Infection à Win7 Internet Security 2012Fermé

Question

Bonjour, 

J'ai été infecté tout à l'heure par le virus nommé Win7 Internet Security 2012, je n'ai plus d'antivirus depuis peu ce qui peut expliquer le problème...

J'ai lu sur d'autres topics qu'il fallait effectuer un scan avec Prescan, un logiciel de g3n-h@ckm@n.

J'ai fais le scan et voici ce qu'il en ressort : http://pastebin.com/3acHrwtD

Que dois-je faire maintenant ?

Merci d'avance à ceux qui me répondront, j'en ai grand besoin. :)


Configuration: Windows 7 / Firefox 6.0

Utilisateur anonyme · Answer

Bonsoir

As tu encore des soucis?

@+

Math · Answer

Oui. ^^ Je ne sais pas quoi faire de ce rapport.

Mon ordi tourne à plein régime, il doit y avoir pas mal de taches de fond... :/

Je ne vois rien de spécial dans les processus, je suis un peu perdu...

Utilisateur anonyme · Answer

Re

Télécharge TDSSKiller 

    *Créez un nouveau dossier sur votre bureau puis décompressez l'archive dedans
    * Lancez le programme en cliquant sur TDSSKiller.exe, l'analyse se fait automatiquement, si l'infection est détectée, des éléments cachés (= hidden) seront alors affichés.


Si TDSS.tdl2 est détecté: l'option delete sera cochée par défaut. 
Si TDSS.tdl3 est détecté: assure toi que Cure est bien cochée. 
Si TDSS.tdl4(\HardDisk0\MBR) est détecté: assure toi que Cure est bien cochée. 
Si Rootkit.Win32.ZAccess.* est détecté : règle sur "cure" en haut , et "delete" en bas 
Si Suspicious file est indiqué, laisse l''option cochée sur Skip 
une fois qu'il a terminé , redémarre s'il te le demande pour finir de nettoyer 

sinon , ferme TDSSKiller et le rapport s'affichera sur le bureau
    
Poste moi son rapport à l'issue; merci

@+

Math · Answer

Super, merci. ;)

Je fais ça demain soir, j'ai éteins mon ordi... Si tout se passe bien, l'infection sera totalement éliminée après ça ?

Math · Answer

Bon le logiciel n'a détecté aucune infection... :/

Voici le rapport : http://pastebin.com/iSz1XnVg

Pourtant le virus est toujours là : mon ordinateur est beaucoup plus lent que d'habitude, je ne peux pas effectuer de requête post et j'ai des pubs qui s'ouvrent de temps à autre alors qu'elles sont normalement bloquées par AdBlock.

Windows vient de m'indiquer qu'il fallait redémarrer car il a fait une mise à jour. Est-ce que ça peut-être une nouvelle infiltration du virus ?

Utilisateur anonyme · Answer

Bonsoir

Une mise à jour de Windows vient d'être faite.(une fois par mois minimum)
Tu peux redémarrer ton PC

Ensuite fait ceci:

Inscris toi avant tout  

Pour de plus amples informations, fait ceci stp

Ouvre ce lien et télécharge ZHPDiag de Nicolas Coolman : 

https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

Ou

https://www.commentcamarche.net/telecharger/utilitaires/24803-zhpdiag/

Serveur N°2

Ou

http://www.premiumorange.com/zeb-help-process/zhpdiag.html 
en bas de la page ZHP avec un numéro de version.
 
Une fois le téléchargement achevé, dé zippe le fichier obtenu et place ZHPDiag.exe sur ton Bureau.

Double-clique sur l'icône pour lancer le programme. Sous Vista ou Seven clic droit «  exécuter en tant que administrateur »


Clique sur la loupe pour lancer l'analyse.

Laisse l'outil travailler, il peut être assez long. 

Ferme ZHPDiag en fin d'analyse. 


Pour transmettre le rapport clique sur ce lien : 

 
http://pjjoint.malekal.com/

https://www.cjoint.com/

Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag). 

Sélectionne le fichier ZHPDiag.txt. 

Clique sur "Cliquez ici pour déposer le fichier". 

Un lien de cette forme : 

http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt 

est ajouté dans la page. 

Copie ce lien dans ta réponse.

