Virus windows repair

Résolu
mamantimeo -  
Bonjour,
alors voila, je me suis chopé ce virus, et ça ma effacé toute ma bibliothèque!!!
Est ce que quelqu'un peux m'aider à le supprimer et surtout a récupérer mes photos...

J'ai fait un scan avast mais je pense que se n'est pas suffisant, please help !!!!!

11 réponses

  • Votes
  • Date
  • Date décroissante
  1. jlpjlp Contributeur sécurité
    bonjour

    Avant de commencer la procédure, peux-tu faire ceci.
    Le but étant de récupérer les dernières adresses visitées pour trouver l'adresse WEB source de ton infection pour la transmettre aux éditeurs d'antivirus : http://www3.malekal.com/malwares/

    Pour cela, télécharge IE ou Mozilla History View selon si tu penses avoir été infecté par Internet Explorer ou Firefox : https://forum.malekal.com/viewtopic.php?t=33301&start=
    Lance le et trie les adresses par date de visite (cliquer sur la colonne : Last visit ou Modifier)
    Sélectionne les adresses Web du jour et clic sur la disquette en icone dans la barre d'icone.
    Enregistre le fichier url.txt sur ton bureau.
    Pour le transmettre :

    * Soit en message privé ici: https://forums.commentcamarche.net/forum/inbox/new/jlpjlp
    * Soit Envoie url.txt sur http://upload.malekal.com

    ---------------

    ensuite télécharge roguekiller et colle un rapport avec l'option 2 puis l'option 6

    ---------------

    puis télécharge malwarebyte, mets le à jour et colle un rapport d'analyse rapide avec

    a plus
    1. mamantimeo Auteur
      Alors voila pour le rapport malwarebytes :

      Malwarebytes' Anti-Malware 1.51.1.1800
      www.malwarebytes.org

      Version de la base de données: 7425

      Windows 6.1.7600
      Internet Explorer 8.0.7600.16385

      10/08/2011 15:28:57
      mbam-log-2011-08-10 (15-28-44).txt

      Type d'examen: Examen complet (C:\|)
      Elément(s) analysé(s): 273180
      Temps écoulé: 1 heure(s), 10 minute(s), 59 seconde(s)

      Processus mémoire infecté(s): 0
      Module(s) mémoire infecté(s): 0
      Clé(s) du Registre infectée(s): 11
      Valeur(s) du Registre infectée(s): 4
      Elément(s) de données du Registre infecté(s): 0
      Dossier(s) infecté(s): 5
      Fichier(s) infecté(s): 9

      Processus mémoire infecté(s):
      (Aucun élément nuisible détecté)

      Module(s) mémoire infecté(s):
      (Aucun élément nuisible détecté)

      Clé(s) du Registre infectée(s):
      HKEY_CLASSES_ROOT\AppID\{0D82ACD6-A652-4496-A298-2BDE705F4227} (Adware.ClickPotato) -> No action taken.
      HKEY_CLASSES_ROOT\AppID\{7025E484-D4B0-441a-9F0B-69063BD679CE} (Adware.ClickPotato) -> No action taken.
      HKEY_CLASSES_ROOT\AppID\{8258B35C-05B8-4c0e-9525-9BCCC70F8F2D} (Adware.ClickPotato) -> No action taken.
      HKEY_CLASSES_ROOT\AppID\{A89256AD-EC17-4a83-BEF5-4B8BC4F39306} (Adware.ClickPotato) -> No action taken.
      HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{100EB1FD-D03E-47FD-81F3-EE91287F9465} (Adware.ShopperReports) -> No action taken.
      HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{A7CDDCDC-BEEB-4685-A062-978F5E07CEEE} (Adware.ShopperReports) -> No action taken.
      HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A078F691-9C07-4AF2-BF43-35E79EECF8B7} (Adware.Softomate) -> No action taken.
      HKEY_CLASSES_ROOT\ShopperReports.Reporter (Adware.ShopperReports) -> No action taken.
      HKEY_CLASSES_ROOT\ShopperReports.Reporter.1 (Adware.ShopperReports) -> No action taken.
      HKEY_LOCAL_MACHINE\SOFTWARE\QuestBrowse (Adware.QuestBrowse) -> No action taken.
      HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\QuestBrowse (Adware.QuestBrowse) -> No action taken.

