Sujet Précédent Sujet Suivant

Virus interpol sur pc bureau windows XP

twister -  
Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   -
Bonjour,

J'ai une page interpol avec la photo d'Hollande et me demande payé 100 E.
ça me bloque le bureau puisque ça se met en pleine écran.
Par chance j'ai réussi en faisant ctrl+alt+sup et avec rapidité à faire apparaitre le bouton démarer puis "fermer la session "puis changer d'utilisateur" (on est plusieurs personnes et on a chacun sa session utilisateur)
Sur l'autre session utilisateur j'ai pu avoir accès au bureau sans problème j'ai fais un scan spybot, puis j'ai regardé sur le net on parlait de roguekiller, j'ai essayé de télécharger en confiance et en fait je me retrouve avec un tas de programme : Advanced System Protector, Bubble duck, My PC Backup, RegClean Pro, Retro PC Calculator.

J'ai éteins le PC puis j'ai rallumé, première session utilisateur toujours le virus, je change de session utilisateur et là aussi page interpol, j'arrive en changer de session utilisateur, sur celle là ça va pour l'instant et c'est de la que je vous écris.

S'il vous plaît aidez-moi

A voir également:

27 réponses

  • 1
  • 2
Résumé de la discussion

Infection d'une machine sous Windows XP et navigateur Firefox, où une page bloquant l'écran affiche une demande de paiement et l'intrusion persiste sur plusieurs sessions utilisateur, nécessitant une réponse technique. Des propositions consistent à lancer des analyses anti-malware et à vérifier manuellement les dossiers sensibles, notamment Application Data et Temp, dans chaque profil d'utilisateur, et Spybot et Malwarebytes sont cités comme outils utiles. En cas de persistance, il est évoqué de réinstaller Windows et de considérer une migration vers Linux ou une version plus récente, compte tenu de la fin du support de XP et risques de sécurité.

Généré automatiquement par IA
sur la base des meilleures réponses
Réponse 1 / 27
Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 711
 
Salut,

Tu as installé des adwares et programmes parasites sur ton PC.
Voici la procédure à suivre pour les supprimer :

Un nettoyage AdwCleaner (environ 10/15min) :
======================================
Suis ce tutorial https://www.malekal.com/adwcleaner-supprimer-virus-adwares-pup/?t=33839&start= AdwCleaner ( d'Xplode ) sur ton bureau.
Vas sur le lien, télécharge AdwCleaner comme indiqué.
Lance AdwCleaner, clique sur [Scanner].
Le scan peux durer plusieurs minutes, patienter.
Une fois le scan terminé, clique sur [Nettoyer]

Une fois le nettoyage terminé, un rapport s'ouvrira. Copie/colle le contenu du rapport dans ta prochaine réponse par un copier/coller.
Si cela ne fonctionne pas, utilise le site http://pjjoint.malekal.com pour héberger le rapport, donne le lien du rapport dans un nouveau message.

Note : Le rapport est également sauvegardé sous C:\AdwCleaner[S1].txt

puis :

Scan Malwarebytes (temps : environ 40min de scan):
==================================================
Télécharge et installe Malwarebyte : https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
Mets le à jour puis lance un examen.

A la fin du scan, clic sur "Mettre tout en quarantaine" en bas à gauche.
Redémarre l'ordinateur si besoin.
Après redémarrage, relance Malwarebytes.
Vas chercher le rapport dans l'onglet Historique.
A gauche Journal des examens.
Doube-clic sur l'examen dans la liste.
Puis en bas Copier dans le presse papier
et colle ici le rapport dans un message en réponse.
0
Réponse 2 / 27
twister
 
j'ai téléchargé adwcleaner, fais le scan, nettoyer mais il m'a été demandé de redémarrer l'ordinateur pour terminer la suppression. Ce que j'ai fais mais lorsque j'ai re-ouvert la session paf la page interpol....