Merci

A+

Math · Answer

Salut,

Voici le rapport, sur PasteBin : http://pastebin.com/HfzLqFpr

J'ai aussi lancé une analyse complète avec MalwareBytes en supprimant tout ce qui ressortait comme étant dangereux. J'ai fais la même chose avec adwcleaner.

A+

Utilisateur anonyme · Answer

Bonjour

Sur conseil de g3n-h@ckm@n;que je salues au passage.

Fait ceci:

1)désinstalle daemon tools toolbar



2)Fais analyser le(s) fichier(s) suivants sur Virustotal :

VirusTotal

clique sur "Parcourir" et trouve puis sélectionne ce(s) fichier(s) :

C:\Windows\sysk32.dll

* Clique maintenant sur Envoyer le fichier. et laisse travailler tant que "Situation actuelle : en cours d'analyse" est affiché.
* Il est possible que le fichier soit mis en file d'attente en raison d'un grand nombre de demandes d'analyses. En ce cas, il te faudra patienter sans actualiser la page.
* Lorsque l'analyse est terminée colle le lien de(s)( la) page(s) dans ta prochaine réponse.



3)fais glisser une icône n'importe quel fichier sur Pre_scan , pre_script va apparaitre

Lance Pre_script , une page vierge va s'ouvrir.

sélectionne tout le texte en gras ci-dessous, puis (clic droit/copier ou ctrl+c) :
___________________________________________________
Kill::

Registry::
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Adobe Reader Speed Launcher"=-
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"RegistryWm"=-
[-HKEY_USERS\S-1-5-21-110221741-2651171901-2522444663-1001\Software\Microsoft\Windows\CurrentVersion\Run]
"cacaoweb"=-
"Smad"=-
[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar]
"Locked"=-
[-HKEY_CLASSES_ROOT\CLSID\{D4027C7F-154A-4066-A1AD-4243D8127440}]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D4027C7F-154A-4066-A1AD-4243D8127440}]
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ext\settings\{D4027C7F-154A-4066-A1AD-4243D8127440}]
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ext\stats\{D4027C7F-154A-4066-A1AD-4243D8127440}]
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks]
"{D4027C7F-154A-4066-A1AD-4243D8127440}"=-
[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\URLSearchHooks]
"{D4027C7F-154A-4066-A1AD-4243D8127440}"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
"{D4027C7F-154A-4066-A1AD-4243D8127440}"=-
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser]
"{D4027C7F-154A-4066-A1AD-4243D8127440}"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
"{D4027C7F-154A-4066-A1AD-4243D8127440}"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{D4027C7F-154A-4066-A1AD-4243D8127440}"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved]
"{D4027C7F-154A-4066-A1AD-4243D8127440}"=-
[-HKEY_CLASSES_ROOT\CLSID\{32099AAC-C132-4136-9E9A-4E364A424E17}]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{32099AAC-C132-4136-9E9A-4E364A424E17}]
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ext\settings\{32099AAC-C132-4136-9E9A-4E364A424E17}]
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ext\stats\{32099AAC-C132-4136-9E9A-4E364A424E17}]
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks]
"{32099AAC-C132-4136-9E9A-4E364A424E17}"=-
[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\URLSearchHooks]
"{32099AAC-C132-4136-9E9A-4E364A424E17}"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
"{32099AAC-C132-4136-9E9A-4E364A424E17}"=-
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser]
"{32099AAC-C132-4136-9E9A-4E364A424E17}"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
"{32099AAC-C132-4136-9E9A-4E364A424E17}"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{32099AAC-C132-4136-9E9A-4E364A424E17}"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved]
"{32099AAC-C132-4136-9E9A-4E364A424E17}"=-
[-HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA}]
[-HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0016-0000-0026-ABCDEFFEDCBA}]
[-HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E}]
[-HKCU\Software\cacaoweb]
[-HKCU\Software\Zugo]

