Bonjour, Au démarrage mon ordi est bloqué en raison d'erreurs critiques soit disant. Je ne peux pas sortir d'une page "d'aide" de windows xp recovery. Je n'ai jamais entendu parler de ce logiciel. Quelqu'un pourrait-il m'aider ? Merci d'avance. Configuration: Windows XP / Internet Explorer 8.0

bonjour il s'agit d'un rogue tenace actuellement très répendu ! télécharge le logiciel roguekiller et colle nous un rapport avec l'option 2 a plus

Me debarasser de windows xp recovery svp ....

Réponse 41 / 97

zabays

peux tu la préciser un peu stp ?

Je commence par lancer Pre_script ?

Réponse 42 / 97

zabays

toujours mon bureau bleu ... :( Le rapport :

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Script ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

¤¤¤¤¤ XP | Vista | Seven - 32/64 bits ¤¤¤¤¤

Utilisateur : jerome (Administrateurs)
Ordinateur : JACKO
Système d'exploitation : Microsoft Windows XP (32 bits)
Internet Explorer : 8.0.6001.18702
Mozilla Firefox : 3.5.3 (fr)

Switchs possibles :

processes:: | file:: | folder::
Registry:: | Driver:: | replace::
txt:: | Host:: | DNS:: | NsLook::
Command:: | list:: | attrib::

Script : 22:13:46

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

switchs :

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

explorer.exe -> Processus redémarré

Fin : 22:13:46

¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤

Réponse 43 / 97

zabays

Il faut faire la manip en mode sans échec peut être ?

Réponse 44 / 97

Utilisateur anonyme

bonsoir non tu dois mal t'y prendre pour enregistrer le fichier

personne n'y arrive pourtant c'est pas compliqué !

selcetionner le texte en gras tout entier , faire ctrl+C (ou clic droit/copier) , lancer pre_script , coller dans le texte qui s'ouvre , onglet fichier => enregistrer , (et pas enregistrer sous....) , puis fermer

le tout toutes les protections desactivées (relire plus haut) et si l'antivirus contient une sandbox , elle doit etre desactivée

Réponse 45 / 97

zabays

Pour desactiver toutes les protections je dois faire comment ? Je débranche ma freebox aussi ?

En desactivant l'antivirus et en faisant ta manip j'obtiens :

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Script ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

¤¤¤¤¤ XP | Vista | Seven - 32/64 bits ¤¤¤¤¤

Utilisateur : jerome (Administrateurs)
Ordinateur : JACKO
Système d'exploitation : Microsoft Windows XP (32 bits)
Internet Explorer : 8.0.6001.18702
Mozilla Firefox : 3.5.3 (fr)

Switchs possibles :

processes:: | file:: | folder::
Registry:: | Driver:: | replace::
txt:: | Host:: | DNS:: | NsLook::
Command:: | list:: | attrib::

Script : 21:54:44

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

switchs :

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

explorer.exe -> Processus redémarré

Fin : 21:54:44

¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤

zabays

au fait, a la fin de la manp le dossier "mes documents " s'ouvre tout seul ...

Réponse 46 / 97

Utilisateur anonyme

bon ben en tout cas ca marche tres bien voici ce que j'obtiens en le faisant chez moi

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Script ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

¤¤¤¤¤ XP | Vista | Seven - 32/64 bits ¤¤¤¤¤

Utilisateur : gen-hackman (Administrateurs)
Ordinateur : GEN-HACKMAN-PC
Système d'exploitation : Windows 7 (32 bits) Service Pack 1
Internet Explorer : 9.0.8112.16421
Mozilla Firefox : 4.0.1 (fr)

Switchs possibles :

processes:: | file:: | folder::
Registry:: | Driver:: | replace::
txt:: | Host:: | DNS:: | NsLook::
Command:: | list:: | attrib::

Script : 00:29:42

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

switchs :

file::
C:\Documents and Settings\All Users\Application Data\qwpBUWKFBbisA.exe

folder::
C:\Documents and Settings\jerome\Local Settings\Application Data\ArmA
C:\Documents and Settings\All Users\Application Data\aAe28258eOlJc28258

Registry::
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"qwpBUWKFBbisA"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"nwiz"=-
"HP Software Update"=-
"Adobe Reader Speed Launcher"=-

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Modification du registre effectuéé

¤

Absent : C:\Documents and Settings\All Users\Application Data\qwpBUWKFBbisA.exe

¤

Absent : C:\Documents and Settings\jerome\Local Settings\Application Data\ArmA
Absent : C:\Documents and Settings\All Users\Application Data\aAe28258eOlJc28258

¤

Fin : 00:29:42

¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤

Réponse 47 / 97

zabays

De retour après mon mariage ...