J'ai réussi à aller sur une autre session utilisateur mais c'est la dernière chance après je n'aurais plus d'accès internet si cette session subit le même sort

Qu'est-ce que je fais je passe à ton paragraphe scan Malwarebytes ?
0
Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 711
 
oui scan complet.
Comme ça il va scanner la session infectée.
0
Réponse 3 / 27
twister
 
j'ai téléchargé pourtant en français mais il est en anglais. Je comprend rien en anglais.
J'ai pas trouver de mise à jour
J'ai lancé le scan, il y avait 3 proposition de scan (en anglais) j'ai lancé le premier proposé, il est en cours
0
Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 711
 
Menu Settings en haut et tu mets en français.
0
twister
 
ok le scan est en cours depuis 50 min et je suis même pas arrivé au quart de la barre de progression! c'est normal ? ça va durer des heures?
0
Réponse 4 / 27
twister
 
Voici le journal, je n'ai pas oser redémarrer pour l'instant de peur que ça n'est pas fonctionner et que je ne puisse plus te joindre.
Donne moi ton avis s'il te plaît

Malwarebytes Anti-Malware
www.malwarebytes.org

Date de l'examen: 06/04/2014
Heure de l'examen: 12:59:40
Fichier journal:
Administrateur: Oui

Version: 2.00.1.1004
Base de données Malveillants: v2014.04.06.04
Base de données Rootkits: v2014.03.27.01
Licence: Gratuite
Protection contre les malveillants: Désactivé(e)
Protection contre les sites Web malveillants: Désactivé(e)
Chameleon: Désactivé(e)

Système d'exploitation: Windows XP Service Pack 3
Processeur: x86
Système de fichiers: NTFS
Utilisateur: Pascale

Type d'examen: Examen "Menaces"
Résultat: Terminé
Objets analysés: 336419
Temps écoulé: 1 h, 24 min, 53 sec

Mémoire: Activé(e)
Démarrage: Activé(e)
Système de fichiers: Activé(e)
Archives: Activé(e)
Rootkits: Désactivé(e)
Shuriken: Activé(e)
PUP: Activé(e)
PUM: Activé(e)

Processus: 0
(No malicious items detected)

Modules: 0
(No malicious items detected)

Clés du Registre: 13
Trojan.FakeAlert, HKLM\SOFTWARE\CLASSES\TYPELIB\{E24211B3-A78A-C6A9-D317-70979ACE5058}, Mis en quarantaine, [958779ae314afa3c6d0c01383ac87090],
PUP.Optional.BubbleDock.A, HKU\S-1-5-21-1606980848-602609370-839522115-1004-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXT\SETTINGS\{23AF19F7-1D5B-442C-B14C-3D1081953C94}, Mis en quarantaine, [0d0f56d1c7b4a09637caf319f80adb25],
PUP.Optional.BubbleDock.A, HKLM\SOFTWARE\CLASSES\Nosibay.SurfMatch, Mis en quarantaine, [0d0f56d1c7b4a09637caf319f80adb25],
PUP.Optional.BubbleDock.A, HKLM\SOFTWARE\CLASSES\Nosibay.SurfMatch.1, Mis en quarantaine, [0d0f56d1c7b4a09637caf319f80adb25],
PUP.Optional.BubbleDock.A, HKU\S-1-5-21-1606980848-602609370-839522115-1004-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXT\STATS\{23AF19F7-1D5B-442C-B14C-3D1081953C94}, Mis en quarantaine, [0d0f56d1c7b4a09637caf319f80adb25],
PUP.Optional.SupTab.A, HKU\S-1-5-21-1606980848-602609370-839522115-1004-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXT\SETTINGS\{3593C8B9-8E18-4B4B-B7D3-CB8BEB1AA42C}, Mis en quarantaine, [1efece59c0bb191dc03ff8148f73dc24],
PUP.Optional.SupTab.A, HKU\S-1-5-21-1606980848-602609370-839522115-1004-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXT\STATS\{3593C8B9-8E18-4B4B-B7D3-CB8BEB1AA42C}, Mis en quarantaine, [1efece59c0bb191dc03ff8148f73dc24],
Rogue.WinAntiVirus, HKU\S-1-5-21-1606980848-602609370-839522115-1003-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXT\STATS\{B64F4A7C-97C9-11DA-8BDE-F66BAD1E3F3A}, Mis en quarantaine, [39e3e245c7b452e442896fbe0ff3dd23],
PUP.Optional.Amonetize, HKLM\SOFTWARE\CLASSES\TYPELIB\{363BB65D-1747-4826-B445-1DA6244E2037}, Mis en quarantaine, [5bc1d94e5e1db482500973f432cfd52b],
Rogue.Residue, HKU\S-1-5-21-1606980848-602609370-839522115-1003-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\fcn, Mis en quarantaine, [bf5d8f9819623bfb780f8a52768ca25e],
Trojan.FakeAlert, HKU\S-1-5-21-1606980848-602609370-839522115-1003-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\Monopod, Mis en quarantaine, [8d8ffd2a9edd3bfb40a855919e648080],
Malware.Trace, HKU\S-1-5-21-1606980848-602609370-839522115-1003-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\NordBull, Mis en quarantaine, [66b668bf4338b6809b7e1fc8fe04956b],
Trojan.FakeAlert, HKU\S-1-5-21-1606980848-602609370-839522115-1003-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\XML, Mis en quarantaine, [9f7d39eebebd0630b75d0cdd4ab87a86],

