hard disk failure / data recovery

Question

Bonjour, 

Alors que j'étais en train d'utiliser internet, le navigateur s'est fermé et j'ai eu une série de message type "hard disk failure" puis on m'a proposé d'acheter un programme "data recovery". J'en déduis donc que c'est un virus.

Je n'ai pas eu le temps de noter précisément le contenu du message, et mon ordi a redémarré tout seul... Une fois redémarré, je ne vois que la photo de fond d'écran et les onglets "ordinateur" et "corbeille". Je vois que mes données sont toujours là parce que les disques ont le même niveau de remplissage qu'avant, mais quand j'essaye de les ouvrir je vois "le dossier est vide.

Dans la barre des taches j'ai touours avaast et skype... et c'est tout. j'ai lancé un scan avec avaast (version payante), qui est en cours.

J'écris depuis un autre ordinateur, ne pouvant aller sur internet depuis le mien (un asus de 2 ans et demi, avec windows 7).

Si quelqu'un sait comment m'aider, ça me rendrait un grand service.

Merci, Mona.

Configuration: Windows XP / Firefox 12.0

Smart91 · Answer

Bonjour, 

Sur le PC sain fais ceci: 

* Télécharge sur une clé USBle bureau RogueKiller (par tigzy) 
* Transfère sur le bureua du PC infecté RogueKiller  
* Quitte tous les programmes en cours  
* Lance RogueKiller.exe.  
* Attendre la fin du Prescan ...  
* Clique sur Scan.  
* A la fin du scan  
* Clique sur Suppression. Clique sur Rapport. Copie et colle le rapport dans ta réponse 


Smart 
"Si tu n'as pas d'ambitions, tu t'installes au bord de la chute" (Kundera)

monaww · Answer

Merci de ton aide. J'ai fait ce que tu as dis, voici le rapport :

RogueKiller V7.4.4 [08/05/2012] par Tigzy
mail: tigzyRK<at>gmail<dot>com
Remontees: https://www.luanagames.com/index.fr.html
Blog: http://tigzyrk.blogspot.com

Systeme d'exploitation: Windows 7 (6.1.7600 ) 64 bits version
Demarrage : Mode normal
Utilisateur: carmina [Droits d'admin]
Mode: Suppression -- Date: 14/05/2012 14:02:25

¤¤¤ Processus malicieux: 0 ¤¤¤

¤¤¤ Entrees de registre: 21 ¤¤¤
[SUSP PATH] HKLM\[...]\Wow6432Node\Run : cnAjllxrOCI.exe (C:\ProgramData\cnAjllxrOCI.exe) -> DELETED
[HJ] HKLM\[...]\System : EnableLUA (0) -> REPLACED (1)
[HJ] HKCU\[...]\Advanced : Start_ShowMyComputer (0) -> REPLACED (1)
[HJ] HKCU\[...]\Advanced : Start_ShowSearch (0) -> REPLACED (1)
[HJ] HKCU\[...]\Advanced : Start_ShowMyDocs (0) -> REPLACED (1)
[HJ] HKCU\[...]\Advanced : Start_ShowRecentDocs (0) -> REPLACED (1)
[HJ] HKCU\[...]\Advanced : Start_ShowUser (0) -> REPLACED (1)
[HJ] HKCU\[...]\Advanced : Start_ShowMyPics (0) -> REPLACED (1)
[HJ] HKCU\[...]\Advanced : Start_ShowMyGames (0) -> REPLACED (1)
[HJ] HKCU\[...]\Advanced : Start_ShowMyMusic (0) -> REPLACED (1)
[HJ] HKCU\[...]\Advanced : Start_ShowControlPanel (0) -> REPLACED (1)
[HJ] HKCU\[...]\Advanced : Start_ShowHelp (0) -> REPLACED (1)
[HJ] HKCU\[...]\Advanced : Start_ShowPrinters (0) -> REPLACED (1)
[HJ] HKCU\[...]\Advanced : Start_ShowRun (0) -> REPLACED (1)
[HJ] HKCU\[...]\Advanced : Start_ShowSetProgramAccessAndDefaults (0) -> REPLACED (1)
[HJ] HKCU\[...]\Advanced : Start_TrackProgs (0) -> REPLACED (1)
[HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REPLACED (0)
[HJ] HKCU\[...]\ClassicStartMenu : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REPLACED (0)
[HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0)
[HJ] HKCU\[...]\ClassicStartMenu : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0)
[HJ] HKCU\[...]\ClassicStartMenu : {645FF040-5081-101B-9F08-00AA002F954E} (1) -> REPLACED (0)