Ben je suis toujours au même point ... C'est à dire bureau tout bleu (sans pouvoir le changer) et difficulté à faire fonctionner Pre_script (peut etre un problème lié à mon parrefeu ou mon antivirus "Antivir").

Que faire ?

Dernier rapport :

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Script ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

¤¤¤¤¤ XP | Vista | Seven - 32/64 bits ¤¤¤¤¤

Utilisateur : jerome (Administrateurs)
Ordinateur : JACKO
Système d'exploitation : Microsoft Windows XP (32 bits)
Internet Explorer : 8.0.6001.18702
Mozilla Firefox : 3.5.3 (fr)

Switchs possibles :

processes:: | file:: | folder::
Registry:: | Driver:: | replace::
txt:: | Host:: | DNS:: | NsLook::
Command:: | list:: | attrib::

Script : 13:07:46

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

switchs :

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

explorer.exe -> Processus redémarré

Fin : 13:07:46

¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤

Réponse 48 / 97

Utilisateur anonyme

bon on va reprendre parce que ca va pas

▶ Télécharge DelFix sur ton bureau.

▶ Lance le, tape suppression puis valide

Patiente pendant le scan jusqu'à l'ouverture du rapport.

▶ Copie/Colle le contenu du rapport dans ta prochaine réponse.

Note : Le rapport se trouve également sous C:\DelFix.txt

tu peux le desinstaller

==========================================

desactive ton antivirus
desactive Windows defender si présent
desactive ton pare-feu

Ferme toutes tes appilications en cours

telecharge et enregistre ceci sur ton bureau :

Pre_Scan

mirroir :

http://www.archive-host.com

s'il n'est pas sur ton bureau coupe-le de ton dossier telechargements et colle-le sur ton bureau

Avertissement: Il y aura une extinction du bureau pendant le scan --> pas de panique.

une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition de "Pre_scan.txt" sur le bureau.

si 'outil est bloqué par l'infection utilise cette version : Version .pif

si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

si l'outil semble ne pas avoir fonctionné renomme-le winlogon , ou change son extension en .com ou .scr

Il se peut qu'une multitude de fenêtres noires clignotent , laisse-le travailler

Poste Pre_Scan.txt qui apparaitra sur le bureau en fin de scan

▶▶▶ NE LE POSTE PAS SUR LE FORUM (il est trop long)

clique sur ce lien : http://www.cijoint.fr/

▶ Clique sur Parcourir et cherche le fichier ci-dessus.

▶ Clique sur Ouvrir.

▶ Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

est ajouté dans la page.

▶ Copie ce lien dans ta réponse.

Réponse 49 / 97

zabays

rapport Delfix :

# DelFix v8.1 - Rapport créé le 04/07/2011 à 18:46
# Mis à jour le 20/06/11 à 19h par Xplode
# Système d'exploitation : Microsoft Windows XP (32 bits) [version 5.1.2600] Service Pack 3
# Nom d'utilisateur : jerome - JACKO (Administrateur)
# Exécuté depuis : C:\Documents and Settings\jerome\Bureau\delfix.exe
# Option [Suppression]

~~~~~~ Dossier(s) ~~~~~~

Supprimé : C:\Kill'em
Supprimé : C:\Qoobox
Supprimé : C:\Program Files\Ad-Remover
Supprimé : C:\Program Files\ZHPDiag
Supprimé : C:\Documents and Settings\jerome\Bureau\RK_Quarantine
Supprimé : C:\Documents and Settings\All Users\Menu Démarrer\Programmes\ZHP

