Infectée par windows recover

damia -  
 Utilisateur anonyme -
Bonjour,

Bref, je suis infectée par ce "virus" et assez novice en la matière. Je suis en train d'exécuter Malwarebytes. Est-ce la chose à faire ?
J'ai lu certains posts, mais j'avoue que je suis perdue.

Pouvez-vous m'aider à me dépatouiller ?


Merci d'avance...
A voir également:

61 réponses

Réponse 1 / 61
Utilisateur anonyme
 
ok le rapport
1
Réponse 2 / 61
Utilisateur anonyme
 
salut

desactive ton antivirus
desactive Windows defender si présent
desactive ton pare-feu

Ferme toutes tes appilications en cours

telecharge et enregistre ceci sur ton bureau :

Pre_Scan

mirroir :

http://www.archive-host.com

s'il n'est pas sur ton bureau coupe-le de ton dossier telechargements et colle-le sur ton bureau

Avertissement: Il y aura une extinction du bureau pendant le scan --> pas de panique.

une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition de "Pre_scan.txt" sur le bureau.

si 'outil est bloqué par l'infection utilise cette version : Version .pif

si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

si l'outil semble ne pas avoir fonctionné renomme-le winlogon , ou change son extension en .com ou .scr

Il se peut qu'une multitude de fenêtres noires clignotent , laisse-le travailler

Poste Pre_Scan.txt qui apparaitra sur le bureau en fin de scan

▶▶▶ NE LE POSTE PAS SUR LE FORUM (il est trop long)

clique sur ce lien : http://www.cijoint.fr/

▶ Clique sur Parcourir et cherche le fichier ci-dessus.

▶ Clique sur Ouvrir.

▶ Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

est ajouté dans la page.

▶ Copie ce lien dans ta réponse.
0
Réponse 3 / 61
damia
 
je viens de tenter, mais est-ce très long ? , j'ai l'impression que çà bloque...
J'ai redémarrer et j'ai une partie des fichiers qui revenus.... Avant de tenter version.pif
Peux-tu me donner une indication de durée....

Merci
0
Réponse 4 / 61
Utilisateur anonyme
 
il fallait laisser faire le programme tu etais prevenue que des fenetres noires allaient clignoter

tu as le rapport sur le bureau dans les icones ?
¤¤¤¤¤¤¤¤¤¤_g3n-h@ckm@n_developpement_¤¤¤¤¤¤¤¤¤¤
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤_Pre_scan_¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 5 / 61
damia
 
j'ai le rapport sur le bureau.... j'ai fait l'erreur après les fenêtres noires justement, rien ne sait passé pendant un long moment.... désolée, je crois d'ailleurs qu'internet explorer en a pris un coup.

voilà le lien :
http://www.cijoint.fr/cjlink.php?file=cj201107/cijKN261yd.txt
0
Réponse 6 / 61
Utilisateur anonyme
 
desinstalle adobe reader et zynga
desinstalle aussi spybot il est nul

=========================

fais glisser une icone n'importe quel fichier sur Pre_scan , pre_script va apparaitre