      Valeur(s) du Registre infectée(s):
      HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\5.0\User Agent\Post Platform\SRS_IT_E8790472B6765F5736A094 (Malware.Trace) -> Value: SRS_IT_E8790472B6765F5736A094 -> No action taken.
      HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\5.0\User Agent\Post Platform\SRS_IT_E8790472B6765F5432AB98 (Malware.Trace) -> Value: SRS_IT_E8790472B6765F5432AB98 -> No action taken.
      HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\5.0\User Agent\Post Platform\SRS_IT_E8790472B6765F5431AF91 (Malware.Trace) -> Value: SRS_IT_E8790472B6765F5431AF91 -> No action taken.
      HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\5.0\User Agent\Post Platform\SRS_IT_E8790472B67658513EA092 (Malware.Trace) -> Value: SRS_IT_E8790472B67658513EA092 -> No action taken.

      Elément(s) de données du Registre infecté(s):
      (Aucun élément nuisible détecté)

      Dossier(s) infecté(s):
      c:\program files\mozilla firefox\extensions\{d9adb0a8-7bfb-498d-9880-ee78a81ccfa0} (Adware.QuestBrowse) -> No action taken.
      c:\program files\mozilla firefox\extensions\{d9adb0a8-7bfb-498d-9880-ee78a81ccfa0}\chrome (Adware.QuestBrowse) -> No action taken.
      c:\program files\mozilla firefox\extensions\{d9adb0a8-7bfb-498d-9880-ee78a81ccfa0}\defaults (Adware.QuestBrowse) -> No action taken.
      c:\program files\mozilla firefox\extensions\{d9adb0a8-7bfb-498d-9880-ee78a81ccfa0}\defaults\preferences (Adware.QuestBrowse) -> No action taken.
      c:\programdata\questbrwsearch (Adware.QuestBrowse) -> No action taken.

      Fichier(s) infecté(s):
      c:\programdata\questbrwsearch\questbrowse119.exe (Adware.QuestBrowse) -> No action taken.
      c:\Temp\xvid-win32.exe (Adware.Hotbar) -> No action taken.
      c:\Users\Laura\AppData\Local\Temp\tmpDA38.tmp (Trojan.FakeAlert) -> No action taken.
      c:\Users\Laura\AppData\Local\Temp\tmpE13A.tmp (Trojan.FakeAlert) -> No action taken.
      c:\Users\Laura\AppData\Local\Temp\AC57.tmp (Rootkit.TDSS) -> No action taken.
      c:\program files\mozilla firefox\extensions\{d9adb0a8-7bfb-498d-9880-ee78a81ccfa0}\chrome.manifest (Adware.QuestBrowse) -> No action taken.
      c:\program files\mozilla firefox\extensions\{d9adb0a8-7bfb-498d-9880-ee78a81ccfa0}\install.rdf (Adware.QuestBrowse) -> No action taken.
      c:\program files\mozilla firefox\extensions\{d9adb0a8-7bfb-498d-9880-ee78a81ccfa0}\chrome\questbrowse.jar (Adware.QuestBrowse) -> No action taken.
      c:\program files\mozilla firefox\extensions\{d9adb0a8-7bfb-498d-9880-ee78a81ccfa0}\defaults\preferences\prefs.js (Adware.QuestBrowse) -> No action taken.

      Pour ce qui est de savoir comment j'ai été infecté, j'étais en train de télécharger des dossiers fileserver donc c'est bien fait pour moi !!!!

      par contre je n'est pas compris pour le deuxieme sujet, je ne crois pas en avoir fait 2...

