MBR infecté et autres infections

Question

Bonjour, 

Je sollicite votre aide car je soupçonne mon PC d'être infecté (notamment mbr.exe) et j'aimerais bénéficier de vos connaissances en matière de nettoyage/désinfections... Merci d'avance pour votre aide !


Configuration: Windows Vista / Safari 535.11

g3n-h@ckm@n · Answer

salut qu ets-ce qui te fait dire ca ?

Kwayz · Answer

Et bien... Je n'arrive plus à lancer un scan avec Avira, j'ai fait un ZHPdiag (mais je m'y connais peu) qui a souligné que MBR: \.\PHYSICALDRIVE0 était possiblement infecté.

g3n-h@ckm@n · Answer

telecharge et enregistre ceci sur ton bureau :

Pre_Scan

Avertissement: tous les processus non-vitaux de windows seront coupés --> pas de panique. 

une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition du rapport sur le bureau.

si 'outil est bloqué par l'infection utilise cette version : Version .pif

ou encore cette version renommée : Winlogon.exe

si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

 Il se peut qu'une multitude de fenêtres noires clignotent , laisse-le travailler 

Si l'outil ouvre une fenetre "Lecteurs virtuels" , fais exactement ce qui est indiqué dans cettte fenetre

Poste Pre_Scan_la_date_et_l'heure.txt qui apparaitra sur le bureau en fin de scan après redemarrage

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM (il est trop long)

heberge le rapport sur http://pjjoint.malekal.com et donne le lien obtenu

Kwayz · Answer

Les trois versions plantent chez moi...

g3n-h@ckm@n · Answer

pécise plantent ?  

sinon desactive Antivir
¤¤¤¤¤¤¤¤¤¤_g3n-h@ckm@n_Developpement_¤¤¤¤¤¤¤¤¤¤  
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤_Pre_Scan_¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Kwayz · Answer

Même en désactivant Antivir, j'ai toujours ces fenêtres qui apparaissent : http://img402.imageshack.us/img402/1712/65367890.jpg

(Pour le problème avec le scan d'Antivir impossible à lancer, il paraîtrait que ça viendrait de la nouvelle version du logiciel..)

g3n-h@ckm@n · Answer

desinstalle antivir 

installe avast version gratuite :

https://www.avast.com/fr-fr/free-antivirus-download

enregistre -toi pour la licence gratuite d'un an

Kwayz · Answer

C'est fait

g3n-h@ckm@n · Answer

ok fais un scan minutieux avec

Kwayz · Answer

Aucune menace détectée

g3n-h@ckm@n · Answer

&#9654 Télécharge ZHPDiag (de Nicolas Coolman) 

ou :ZHPDiag

&#9654 Enregistre le sur ton Bureau.

Une fois le téléchargement achevé, 

&#9654 Installe et lance ZHPDiag.exe 

&#9654 Clique sur le tournevis puis sur Tous pour cocher toutes les cases des options.

&#9654 Clique sur la loupe pour lancer l'analyse.

A la fin de l'analyse, 

&#9654 clique sur l'appareil photo et enregistre le rapport sur ton Bureau.

heberge le rapport sur https://www.cjoint.com/ et donne le lien obtenu

Kwayz · Answer

Voilà le rapport http://cjoint.com/?3BusnHoshAq

g3n-h@ckm@n · Answer

internet explorer pas à jour => à faire
mozilla pas à jour => à faire

=======

sélectionne les lignes ci-dessous et copie les dans le Presse-papier (Ctrl C)

