Après l'attaque d'un virus.... Fermé

Question

Bonjour à tous,

Je suis nouvelle sur ce site, et archi débutante dans le domaine de l'informatique.

Voila mon problème:

Hier soir, sur mon PC, (C'est un vieux PC de 5/6 ans, avec windows XP.) Avira a détecté tout seul deux virus.
On a essayé de les mettre en quarantaine, mais d'un coup nous avons vu les icônes du bureau s'effacer les uns après les autres.
Prise de panique, on a coupé le PC à la prise.
En redémarrant, enfer et damnation, plus aucun fichiers, tout tout à disparu.... bien entendu.


Il y avait une session pour chaque utilisateur. L'attaque a eu lieu sur celle de ma mère. 
Du fait lorsque l'on va sur sa session, une tonne de fenêtre "windows- delayed write failed" apparaît avec des chemins différents ("//système32//000025dc" par exemple)
Une bulle apparaît sans cesse en bas:
 "Hard drive clusters are partly damaged. Segment load failure"
et des "critical error"

Bien sur la langue de Shakespeare n'est pas mon fort, mais je comprends que le disque dur a prit un coup.

Le bureau est vide et pire que tout, plus rien dans "démarrer", pas accès au poste de travail
en revanche sur les autres sessions, démarrer n'a aucun soucis, le bureau n'a pas changé mais les documents sont vides.



Je voulais savoir s'il y a possibilité de récupérer des données ou si tout est vraiment perdu.

Merci d'avance, et désolée si les termes employés ne sont pas corrects.


Configuration: Linux / Firefox 8.0

Malekal_morte- · Answer

Salut,

C'est une infection qui cache les raccourcis et documents et affiche de fausses alertes pour te faire acheter un faux programme qui répare rien.

Fais ça :

Télécharge RogueKiller : https://www.luanagames.com/index.fr.html  
Lances en option 2 (Suppression).  
Poste le rapport ici.  

Si RogueKiller est bloqué - tente de le renommer en iexplore ou winlogon
Si tjrs pas - affiche les extensions de fichiers : https://www.commentcamarche.net/informatique/windows/185-afficher-les-extensions-et-les-fichiers-caches-sous-windows/
Renomme RogueKiller.exe en RogueKiller.com

Sleeping Beauty · Answer

J'ai pu télécharger sans soucis voila le rapport : RogueKiller V6.2.0 [12/12/2011] par Tigzy mail: tigzyRKgmailcom Remontees: https://www.luanagames.com/index.fr.html Blog: http://tigzyrk.blogspot.com Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version Demarrage : Mode normal Utilisateur: christophe [Droits d'admin] Mode: Suppression -- Date : 13/12/2011 10:20:46 ¤¤¤ Processus malicieux: 1 ¤¤¤ [SUSP PATH] YPfdbKQmYWnOqAL.exe -- C:\Documents and Settings\All Users\Application Data\YPfdbKQmYWnOqAL.exe -> KILLED [TermProc] ¤¤¤ Entrees de registre: 4 ¤¤¤ [SUSP PATH] HKCU\[...]\Run : book ante (C:\DOCUME~1\CHRIST~1\APPLIC~1\ELSEPL~1\AXISNEW.exe) -> DELETED [SUSP PATH] HKLM\[...]\Run : YPfdbKQmYWnOqAL.exe (C:\Documents and Settings\All Users\Application Data\YPfdbKQmYWnOqAL.exe) -> DELETED [HJPOL] HKLM\[...]\System : DisableTaskMgr (1) -> DELETED [HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0) ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤ ¤¤¤ Driver: [LOADED] ¤¤¤ S_SSDT[0] : -> HOOKED ( @ 0x00000000) ¤¤¤ Infection : ¤¤¤ ¤¤¤ Fichier HOSTS: ¤¤¤ 127.0.0.1 localhost 127.0.0.1 bin.errorprotector.com ## added by CiD 127.0.0.1 br.errorsafe.com ## added by CiD 127.0.0.1 br.winantivirus.com ## added by CiD 127.0.0.1 br.winfixer.com ## added by CiD 127.0.0.1 cdn.drivecleaner.com ## added by CiD 127.0.0.1 cdn.errorsafe.com ## added by CiD 127.0.0.1 cdn.winsoftware.com ## added by CiD 127.0.0.1 de.errorsafe.com ## added by CiD 127.0.0.1 de.winantivirus.com ## added by CiD 127.0.0.1 download.cdn.drivecleaner.com ## added by CiD 127.0.0.1 download.cdn.errorsafe.com ## added by CiD 127.0.0.1 download.cdn.winsoftware.com ## added by CiD 127.0.0.1 download.errorsafe.com ## added by CiD 127.0.0.1 download.systemdoctor.com ## added by CiD 127.0.0.1 download.winantispyware.com ## added by CiD 127.0.0.1 download.windrivecleaner.com ## added by CiD 127.0.0.1 download.winfixer.com ## added by CiD 127.0.0.1 drivecleaner.com ## added by CiD 127.0.0.1 dynamique.drivecleaner.com ## added by CiD [...] ¤¤¤ MBR Verif: ¤¤¤ --- User --- [MBR] c3ba6397278880ff51082373ba1a186f [BSP] 115f5cb7bd1141e872924e5736d587e5 : MBR Code unknown Partition table: 0 - [XXXXXX] UNKNW [HIDDEN!] Offset (sectors): 63 | Size: 5239 Mo 1 - [XXXXXX] FAT32 [VISIBLE] Offset (sectors): 10233405 | Size: 77136 Mo 2 - [XXXXXX] FAT32 [VISIBLE] Offset (sectors): 160890975 | Size: 77663 Mo 3 - [ACTIVE] NTFS [HIDDEN!] Offset (sectors): 312576705 | Size: 2 Mo User = LL1 ... OK! User = LL2 ... OK! Termine : << RKreport[1].txt >> RKreport[1].txt Si tu peux m'expliquer vite fait, j'y comprend pas grand chose ^^'

