virus ?

Question

Bonjour, 

Je suspecte un virus d'etre installer sur mon pc portable mais n'etant pas tres douée en informatique je n'ai pas su le denicher. En fait les parametres de windows ont l'air de changer seul (maintenant lorsque je double clique sur un dossier il s'ouvre dans une nouvelle fenetre et malgres toutes les manip que j'ai trouvée a faire sur internet et tenté rien n'y fait, ie ne fonctionne plus, le pc s'arrete et redemarre seul...)

J'ai fait une analyse avec zhp diag :

http://cjoint.com/?BJdqfdHM16x 

D'apres vous que dois-je faire ?

Configuration: Windows 7 / Firefox 15.0.1

cabrier · Answer

Bonjour,
Je vais t'aider à résoudre ton problème. 
Quelques précisions :
- N'ouvre pas d'autre sujet sur ce forum ou sur un autre sur la même affaire. 
- La désinfection ne sera terminée que lorsque je te le dirai même s'il te semble que ta machine est "clean" sinon il te faudra sûrement tout recommencer.
- Tu auras des rapports à me transmettre par l'intermédiaire d'un dépôt de fichier, note la procédure à suivre, je ne te la rappellerai pas ultérieurement et ne colle pas tes rapports directement dans ta réponse par copier/coller (sauf s'ils sont très courts!)
Dépôt de fichiers :
- Pour transmettre les rapports que tu obtiens à la suite du passage d'outils tu cliques sur un de ces liens : 
cijoint ou  pjoint ou RC 
- Tu cliques ensuite sur Parcourir et cherches le fichier du rapport, en principe on t'indique ou il est.
- Tu cliques sur Ouvrir puis sur "Cliquez ici pour déposer le fichier".
Un lien de cette forme:  http://cjoint.com/index.php?file=cjge368/cijSKAP5fU.txt 
est ajouté dans la page ou (suivant le site) il faut cliquer sur "créer le lien".
- C'est ce lien que tu as à transmettre et uniquement cela.
------------------------------------------------

Tu utilises Spy bot ... il est obsolète , et ne peut que t'apporter des problèmes., désinstalle le.

Le Tea Timer est un module de protection de Spybot qui surveille les processus qui sont lancés et les modifications de certains points importants du Registre. Il apparaît dans la liste des processus sous le nom de Teatimer.exe.
Lors d'une désinfection il faut désactiver cette protection, sinon le TeaTimer risque de gêner le travail des outils de désinfection.

Désactiver le Tea-Timer de Spybot S&D

    Démarre Spybot, clique sur "Mode", coche "Mode avancé".
    A gauche, clique sur "Outils", puis sur "Résident".
    Décoche la case devant Résident "TeaTimer" puis quitte Spybot

 Désinstaller Spybot S&D

    Télécharge Spykillerde 91300
    Lance SpyKiller.exe
    Sous Vista et Windows 7 : clic-droit -> Exécuter en tant qu'administrateur
    Coche la case SpyBot
    Clic sur suppression
    Répondre OUI à a la question "Voulez vous restaurer le fichier Host"
    Puis Quitter
    Poster le rapport C:\SpyKiller\SpyKiller-[CLEAN].txt ICI

à lire :

https://www.malekal.com/superantispyware-et-spybot-vs-malwarebyte/

--------------------------------------------

* Télécharge sur ton bureau  AdwCleaner ( d'Xplode )]
* Lance le, clique sur [Suppression] puis patiente le temps du scan.
* Une fois le scan fini, un rapport s'ouvrira.
Note : Le rapport est également sauvegardé sous C:\AdwCleaner[S1].txt
sauvegarde ce rapport sur ton bureau
* Héberge-le sur ce site
* Envoie-moi le lien fourni par l'hébergeur dans ta prochaine réponse sur le forum
------------------------
Si tu es bloqué par le filtre SmartScreen pour le téléchargement d'"AdwCleaner" c'est un bug de Internet Explorer.
Voici comment s'en affranchir :
https://toolslib.net

Cha6488 · Answer

Bonsoir,
Voici le rapport de spykiller : 

 http://pjjoint.malekal.com/files.php?id=20121003_n8u10p12q14d12

Et voici celui d'Adwcleaner :

 http://pjjoint.malekal.com/files.php?id=20121003_n13z15j13b9q15

Merci de votre aide

cabrier · Answer

Cha,

Le premier lien est celui de Malwarebyte !

Malwarebyte il ne faut jamais le passer en premier, je risque de ne pas voir certaines choses pour la suite.


