Mode sans echec bloqué, Scan Malwarebyte bloq Fermé

Question

Bonjour,

J'ai été infecté in ya deja 2 semaines par un 'virus' ou autres chose.Windows démarre normalement mais quelque chose me bloque le mode sans echec ,lanalyse de Malware byte et ausi linstallation d'avast.
J'ai suivis votre methode de desinfection par étape sauf que,comme je l'ai indiqué,malwarebyte ne se finis pas (il bloque au bout d'une trentaine de seconde), et ce PC n'est pas connecté a internet,donc jai pas pu faire le scan en ligne.
Néamoins, jai reussis a faire le rapport ZHPDiag apres avoir  passé CCleaner ainsi que cleanup 40. Voici le rapport ZHPDIAG 
http://www.cijoint.fr/cjlink.php?file=cj201108/cija7asK0Q.txt

En vous remerciant d'avance sur votre aide car je suis bloqué face a ceci.



Configuration: Windows XP / Safari 535.1

jacques.gache · Answer

bonjour , tu est bien avec une licence légal sur ton pc ??  car des fois sur des version pirare ou modiffier le pc pourrait planter avec certain outil de désinfection !!

tu fais ce qui suit pour commencer la désinfection si tu veux installer avast il te faut d'abord désinstaller convenablement norton car la il est toujours la et possible que se soit lui qui foute le borde!

1) utilises l'outil spéciphique pour norton 

http://service1.symantec.com/SUPPORT/INTER/tsgeninfointl.nsf/fr_docid/20050414110429924

2) fais zhpfix comme expliqué 

. Copie les lignes suivantes en GRAS  entre les deux lignes


__________________________________________________________


OPT:O4 - HKCU\..\Run: [CTFMON.EXE] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\ctfmon.exe
OPT:O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\CTFMON.exe
OPT:O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\CTFMON.exe
OPT:O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\CTFMON.exe
OPT:O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\CTFMON.exe
OPT:O4 - HKUS\S-1-5-21-583907252-1085031214-839522115-500\..\Run: [CTFMON.EXE] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\ctfmon.exe
[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusOverride: Modified     
[HKLM\SOFTWARE\Microsoft\Security Center] FirewallOverride: Modified     
[HKLM\SOFTWARE\Microsoft\Security Center\Svc] AntiVirusDisableNotify: Modified     
[HKLM\SOFTWARE\Microsoft\Security Center\Svc] FirewallDisableNotify: Modified     
[HKLM\SOFTWARE\Microsoft\Security Center\Svc] FirewallOverride: Modified     
[HKLM\SOFTWARE\Microsoft\Security Center\Svc] UpdatesDisableNotify: Modified     
[HKLM\SOFTWARE\Microsoft\Security Center\Svc] UacDisableNotify: Modified     
[HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E}]    
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{D4027C7F-154A-4066-A1AD-4243D8127440}]   
[HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser]:{D4027C7F-154A-4066-A1AD-4243D8127440}
[MD5.82699E5EDE403F59FC4384D39EB77B52] - (.Enigma Software Group USA, LLC. - Service scanner interface.) -- C:\PROGRA~1\ENIGMA~1\SPYHUN~1\SH4SER~1.EXE   [327064] [PID.1212]     
O23 - Service: SpyHunter 4 Service (SpyHunter 4 Service) . (.Enigma Software Group USA, LLC. - Service scanner interface.) - C:\PROGRA~1\ENIGMA~1\SPYHUN~1\SH4SER~1.exe     
O64 - Services: CurCS - 27/01/2010 - C:\Program Files\Enigma Software Group\SpyHunter\esgiguard.sys - esgiguard (esgiguard)  .(...) - LEGACY_ESGIGUARD     
[HKLM\SYSTEM\CurrentControlSet\Services\SpyHunter 4 Service] 
C:\Program Files\Enigma Software Group\SpyHunter     
SR - | Auto 27/08/2011 327064 |  (SpyHunter 4 Service) . (.Enigma Software Group USA, LLC..) - C:\PROGRA~1\ENIGMA~1\SPYHUN~1\SH4SER~1.exe  
SysRestore 
FirewallRAZ      
EmptyFlash
EmptyTemp
HostFix


___________________________________________________________________


. Lance ZHPFix de Nicolas Coolman qui se trouve sur ton bureau 
. Pour XP, double-clique sur ZHPFix 
. pour Vista et seven, faire un clic droit sur l'icône et exécute en tant qu'administrateur. 
. Clique sur l'icone représentant la lettre H (« coller les lignes Helper ») 

 Dans l'encadré principal tu verras donc les lignes que tu as copié précédemment apparaitrent . 

Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre. 

PS: si rien ne se colle clique sur l'icône en haut sur gauche celui juste à côté de l'appareil photos " coller le presse papier" 

!! Déconnecte toi, désactive tes défenses (anti-virus, anti-spyware ) et ferme bien toutes autres applications ( navigateurs compris ) !! 



. cliques sur OK
. Clique sur « Tous », puis sur « Nettoyer »
. Copie/colle la totalité du rapport dans ta prochaine réponse
tu le trouveras dans le dossier de zhpdiag dans program files sous le nom de ZHPFixReport



3) passes adw-cleaner

télécharges sur ton bureau : adwcleaner de xplode

* Utilisateurs Windows XP => double clique >>sur AdwCleaner.exe pour le lancer 

* Utilisateurs Windows Vista / windows 7 => clic droit "executer en tant que en tant qu'administrateur "sur AdwCleaner.exe pour le lancer. 

* Accepte l'avertissement qui suit 
* Clique sur suppression
* Patiente le temps de la recherche 
* Poste le rapport qui apparait à la fin . 
* Clique sur Quitter . 

PS: sinon le rapport est sauvegarder à la racine de ton disque dure système 


4) vois si malwarebytes passe mais tu lui fais faire la mise à jour avant  et tu lances un examen complet

et essais de réinstaller avast http://www.commentcamarche.net/download/telecharger-151-avast-free-version

et si tu veux réparrer ton mode sans echec http://www.assistepc.com/forum/reparer-le-mode-sans-echec-de-windows-vt867.html

airsemi · Answer

ZHPfix rapport : http://www.cijoint.fr/cjlink.php?file=cj201108/cijBeh8lgO.txt

adwcleaner : http://www.cijoint.fr/cjlink.php?file=cj201108/cijVGKFnws.txt

MAlware byte bloque (tjrs pas plus de 30 secondes) et voici son screen : http://www.cijoint.fr/cjlink.php?file=cj201108/cij8OyUN0l.jpg

airsemi · Answer

Un grand merci quand meme a la rapidité de la réponse !! :)

airsemi · Answer

jai du nouveau :) jai reussit a installer avast Pro apres ce que tu m'a dis de faire,et jai bien sur lancer un scan au démmarage ( le seul scan qui me rassure parmis tous) et bonne nouvelle,jai enfin trouvé ce petit espion qui s'appelle Win32.Sality !!! in infecte pas mal de fichier .exe
S'il ya un remover ,je prend !!
Merci encore !!

jacques.gache · Answer

c'est pas une capture d'écran de malwarebytes quand il travail que je te demandais mais le rapport  , ouvre malwarebytes  et puis sur l'onglet rapport/ log tu me poste le dernier en date !! merci 

. double-cliques sur malwarebytes
. rends toi dans l'onglet rapport/log
. tu cliques dessus pour l'afficher une fois affiché
. tu cliques sur edition en haut du boc notes,et puis sur sélectionner tous
. tu recliques sur edition et puis sur copier et tu reviens sur le forum et dans ta réponse
. tu cliques droit dans le cadre de la reponse et coller

airsemi · Answer

jai posté le screen pour te faire voir que le scan bolquait...donc je pouvais pas avoir de 'resumé'" du scan si celui ci ne se termine pas.par contre,apres avoir reussit a reparer mon registre et execuiter le mode sans echec, le scan de malwarebyte a pu etre effectué en mode sans echec dont le rapport :

Malwarebytes' Anti-Malware 1.51.1.1800
www.malwarebytes.org

Version de la base de données: 7035

Windows 5.1.2600 Service Pack 2 (Safe Mode)
Internet Explorer 6.0.2900.2180

27/08/2011 18:49:19
mbam-log-2011-08-27 (18-49-12).txt

Type d'examen: Examen complet (C:\|D:\|)
Elément(s) analysé(s): 164019
Temps écoulé: 19 minute(s), 36 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\documents and settings\administrateur\local settings\application data	hinstall\Cache\Stubs\3a437f25c84ae76ef8cbfb953436b4429536a65\uyj166e.exe (Trojan.Backdoor) -> No action taken.