list::
C:	est

file::
C:\1563-AhNi-15L9-P5l7.data
C:\sys
C:	mp
C:\Windows\iun6002.exe
C:\Windows	mpD.txt
C:\Windows\_delis32.ini
C:\Windows\"õÂ
C:\ProgramData\.zreglib
C:\ProgramData\546o4j6k6254
C:\ProgramData\emopts.dat
C:\ProgramData\sys001.log
C:\ProgramData\sys002.log
C:\ProgramData\sys003.log
C:\ProgramData\sys004.log
C:\ProgramData\sys005.log
C:\ProgramData\sys007.log
C:\ProgramData\sys008.log
C:\ProgramData\sys011.log
C:\ProgramData\sys012.log
C:\ProgramData\sys013.log
C:\ProgramData\sys014.log
C:\ProgramData\sys015.log
C:\ProgramData\sys016.log
C:\Users\Mathieu\AppData\Local\546o4j6k6254

folder::
C:\Users\Mathieu\AppData\Roaming\cacaoweb
C:\Users\Mathieu\AppData\Local\SanctionedMedia
C:\sys
C:	mp
C:\Windows\system64
C:\Users\Mathieu\AppData\Roaming\cacaoweb
C:\ProgramDatakfree
C:\Program Files (x86)\DAEMON Tools Toolbar

clean::

Mbr::

Reboot::
___________________________________________________

colle-le ensuite (clic droit/coller ou ctrl+V) dans la page vierge.

puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

des fenêtres noires risquent de clignoter , c'est normal , c'est le programme qui travaille

poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail

si ton bureau ne réapparait pas => ctrl+alt+supp , gestionnaire des taches => onglet fichier => nouvelle tache puis tape explorer 

@+

Math · Answer

Re,

Je n'arrive pas à désinstaller Daemon Toolbar, aucune trace dans la désinstallation de programme et lorsque je me rend dans le répertoire d'installation, il n'y a qu'un fichier xml (même en affichant les dossier système).

Voici le scan de la DLL : http://bit.ly/zHLhJ6

Concernant Pre-Script, j'ai une erreur lorsque je ferme le fichier contenant le script, le logiciel m'indique que windows ne trouve pas "C:\Kill'em\ERUNT.exe". Comment faire ?

Le virus est toujours présent, j'ai des pubs qui s'ouvrent parfois alors que je ne suis même pas sur internet...

Merci à vous deux. ;)

Utilisateur anonyme · Answer

Re 

Fait ceci:(Merci pour le tuto à Electricien 69 et Lyonnais92 ) 


Tu cliques sur le bouton démarrer>>>Exécuter>>>tu écris regedit 

Tu cliques sur Ok 

Cela ouvre la base de registre 

Trouve 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems 

Tu te rends ici en utilisant le + situé a gauche : 

Ex:(le bon) 

HKLM >> tu ouvres en cliquant sur le + situé à gauche 
Tu cherches >>SYSTEM et tu cliques à gauche sur le + 

ainsi de suite jusqu'à arrivé au dossier SubSystems 
http://cjoint.com/12jv/BAlhUqtNFqv.htm 

Tu fais un clic droit sur la valeur Windows situé dans la fenêtre de droite et tu cliques sur Modifier 

La valeur de la clé apparait (en bleu). 
Clique pour désélectionner et la mettre en blanc. 

Avec les touches de navigation (les 4 flèches Haut, Bas, droite et Gauche), tu cherches la chaîne de caractère consrv et tu la remplaces par winsrv. 

%SystemRoot%\system32\csrss.exe ObjectDirectory=\Windows SharedSection=1024,20480,768 Windows=On SubSystemType=Windows ServerDll=basesrv,1 ServerDll=consrv:UserServerDllInitialization,3 ServerDll=winsrv:ConServerDllInitialization,2 ServerDll=sxssrv,4 ProfileControl=Off MaxRequestThreads=16 

Tu cliques sur OK. 

Un conseil, tu refais clic droit et Modifier pour vérifier et tu fermes le registre. 


Le plus important:avant de redémarrer, trouve ce fichier : 

C:\windows\system32\consrv.dll, supprime le manuellement. 



N'hésites pas si tu as des questions. 
Fait bien attention car si tu loupes la manipulation il y a risque de plantage. 


@+ 
---------Contributeur Sécurité--------- 
On a tous été un jour débutant dans quelque chose. 
Mais le savoir est la récompense de l'assiduité.