* Télécharge Roguekiller (de Tigzy) sur le Bureau
* Quitte tous tes programmes en cours
* Lance le (si tu utilises Windows Vista ou 7 : fais un clic-droit dessus et choisis "Exécuter en tant qu'administrateur")
* Clique sur le bouton [Scan]
* S'il demande pour supprimer un proxy, tape 1 (supprimer)
* Le scan terminé clique sur le bouton [Rapport]
* Le bloc note s'ouvre contenant le rapport
* Enregistre le sur ton bureau 
* Transmets moi le lien du fichier par un dépôt de fichiers
* Rappel des dépôts : cijoint ou pjjoint
* Si le programme a été bloqué, ne pas hésiter a essayer plusieurs fois, ou renomme le en winlogon.exe

Et si ça ne marche toujours pas , lance le en mode sans échec avec prise en charge du réseau.
====================
Aide ici : https://www.malekal.com/demarrer-windows-mode-sans-echec/ 

A+

Cha6488 · Answer

Désolé, c'est un ancien lien je l'ai pas passé ce soir (il a ete passé par mon frere dans l'aprem pour voir si ça changé quelque chose mais il s'y connait pas trop non plus). Le fichier il etait sur mon bureau et que j'ai chargé le mauvais :/
Voici le bon :
http://pjjoint.malekal.com/files.php?id=20121003_n9d5x15d15l14

Je continue quand meme la procedure ?

cabrier · Answer

Trés bien Cha,

Tu veux refaire un ZHPDiag pour voir ce qui reste
A+

Cha6488 · Answer

Voila :

http://pjjoint.malekal.com/files.php?id=ZHPDiag_20121003_z11b12u14j15r8

cabrier · Answer

Cha,

Il n'apparait plus rien de méchant dans ce rapport, juste quelques trucs inutiles.

Comment va ta machine ?

Ce script va cibler certains éléments à supprimer :

* Copie tout le texte ci-dessous (en gras et italique) tu le sélectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C

O2 - BHO: (no name) - {BA0C978D-D909-49B6-AFE2-8BDE245DC7E6} Clé orpheline
[MD5.00000000000000000000000000000000] [APT] [Game_Booster_AutoUpdate] (...) -- C:\Program Files\IObit\Game Booster 3\AutoUpdate.exe (.not file.)
O43 - CFD: 27/01/2012 - 00:26:00 - [0] ----D C:\Users\Chorlotte\AppData\Local\ECRSC
O43 - CFD: 20/08/2012 - 22:49:56 - [0] ----D C:\Users\Chorlotte\AppData\Local\Skymonk2
O43 - CFD: 29/04/2012 - 21:18:29 - [0] ----D C:\Users\Chorlotte\AppData\Local\{0CA7D09B-D1ED-4E47-B415-4CC0CEF021DB}
O43 - CFD: 27/05/2012 - 11:43:17 - [0] ----D C:\Users\Chorlotte\AppData\Local\{0FCAD608-05BE-4D62-9BE2-14F5DDC5A703}
O43 - CFD: 27/05/2012 - 11:43:36 - [0] ----D C:\Users\Chorlotte\AppData\Local\{25922A48-95D7-4332-BA85-CAC1B1168C12}
O43 - CFD: 31/07/2012 - 18:21:58 - [0] ----D C:\Users\Chorlotte\AppData\Local\{3B656015-630A-47F6-87A7-DCF3B7D33759}
O43 - CFD: 02/02/2012 - 20:54:00 - [0] ----D C:\Users\Chorlotte\AppData\Local\{4B50B8DE-AA68-48B1-8C99-937E4699CE13}
O43 - CFD: 26/05/2012 - 23:42:21 - [0] ----D C:\Users\Chorlotte\AppData\Local\{4E8EDFFF-5F8D-4C32-B9F5-1634DBCBAD0A}
O43 - CFD: 29/04/2012 - 21:18:45 - [0] ----D C:\Users\Chorlotte\AppData\Local\{5DAEBD0B-24E2-4B14-933E-C725310ACAEE}
O43 - CFD: 02/08/2012 - 23:43:56 - [0] ----D C:\Users\Chorlotte\AppData\Local\{63A654F8-D87B-4C34-8D42-B2561482F75B}
O43 - CFD: 04/02/2012 - 21:32:59 - [0] ----D C:\Users\Chorlotte\AppData\Local\{82258546-76B4-4B65-A987-A6B30F4D3BC2}
O43 - CFD: 05/04/2012 - 17:49:06 - [0] ----D C:\Users\Chorlotte\AppData\Local\{85974C23-BC6B-41FD-A15A-F9231F88664E}
O43 - CFD: 02/02/2012 - 20:53:27 - [0] ----D C:\Users\Chorlotte\AppData\Local\{85A7123F-6B30-4A02-86CC-2514BA7C3A52}
O43 - CFD: 26/05/2012 - 23:42:36 - [0] ----D C:\Users\Chorlotte\AppData\Local\{923343CF-B76B-449B-8D06-509AFE6A7710}
O43 - CFD: 05/04/2012 - 17:53:22 - [0] ----D C:\Users\Chorlotte\AppData\Local\{93EE3167-3297-48F0-A86A-5DF584698830}
O43 - CFD: 04/02/2012 - 21:32:47 - [0] ----D C:\Users\Chorlotte\AppData\Local\{B100E141-7B94-4A56-B63B-985C70B6AEB1}
O43 - CFD: 02/08/2012 - 23:44:19 - [0] ----D C:\Users\Chorlotte\AppData\Local\{D1B26CAA-9E18-496C-B9A5-865EF9ED62E9}
O43 - CFD: 31/07/2012 - 18:22:24 - [0] ----D C:\Users\Chorlotte\AppData\Local\{D7EB5B2B-589C-4EEE-B11B-97C5BE279E4C}
EmptyTemp
EmptyFlash
EmptyCLSID
FirewallRAZ