ouvre Pre_script et colle ce qui suit en gras, à l'interieur du texte qui s'ouvre ,
sans les lignes , en une seule fois en le mettant en surbrillance :
___________________________________________________
Registry::
[-HKEY_CLASSES_ROOT\CLSID\{7b13ec3e-999a-4b70-b9cb-2617b8323822}]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{7b13ec3e-999a-4b70-b9cb-2617b8323822}]
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ext\settings\{7b13ec3e-999a-4b70-b9cb-2617b8323822}]
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ext\stats\{7b13ec3e-999a-4b70-b9cb-2617b8323822}]
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks]
"{7b13ec3e-999a-4b70-b9cb-2617b8323822}"=-
[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\URLSearchHooks]
"{7b13ec3e-999a-4b70-b9cb-2617b8323822}"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
"{7b13ec3e-999a-4b70-b9cb-2617b8323822}"=-
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser]
"{7b13ec3e-999a-4b70-b9cb-2617b8323822}"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
"{7b13ec3e-999a-4b70-b9cb-2617b8323822}"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{7b13ec3e-999a-4b70-b9cb-2617b8323822}"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved]
"{7b13ec3e-999a-4b70-b9cb-2617b8323822}"=-
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{1B00725B-C455-4DE6-BFB6-AD540AD427CD}]
[-HKEY_CURRENT_USER\Software\Conduit]
[-HKEY_CURRENT_USER\Software\sponsoradulto]
[-HKEY_CURRENT_USER\Software\toolbar]
[-HKEY_CURRENT_USER\Software\Zynga]
[-HKEY_LOCAL_MACHINE\Software\Conduit]
[-HKEY_LOCAL_MACHINE\Software\Viewpoint]
[-HKEY_CLASSES_ROOT\CLSID\{72B3882F-453A-4633-AAC9-8C3DCED62AFF}]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{72B3882F-453A-4633-AAC9-8C3DCED62AFF}]
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ext\settings\{72B3882F-453A-4633-AAC9-8C3DCED62AFF}]
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ext\stats\{72B3882F-453A-4633-AAC9-8C3DCED62AFF}]
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks]
"{72B3882F-453A-4633-AAC9-8C3DCED62AFF}"=-
[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\URLSearchHooks]
"{72B3882F-453A-4633-AAC9-8C3DCED62AFF}"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
"{72B3882F-453A-4633-AAC9-8C3DCED62AFF}"=-
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser]
"{72B3882F-453A-4633-AAC9-8C3DCED62AFF}"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
"{72B3882F-453A-4633-AAC9-8C3DCED62AFF}"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{72B3882F-453A-4633-AAC9-8C3DCED62AFF}"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved]
"{72B3882F-453A-4633-AAC9-8C3DCED62AFF}"=-
[HKEY_LOCAL_MACHINE\System\CurrentControlSet\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"1900:UDP"=-
"2869:TCP"=-

folder::
C:\Documents and Settings\NOËL Sophie.Ordifixe.000\Local Settings\Application Data\Conduit
C:\Documents and Settings\NOËL Sophie.Ordifixe.000\Local Settings\Application Data\Zynga
C:\Program Files\Conduit
C:\Program Files\Viewpoint
C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy
C:\Program Files\Spybot - Search & Destroy
C:\Program Files\Zynga

attrib::
___________________________________________________

copie-le (ctrl+c ou clique droit sur la selection puis => copier)

puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille

poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail
0
Réponse 7 / 61
damia
 
pour zynga çà plante, parce qu'internet explorer ne s'ouvre plus....

pour adode message d'erreur suivant : impossible d'accéder au service Windows
Installer, cela peut se produire si window est en mode sans échec.

Spybot n'est pas dans ma liste, d'ailleurs il me semblait l'avoir supprimé en son temps.....

est-ce que je tente tout de même ta procédure ?
petite précision: je copie tel que et je colle ? je sais j'insiste, mais j'suis pas trop à l'aise...

Merci de ta patience
0
Réponse 8 / 61
Utilisateur anonyme
 
ah oui on les desinstallera en mode normal

oui fais le script comme demandé
0
Réponse 9 / 61
damia
 
Bon là,pré script tourne j espere que c est bon signe. Je commence à m inquiéter.
Est- ce que je laisse tourner toute la journée. Parce que je vais partir au boulot.
0
Réponse 10 / 61
Utilisateur anonyme
 
salut heu....logiquement ca dure 10 s
0
Réponse 11 / 61
damia
 
je croise les doigts....


http://www.cijoint.fr/cjlink.php?file=cj201107/cijbwjaWBL.txt
0
Réponse 12 / 61
Utilisateur anonyme
 
impec

Télécharge ici :OTL

▶ enregistre le sur ton Bureau.

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...."

sur OTL.exe pour le lancer.

▶ => Clique ici pour voir la Configuration

▶Clic sur Analyse.

A la fin du scan, le Bloc-Notes va s'ouvrir avec le rapport (OTL.txt).

Ce fichier est sur ton Bureau (en général C:\Documents and settings\le_nom_de_ta_session\OTL.txt)

▶▶▶ NE LE POSTE PAS SUR LE FORUM (il est trop long)

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/

▶ Clique sur Parcourir et cherche le fichier ci-dessus.

▶ Clique sur Ouvrir.

▶ Clique sur "Cliquez ici pour déposer le fichier".

juste au niveau du bouton , en fin de chargement du fichier , Un lien de cette forme apparaitra :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

▶ Copie ce lien dans ta réponse.