Math · Answer

Re,

Je ne peux pas modifier la valeur de la clé. Il doit y avoir un processus qui vérifie sa valeur en permanence. J'ai essayé de la supprimé et de la recréer avec les bons paramètres mais là encore, tout de suite après la validation, la clé est modifiée pour reprendre de nouveau consrv comme valeur....

Comment faire ? :/

Utilisateur anonyme · Answer

Bonjour 

Nous allons devoir procéder à partir d'un LiveCD. 

Pour cela: 

Télécharge OTLPE sur le bureau. 
Prépare un CD vierge  
Utilise un logiciel de gravure dont tu disposes. 
Ou celui-ci Cdburner 
Attention il s'agit de graver une imageISO 
Note : Le CD gravé, il faut maintenant redémarrer la machine sur le lecteur CDROM  
Pour se faire suivre ce lien : Booter sur un CD  
Tuto OTLPE  

Tu lances l'iso d'OTLPE que tu as gravé.  

Tu disposes d'Internet avec ce logiciel;donc n'hésites pas si tu as des questions ou soucis 

Sur le bureau ;tu cliques sur l'icône:My Computer
Tu cliques sur C >>>Windows>>> tu cherches Regedit.exe

Cela va te permettre d'accéder à la base de registre.
La clé à trouver:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems

Dans la fenêtre de droite Windows 
Tu procèdes à la modification comme demandé 

Tu effaces ensuite ce fichier:C:\windows\system32\consrv.dll 


@+ 
---------Contributeur Sécurité--------- 
On a tous été un jour débutant dans quelque chose. 
Mais le savoir est la récompense de l'assiduité.

Math · Answer

Merci, je ferai ça ce week-end. ;)

Je te dirai si ça a marché.

Math · Answer

Re,

J'ai gravé le CD et booté dessus. Malheureusement, juste après le chargement de XP, j'ai un bluescreen et mon ordi s'éteint...

Comment faire ? :(

Utilisateur anonyme · Answer

Bonsoir   

Tu démarres ton PC;tu te rends dans le Bios.   
(Pour la touche a utiliser voir notice ou ;cela est mentionné au démarrage du PC)   

Tu cherches ensuite cette ligne dans les différents onglets:   

SATA Controller mode   
Tu as deux choix:AHCI ou Compatibility   

Tu choisis Compatibility   
Tu quittes le Bios après avoir sauvegardé ces réglages.   

Tu relances OTLPE;cela devrait fonctionner.   

@+   
---------Contributeur Sécurité---------   
On a tous été un jour débutant dans quelque chose.   
Mais le savoir est la récompense de l'assiduité.

Math · Answer

Re,

Avec OTLPE, la clé était correcte, ce qui n'est toujours pas le cas sous Windows.

J'ai tout de même supprimé consrv.dll mais le virus est toujours là...

J'ai des pubs qui s'ouvre sans cesse et qui ne provienne pas de mon surf sur internet. :/

Utilisateur anonyme · Answer

Bonsoir

OTLPE a bien démarré après cette manipulation dans le Bios?
A priori ,oui ;-)

Poste moi un nouveau rapport Roguekiller option 1;merci


@+

Math · Answer

Bonsoir,

Il me semblait avoir poster un nouveau message hier soir mais celui n'apparait pas.
J'ai constaté ce soir que Windows ne démarre plus, sans doute à cause de la suppression de la .dll

Windows me propose l'assistant de réparation mais celui-ci ne trouve rien et mon ordinateur ne démarre toujours pas...

Comment faire ? :/

Utilisateur anonyme · Answer

Bonsoir

Et bien tu reprends avec OTLPE;et tu répares

@+

Math · Answer

Re,

Avec OTLPE, mon disque dur n'apparait pas dans l'explorer même avec la commande run en essayant d'exécuter une application ou un fichier en chemin absolu sur mon disque, C:\ n'est pas reconnu. Je ne peux explorer que ma RAM.

Je n'arrive même pas à avoir accès à internet avec OTLPE, erreur de DNS...

Je suis donc actuellement sous Ubuntu en LiveCD. Je peux explorer mon disque mais je ne sais pas comment le réparer. Est-ce que consrv.dll diffère selon les ordinateurs ?

Où pourrais-je télécharger cette dll ?