      Merci de ton aide
  2. mamantimeo Auteur
    Si ça peux vous aider :

    RogueKiller V5.3.1 [06/08/2011] par Tigzy
    contact sur https://www.luanagames.com/index.fr.html
    mail: tigzyRK<at>gmail<dot>com
    Remontees: https://www.luanagames.com/index.fr.html

    Systeme d'exploitation: Windows 7 (6.1.7600 ) 32 bits version
    Demarrage : Mode normal
    Utilisateur: Laura [Droits d'admin]
    Mode: Suppression -- Date : 10/08/2011 11:44:11

    Processus malicieux: 0

    Entrees de registre: 4
    [SUSP PATH] HP Photo Creations Messager.job : c:\programdata\hp photo creations\messagecheck.exe -> DELETED
    [SUSP PATH] HP Photo Creations Messager.job : c:\programdata\hp photo creations\messagecheck.exe -> DELETED
    [HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REPLACED (0)
    [HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0)

    Fichier HOSTS:

    Termine : << RKreport[1].txt >>
    RKreport[1].txt

    que dois-je faire ????

    Merci de votre réponse
    1. mamantimeo Auteur
      Je suis des infos qui ont été données par smart91 a petitmoi2, donc le deuxieme rapport roguekiller en faisant l'option 6 :
      RogueKiller V5.3.1 [06/08/2011] par Tigzy
      contact sur https://www.luanagames.com/index.fr.html
      mail: tigzyRK<at>gmail<dot>com
      Remontees: https://www.luanagames.com/index.fr.html

      Systeme d'exploitation: Windows 7 (6.1.7600 ) 32 bits version
      Demarrage : Mode normal
      Utilisateur: Laura [Droits d'admin]
      Mode: Raccourcis RAZ -- Date : 10/08/2011 11:50:24

      Processus malicieux: 0

      Attributs de fichiers restaures:
      Bureau: Success 1 / Fail 0
      Lancement rapide: Success 1 / Fail 0
      Programmes: Success 7 / Fail 0
      Menu demarrer: Success 1 / Fail 0
      Dossier utilisateur: Success 7461 / Fail 0
      Mes documents: Success 107 / Fail 0
      Mes favoris: Success 19 / Fail 0
      Mes images: Success 2910 / Fail 0
      Ma musique: Success 639 / Fail 0
      Mes videos: Success 8 / Fail 0
      Disques locaux: Success 131 / Fail 0
      Sauvegarde: [FOUND] Success 1 / Fail 0

      Lecteurs:
      [C:] \Device\HarddiskVolume2 -- 0x3 --> Restored

      Termine : << RKreport[2].txt >>
      RKreport[1].txt ; RKreport[2].txt

      J'ai récupéré mes dossiers et sauvegarder, oufffff !!!

      Merci à smart au passage pour ses infos claires,
      si quelqu'un qui si connait passe par la pour me dire si j'ai fait ça bien.....

      Merci
      1. jlpjlp Contributeur sécurité
        il ne faut faire qu'un seul sujet!!!!!!!!!!!!!!!!!!!!! tu n'es pas le seul

        on ferme celui ci
        2. jlpjlp Contributeur sécurité
          ok

          supprime ce qui a été trouvé par malwarebyte

          puis

          Télécharge ZHPDiag ( de Nicolas coolman ).
          https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

          (outil de diagnostic)

          Double clique sur le fichier d'installation, puis installe le avec les paramètres par défaut ( N'oublie pas de cocher " Créer une icône sur le bureau " )

          Lance ZHPDiag en double cliquant sur l'icône présente sur ton bureau (Clique droit -> Executer en tant qu'admin ( vista )

          Clique sur la loupe en haut à gauche, puis laisse l'outil scanner.

          Une fois le scan terminé, clique sur l'icône en forme de disquette et enregistre le fichier sur ton bureau.