G2 - GCE: Preference [User Data\Default] [paoponfhfdfnjgddpnpjkambkcgdaaib] uTorrentBar_FR v.2.3.3.3 ()     
OPT:O4 - HKLM\..\Run: [iTunesHelper] . (.Apple Inc. - iTunesHelper.) -- C:\Program Files\iTunes\iTunesHelper.exe     
O4 - Global Startup: C:\Users\Marie Jeanne\Desktop\Internet.lnk - Clé orpheline 
O4 - Global Startup: C:\Users\Marie Jeanne\Desktop\Vietnam.lnk . (...)  -- C:\Users\Bordage\Photos\Vietnam (.not file.) 
O4 - Global Startup: C:\Users\Marie Jeanne\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Internet.lnk - Clé orpheline 
O4 - Global Startup: C:\Users\Marie Jeanne\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\les-pages.com.lnk - Clé orpheline 
O4 - Global Startup: C:\Users\Marie Jeanne\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Winamp.lnk . (...)  -- C:\Program Files\Winamp\winamp.exe (.not file.)     
O4 - Global Startup: C:\Users\Bordage\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Ordinateur - Raccourci.lnk - Clé orpheline 
O4 - Global Startup: C:\Users\Bordage\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Winamp.lnk . (...)  -- C:\Program Files\Winamp\winamp.exe (.not file.)     
O4 - Global Startup: C:\Users\Bordage\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\µTorrent.lnk . (.BitTorrent, Inc..)  -- C:\Program Files\uTorrent\uTorrent.exe 
O34 - HKLM BootExecute: (aswBoot.exe /A:"*" /L:"1036" /KBD:2 /dir:"C:\Program Files\AVAST Software\Avast") - File not found
O42 - Logiciel: Java 6 Update 30 - (.Oracle.) [HKLM] -- {26A24AE4-039D-4CA4-87B4-2F83216026FF}     
[HKLM\Software\BrowserChoice]     
C:\Users\Bordage\Downloads\Street Fighter IV-RELOADED Crack + Keygen\Street Fighter IV-RELOADED Crack + Keygen.zip     
C:\Users\Bordage\Grenier\Corel Paintshoppro Photo x2 v12.0 Keygen.rar     
C:\Users\Bordage\Log\Corel PaintShopPro Photo X2 v12.0 KeyGen.exe     
C:\Users\Bordage\Log\GIF Movie Gear Keygenerator.exe     
O83 - Search Svchost Services: pcyrzojn (pcyrzojn) . (...) -- C:\Windows\system32	afwyfiw.dll   [0] 
[HKLM\Software\Dwqhqqvs] 
O43 - CFD: 29/01/2012 - 19:26:26 - [2,214] ----D- C:\Program Files\Spybot - Search & Destroy     
O43 - CFD: 19/02/2012 - 01:28:22 - [0,003] ----D- C:\Program Files\Common Files\Java(54) 
O43 - CFD: 22/05/2011 - 18:22:08 - [0,000] ----D- C:\ProgramData\cE28601HiPbJ28601 
O43 - CFD: 29/01/2012 - 19:26:24 - [0,669] ----D- C:\ProgramData\Spybot - Search & Destroy     
O43 - CFD: 04/04/2010 - 20:56:16 - [33,915] ----D- C:\Users\Bordage\AppData\Local\Installer4672 
O43 - CFD: 04/04/2010 - 20:59:32 - [30,447] ----D- C:\Users\Bordage\AppData\Local\Installer5024 
O47 - AAKE:Key Export SP - "C:\Users\Bordage\AppData\Roaming\cacaoweb\cacaoweb.exe" [Enabled] .(...) -- C:\Users\Bordage\AppData\Roaming\cacaoweb\cacaoweb.exe (.not file.) 
OPT:O53 - SMSR:HKLM\...\startupreg\Adobe Reader Speed Launcher  [Key] . (.Adobe Systems Incorporated - Adobe Acrobat SpeedLauncher.) -- C:\Program Files\Adobe\Reader 10.0\Reader\Reader_sl.exe 
OPT:O53 - SMSR:HKLM\...\startupreg\SSBkgdUpdate  [Key] . (.Nuance Communications, Inc. - SSBkgdUpdate.) -- C:\Program Files\Common Files\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe 
[HKLM\Software\Classes\TypeLib\{2D5E2D34-BED5-4B9F-9793-A31E26E6806E}]     
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{d187a56b-a33f-4cbe-9d77-459fc0bae012}]     

  
Pour Xp : Double clique sur l'icône ZHPFix.exe sur ton Bureau.

Pour Vista : Clique droit sur l'icône ZHPFix.exe sur ton Bureau,
puis sélectionne 'Exécuter en tant qu'administrateur'.