~~~~~~ Fichier(s) ~~~~~~

Supprimé : C:\Ad-Report-CLEAN[1].txt
Supprimé : C:\ComboFix.txt
Supprimé : C:\JavaRa.log
Supprimé : C:\PhysicalDisk0_MBR.bin
Supprimé : C:\TCleaner.txt
Supprimé : C:\TDSSKiller.2.5.4.0_13.06.2011_23.14.04_log.txt
Supprimé : C:\TDSSKiller.2.5.4.0_14.06.2011_19.23.46_log.txt
Supprimé : C:\ZHPExportRegistry-13-06-2011-23-12-08.txt
Supprimé : C:\ZHPExportRegistry-15-04-2011-22-02-17.txt
Supprimé : C:\WINDOWS\grep.exe
Supprimé : C:\WINDOWS\MBR.exe
Supprimé : C:\WINDOWS\NIRCMD.exe
Supprimé : C:\WINDOWS\PEV.exe
Supprimé : C:\WINDOWS\sed.exe
Supprimé : C:\WINDOWS\SWREG.exe
Supprimé : C:\WINDOWS\SWSC.exe
Supprimé : C:\WINDOWS\SWXCACLS.exe
Supprimé : C:\WINDOWS\zip.exe
Supprimé : C:\Documents and Settings\jerome\Bureau\AD-R.lnk
Supprimé : C:\Documents and Settings\jerome\Bureau\ComboFix.exe
Supprimé : C:\Documents and Settings\jerome\Bureau\mbr.exe
Supprimé : C:\Documents and Settings\jerome\Bureau\MBRCheck.lnk
Supprimé : C:\Documents and Settings\jerome\Bureau\Pre_scan.exe
Supprimé : C:\Documents and Settings\jerome\Bureau\Pre_Script.exe
Supprimé : C:\Documents and Settings\jerome\Bureau\RKreport[1].txt
Supprimé : C:\Documents and Settings\jerome\Bureau\ZHPDiag.lnk
Supprimé : C:\Documents and Settings\jerome\Bureau\ZHPDiag2.exe
Supprimé : C:\Documents and Settings\jerome\Bureau\ZHPFix.lnk
Supprimé : C:\Documents and Settings\All Users\Bureau\MBRCheck.lnk
Supprimé : C:\Documents and Settings\All Users\Bureau\ZHPDiag.lnk
Supprimé : C:\Documents and Settings\All Users\Bureau\ZHPFix.lnk

~~~~~~ Registre ~~~~~~

Clé Supprimée : HKCU\SOFTWARE\Ad-Remover
Clé Supprimée : HKCU\SOFTWARE\g3n-h@ckm@n
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MenuOrder\Start Menu2\Programs\ZHP
Clé Supprimée : HKLM\Software\OldTimer Tools
Clé Supprimée : HKLM\Software\Classes\.cfxxe
Clé Supprimée : HKLM\Software\Classes\cfxxefile
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\Ad-Remover
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\ZHPDiag_is1
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\App Paths\combofix.exe
ACL -> [F] & Clé Supprimée : HKLM\SOFTWARE\Swearware

~~~~~~ Autre ~~~~~~

-> Prefetch vidé

########## EOF - "C:\DelFixSuppr.txt" - [3025 octets] ##########

Réponse 50 / 97

zabays

rapport Prescan :

http://www.cijoint.fr/cjlink.php?file=cj201107/cij3tvyXG3.txt

Réponse 51 / 97

zabays

toujours impossible de modifier l'image de mon bureau ...

J'essaye la version .pif de Prescan ?

Utilisateur anonyme

attends ne t'enerve pas laisse moi le temps d'etudier ca ! :)

Réponse 52 / 97

Utilisateur anonyme

ok

tu n'as pas desactivé antivir on dirait bien

Réponse 53 / 97

zabays

Je pense que si .... je recommence en le désinstallant ?

Ou bien c'est un antivirus/parefeu intégré dans ma freebox qui gene ?

