                            3. fugu
                              salut,

                              je viens de rétablir toutes les icones sur mon bureau, suite a cette saloperie de xp recovery... comme l'a signalé NODiez, il masque l'ensemble des fichiers. Donc tu vas dans la config d'affichage des répertoires et tu actives l'option afficher les fichiers cachés. Là tu te rendras compte que tous les fichiers perso seront en mode caché.
                              Il suffira par la suite de décocher l'option et tes programmes, ... seront à nouveaux visibles.
                              0
                              1. Tigzy Contributeur sécurité
                                Sauf ceux du menu démarrer et de la barre de lancement rapide....
                                0
                            4. Tatsue
                              En fait il semblerait qu'il faille juste aller dans le panneau de configuration (affichage classique), "options des dossiers" et recocher la case "afficher les dossiers cachés" et c'est bon ! Plus qu'à aller dans les propriétés des dossiers et décocher ensuite la case "caché"
                              0
                              2. Tatsue
                                'tain j'croyais pourtant avoir tout lu mon cerveau a eu le hoquet, mais effectivement le menu démarrer et la barre de lancement rapide, c'est pas rétabli.... j'crois qu'il va falloir le faire à la main et ça va être passionnant
                                0