▶▶ Tu feras la meme chose avec le "Extra.txt" qui logiquement sera aussi sur ton bureau.
0
Réponse 13 / 61
damia
 
cijoint.fr rame j'ai tenté cijoint.com,...


http://cjoint.com/?3GfsokKEMBS

http://cjoint.com/?3GfspyzRblO


Merci de ta patience.
0
Réponse 14 / 61
Utilisateur anonyme
 
desinstalle adobe reader 5 on mettra le dernier
desinstalle toutes tes versions de Java on mettra le dernier
desinstalle Loaris Trojan Remover 1.2 c'est un rogue
=============================================

ATTENTION !!! : Script personnalisé pour cette machine uniquement , ne pas reproduire !!

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...."

sur OTL.exe pour le lancer.


▶Copie la liste qui se trouve en gras ci-dessous,

▶ colle-la dans la zone sous "Personnalisation" :


:processes
explorer.exe
iexplore.exe
firefox.exe
msnmsgr.exe
Teatimer.exe

:OTL
FF - HKLM\Software\MozillaPlugins\@real.com/nsJSRealPlayerPlugin;version=: File not found
FF - HKLM\Software\MozillaPlugins\@viewpoint.com/VMP: C:\Program Files\Viewpoint\Viewpoint Experience Technology\npViewpoint.dll File not found
FF - HKCU\Software\MozillaPlugins\@adobe.com/Acrobat,version=5.1: C:\Program Files\Adobe\Acrobat 5.0\Reader\Browser\nppdf32.dll (Adobe Systems Inc.) => Adobe Acrobat Reader 5.0
IE - HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyServer" =
[2008/03/09 23:23:03 | 000,000,000 | ---D | M] (Java Console) -- C:\Program Files\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0005-ABCDEFFEDCBA}
[2008/08/03 22:58:46 | 000,000,000 | ---D | M] (Java Console) -- C:\Program Files\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0007-ABCDEFFEDCBA}
[2008/12/08 19:46:46 | 000,000,000 | ---D | M] (Java Console) -- C:\Program Files\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0011-ABCDEFFEDCBA}
[2009/05/27 18:24:48 | 000,000,000 | ---D | M] (Java Console) -- C:\Program Files\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0013-ABCDEFFEDCBA}
O4 - HKLM\..\Run: [CmUsbAudio] File not found
O4 - HKLM\..\Run: [KernelFaultCheck] File not found
O7 - HKU\.DEFAULT\Software\Policies\Microsoft\Internet Explorer\Recovery present
O7 - HKU\S-1-5-19\Software\Policies\Microsoft\Internet Explorer\Recovery present
O7 - HKU\S-1-5-20\Software\Policies\Microsoft\Internet Explorer\Recovery present
O7 - HKU\S-1-5-21-2058806733-2939155541-1756514142-1005\Software\Policies\Microsoft\Internet Explorer\Recovery present
O16 - DPF: {05CA9FB0-3E3E-4B36-BF41-0E3A5CAA8CD8} http://download.microsoft.com/download/e/7/3/e7345c16-80aa-4488-ae10-9ac6be844f99/OGAControl.cab (Reg Error: Key error.)
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} http://java.sun.com/update/1.6.0/jinstall-1_6_0_11-windows-i586.cab (Java Plug-in 1.6.0_11)
O16 - DPF: {CAFEEFAC-0016-0000-0005-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_05-windows-i586.cab (Java Plug-in 1.6.0_05)
O16 - DPF: {CAFEEFAC-0016-0000-0007-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_07-windows-i586.cab (Java Plug-in 1.6.0_07)
O16 - DPF: {CAFEEFAC-0016-0000-0011-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_11-windows-i586.cab (Java Plug-in 1.6.0_11)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_11-windows-i586.cab (Java Plug-in 1.6.0_11)
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab (Reg Error: Key error.)
O16 - DPF: Garmin Communicator Plug-In https://static.garmincdn.com/gcp/ie/2.9.3.0/GarminAxControl.CAB (Reg Error: Key error.)
O18 - Protocol\Handler\ipp - No CLSID value found
O18 - Protocol\Handler\msdaipp - No CLSID value found
[2002/11/01 16:17:50 | 000,000,256 | ---- | C] () -- C:\WINDOWS\aucfg.ini


:Reg
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List]
"1900:UDP"=-
"2869:TCP"=-
"5985:TCP"=-
"80:TCP"=-

:commands
[CLEARALLRESTOREPOINTS]
[emptytemp]
[start explorer]
[reboot]


▶ Clique sur "Correction" pour lancer la suppression.