- Clique sur l'icone représentant la lettre H (« coller les lignes Helper ») 
- Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes 
- Clique sur le bouton « GO » pour lancer le nettoyage,
- Copie/colle la totalité du rapport dans ta prochaine réponse

Kwayz · Answer

J'ai fait la mise à jour de Firefox cependant elle est impossible pour IE. C'est dû à une mise à jour importante que Windows Update n'est jamais parvenu à effectuer à cause d'un fichier corrompu qui ne semble récupérable qu'avec un formatage.

Voici le rapport : 

Rapport de ZHPFix 1.12.3380 par Nicolas Coolman, Update du 05/02/2011
Fichier d'export Registre : 
Run by Bordage at 20/02/2012 19:26:11
Windows Vista Home Premium Edition, 32-bit Service Pack 2 (Build 6002)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Web site : http://nicolascoolman.skyrock.com/

========== Logiciel(s) ==========
SUPPRIME Java 6 Update 30

========== Processus mémoire ==========
ABSENT Memory Process: C:\Program Files\AVAST Software\Avast") - File not found
SUPPRIME Memory Process: C:\Users\Bordage\Log\Corel PaintShopPro Photo X2 v12.0 KeyGen.exe
SUPPRIME Memory Process: C:\Users\Bordage\Log\GIF Movie Gear Keygenerator.exe

========== Clé(s) du Registre ==========
SUPPRIME Key: HKLM\Software\BrowserChoice
SUPPRIME Key: Services Svchost: pcyrzojn
SUPPRIME Key: HKLM\Software\Dwqhqqvs
SUPPRIME Key:  StartupReg: Adobe Reader Speed Launcher
SUPPRIME Key:  StartupReg: SSBkgdUpdate
SUPPRIME Key: HKLM\Software\Classes\TypeLib\{2D5E2D34-BED5-4B9F-9793-A31E26E6806E}
SUPPRIME Key: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{d187a56b-a33f-4cbe-9d77-459fc0bae012}

========== Valeur(s) du Registre ==========
SUPPRIME RunValue: iTunesHelper
SUPPRIME AAKE KeyValue: C:\Users\Bordage\AppData\Roaming\cacaoweb\cacaoweb.exe

========== Préférences navigateur ==========
ABSENT Folder Chrome: C:\Users\Bordage\AppData\Local\Google\Chrome\User Data\Default\Extensions\paoponfhfdfnjgddpnpjkambkcgdaaib

========== Dossier(s) ==========
SUPPRIME Folder: C:\Program Files\Spybot - Search & Destroy
SUPPRIME Folder: C:\Program Files\Common Files\Java(54)
SUPPRIME Folder: C:\ProgramData\cE28601HiPbJ28601
SUPPRIME Folder: C:\ProgramData\Spybot - Search & Destroy
SUPPRIME Folder: C:\Users\Bordage\AppData\Local\Installer4672
SUPPRIME Folder: C:\Users\Bordage\AppData\Local\Installer5024

========== Fichier(s) ==========
SUPPRIME File: c:\users\marie jeanne\desktop\internet.lnk
SUPPRIME File: c:\users\marie jeanne\desktop\vietnam.lnk
ABSENT File: c:\users\bordage\photos\vietnam (.not file.)
SUPPRIME File: c:\users\marie jeanne\appdataoaming\microsoft\internet explorer\quick launch\internet.lnk
ABSENT File: c:\users\marie jeanne\appdataoaming\microsoft\internet explorer\quick launch\les-pages.com
SUPPRIME File: c:\users\marie jeanne\appdataoaming\microsoft\internet explorer\quick launch\winamp.lnk
ABSENT File: c:\program files\winamp\winamp.exe
SUPPRIME File: c:\users\bordage\appdataoaming\microsoft\internet explorer\quick launch\ordinateur - raccourci.lnk
SUPPRIME File: c:\users\bordage\appdataoaming\microsoft\internet explorer\quick launch\winamp.lnk
SUPPRIME File: c:\users\bordage\appdataoaming\microsoft\internet explorer\quick launch\µtorrent.lnk
SUPPRIME File: c:\program files\utorrent\utorrent.exe
SUPPRIME File: C:\Users\Bordage\Downloads\Street Fighter IV-RELOADED Crack + Keygen\Street Fighter IV-RELOADED Crack + Keygen.zip
SUPPRIME File: C:\Users\Bordage\Grenier\Corel Paintshoppro Photo x2 v12.0 Keygen.rar
SUPPRIME File***: c:\users\bordage\grenier\corel paintshoppro photo x2 v12.0 keygen.rar
SUPPRIME File: c:\users\bordage\log\corel paintshoppro photo x2 v12.0 keygen.exe
SUPPRIME File: c:\users\bordage\log\gif movie gear keygenerator.exe
ABSENT File: c:\windows\system32	afwyfiw.dll
ABSENT File: c:\users\bordage\appdataoaming\cacaoweb\cacaoweb.exe