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver: [NON CHARGE] ¤¤¤

¤¤¤ Infection : ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤

¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: ST9320325AS +++++
--- User ---
[MBR] dacefda7334427c4ba596b95f4a2421b
[BSP] 430eaf6ed8558d670d2c84579f07828f : Windows Vista MBR Code
Partition table:
0 - [XXXXXX] FAT32-LBA (0x1c) [HIDDEN!] Offset (sectors): 2048 | Size: 14997 Mo
1 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 30716280 | Size: 76308 Mo
2 - [XXXXXX] EXTEN-LBA (0x0f) [VISIBLE] Offset (sectors): 186996600 | Size: 213935 Mo
User = LL1 ... OK!
User = LL2 ... OK!

+++++ PhysicalDrive1: SanDisk Cruzer USB Device +++++
--- User ---
[MBR] 96621df59a565d5e057e0659da7ec48b
[BSP] 788470fe12ec57aabe933cfdd9c84885 : Standard MBR Code
Partition table:
0 - [XXXXXX] FAT16 (0x06) [VISIBLE] Offset (sectors): 129 | Size: 1907 Mo
User = LL1 ... OK!
Error reading LL2 MBR!

Termine : << RKreport[2].txt >>
RKreport[1].txt ; RKreport[2].txt

Smart91 · Answer

De même tu fais ceci maintenant:

* Télécharge et installe Malwarebytes
* A la fin de l'installation, veille à ce que l'option « mettre a jour Malwarebyte's Anti-Malware » soit cochée
* Lance MBAM et laisse les Mises à jour se télécharger (sinon fais les manuellement au lancement du programme). C'est très important
* Puis va dans l'onglet "Recherche", coche "Exécuter un examen complet puis "Rechercher"
* Ne t'inquiète pas, l'analyse peut durer plusieurs heures en fonction du nombre de fichiers et infections à analyser 
* A la fin de l'analyse, clique sur "Afficher les résultats"
* Coche tous les éléments détectés puis clique sur "Supprimer la sélection"
* Enregistre le rapport
* S'il t'est demandé de redémarrer l'ordinateur, clique sur Yes
* Un rapport apparait après la suppression : poste le dans ta prochaine réponse.

Smart

monaww · Answer

ok merci c'est en cours, effectivement ça a l'air de prendre du temps.

Smart91 · Answer

Oui, cela peut prendre du temps si ton PC est bien infecté

Smart

monaww · Answer

voilà c'est fini, il m'a dit qu'il n'avait pas détecté de menaces, je te joins quand même le rapport, parce que je ne peux toujours pas atteindre mes données :

Malwarebytes Anti-Malware 1.61.0.1400
www.malwarebytes.org

Version de la base de données: v2012.05.14.02

Windows 7 x64 NTFS
Internet Explorer 9.0.8112.16421
carmina :: CARMINA-PC [administrateur]

14/05/2012 14:25:17
mbam-log-2012-05-14 (14-25-17).txt

Type d'examen: Examen complet
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 577815
Temps écoulé: 1 heure(s), 45 minute(s), 28 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 0
(Aucun élément nuisible détecté)

(fin)

Smart91 · Answer

OK.
* Relance RogueKiller
* Clique sur Racc. RAZ. Clique sur Rapport. Copier et coller le rapport dans ta réponse 

Smart

monaww · Answer

Tous les raccourcis sont réapparus, voici le rapport :

RogueKiller V7.4.4 [08/05/2012] par Tigzy
mail: tigzyRK<at>gmail<dot>com
Remontees: https://www.luanagames.com/index.fr.html
Blog: http://tigzyrk.blogspot.com

Systeme d'exploitation: Windows 7 (6.1.7600 ) 64 bits version
Demarrage : Mode normal
Utilisateur: carmina [Droits d'admin]
Mode: Raccourcis RAZ -- Date: 14/05/2012 16:52:44