          Rend toi sur Cjoint : http://www.cijoint.fr/

          Clique sur "Parcourir " dans la partie " Joindre un fichier[...] "

          Sélectionne le rapport ZHPdiag.txt qui se trouve sur ton bureau

          Clique ensuite sur "Cliquez ici pour déposer le fichier " et copie/colle le lien dans ton prochain message
          1. mamantimeo Auteur
            Et voila :

            http://www.cijoint.fr/cjlink.php?file=cj201108/cij6XGN3sL.txt

            Merci
          2. mamantimeo Auteur
            En voulant faire vite, j'ai ouvert simplement.
            je te fais parvenir le rapport quand j'ai fais exécuter en tant qu'admin.
            Ca doit avoir son importance !!!

            http://www.cijoint.fr/cjlink.php?file=cj201108/cijNpvszkM.txt
        3. jlpjlp Contributeur sécurité
          1/
          Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag en cliquant sur l'écusson vert)
          Copie/colle les lignes en gras suivantes :

          ----------------------------------------------------------

          [HKLM\Software\Classes\Interface\{BCFF5F55-6F44-11D2-86F8-00104B265ED5}]
          C:\Users\Laura\AppData\Roaming\Adobe\shed

          ----------------------------------------------------------
          - Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
          - Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes
          - Clique sur « OK » puis sur « Tous », puis sur « Nettoyer »
          - Copie/colle la totalité du rapport dans ta prochaine réponse

          2/
          ensuite colle le rapport avec un des 4 premiers antivirus en ligne <= ici
          et explique tes problèmes actuels
          1. jlpjlp Contributeur sécurité
            up
            1. mamantimeo Auteur
              le rapport ZHPFix :
              Rapport de ZHPFix 1.12.3347 par Nicolas Coolman, Update du 09/08/2011
              Fichier d'export Registre : C:\ZHP\ZHPExportRegistry-10-08-2011-16-51-32.txt
              Run by Laura at 10/08/2011 16:51:32
              Windows 7 Ultimate Edition, 32-bit (Build 7600)
              Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

              ========== Clé(s) du Registre ==========
              SUPPRIME Key: HKLM\Software\Classes\Interface\{BCFF5F55-6F44-11D2-86F8-00104B265ED5}

              ========== Dossier(s) ==========
              SUPPRIME Folder: c:\users\laura\appdata\roaming\adobe\shed

              ========== Récapitulatif ==========
              1 : Clé(s) du Registre
              1 : Dossier(s)

              ========== Chemin du fichier rapport ==========
              C:\ZHP\ZHPFixReport.txt

              End of the scan in 00mn 02s

              j'attends le rapport de panda active scan, mais il a déjà trouvé 5 fichiers infectés :(

              Je te tiens au courant et encore merci
          2. jlpjlp Contributeur sécurité
            ok on verra le rapport
            1. mamantimeo Auteur
              ;***********************************************************************************************************************************************************************************
              ANALYSIS: 2011-08-10 18:46:35
              PROTECTIONS: 1
              MALWARE: 5
              SUSPECTS: 1
              ;***********************************************************************************************************************************************************************************
              PROTECTIONS
              Description Version Active Updated
              ;===================================================================================================================================================================================
              avast! Antivirus Yes Yes
              ;===================================================================================================================================================================================
              MALWARE
              Id Description Type Active Severity Disinfectable Disinfected Location
              ;===================================================================================================================================================================================
              00139061 Cookie/Doubleclick TrackingCookie No 0 Yes No c:\users\laura\appdata\roaming\microsoft\windows\cookies\low\laura@doubleclick[1].txt
              00139064 Cookie/Atlas DMT TrackingCookie No 0 Yes No c:\users\laura\appdata\roaming\microsoft\windows\cookies\low\laura@atdmt[2].txt
              00168106 Cookie/Weborama TrackingCookie No 0 Yes No c:\users\laura\appdata\roaming\microsoft\windows\cookies\low\laura@weborama[2].txt
              07625271 Generic Malware Virus/Trojan No 0 No No c:\windows\system32\config\systemprofile\appdata\local\microsoft\windows\temporary internet files\content.ie5\vnxtequ0\upgrade[1].cab[upgrade.exe][questbrwsearch.exe]
              07897380 Adware/OneStep Adware No 0 No No c:\windows\system32\config\systemprofile\appdata\local\microsoft\windows\temporary internet files\content.ie5\vnxtequ0\upgrade[1].cab[upgrade.exe][uninstall.exe]
              ;===================================================================================================================================================================================
              SUSPECTS
              Sent Location
              ;===================================================================================================================================================================================
              No c:\users\laura\appdata\local\temp\eea2.tmp
              ;===================================================================================================================================================================================
              VULNERABILITIES
              Id Severity Description
              ;===================================================================================================================================================================================
              ;===================================================================================================================================================================================