Apres cette analyse complete,jai redemarré en mode normal et essayé d'executer encore un scan avec malwarebyte et comme dhabitude,il se fige lorsqu'il scanne la racine et les fichiers .Sys !!

airsemi · Answer

avast :


08/27/2011 17:05
Scan of all local drives

File C:\Documents and Settings\Administrateur\Application Data\Symantec\Packager\Products\{E05E8183-866A-11D3-97DF-0000F8D8F2E9}.11.0.0.730\Files\IMMC.EXE is infected by Win32:Sality, Deleted
File C:\Documents and Settings\Administrateur\Bureau\Anti Virus Portables\ClamWinPortable_0.97.2_English.paf.exe is infected by Win32:Sality, Deleted
File C:\Documents and Settings\Administrateur\Bureau\Anti Virus Portables\Flash_Disinfector.exe|>Flash_Disinfector.cmd Error 42126 {RAR archive is corrupted.}
File C:\Documents and Settings\Administrateur\Bureau\Anti Virus Portables\Portable Trojan Remover v6.7.5 Build 2560-By ZD-Team\FastScan.exe is infected by Win32:Sality, Deleted
File C:\Documents and Settings\Administrateur\Mes documents\sauvegarde pharmacie\Mise a jour\2008 Fevrier CNAM\CNAM Final Deploiement.exe|>update.sql Error 42126 {RAR archive is corrupted.}
File C:\Documents and Settings\Administrateur\Mes documents\UsbFix.exe is infected by Win32:Sality, Deleted
File C:\Program Files\EPSON\EPSON Advanced Printer Driver 4\EP.APD-service.exe is infected by Win32:Sality, Deleted
File C:\Program Files\EPSON\TM-T20 Software\TM20UTL\TM20UTL.EXE is infected by Win32:Sality, Deleted
File C:\Program Files\Foxit Software\Foxit Reader\Uninstall.exe is infected by Win32:Sality, Deleted
File C:\Program Files\Microsoft Office\OFFICE11\MSPUB.EXE is infected by Win32:Sality, Deleted
File C:\Program Files\Microsoft Office\OFFICE11\POWERPNT.EXE is infected by Win32:Sality, Deleted
File C:\Program Files\MSN\MSNCoreFiles\Install\MSN9Components\Digcore.exe is infected by Win32:Sality, Deleted
File C:\Program Files\MSN\MSNCoreFiles\Install\MSN9Components\Msncli.exe is infected by Win32:Sality, Deleted
File C:\Program Files\Symantec\Packager\instmsia.exe is infected by Win32:Sality, Deleted
File C:\Program Files\Symantec\Packager\instmsiw.exe is infected by Win32:Sality, Deleted
Number of searched folders: 2866
Number of tested files: 354802
Number of infected files: 13

jacques.gache · Answer

ta version de malwarebytes elle est pas à jour car sur le rapport  Version de la base de données: 7035   et sur mon pc c'est la 7588  et pui en fin de ligne  No action taken.   nous dit que la suppression as pas été faite , mais bon tu va donc refaire malwarebytes en lui faisant bien la mise à jour !! merci et puis concernant ta licence de xp ??? 

. Double clique sur l'icône de malwarebytes sur ton bureau pour l'ouvrir 
. si le pare-feu demande l'autorisation  de se connecter pour malwarebytes, acceptes
. Dans l'onglet "mise à jour", cliques sur le bouton Recherche de mise à jour
. Une fois la mise à jour terminée
. rend-toi dans l'onglet, Recherche
. Sélectionnes  Exécuter un examen complet
. Sélectionnes tous les disques si proposés
. Cliques sur Rechercher
. Le scan démarre.
. A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. Cliquez sur 'Afficher les résultats' pour afficher tous les objets trouvés.
. Cliques sur Ok pour poursuivre.
. Si des malwares ont été détectés, cliques sur Afficher les résultats
. Sélectionnes tout (ou laisses cochés) et cliques sur Supprimer la sélection Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
. Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse.
. redemarre le pc si il le fait pas lui même
. une fois redémarré  double-cliques sur malwarebytes
. rends toi dans l'onglet rapport/log
. tu cliques dessus pour l'afficher une fois affiché
. tu cliques sur edition en haut du boc notes,et puis sur sélectionner tous
. tu recliques sur edition et puis sur copier et tu reviens sur le forum et dans ta réponse
. tu cliques droit dans le cadre de la reponse et coller

Mode sans echec bloqué, Scan Malwarebyte bloq

8 réponses

Discussions similaires