¤¤¤ Processus malicieux: 0 ¤¤¤

¤¤¤ Driver: [NON CHARGE] ¤¤¤

¤¤¤ Attributs de fichiers restaures: ¤¤¤
Bureau: Success 633 / Fail 0
Lancement rapide: Success 24 / Fail 0
Programmes: Success 72879 / Fail 0
Menu demarrer: Success 322 / Fail 0
Dossier utilisateur: Success 15167 / Fail 0
Mes documents: Success 60 / Fail 0
Mes favoris: Success 48 / Fail 0
Mes images: Success 4 / Fail 0
Ma musique: Success 882 / Fail 0
Mes videos: Success 1 / Fail 0
Disques locaux: Success 44591 / Fail 0
Sauvegarde: [FOUND] Success 221 / Fail 0

Lecteurs:
[C:] \Device\HarddiskVolume2 -- 0x3 --> Restored
[D:] \Device\HarddiskVolume3 -- 0x3 --> Restored
[E:] \Device\CdRom0 -- 0x5 --> Skipped
[F:] \Device\HarddiskVolume6 -- 0x2 --> Restored

¤¤¤ Infection : Rogue.FakeHDD ¤¤¤

Termine : << RKreport[3].txt >>
RKreport[1].txt ; RKreport[2].txt ; RKreport[3].txt

Smart91 · Answer

OK

Est-ce que tu as accés également à Internet de puis le PC Infecté ?

On va faire un diagnostic du PC pour voir s'il y a des restes ou d'autres infections.

Télécharge ZHPDiag (de Nicolas Coolman) sur ton bureau 
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html
ou depuis ce lien si le premier a des soucis:
http://www.moncompteur.com/compteurclick.php?idLink=18026 

Une fois le téléchargement achevé, double clique sur ZHPDiag.exe et suis les instructions.
 
/!\Utilisateurs de Vista et Windows 7 : Clique droit sur le logo de ZHPDiag.exe, « exécuter en tant qu'Administrateur »

N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau. 
-  Double clique sur le raccourci ZHPDiag sur ton Bureau pour le lancer.
- Si tu possèdes Avast 6 ou 7 comme antivirus, à l'alerte choisis "lancer normalement" 
(/!\L'outil a créé 2 icônes ZHPDiag et ZHPFix)
-  Clique sur la loupe et non pas sur le personnage avec la loupe pour lancer l'analyse. 
-  Laisse l'outil travailler, il peut être assez long. 
-  Ferme ZHPDiag en fin d'analyse. 
-  Pour transmettre le rapport clique sur ce lien :http://pjjoint.malekal.com/
-  Clique sur Parcourir et cherche le répertoire C:\ZHP
-  Sélectionne le fichier ZHPDiag.txt. puis clique sur "Ouvrir"
-  Ensuite Clique sur "Envoyer le fichier". 
-  Copie le lien obtenu  dans ta réponse.

Smart

monaww · Answer

C'est en cours. Est-ce que c'était bien un virus au départ ? je ne devrais plus avoir d'autres problèmes ? Merci beaucoup en tout cas pour ton aide.

Smart91 · Answer

En fait tu as attrapé ce que l'on appelle un rogue, un faux antivirus qui te fait croire que tu es oncteé et te demande parfois de l'argent ppour te faire télécharger un outil qui ne fera rien.   

Tu as pu l'attraper soit en téléchargeant des cracks pour pouvoir utiliser gratuitement un logiciel payant, soit en allant sur des sites peu recommandés qui l'installent à ton insu sur le PC car tes logiciels ne sont pas à jour.  

J'attends le rapport ZHPDiag  

Smart  
"Si tu n'as pas d'ambitions, tu t'installes au bord de la chute" (Kundera)

monaww · Answer

ah oui j'ai oublié de répondre à ta question : oui j'ai bien accès à internet maintenant

Smart91 · Answer

Oh je m'en doutais :-)

Smart

monaww · Answer

oh bien c'est bizarre je pense que je n'ai fait ni l'un ni l'autre, enfin j'espère que ça ne m'arriveras plus, j'ai eu une grosse frayeur, d'autant que je suis en pleine rédaction de mon mémoire pour mon diplôme. Heureusement tous les soirs je sauvegarde mon travail, mais bon ça tombait vraiment au mauvais moment.