Malekal_morte- · Answer

niquel,

Relance RogueKiller avec l'option 6 et poste le rapport ici.

Sleeping Beauty · Answer

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version Demarrage : Mode normal Utilisateur: christophe [Droits d'admin] Mode: Raccourcis RAZ -- Date : 13/12/2011 10:43:10 ¤¤¤ Processus malicieux: 0 ¤¤¤ ¤¤¤ Driver: [LOADED] ¤¤¤ Attributs de fichiers restaures: Bureau: Success 4 / Fail 0 Lancement rapide: Success 3 / Fail 0 Programmes: Success 27860 / Fail 0 Menu demarrer: Success 78 / Fail 0 Dossier utilisateur: Success 845 / Fail 0 Mes documents: Success 78 / Fail 0 Mes favoris: Success 12 / Fail 0 Mes images: Success 0 / Fail 0 Ma musique: Success 0 / Fail 0 Mes videos: Success 0 / Fail 0 Disques locaux: Success 65336 / Fail 0 Sauvegarde: [NOT FOUND] Lecteurs: [C:] \Device\HarddiskVolume2 -- 0x3 --> Restored [D:] \Device\HarddiskVolume3 -- 0x3 --> Restored [E:] \Device\CdRom0 -- 0x5 --> Skipped [G:] \Device\Harddisk1\DP(1)0-0+9 -- 0x2 --> Restored [H:] \Device\Harddisk2\DP(1)0-0+a -- 0x2 --> Restored [I:] \Device\Harddisk3\DP(1)0-0+b -- 0x2 --> Restored [J:] \Device\Harddisk4\DP(1)0-0+c -- 0x2 --> Restored ¤¤¤ Infection : ¤¤¤ Termine : << RKreport[2].txt >> RKreport[1].txt ; RKreport[2].txt Pendant l'analyse j'ai eu une fenêtre d'erreur "windows- pas de disque"...

Malekal_morte- · Answer

Tu peux suivre les indications de cette page pour t'aider : https://www.malekal.com/tutorial-otl/  

* Télécharge http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/ sur ton bureau.  
(Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)  

* Lance OTL  
* Sur OTL, sous Personnalisation, copie-colle le script ci-dessous : 
netsvcs 
msconfig 
safebootminimal 
safebootnetwork 
activex 
drivers32 
%ALLUSERSPROFILE%\Application Data\*. 
%ALLUSERSPROFILE%\Application Data\*.exe /s 
%APPDATA%\*. 
%APPDATA%\*.exe /s 
%temp%\*.exe /s 
%SYSTEMDRIVE%\*.exe 
%systemroot%\*. /mp /s 
%systemroot%\system32\*.dll /lockedfiles 
%systemroot%\Tasks\*.job /lockedfiles 
%systemroot%\system32\drivers\*.sys /lockedfiles 
%systemroot%\System32\config\*.sav 
/md5start 
consrv.dll
explorer.exe 
winlogon.exe 
wininit.exe 
/md5stop 
HKEY_LOCAL_MACHINE\SYSTEM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
CREATERESTOREPOINT 
nslookup www.google.fr /c
SAVEMBR:0
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs  
* Clique sur le bouton Analyse.  
* Quand le scan est fini, utilise le site http://pjjoint.malekal.com/ pour envoyer le rapport OTL.txt (et Extra.txt si présent), donne le ou les liens pjjoint qui pointent vers ces rapports ici dans un nouveau message.