========== Récapitulatif ==========
3 : Processus mémoire
7 : Clé(s) du Registre
2 : Valeur(s) du Registre
6 : Dossier(s)
18 : Fichier(s)
1 : Logiciel(s)
1 : Préférences navigateur


End of clean in 01mn 03s

========== Chemin de fichier rapport ==========
C:\ZHP\ZHPFix[R1].txt - 19/02/2012 19:16:33 [1644]
C:\ZHP\ZHPFix[R2].txt - 19/02/2012 20:03:28 [749]
C:\ZHP\ZHPFix[R3].txt - 19/02/2012 21:24:35 [14498]
C:\ZHP\ZHPFix[R4].txt - 19/02/2012 23:27:12 [999]
C:\ZHP\ZHPFix[R5].txt - 20/02/2012 19:26:11 [3887]

g3n-h@ckm@n · Answer

une mise à jour importante que Windows Update n'est jamais parvenu à effectuer à cause d'un fichier corrompu qui ne semble récupérable qu'avec un formatage. 

dis-m'en plus

Kwayz · Answer

Il y a deux mises à jour qui échouent à chaque fois : la mise à jour pour vista (KB971029) et une mise à jour de sécurité pour Microsoft .NET Framework version 3.5. J'avais essayé toutes les deux de les installer manuellement (avec pare-feu et antivirus désactivés, en mode sans échec également...), en vain.
J'avais fait ensuite une vérification des fichiers systèmes (sfc dans l'invite de comamnde), il avait trouvé des fichiers corrompus sans réussir à les réparer.

g3n-h@ckm@n · Answer

lesquels etaient-ce si tu t'en rapelles ?

===

telecharge winupdateFix :

https://toolslib.net

lance-le

si des services sont arrêtess , clique sur demarrer ,

coche tout puis clique sur executer

Kwayz · Answer

Je ne sais plus..

C'est fait pour winupdatefix.

(Merci en tout cas pour le temps que tu m'accordes !)

g3n-h@ckm@n · Answer

ok essaie de voir si tes mises à jjour à probleme s'installent maintenant

Kwayz · Answer

Non, ça n'a rien changé

g3n-h@ckm@n · Answer

le framework 4.0 est installé ?

Kwayz · Answer

Il semble bien l'être.

g3n-h@ckm@n · Answer

supprime tout ce qui se trouve dans ce dossier :

C:\Windows\Downloaded Program Files

si tu supprimes , redemarre derriere , sinon il est vide....

Kwayz · Answer

Comment supprimer ?

g3n-h@ckm@n · Answer

ben clique un coup dans la fenetre du dossier Downloaded program files , ,selectionne tout ( ctrl+A) puis clic droit sur un et supprimer , ca va tout supprimer 
¤¤¤¤¤¤¤¤¤¤_g3n-h@ckm@n_Developpement_¤¤¤¤¤¤¤¤¤¤ 
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤_Pre_Scan_¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Kwayz · Answer

Non, ça ne le fait pas avec ces fichiers. Et si je fais clique droit, je n'ai accès qu'à "propriétés". Si je fais clique droit > supprimer sur le dossier directement, j'ai "vous devez disposer d'une autorisation spéciale pour effectuer cette action"

g3n-h@ckm@n · Answer

et si tu les glisse dans la corbeille ?