Merci encore en tout cas, je te posterai le rapport quand il sera finit.

Smart91 · Answer

OK

Smart

monaww · Answer

Bonjour Smart,

Je ne sais pas si la dernière analyse fonctionne correctement, je l'ai laissé tourner toute la nuit et il est toujours écrit "traitement en cours". Ce matin mon ordi était en veille. C'est normal ou il faut que je le relance ?

Smart91 · Answer

Ok le PC était en veille mais que le scan était terminé ?
Sinon
Redémarre le PC et recommence le scan avec ZHPDiag.
Normalement le scan ne doit pas durer plus de 5mn

Smart

monaww · Answer

non ça n'était pas terminé, j'ai redémarré, et relancé le diagnostic, qui n'avance pas à plus d'1%.

Smart91 · Answer

OK; Peux-tu poster via ppjjoint ce fichier C:\Program Files\ZHPDiag\log.txt

Il arrive que sur certains PC sous Windows 7 64 bits il ya it ce genre de souci.
J'ai besoin du fichier ci-dessous pour le remonter au développeur de ZHPDiag.

Ensuite je reviens vers toi 

Smart

monaww · Answer

https://pjjoint.malekal.com/files.php?id=20120515_z10v11v8s5h10

voilà le fichier !

Smart91 · Answer

Tu es sûr d'avoir bien mis le fichier log.txt car il est vide

Smart

Nicolas Coolman · Answer

Hello Smart,monaww  

Il devrait au moins y avoir l'entête du rapport !

Pour obtenir quand même un rapport ZHPDiag en attendant de trouver ce qui bogue, j'ai mis la possibilité de décocher le module O2/BHO dans les options

A bientôt...

monaww · Answer

en fait il me dit "impossible de créer le fichier "log.txt" accès impossible"

et effectivement l'entête est là :

Rapport de ZHPDiag v1.31.084 par Nicolas Coolman, Update du 13/05/2012
Run by carmina at 15/05/2012 17:23:35
Web site :  http://www.premiumorange.com/zeb-help-process/zhpdiag.html
Web site :  http://nicolascoolman.skyrock.com/
State : 


---\ Web Browser
MSIE: Internet Explorer v9.0.8112.16421 (Defaut)
GCIE: Google Chrome v18.0.1025.168

---\ Windows Product Information
~ Langage: 
Windows 7 Home Premium Edition, 64-bit  (Build 7600)
Windows Server License Manager Script : OK

---\ System Information
~ Processor: Intel64 Family 6 Model 23 Stepping 10, GenuineIntel
~ Operating System: 64 Bits
Boot mode: Normal (Normal boot)
Total RAM: 4095 MB (64% free)
System Restore: Activé (Enable)
System drive C: has 11 GB (14%) free of 75 GB

---\ Logged in mode
~ Computer Name: CARMINA-PC
~ User Name: carmina
~ All Users Names: HomeGroupUser$, carmina, Administrateur, 
~ Unselected Option: Hosts,tique,etup,rrage,allés,mmuns,crées,tcher,Hooks,risée,e LSA, Boot,tions,l Key, Data,upReg,iders,ystem,lorer,otkit,steme,ction,e DNS,ateur, File,rimer,egacy,ignés,ments,wning,ernet,ction,ction,trols,Files,vices,vices,older,ction,ction, List,ogram,ookUp
Logged in as Administrator

---\ Environnement Variables
~ System Unit : C:\
~ %AppData% : C:\Users\carmina\AppData\Roaming\
~ %Desktop% : C:\Users\carmina\Desktop\
~ %Favorites% : C:\Users\carmina\Favorites\
~ %LocalAppData% : C:\Users\carmina\AppData\Local\
~ %StartMenu% : C:\Users\carmina\AppData\Roaming\Microsoft\Windows\Start Menu\
~ %Windir% : C:\Windows\
~ %System% : C:\Windows\System32\

---\ DOS/Devices
C:\ Hard drive, Flash drive, Thumb drive (Free 11 Go of 75 Go)
D:\ Hard drive, Flash drive, Thumb drive (Free 52 Go of 209 Go)
E:\ CD-ROM drive (Not Inserted)



