Un deuxième bureau "étrange" ?!

Elhar Messages postés 3 Statut Membre -  
Elhar Messages postés 3 Statut Membre -
Bonjour,

voilà donc mon problème :

Depuis hier, quand j'ai allumé mon ordinateur, j'ai remarqué que... mon bureau avait changé : ma barre des tâches Windows 7 n'était plus transparente (comme si j'avais modifié mon thème Win7 pour enlever la transparence des fenêtres et tout. Et impossible de la remettre). Ensuite, quand je clique sur la petite flèche à côté de l'heure (toujours dans la barre des tâches), pour afficher les icônes tel que celle de Spyware Terminator, et d'autres trucs (tels que mes raccourcis avec ma tablette graphique), et bah.. ils ont disparus.
Chose plus surprennante encore, quand j'ouvre le gestionnaire des tâches, voilà ce que je vois :
Dans l'onglet "Applications", colonne "Tâches" :
Il y a trois "tâches" dont les noms sont : 2626, 546456, et Bloc-notes. Leur statut : "En cours". Et ils partagent la même petite icône, celle quand un programme a buggé et que Windows nous affiche une petite fenêtre en nous demandant soit de fermer le programme ou de chercher une solution en ligne. Sauf que, je ne peux pas voir ces fenêtres, je ne peux pas non plus fermer ces tâches avec le gestionnaire des tâches ("Fin de tâche"). Je ne peux que les fermer en arrêtant les 3 processus Werfault.exe.

Bon, déjà, c'est carrément super suspect. De plus que je ne peux pas lancer Spyware pour faire une analyse, ni Windows Defender, parce que ces deux programmes se lancent sur "l'autre" bureau (l'original).

Mais, chose encore plus surprenante, hier, quand j'ai voulu redémarré mon ordinateur, voilà ce qui s'est passé :
Ce "bureau" bizarre se ferme, laissant apparaitre mon vrai bureau, avec la barre des tâches transparente, une notif Spyware me demandant à chaque démarrage d'autoriser le même truc Windows (oui, mon pc aurait besoin de quelques réparations, mais c'est impossible pour le moment, gros problèmes financiers :s), et ces fameuses petites fenêtres de ces "tâches" qui buggaient.
Windows m'annonce que pour s'éteindre, il a besoin que ces applications se ferment. Donc avant qu'il le fasse tout seul, j'appuie sur "Annuler", et hop! Je retrouve mon beau bureau avec la barre des tâches transparente, j'ai plus qu'à fermer "2626", "546456", et "Bloc-notes", et je retrouve mon pc comme la veille.
Sauf que depuis ce matin, mon pc ne me propose plus quand je veux l'éteindre pour pouvoir annuler l'arrêt de Windows. Du coup, je me retrouve bloqué sur ce "bureau" qui ne m'inspire pas confiance :s

Je sais que cela peut paraitre très flou, mais si vous avez besoin de screen, n'hésitez pas à demander.

Et, hier, quand j'ai réussi à garder mon bureau normal, j'en ai profité pour faire une analyse complète Spyware & Windows Defender. Spyware a trouvé 1 trojan qu'il a supprimé selon lui, et Windows Defender n'a rien truvé (comme d'hab, j'ai envie de dire). J'ai relancé une deuxième analyse complète avec Spyware après et il n'a trouvé aucun virus (ou appelez ça comme vous voulez. J'suis pas très calé niveau termes techniques :p)

(Windows Defender est à jour, ainsi que Spyware Terminator 2012, bien qu'il soit en version gratuite uniquement).

Quelqu'un a-t-il une solution temporaire (forcer Windows à annuler l'arrêt du système une fois que j'apperçois pendant à peine une seconde mon bureau tant désiré) ? Ou quelqu'un est-il motivé pour m'aider ? (ça ne me fait pas peur de devoir installer Hijackthis pour copier/coller le rapport. J'suis pas assez calé pour savoir par moi-même ce qu'il faut faire, mais si on me donne les pistes à suivres...)

Merci en tout cas pour avoir eu le courage de lire ce pavé :)

4 réponses

Malekal_morte- Messages postés 184348 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 693
 
Salut,

Spyware Terminator sert à rien.
Désinstalle le.

~~

Télécharge et installe Malwarebyte : https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
Mets le à jour, fais un scan rapide, supprime tout et poste le rapport ici.
!!! Malwarebyte doit être à jour avant de faire le scan !!!
Supprime bien ce qui est détecté : bouton supprimer sélection.

et :

Tu peux suivre les indications de cette page pour t'aider : https://www.malekal.com/tutorial-otl/

* Télécharge http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/ sur ton bureau.
(Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)

* Lance OTL
* En haut à droite de Analyse rapide, coche "tous les utilisateurs"
* Sur OTL, sous Personnalisation, copie-colle le script ci-dessous :
netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%temp%\.exe /s
%SYSTEMDRIVE%\*.exe
%systemroot%\*. /mp /s
%systemroot%\system32\consrv.dll
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
/md5start
explorer.exe
winlogon.exe
wininit.exe
/md5stop
HKEY_LOCAL_MACHINE\SYSTEM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\AppCertDlls /s
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList /s
CREATERESTOREPOINT
nslookup www.google.fr /c
SAVEMBR:0
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs

* Clique sur le bouton Analyse.
* Quand le scan est fini, utilise le site http://pjjoint.malekal.com/ pour envoyer le rapport OTL.txt (et Extra.txt si présent), donne le ou les liens pjjoint qui pointent vers ces rapports ici dans un nouveau message.
1
Malekal_morte- Messages postés 184348 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 693
 
Pareil TuneUp ça sert à rien.
Ca accélère quedalle surtout si en plus tu accumules les barres d'outils qui ralentissent le PC.
Désinstalle Browser Companion (voir explication ci-dessous).

~~

C:\Users\Alex\AppData\Local\Temp\h3unrc2r.tmp\SoftonicDownloader_pour_music-editor-free.exe (PUP.BundleOffer.Downloader.S) -> Mis en quarantaine et supprimé avec succès.
et
C:\Users\Alex\AppData\Local\Temp\is-OEK9U.tmp\PCTuto\inst.exe (Adware.Agent) -> Mis en quarantaine et supprimé avec succès.

T'as installé Browser Companion proposé par les installeurs de Softtonic qui sont repackés.
PCTuto est un adware qui est proposé sur 01net.

Attention à ce que tu installes :
Des logiciels additionnels sont proposés (barre d'outils, adwares) via l'installation de logiciel gratuit en général ou via certains sites de téléchargement comme Softonic ou 01Net.
L'éditeur touche de l'argent à chaque installation réussie de ces programmes additionnels (un genre de sponsoring), ton PC se retrouve avec des barres d'outils qui ralentissent le navigateur ou des adwares qui ouvrent des popups de publicités.
Les barres d'outils sont là pour t'affilier à un service (moteur de recherche de Yahoo! ou Google), ça rajoute des fonctionnalités mais en général les navigateurs les ont par défaut.
De plus, elles enregistrent les sites que tu visites pour les transmettre (tracking) à faire de la publicité ciblée, c'est pas super niveau protection de la vie privée.
Plusieurs toolbars ralentissent le PC et peuvent faire planter les navigateurs WEB.
Au final, il est pas conseillé d'en utiliser.

Lors de l'installation, attention à ce que tu installes, lire et décocher les programmes additionnels.

Lire :
Les PUPs/LPIs : https://www.malekal.com/adwares-pup-protection/

~~

Relance OTL.
o sous Personnalisation (Custom Scan), copie_colle le contenu du cadre ci dessous (bien prendre :OTL en début).
Clic Correction (Fix), un rapport apparraitra, copie/colle le contenu ici:

:OTL
O2 - BHO: (Browser Companion Helper) - {00cbb66b-1d3b-46d3-9577-323a336acb50} - C:\Program Files\BrowserCompanion\jsloader.dll ( )
O2 - BHO: (Browser Companion Helper Verifier) - {963B125B-8B21-49A2-A3A8-E37092276531} - C:\Program Files\BrowserCompanion\updatebhoWin32.dll ( )
F3 - HKU\S-1-5-21-2067114237-2572288555-2935176366-1001 WinNT: Load - (C:\Users\Alex\LOCALS~1\Temp\msjuzmn.com) - C:\Users\Alex\LOCALS~1\Temp\msjuzmn.com ()
O4 - HKLM..\Run: [Browser companion helper] C:\Program Files\BrowserCompanion\BCHelper.exe (Blabbers Communications LTD)
[2011/12/14 19:56:48 | 000,113,768 | ---- | C] () -- C:\Windows\WiaInst.exe
[2011/05/15 13:20:07 | 000,005,082 | ---- | C] () -- C:\ProgramData\ojobkspa.ako
[2011/12/14 19:53:46 | 000,000,000 | ---D | M] -- C:\Users\Alex\AppData\Roaming\Babylon
[2011/05/15 12:01:43 | 000,000,000 | ---D | M] -- C:\Users\Alex\AppData\Roaming\OfferBox


* redemarre le pc sous windows et poste le rapport ici

Ton double bureau, c'est le virus gendarmerie.
Malwarebyte en a viré une bonne partie;

Important - ton infection est venue par un exploit sur site web :

Un exploit sur site WEB permet l'infection de ton ordinateur de manière automatiquement à la visite d'un site WEB qui a été hacké, il tire partie du fait que tu as des logiciels (Java, Adobe Reader etc) qui sont pas à jour et possèdent des vulnérabilités qui permettent l'execution de code (malicieux dans notre cas) à ton insu.
Le fait de ne pas avoir des logiciels à jour et qui ont potentiellement des vulnérabilités permettent donc d'infecter ton système.
Exemple avec : Exploit Java

Il faut donc impérativement maintenir tes logiciels à jour afin de ne pas voir ces portes d'entrée sur ton système.
Tant que ces logiciels ne seront pas à jour, ton PC est vulnérable et les infections peuvent s'installer facilement.