* Double-clic droit sur le raccourci portant le nom "ZHPFix" (sur ton bureau).
/ !\Utilisateurs de Vista et Windows 7 : Clic droit sur le logo de ZHPFix.exe, « exécuter en tant qu'Administrateur »/ !\ 
* Clique sur l'icone représentant le presse-papier ("coller le presse-papier")
Le script doit automatiquement apparaitre dans ZHPFix, sinon, colle-le (Ctrl+v) 
* Vérifie que toutes les lignes que je t''ai demandé de copier (et seulement elles) sont dans la fenêtre. 
* Clique sur le bouton «GO » pour lancer le nettoyage 
* Le rapport s'ouvre automatiquement après l'exécution du script. Il se trouve aussi sous C:\ZHP\ZHPPFixReport.txt
* Transmets-moi le lien du fichier comme indiqué en préambule "Dépôt de fichier"
*Rappel des dépôts : cijoint ou pjjoint
-------------------------------------------------------------
Lors de l'utilisation de Zhpfix le processus "explorer exe" peut se fermer.
Ton bureau apparaitra sans icones et sans barre des taches.
Pour relancer "explorer.exe" appuie simultanément sur les touches ctrl+alt+suppr pour ouvrir le gestionnaire de tâches.
Cliques sur "fichier" et sur "nouvelle tâche" et dans le champ de saisie, tu tapes explorer.exe et cliques sur OK. 

A+

Cha6488 · Answer

Alors j'ai mis un peu de temps, a chaque fois ça "ne repondais pas" vers la fin et je l'ai donc fait en mode sans echec. Voici le rapport :

http://pjjoint.malekal.com/files.php?id=20121003_x15o13r10q5h5

Sinon, pour les dossiers ils s'ouvrent toujours dans une fenetre differente malgré que dans les options ca soit coché "ouvrir tous les dossiers dans une meme fenetre". Sinon pour les redemarage je n'y ai pas eu droit mais je ne sais pas si ça veut dire que c'est fini. Si on ne voit plus rien de mechant c'est deja bien :)

En tout cas merci !

cabrier · Answer

Cha 
Désolé pour l'instant je n'ai pas le temps.
Je regarde ton rapport dans quelques heures et te dis ce qu'il y a lieu de faire pour terminer.
A+

cabrier · Answer

Cha,

Pour tes dossiers s'ouvrant dans des fenêtres différentes essaie ceci :

En mode commande (tu sais faire? ) tapes :

regsvr32 /i shell32

puis Entrée

Dis moi ce que ça donne !

A+

cabrier · Answer

Cha 

Si ça ne marche pas avec la commande précédente :

Cliques sur le logo Windows (en bas à gauche)

Dans la petite fenêtre qui apparait, tapes cmd et valides,

Dans la fenêtre à fond noir, à la position du curseur tapes :

regsvr32 "%SystemRoot%\System32\actxprxy.dll"

et appuie sur la touche Entrée,

puis tapes :

regsvr32 "%ProgramFiles%\Internet Explorer\ieproxy.dll" 

et appuie sur la touche Entrée.

Fermes la fenêtre.

Redémarre ta machine et dis moi ce qu'il en est.

A+

cabrier · Answer

Cha,

Fais Démarrer ---> Tous les programmes ---->Accessoires
Ensuite clic droit sur "Invites de commandes" et "Exécuter en tant qu'administrateur"
et retapes les lignes que je t'ai données.

A+

cabrier · Answer

Ou encore essaie ceci,

Démarrer---->Panneau de configuration ----> Options des dossiers,
Onglet "Affichage"-----> cliques sur Réinitialiser les dossiers".

A+

Virus ?

13 réponses

Votre réponse

Discussions similaires

Newsletters