---\ Security Center & Tools Informations
[HKLM\SOFTWARE\Microsoft\Security Center\Svc] AntiSpywareOverride: OK
[HKLM\SOFTWARE\Microsoft\Security Center\Svc] AntiVirusOverride: OK
[HKLM\SOFTWARE\Microsoft\Security Center\Svc] FirewallOverride: OK
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] NoActiveDesktopChanges: Modified
[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System] DisableTaskMgr: OK
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system] EnableLUA: OK
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDDEN] CheckedValue: OK
[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced] Start_ShowSearch: OK
[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced] Start_ShowMyComputer: OK
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL] CheckedValue: OK
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Associations] Application: OK
[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] Shell: OK
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update\Results\Install] LastSuccessTime :  OK
~ Scan Security Center in 00mn 00s

Smart91 · Answer

Merci Nicolas d'être intervenu 

@ monaww 

Tu lances ZHPDiag, tu cliques sur la flèche vert pour installer la mise à jour. 

Tu relances ZHPDiag, tu cliques sur le bouton à droite représentant un tournevis (juste à côté de la flèche verte) et tu décoches la case : 
Browser Helper Object (O2) 
C'est la dernière case en bas 
Tu refais un scan et tu postes le rapport via pjjoint 

Smart 
"Si tu n'as pas d'ambitions, tu t'installes au bord de la chute" (Kundera)

monaww · Answer

oui merci à vous deux :)

bon en fait il ne se passe rien quand je clique sur le tournevis, j'ai essayé de désinstaller et réinstaller le logiciel, mais c'est toujours pareil  :(

Smart91 · Answer

Normalement quand tu cliques sur le tournevis, tu dois voie apparaître une liste des options sur fond vert
Et c'est la dernière option que tu dois décocher

Ce n'est pas le cas ?

Smart

monaww · Answer

bonjour !
non... juste un fond blanc et rien dessus.

je dois m'absenter quelques jours, est ce que mon ordinateur peut rester comme ça pour le moment ?

un grand merci pour ton aide.

Smart91 · Answer

Oui. Tu peux laisser ton PC comme cela.
Je vais voir avec Nicolas qui est le développeur;

En attendant on va utiliser un autre outil de diagnostic

- Télécharge OTL de Old Timer sur ton bureau.
- Fais un double-clic sur l'icône d'OTL pour le lancer/!\ pour Vista/Seven fais un clic-droit sur l'icône d'OTL et choisis "Exécuter en tant qu'administrateur"
- Assure toi d'avoir fermé toutes les applications en court de fonctionnement.
- Quand la fenêtre d'OTL apparaît, assure toi que dans la section "Rapport" (en haut à droite) la case "Rapport minimal" soit cochée.
- Copie et colle les lignes en gras ci-dessous dans la partie inférieure d'OTL "Personnalisation"

-------------------------------------------------------------netsvcs 
msconfig 
safebootminimal 
safebootnetwork 
activex 
drivers32 
%ALLUSERSPROFILE%\Application Data\*.exe /s 
%APPDATA%\*.exe /s 
%SYSTEMDRIVE%\*.exe 
%systemroot%\*. /mp /s 
%systemroot%\system32\*.dll /lockedfiles 
%systemroot%\Tasks\*.job /lockedfiles 
%systemroot%\system32\drivers\*.sys /lockedfiles 
%systemroot%\System32\config\*.sav 
/md5start 
explorer.exe 
winlogon.exe 
wininit.exe 
/md5stop
  
---------------------------------------------------------------

- Clique sur l'icône "Analyse" (en haut à gauche) .
- Laisse le scan aller à son terme sans te servir du PC
- A la fin du scan un ou deux rapports vont s'ouvrir "OTL.Txt" et ( ou ) "Extras.Txt"( dans certains cas).
- Copie et colle le ou les rapports dans ta réponse stp...
* Au cas où, tu peux les retrouver dans le dossier C:\OTL ou sur ton bureau en fonction des cas rencontrés

Utilise pjjoint pour poster les rapports

Smart

Hard disk failure / data recovery

28 réponses

Votre réponse

Discussions similaires

Newsletters