Kwayz · Answer

Ça ne marche pas non plus

Kwayz · Answer

Il y a ça : http://uprapide.com/images/invite/dpf.png

g3n-h@ckm@n · Answer

telecharge winchk sur cette page :

http://general-changelog-team.fr/telechargements/logiciels/viewdownload/75-outils-de-xplode/17-winchk

lance-le , puis clic sur executer , puis poste le rapport

Kwayz · Answer

Pourquoi "8834     Vista (TM)-Cette copie de Windows n'est pas authentique." ?! Vista était fourni avec le PC à l'achat.

----------------

Rapport WinChk v2.0 - 20/02/2012 à 23:45
Mis à jour le 08/07/11 à 16h par Xplode
Système d'exploitation : Windows Vista (TM) Home Premium (32 bits) [version 6.0.6002] Service Pack 2
Nom d'utilisateur : Bordage - PC-DE-BORDAGE (Administrateur)
Exécuté depuis : C:\Users\Bordage\Downloads\winchk0.exe

¤¤¤¤¤ Information | Licence ¤¤¤¤¤

¤ Etat de la licence :

Nom : Windows(TM) Vista, HomePremium edition 
Description : Windows Operating System - Vista, OEM_SLP channel 
Clé de produit partielle : 6CJ97 
État de la licence : avec licence 

¤ Etat de l'activation :

L'ordinateur est définitivement activé.



¤¤¤¤¤ Recherche | Loader ¤¤¤¤¤

... OK !

¤¤¤¤¤ Recherche | Emulation SLIC ¤¤¤¤¤

... OK !

¤¤¤¤¤ Recherche | KMS ¤¤¤¤¤

... OK !

¤¤¤¤¤ Recherche | Fichiers suspect ¤¤¤¤¤

... OK !

¤¤¤¤¤ Vérification | Fichiers système ¤¤¤¤¤

... OK !

¤¤¤¤¤ Vérification | User32.dll.mui ¤¤¤¤¤

¤ Fichier : C:\Windows\system32\fr-FR\user32.dll.mui
¤ Taille : 20480 bytes
¤ Version : 6.0.6001.18000
¤ Date de création : 21/01/2008 - 09:33
¤ Date de dernière modification : 21/01/2008 - 09:33
¤ MD5 : 95F5FF73B076576C41740F1A842B9B57

Vérification de l'intégrité du fichier ...

Offset                       String
----------------------------------------------------------

7666     %wsWindows %ws

7772      des fins de test uniquement.

8948     Mode test

8834     Vista (TM)-Cette copie de Windows n'est pas authentique.


Checksum OK ... Le fichier est intègre.

¤¤¤¤¤ Vérification | Protection Logicielle ¤¤¤¤¤

¤ Nom du service : SppSvc ( Protection Logicielle )
¤ Statut : 
¤ Etat : 

¤ Fichier : C:\Windows\system32\sppcomapi.dll
¤ ACLs : OK

¤¤¤¤¤ Vérification | Fichier Hosts ¤¤¤¤¤

... OK !

¤¤¤¤¤ Vérification | Windows Update ¤¤¤¤¤

¤ Paramètres : Les mises à jour automatiques sont activées et sont installées automatiquement.

¤ Dernière mise à jour détectée le 2012-02-20 à 19:58:40
¤ Dernière mise à jour téléchargée le 2012-02-20 à 21:16:39
¤ Dernière mise à jour installée le 2012-02-20 à 21:14:35

########## EOF - "C:\WinChk.txt" - [2205 octets] ##########

g3n-h@ckm@n · Answer

tu l'as deja amené à reparer ?

Kwayz · Answer

Non jamais. Il a été acheté en grande surface, si ça peut expliquer quelque chose ...

g3n-h@ckm@n · Answer

je contacte le concepteur de winchk un peu de patience...

Kwayz · Answer

Des nouvelles ?

Merci encore en tout cas ;)

g3n-h@ckm@n · Answer

ben le windows n'est pas une licence légale apparemment

Kwayx · Answer

Hm, c'est étonnant parce que l'OS était fourni avec l'ordinateur à l'achat..

g3n-h@ckm@n · Answer

yes on est en discussion , le programme a possiblement eu une erreur de detection

MBR infecté et autres infections

38 réponses

Votre réponse

Discussions similaires

Newsletters