▶ Poste le rapport qui logiquement s'ouvrira tout seul en fin de travail appres le redemarrage.
0
maxou2600 Messages postés 1062 Statut Membre 38
 
salut, bon je m'incruste un peu, mais j'ai une question tu dis que loaris trojan remover est un rogue mais il est en téléchargement sur CCM et sur bien d'autres sites :http://www.commentcamarche.net/download/telecharger-34076498-loaris-trojan-remover
0
maxou2600 Messages postés 1062 Statut Membre 38
 
bizarre, non ?
0
Utilisateur anonyme
 
beaucoup de logiciels pourris sont en telechargement sur beaucoup de sites

tu cliques pour telecharger , et ca rapporte au site diffuseur
0
maxou2600 Messages postés 1062 Statut Membre 38
 
en gros quand tu cliques par exemple sur télécharger sur le site de CCM il va te rediriger sur un site bizarre qui va telecharger le pourriciel
0
Utilisateur anonyme
 
je ne sais pas comment fonctionne leur systeme pour fournir les logiciels
0
Réponse 15 / 61
damia
 
adobe reader 5 + loaris c'est fait

mais pour mes java impossibles, pourtant je passe par ajouter supprimer un prog.

Je tente tout de même ta procédure ?

bon j'ai préparé ta procédure : réouvrir otl et coller tes indications.

merci
0
Réponse 16 / 61
damia
 
voili voilou http://cjoint.com/?3GftOongpr0
0
Réponse 17 / 61
Utilisateur anonyme
 
fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.


▶ Télécharge ici :

Malwarebytes

▶ Installe le ( choisis bien "francais" ; ne modifie pas les paramètres d'installe ) et mets le à jour .

(NB : Si tu as un message d'erreur t'indiquant qu'il te manque "COMCTL32.OCX" lors de l'installe, alors télécharge le ici : COMCTL32.OCX

▶ Potasses le Tuto pour te familiariser avec le prg :


( cela dit, il est très simple d'utilisation ).

relance malwarebytes en suivant scrupuleusement ces consignes :

! Déconnecte toi et ferme toutes applications en cours !

▶ Lance Malwarebyte's .

Fais un examen dit "Complet" .

▶ Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ).
▶ à la fin tu cliques sur "résultat" .
▶ Vérifie que tous les objets infectés soient validés, puis clique sur " suppression " .

▶ Note : si il faut redémarrer ton PC pour finir le nettoyage, fais le !


▶ Poste le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwarebytes, le dernier en date)

0
Réponse 18 / 61
damia
 
Alors Docteur ?

Bon j'ai encore l'une ou l'autre qui a icône disparu du bureau, et surtout lorsque je clique sur démarrer çà donne tous les programmes -> programmes et j'ai seulement les liens.... Est-ce que je peux simplement déplacer les raccourcis dans l'arborescence pour avoir un affichage "normal" et aussi accéder sans soucis aux applications (comme internet explorer qui se lance plus....) ?

Je te remercie de t'occuper de mon "cas".


Malwarebytes' Anti-Malware 1.51.0.1200
www.malwarebytes.org

Version de la base de données: 7028

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

05/07/2011 20:49:30
mbam-log-2011-07-05 (20-49-29).txt

Type d'examen: Examen complet (C:\|D:\|E:\|F:\|G:\|H:\|)
Elément(s) analysé(s): 262588
Temps écoulé: 42 minute(s), 7 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)
0
Réponse 19 / 61
Utilisateur anonyme
 
salut donne un maximum de precisions , et de plus tes phrases sont deformées j'ai rien compris
0
Réponse 20 / 61
damia
 
Salut,

je tente d'être plus claire : je clique démarrer, puis tous les programmes, là je retrouve une partie de mes anciens liens, mais certains sont "vides" ou l'application ne se lance plus.

Et dans cette arborescence, j'ai un dossier "programme" qui n'existait pas avant qui reprend de manière plus complète mon ancienne arborescence, mais pareil certaines applications ne se lance plus (ex. word)

Ma barre de lancement rapide est vide, même si j'y ajoute des raccourcis (ex/ firefox), l'application ne se lance pas.
D'ailleurs, je suis oblige d'ouvrir firefox avec "exécuter"

Bon j'espère avoir été plus claire, je sais que j'utilise pas forcément les bons termes....
0
damia
 
j'ai essayé de désinstaller puis réinstaller internet explorer 8, sans succès. Celui-ci s'ouvre, pour mieux se refermer immédiatement.

si je remets des raccourcis dans la barre de lancement rapide, celle-ci se désactive à chaque redémarrage...

j'ai un message d'erreur à l'ouverture de session : "iwctrl : classe non enregistré"

là je commence à désespérer :(
0