IMPORTANT : mettre à jour tes programmes notamment Java/Adobe Reader et Flash :
/faq/13362-mettre-a-jour-son-pc-contre-les-failles-de-securite
https://forum.malekal.com/viewtopic.php?t=15960&start=

Passe le mot à tes amis !

Like the angel you are, you laugh creating a lightness in my chest,
Your eyes they penetrate me,
(Your answer's always 'maybe')
That's when I got up and left
1
Elhar Messages postés 3 Statut Membre
 
Merci beaucoup !

J'ai donc désinstallé Spyware Terminator.

Le rapport Malwarebyte :
Malwarebytes Anti-Malware 1.60.1.1000
www.malwarebytes.org

Version de la base de données: v2012.04.02.03

Windows 7 Service Pack 1 x86 NTFS
Internet Explorer 8.0.7601.17514
Alex :: ALEX-PC [administrateur]

02/04/2012 10:40:39
mbam-log-2012-04-02 (10-40-39).txt

Type d'examen: Examen rapide
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 186107
Temps écoulé: 6 minute(s), 1 seconde(s)

Processus mémoire détecté(s): 1
C:\Users\Alex\AppData\Roaming\9847B0.exe (Trojan.Agent.NRGen) -> 3828 -> Suppression au redémarrage.

Module(s) mémoire détecté(s): 1
C:\Users\Alex\AppData\Local\Temp\ch8l0.exe (Trojan.Zbot.HWGen) -> Suppression au redémarrage.

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 1
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|Mumble (Trojan.Agent.NRGen) -> Données: C:\Users\Alex\AppData\Roaming\9847B0.exe -> Mis en quarantaine et supprimé avec succès.

Elément(s) de données du Registre détecté(s): 1
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System|DisableTaskMgr (PUM.Hijack.TaskManager) -> Mauvais: (1) Bon: (0) -> Mis en quarantaine et réparé avec succès

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 6
C:\Users\Alex\AppData\Roaming\9847B0.exe (Trojan.Agent.NRGen) -> Suppression au redémarrage.
C:\Users\Alex\AppData\Local\Temp\ch8l0.exe (Trojan.Zbot.HWGen) -> Suppression au redémarrage.
C:\Users\Alex\AppData\Local\Temp\01cc1b08.tmp (Trojan.Agent.NRGen) -> Mis en quarantaine et supprimé avec succès.
C:\Users\Alex\AppData\Local\Temp\h3unrc2r.tmp\SoftonicDownloader_pour_music-editor-free.exe (PUP.BundleOffer.Downloader.S) -> Mis en quarantaine et supprimé avec succès.
C:\Users\Alex\AppData\Local\Temp\i3lydcv9.tmp\SoftonicDownloader_pour_toneshop.exe (PUP.BundleOffer.Downloader.S) -> Mis en quarantaine et supprimé avec succès.
C:\Users\Alex\AppData\Local\Temp\is-OEK9U.tmp\PCTuto\inst.exe (Adware.Agent) -> Mis en quarantaine et supprimé avec succès.

(fin)

Malwarebyte m'a demandé de redémarrer mon système, ce que j'ai fais. Et, le problème est résolu. Plus de problème avec cette barre des tâches défectueuse. Et seul "2626" pose problème au démarrage maintenant.

OTL :
Le rapport "OTL.txt" :
https://pjjoint.malekal.com/files.php?id=OTL_20120402_o14p13j10c10j12

Le rapport "Extras.txt" :
https://pjjoint.malekal.com/files.php?id=OTL_Extras_20120402_r67l10s13f10

Et encore merci :)
0
Elhar Messages postés 3 Statut Membre
 
========== OTL ==========
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{00cbb66b-1d3b-46d3-9577-323a336acb50}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{00cbb66b-1d3b-46d3-9577-323a336acb50}\ not found.
File C:\Program Files\BrowserCompanion\jsloader.dll not found.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{963B125B-8B21-49A2-A3A8-E37092276531}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{963B125B-8B21-49A2-A3A8-E37092276531}\ not found.
C:\Program Files\BrowserCompanion\updatebhoWin32.dll moved successfully.
C:\Users\Alex\LOCALS~1\Temp\msjuzmn.com moved successfully.
Registry value HKEY_USERS\S-1-5-21-2067114237-2572288555-2935176366-1001\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\\Load:C:\Users\Alex\LOCALS~1\Temp\msjuzmn.com deleted successfully.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\Browser companion helper not found.
C:\Program Files\BrowserCompanion\BCHelper.exe moved successfully.
C:\Windows\WiaInst.exe moved successfully.
C:\ProgramData\ojobkspa.ako moved successfully.
C:\Users\Alex\AppData\Roaming\Babylon folder moved successfully.
C:\Users\Alex\AppData\Roaming\OfferBox folder moved successfully.

OTL by OldTimer - Version 3.2.39.2 log created on 04022012_151658
0