Merci du temps que tu consacres à mon cas ^^

Utilisateur anonyme · Answer

Bonjour  

Montre cette clé en question ;dont nous parlons depuis le début (voir ici )


Cette Dll que tu as supprimé est infectieuse et donc n'est pas à télécharger.  

Merci.  

@+  
---------Contributeur Sécurité---------  
On a tous été un jour débutant dans quelque chose.  
Mais le savoir est la récompense de l'assiduité.

Math · Answer

Bonjour,

Voici la clé en question :

%SystemRoot%\system32\csrss.exe ObjectDirectory=\Windows SharedSection=1024,3072,512 Windows=On SubSystemType=Windows ServerDll=basesrv,1 ServerDll=winsrv:UserServerDllInitialization, 3 ServerDll=winsrv:ConServerDllInitialization,2 ProfileControl=Off MaxRequestThreads=16

Mon ordinateur ne démarre toujours pas avec Windows... Enfin si je comprends bien, le virus n'est plus sur mon PC ? Il faut seulement que j'arrive à redémarrer Windows ? :)

Utilisateur anonyme · Answer

Bonjour 

Peux tu procéder à une restauration? 

Tu procèdes comme  pour accéder au mode sans échec mais tu choisis: 

Invite de commande en mode sans échec : 

Voici ce que tu dois taper (validez avec la touche Entrée à la fin de chaque ligne). 

@ pour espace 

cd \ 
cd@windows 
cd@system32 
rstrui 

Pour obtenir :  
C : \windows \system32 > rstrui 

Cela te permettra d'accéder à la restauration. 
Choisis bien une data antérieure à ton problème d'infection 


@+ 

---------Contributeur Sécurité--------- 
On a tous été un jour débutant dans quelque chose. 
Mais le savoir est la récompense de l'assiduité.

Math · Answer

Bonjour,

Lorsque je choisis l'option "invite de commande en mode sans échec", windows charge quelques fichiers et j'obtiens un bluescreen.
J'ai le même résultats en choisissant "Démarrer Windows avec la dernière configuration valide connue".

J'ai aussi la possibilité de choisir l'outil de redémarrage système mais celui ne détecte rien d'anormal et redémarre l'ordinateur avec un bluesreen...

Ça commence à me faire peur cette histoire. ^^

Utilisateur anonyme · Answer

Re

Disposes tu d'une partition de sauvegarde ou as tu gravé les CD demandés lors de la première mise en route?

Car je crois que la solution ultime est une restauration usine.

@+

Math · Answer

Re,

Non, malheureusement je n'ai pas effectué cette sauvegarde lors de la première mise en marche...

Y a-t-il une autre solution ?

Merci.

Utilisateur anonyme · Answer

Re

Regarde ici:

http://www.vista-xp.fr/forum/topic1474.html

Et tente une réparation.

@+

Math · Answer

Re,

J'ai déjà accès à cette console.
Dans le menu où on peut sélectionner "Démarrer en mode sans échec", je peux choisir "Réparer l'ordinateur", ce qui me lance cette console.

J'ai essayé la restauration mais à la dernière étape, j'ai une erreur (0x8000ffff) et Windows me dit que la restauration n'a pas pu être faite.
J'ai aussi tenté la restauration à partir e l'invite de commande, j'ai le même résultat.

La réparation du démarrage ne détecte rien. Je ne peux pas utiliser "Restauration de l'ordinateur Windows" car je n'ai pas de sauvegarde.

Je suis en train de faire un diagnostic de la mémoire Windows mais l'outil semble avoir freezé car il est au même point depuis une demi-heure...

Je ne vois vraiment plus quoi essayer. J'aimerais quand même essayé de restaurer consrv.dll même si c'est la source du virus. Je m'occuperai du virus après mais il faut que Windows démarre de nouveau. Comment restaurer ce fichier ? (il doit se trouver dans la corbeille).
Puis-je y avoir accès depuis Ubuntu ?

Math.

Math · Answer

J'ai trouvé un semblant de corbeille dans C:/$Recycle.Bin avec des fichiers dont les noms étaient modifiés. Parmi ces fichiers, j'ai trouvé une dll que j'ai renommé en consrv.dll et placé dans system32.
Le démarrage de Windows est allé un peu plus loin mais j'obtiens tout de même un bluescreen avec redémarrage immédiat de l'ordinateur...