Sleeping Beauty · Answer

Le rapport extras
https://pjjoint.malekal.com/files.php?id=20111213_j712j10w6o14

Le rapport OTL
https://pjjoint.malekal.com/files.php?id=20111213_y149m13j14w11

Sleeping Beauty · Answer

Les rapports sont si mauvais ? ^^'
Comment je dois faire pour supprimer ce virus?

La session de ma mére a récupérer ccleaner/msn/multivirus cleaner, mais pas "mes documents", poste de travail etc
Sur les autres sessions les dossiers sont revenu mais sont vides

Malekal_morte- · Answer

non désolé.

Conduit, NHC, Google Toolbar, Softonic_France Toolbar etc à désinstaller.

 O2 - BHO: (Conduit Engine ) - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Program Files\ConduitEngine\prxConduitEngine.dll (Conduit Ltd.)  
 O2 - BHO: (NCH EN Toolbar) - {37483b40-c254-4a72-bda4-22ee90182c1e} - C:\Program Files\NCH_EN\prxtbNCH0.dll (Conduit Ltd.) 
 O2 - BHO: (Softonic_France Toolbar) - {4daac69c-cba7-45e2-9bc8-1044483d3352} - C:\Program Files\Softonic_France\prxtbSof0.dll (Conduit Ltd.)  
 O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - No CLSID value found.  
 O2 - BHO: (Programme d'aide de l'Assistant de connexion Windows Live) -  O2 - BHO: (Google Toolbar Notifier BHO) - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\5.7.7018.1622\swg.dll (Google Inc.)  
 O3 - HKLM\..\Toolbar: (Conduit Engine ) - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Program Files\ConduitEngine\prxConduitEngine.dll (Conduit Ltd.)  
 O3 - HKLM\..\Toolbar: (NCH EN Toolbar) - {37483b40-c254-4a72-bda4-22ee90182c1e} - C:\Program Files\NCH_EN\prxtbNCH0.dll (Conduit Ltd.) 
 O3 - HKLM\..\Toolbar: (Softonic_France Toolbar) - {4daac69c-cba7-45e2-9bc8-1044483d3352} - C:\Program Files\Softonic_France\prxtbSof0.dll (Conduit Ltd.) 

Les barres d'outils sont là pour t'affilier à un service (moteur de recherche de Yahoo! ou Google), ça rajoute des fonctionnalités mais en général les navigateurs les ont par défaut.      
De plus, elles enregistrent les sites que tu visites pour les transmettre (tracking) à faire de la publicité ciblée, c'est pas super niveau protection de la vie privée.     
Plusieurs toolbars ralentissent le PC et peuvent faire planter les navigateurs WEB.      
Au final, il est pas conseillé d'en utiliser.      

Lire : Les toolbars c'est pas obligatoire! 


~~~

Relance OTL. 
o sous Personnalisation, copie_colle le contenu du cadre ci dessous (bien prendre :OTL en début).
Clic Correction, un rapport apparraitra, copie/colle le contenu ici:  

:OTL
[2011/12/12 21:02:56 | 000,000,464 | ---- | M] () -- C:\Documents and Settings\All Users\Application Data\LfyLhS83V0xwcm
[2011/12/12 20:56:30 | 000,369,664 | ---- | M] () -- C:\Documents and Settings\All Users\Application Data\LfyLhS83V0xwcm.exe
[2011/12/12 20:37:52 | 000,461,824 | --S- | M] () -- C:\Documents and Settings\All Users\Application Data\YPfdbKQmYWnOqAL.exe 

* redemarre le pc sous windows et poste le rapport ici

Sleeping Beauty · Answer

Désolée, je n'étais pas dispo 
Je viens de tout faire comme tu m'as dit, voila le rapport:

========== OTL ==========
File C:\Documents and Settings\All Users\Application Data\LfyLhS83V0xwcm not found.
File C:\Documents and Settings\All Users\Application Data\LfyLhS83V0xwcm.exe not found.
File C:\Documents and Settings\All Users\Application Data\YPfdbKQmYWnOqAL.exe not found.
 
OTL by OldTimer - Version 3.2.31.0 log created on 12162011_105026

Sleeping Beauty · Answer

Salut,
je viens d'accéder a mes documents par des moyens détournés, tout est là bien sur, j'ai été voir le bureau (en cliquant tout bétement sur bureau, a gauche dans autres emplacements), un fichier est là "system fix", alors qu'il est inconnu au bataillon, pas moyen d'accéder aux propriétés du fichier.
A coté de ca, dans mes documents j'ai des fichiers jpg qui ne veulent pas se supprimer, soit disant ce sont des fichiers systémes
Je ne comprends pas grand chose mais...
je peux récupérer mes fichiers sur disque dur externe puis formater le PC ?
C'est peut être sortir le bazooka pour tuer une mouche, mais si sa peut débloquer la situation :/

Après l'attaque d'un virus....

10 réponses

Discussions similaires