              Et voila ....

              E
          3. jlpjlp Contributeur sécurité
            télécharge OTM
            http://www.geekstogo.com/forum/files/file/402-otm-oldtimers-move-it/
            (de Old_Timer) sur ton Bureau.

            double-clique sur OTM.exe pour le lancer.
            copie la liste qui se trouve en citation ci-dessous,
            et colle-la dans le cadre de gauche de OTM :Paste instruction for items to be moved.

            :processes
            explorer.exe
            :files
            c:\windows\system32\config\systemprofile\appdata\local\microsoft\windows\temporary internet files\content.ie5\vnxtequ0\upgrade[1].cab[upgrade.exe][uninstall.exe]
            c:\users\laura\appdata\local\temp\eea2.tmp
            :commands
            [purity]
            [emptytemp]
            [start explorer]

            clique sur MoveIt! pour lancer la suppression.
            le résultat apparaitra dans le cadre "Results".
            clique sur Exit pour fermer.
            poste le rapport situé dans C:\_OTM\MovedFiles.

            il te sera peut-être demander de redémarrer le pc pour achever la suppression.si c'est le cas accepte par Yes.

            comment va ton pc?
            1. mamantimeo Auteur
              je vais faire ça, mon PC ne présente plus de problème apparent ....

              je te poste le rapport dès que c'est fait
            2. mamantimeo Auteur
              All processes killed
              ========== PROCESSES ==========
              No active process named explorer.exe was found!
              ========== FILES ==========
              File/Folder c:\windows\system32\config\systemprofile\appdata\local\microsoft\windows\temporary internet files\content.ie5\vnxtequ0\upgrade[1].cab[upgrade.exe][uninstall.exe] not found.
              c:\users\laura\appdata\local\temp\EEA2.tmp moved successfully.
              ========== COMMANDS ==========

              [EMPTYTEMP]

              User: All Users

              User: Default
              ->Temp folder emptied: 0 bytes
              ->Temporary Internet Files folder emptied: 33170 bytes

              User: Default User
              ->Temp folder emptied: 0 bytes
              ->Temporary Internet Files folder emptied: 0 bytes

              User: Laura
              ->Temp folder emptied: 1590718 bytes
              ->Temporary Internet Files folder emptied: 30698153 bytes
              ->Java cache emptied: 11764 bytes
              ->FireFox cache emptied: 79657125 bytes
              ->Flash cache emptied: 4618 bytes

              User: Public

              %systemdrive% .tmp files removed: 0 bytes
              %systemroot% .tmp files removed: 0 bytes
              %systemroot%\System32 .tmp files removed: 0 bytes
              %systemroot%\System32\drivers .tmp files removed: 0 bytes
              Windows Temp folder emptied: 2298852 bytes
              RecycleBin emptied: 0 bytes

              Total Files Cleaned = 109,00 mb

              OTM by OldTimer - Version 3.1.18.0 log created on 08102011_190539

              Files moved on Reboot...
              File move failed. C:\Windows\temp\_avast_\Webshlock.txt scheduled to be moved on reboot.