Réponse 54 / 97

Utilisateur anonyme

non desinstalle adobe reader 9.0 on mettra le dernier

==========================

Les logiciels d'émulation de CD comme Daemon Tools peuvent gêner les outils de désinfection. Utilise Defogger pour les désactiver temporairement :

▶ Télécharge Defogger (de jpshortstuff) sur ton Bureau

▶ Lance le

Une fenêtre apparait : clique sur "Disable"

▶ Fais redémarrer l'ordinateur si l'outil te le demande

Note : Quand nous aurons terminé la désinfection, tu pourras réactiver ces logiciels en relançant Defogger et en cliquant sur "Re-enable"

================================

fais glisser une icone n'importe quel fichier sur Pre_scan , pre_script va apparaitre

ouvre Pre_script et colle ce qui suit en gras, à l'interieur du texte qui s'ouvre ,
sans les lignes , en une seule fois en le mettant en surbrillance :
___________________________________________________
Registry::
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"qwpBUWKFBbisA"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Adobe Reader Speed Launcher"=-
"nwiz"=-
"HP Software Update"=-
[HKEY_LOCAL_MACHINE\System\CurrentControlSet\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"1900:UDP"=-
"2869:TCP"=-
"139:TCP"=-
"445:TCP"=-
"137:UDP"=-
"138:UDP=-

file::
C:\Documents and Settings\All Users\Application Data\qwpBUWKFBbisA.exe
C:\Documents and Settings\All Users\Application Data\aAe28258eOlJc28258

attrib::
___________________________________________________

copie-le (ctrl+c ou clique droit sur la selection puis => copier)

puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille

poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail

Réponse 55 / 97

zabays

Toujours bureau bleu mais la procédure a l'air d'avoir fonctionnée ...

Raport Pre_script :

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Script ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

¤¤¤¤¤ XP | Vista | Seven - 32/64 bits ¤¤¤¤¤

Utilisateur : jerome (Administrateurs)
Ordinateur : JACKO
Système d'exploitation : Microsoft Windows XP (32 bits)
Internet Explorer : 8.0.6001.18702
Mozilla Firefox : 3.5.3 (fr)

Switchs possibles :

processes:: | file:: | folder::
Registry:: | Driver:: | replace::
txt:: | Host:: | DNS:: | NsLook::
Command:: | list:: | attrib::

Script : 13:29:48

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

switchs :

file::
C:\Documents and Settings\All Users\Application Data\qwpBUWKFBbisA.exe
C:\Documents and Settings\All Users\Application Data\aAe28258eOlJc28258

Registry::
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"qwpBUWKFBbisA"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Adobe Reader Speed Launcher"=-
"nwiz"=-
"HP Software Update"=-
[HKEY_LOCAL_MACHINE\System\CurrentControlSet\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"1900:UDP"=-
"2869:TCP"=-
"139:TCP"=-
"445:TCP"=-
"137:UDP"=-
"138:UDP=-

attrib::

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Modification du registre effectuéé

¤

Absent : C:\Documents and Settings\All Users\Application Data\qwpBUWKFBbisA.exe
Non Supprimé : C:\Documents and Settings\All Users\Application Data\aAe28258eOlJc28258

¤

Disques externes : 0 Objets réattribués
Disque Local : 5 Objets réattribués
Utilisateurs : 0 Objets réattribués
ProgramFiles : 12 Objets réattribués
Music : 0 Objets réattribués
Pictures : 0 Objets réattribués
Videos : 0 Objets réattribués
Downloads : 0 Objets réattribués
Desktop : 0 Objets réattribués
Links : 0 Objets réattribués
Searches : 0 Objets réattribués
Contacts : 0 Objets réattribués
Saved Games : 0 Objets réattribués
Favorites : 0 Objets réattribués
Documents : 0 Objets réattribués
Windows : 23 Objets réattribués
StartMenu : 0 Objets réattribués
Librairies : 0 Objets réattribués
Quick Launch : 0 Objets réattribués
%AppData% : 47 Objets réattribués

¤

Fin : 13:35:12

¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤

Réponse 56 / 97

Utilisateur anonyme

regarde si tu arrives à supprimer ceci manuellement :

C:\Documents and Settings\All Users\Application Data\aAe28258eOlJc28258

Réponse 57 / 97

zabays

Je l'ai envoyé dans la poubelle que j'ai vidée.
Apparemment c'est bon.
Je redémarre pour voir si je peux changer le bureau.

Réponse 58 / 97

Utilisateur anonyme

ok :)

Réponse 59 / 97

zabays

hum .. tjrs le meme problème. Impossible de changer l'image de fond du bureau.

Réponse 60 / 97

zabays

Au fait, au redémarrage Windows m'a demandé quel mode de démarrage je voulais. J'ai répondu "Normal".

Me debarasser de windows xp recovery svp ....

97 réponses

Votre réponse

Newsletters