Que faire ?

Utilisateur anonyme · Answer

Bonjour

Avais tu touché au Bios comme demandé?
Remet les réglages que tu avais par défaut.

@+

Math · Answer

Re,

J'ai enfin réussi à refaire démarrer Windows en récupérant la dll infectée dans la corbeille via Linux.
Mon ordi fonctionne donc mais est toujours atteint par le virus (des pages publicitaires qui s'ouvrent régulièrement). Nous voici au point de départ.

Par où (re)commencer ? ^^

Utilisateur anonyme · Answer

Bonjour

Je suis content pour toi.

Vérifions ce problème de publicités.

Désinstalle la version de ZHPDiag dont tu disposes et procèdes ainsi:

Ouvre ce lien et télécharge ZHPDiag de Nicolas Coolman : 

https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

Ou

https://www.commentcamarche.net/telecharger/utilitaires/24803-zhpdiag/

Serveur N°2

Ou

http://www.premiumorange.com/zeb-help-process/zhpdiag.html 
en bas de la page ZHP avec un numéro de version.
 
Une fois le téléchargement achevé, dé zippe le fichier obtenu et place ZHPDiag.exe sur ton Bureau.

Double-clique sur l'icône pour lancer le programme. Sous Vista ou Seven clic droit «  exécuter en tant que administrateur »


Clique sur la loupe pour lancer l'analyse.

Laisse l'outil travailler, il peut être assez long. 

Ferme ZHPDiag en fin d'analyse. 


Pour transmettre le rapport clique sur ce lien : 

 
http://pjjoint.malekal.com/

https://www.cjoint.com/

Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag). 

Sélectionne le fichier ZHPDiag.txt. 

Clique sur "Cliquez ici pour déposer le fichier". 

Un lien de cette forme : 

http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt 

est ajouté dans la page. 

Copie ce lien dans ta réponse.

Merci

A+

Math · Answer

Bonjour,

Voici le rapport : http://pjjoint.malekal.com/files.php?id=ZHPDiag_20120206_i12r15c14k7z6

Je n'ai pas pu l'uploader à partir de mon PC, j'obtiens une erreur et ce avec n'importe quel envoie de formulaire. Est-ce dû au virus ?

PS : Au lancement de ZHPDiag le programme me dit que "Le serveur zebulon n'est pas disponible." Est-ce que ceci peut fausser le rapport ?

Merci.

Utilisateur anonyme · Answer

Bonsoir

Télécharge combofix : http://download.bleepingcomputer.com/sUBs/ComboFix.exe 
Ou ici : https://forospyware.com 
>Renomme le pour l'enregistrer sur ton bureau en  asdehi (tout simplement pour que l'infection ne le contre pas)
-> Double clique combofix.exe.(ou clic droit sous vista «  exécuter en tant que... » )
-> Tape sur la touche 1 (Yes) pour démarrer le scan. 
-> Lorsque le scan sera complété, un rapport apparaîtra. Copie/colle ce rapport dans ta prochaine réponse. 

NOTE : Le rapport se trouve également ici : C:\Combofix.txt 

 Avant d'utiliser ComboFix :  

->  Déconnecte toi d'Internet et referme les fenêtres de tous les programmes en cours.  

->  Désactive provisoirement et seulement le temps de l'utilisation de ComboFix, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil. 

Une fois fait, sur ton bureau double-clic sur Combofix.exe ; (ou clic droit sous vista « exécuter en tant que... »)

- Répond oui au message d'avertissement, pour que le programme commence à procéder à l'analyse du pc. 


- Installe le console de récupération comme demandé ;utile en cas de plantage

- Attention Pendant la durée de cette étape, ne te sert pas du pc et n'ouvre aucun programme. Risque de figer l'ordinateur 

- En fin de scan il est possible que ComboFix ait besoin de redémarrer le pc pour finaliser la désinfection\recherche, laisses-le faire. 

- Un rapport s'ouvrira ensuite dans le bloc notes, ce fichier rapport Combofix.txt, est automatiquement sauvegardé et rangé à C:\Combofix.txt) 

-> Réactive la protection en temps réel de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet. 

-> Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message. 