              Registry entries deleted on Reboot...
          4. jlpjlp Contributeur sécurité
            ok télécharge delfix

            choisi l'option de suppression et colle le rapport

            puis désinstlle delfix

            ensuite remets un rapport avec antivir ou un antivirus en ligne
            1. mamantimeo Auteur
              # DelFix v8.1 - Rapport créé le 10/08/2011 à 22:31
              # Mis à jour le 20/06/11 à 19h par Xplode
              # Système d'exploitation : Windows 7 Ultimate (32 bits) [version 6.1.7600]
              # Nom d'utilisateur : Laura - LAURA-PC (Administrateur)
              # Exécuté depuis : C:\Users\Laura\Downloads\DelFix-8.1.exe
              # Option [Suppression]

              ~~~~~~ Dossier(s) ~~~~~~

              Supprimé : C:\_OTM
              Supprimé : C:\Program Files\ZHPDiag
              Supprimé : C:\Users\Laura\Desktop\RK_Quarantine
              Supprimé : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ZHP

              ~~~~~~ Fichier(s) ~~~~~~

              Supprimé : C:\PhysicalDisk0_MBR.bin
              Supprimé : C:\Users\Laura\Desktop\RKreport[2].txt
              Supprimé : C:\Users\Laura\Desktop\ZHPDiag.txt
              Supprimé : C:\Users\Laura\Desktop\ZHPFixReport.txt
              Supprimé : C:\Users\Public\Desktop\ZHPDiag.lnk
              Supprimé : C:\Users\Public\Desktop\ZHPFix.lnk
              Supprimé : C:\Users\Laura\Downloads\OTM.exe
              Supprimé : C:\Users\Laura\Downloads\RogueKiller.exe
              Supprimé : C:\Users\Laura\Downloads\ZHPDiag2.exe

              ~~~~~~ Registre ~~~~~~

              Clé Supprimée : HKLM\Software\OldTimer Tools
              Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\ZHPDiag_is1

              ~~~~~~ Autre ~~~~~~

              -> Prefetch vidé

              ########## EOF - "C:\DelFixSuppr.txt" - [1296 octets] ##########

              je suis desolée c une galère mon truc ...
              merci encore
            2. mamantimeo Auteur
              ;***********************************************************************************************************************************************************************************
              ANALYSIS: 2011-08-10 22:47:53
              PROTECTIONS: 1
              MALWARE: 3
              SUSPECTS: 0
              ;***********************************************************************************************************************************************************************************
              PROTECTIONS
              Description Version Active Updated
              ;===================================================================================================================================================================================
              avast! Antivirus Yes Yes
              ;===================================================================================================================================================================================
              MALWARE
              Id Description Type Active Severity Disinfectable Disinfected Location
              ;===================================================================================================================================================================================
              00139061 Cookie/Doubleclick TrackingCookie No 0 Yes No c:\users\laura\appdata\roaming\microsoft\windows\cookies\low\laura@doubleclick[1].txt
              00139064 Cookie/Atlas DMT TrackingCookie No 0 Yes No c:\users\laura\appdata\roaming\microsoft\windows\cookies\low\laura@atdmt[2].txt
              00168106 Cookie/Weborama TrackingCookie No 0 Yes No c:\users\laura\appdata\roaming\microsoft\windows\cookies\low\laura@weborama[2].txt
              ;===================================================================================================================================================================================
              SUSPECTS
              Sent Location
              ;===================================================================================================================================================================================
              ;===================================================================================================================================================================================
              VULNERABILITIES
              Id Severity Description
              ;===================================================================================================================================================================================
              ;===================================================================================================================================================================================
          5. jlpjlp Contributeur sécurité
            ok le rapport de panda est clean . Il ne trouve que des cookies que l on a tous dès que l on va sur le net. Encore des problèmes ?
            1. mamantimeo Auteur
              Non, plus de problème, je te remercie encore, heureusement qu'il y a des mecs pour sauver les nuls comme moi !!!!!

              Merci
              Bonne journée
            2. jlpjlp Contributeur sécurité
              parfait

              bonne continuation