/!\  Ne touche à rien tant que le scan n'est pas terminé.  /!\ : risque de figer l'ordinateur (plantage complet) 


::Si combofix détecte quelque chose et de demande a redémarrer tu acceptes


@+

Math · Answer

Bonsoir,

Voici le rapport : http://pastebin.com/zkg9NVGi

Le logiciel m'a indiqué que NOD32 était toujours actif alors que j'avais désinstallé celui-ci. Comment le désinstaller totalement ?

J'ai vu dans le rapport que CF avait supprimé consrv.dll, ceci sans modifier la clé de registre. Pourtant, mon ordi a redémarré ! Malheureusement, l'infection est encore là, toujours avec des pubs intempestives.

Utilisateur anonyme · Answer

Bonjour

1)Télécharge AdwCleaner ( d'Xplode ) sur ton bureau. 
Lance le, clique sur  [Suppression] puis patiente le temps du scan. 
Une fois le scan fini, un rapport s'ouvrira. Poste moi son contenu dans ta prochaine réponse. 

Note : Le rapport est également sauvegardé sous C:\AdwCleaner[S1].txt 

Les toolbars, c'est pas obligatoire ( par Malekal ) :https://forum.malekal.com/viewtopic.php?t=6173&start=


2)Tu disposes de Malwaresbytes,met le à jour et lance une anlyse rapide.
Poste moi son rapport.
Supprime bien tout se qu'il trouve

@+

Math · Answer

Bonjour,

J'ai trouvé ce lien : http://www.malekal.com/2011/10/19/zaccess-sur-windows-64-bits-consrv-winsrv/

C'est exactement mon cas et la désinfection est expliquée très clairement. Malheureusement, OTLPE ne détecte pas mon disque dur C.
Je ne peux donc pas importer la ruche de mon registre pour la modifier. J'ai donc pensé à copier le fichier SYSTEM depuis Linux sur une clé puis à l'éditer avec OTLPE et enfin à remplacer l'ancien fichier SYSTEM par le fichier modifié grâce à Linux.

Cette opération est-elle risquée ? A-t-elle des chances de fonctionner ? Est-ce que le registre se situe exclusivement dans ce fichier SYSTEM ?

Merci, Math.

Utilisateur anonyme · Answer

Bonsoir 


Je lis:https://forums.commentcamarche.net/forum/affich-24162654-infection-a-win7-internet-security-2012?full#16

Donc:
Tu fait pour le mieux 


@+ 
---------Contributeur Sécurité--------- 
On a tous été un jour débutant dans quelque chose. 
Mais le savoir est la récompense de l'assiduité.

Math · Answer

Oui, mais les clés que je modifiais étaient celles d'OTLPE et non celle de Windows. Ce qui explique que mes manipulations n'avaient aucune conséquences sur Windows. ^^

Est-ce que mon idée peut marcher ? :)

Math · Answer

Bonsoir,

Mon ordinateur ne démarre plus de nouveau. Je n'ai rien modifié et la clé de registre "sensible" semble correcte depuis OTLPE.
Je suis vraiment perdu...

Voici un screen de ce que je vois depuis my computer à partir de OTLPE : http://i.imgur.com/azpNA.jpg

Utilisateur anonyme · Answer

Bonsoir

Il y a un disque que l'on ne voit plus (C)
Voila ce qui explique le non démarrage de ton PC.
Vérifie le branchement de ce disque dur


@+

Math · Answer

Bonjour,

Je pense que mon disque est bien branché puisque j'y accède sans problème depuis Ubuntu...

Utilisateur anonyme · Answer

Bonsoir 

Re 

Et bien tu sauvegardes tes données importantes  et tu réinstalles un Seven  

@+ 
---------Contributeur Sécurité--------- 
On a tous été un jour débutant dans quelque chose. 
Mais le savoir est la récompense de l'assiduité.

Math · Answer

Bonjour,

Comment faire cette manipulation sachant que je ne possède pas le CD Seven d'origine ? Seven était pré-installé sur mon ordi portable et s'est installé lors de la première mise sous tension.

Merci.

Utilisateur anonyme · Answer

Bonsoir

Si vraiment rien ne marche ;il ne te reste plus qu'a aller voir un professionnel.

@+

Infection à Win7 Internet Security 2012

45 réponses

Discussions similaires

Newsletters