Valeurs du Registre: 0
(No malicious items detected)

Données du Registre: 0
(No malicious items detected)

Dossiers: 0
(No malicious items detected)

Fichiers: 20
Trojan.FakeMS, C:\Documents and Settings\All Users\Application Data\2992199F9A\qhohz89.cpp, Mis en quarantaine, [f7254bdc9ae1e74f21cac29f2fd220e0],
PUP.Optional.Amonetize, C:\Documents and Settings\Maurice\Application Data\41\a18467.exe, Mis en quarantaine, [5bc1d94e5e1db482500973f432cfd52b],
Trojan.FakeMS, C:\Documents and Settings\Franck\Local Settings\Temp\5Kai.dll, Mis en quarantaine, [45d779ae2a51b77fc526e77a0100629e],
PUP.Optional.Amonetize.A, C:\Documents and Settings\Maurice\Local Settings\Temp\setup__6046.exe, Mis en quarantaine, [ec303cebc7b455e1acadad8f42bee31d],
PUP.Optional.Amonetize.A, C:\Documents and Settings\Maurice\Local Settings\Temp\setup__6048.exe, Mis en quarantaine, [49d36fb8a8d3ba7cfb5e1b21c9377090],
PUP.Optional.Amonetize.A, C:\Documents and Settings\Maurice\Local Settings\Temp\setup__6051.exe, Mis en quarantaine, [a775e245eb9052e476e35ce0a06003fd],
PUP.Optional.Amonetize.A, C:\Documents and Settings\Maurice\Local Settings\Temp\setup__6057.exe, Mis en quarantaine, [85975acd2a51e65026336cd0cb3528d8],
PUP.Optional.Amonetize.A, C:\Documents and Settings\Maurice\Local Settings\Temp\setup__6285.exe, Mis en quarantaine, [7ca0ff2828539f97e6733ffdf30d5aa6],
PUP.Optional.BubbleDock.A, C:\Documents and Settings\Maurice\Local Settings\Temp\Install_BubbleDock.exe, Mis en quarantaine, [ad6f171089f2fc3a3bdb2f0429d87d83],
PUP.Optional.BubbleDock.A, C:\Documents and Settings\Maurice\Local Settings\Temp\nsc96.tmp\Bubble Dock BSetup.exe, Mis en quarantaine, [af6dee39c5b68babfc1a2112827fc53b],
PUP.Optional.SkyTech.A, C:\Documents and Settings\Maurice\Local Settings\Temp\fullpackage_temp1396727929\alilog.dll, Mis en quarantaine, [67b5da4d93e887aff61c42f01be527d9],
PUP.Optional.SkyTech.A, C:\Documents and Settings\Maurice\Local Settings\Temp\fullpackage_temp1396727929\package1.zip, Mis en quarantaine, [41dbb86f35467cba14fe42f0f90725db],
PUP.Optional.IePluginService.A, C:\Documents and Settings\Maurice\Local Settings\Temp\fullpackage_temp1396727929\tmp\SupTab.exe, Mis en quarantaine, [7d9fc85fdf9cea4c6887d27ce21fd42c],
PUP.Optional.WpManager, C:\Documents and Settings\Maurice\Local Settings\Temp\fullpackage_temp1396727929\tmp\wpm.exe, Mis en quarantaine, [8c90e740b8c3e74f939331283ac7847c],
PUP.Optional.SizlSearch.A, C:\Documents and Settings\Maurice\Local Settings\Temporary Internet Files\Content.IE5\FUKEP8KP\sizlsearch_ad[1].exe, Mis en quarantaine, [b468f92e3d3ede58d7c97437da29d22e],
PUP.Optional.BubbleDock.A, C:\Documents and Settings\Maurice\Local Settings\Temporary Internet Files\Content.IE5\HV4D4I45\60251.Bubble_Dock.BBD023.no[1].exe, Mis en quarantaine, [e73562c56f0cbe7861b578bbe61b46ba],
PUP.Optional.SkyTech.A, C:\Documents and Settings\Maurice\Local Settings\Temporary Internet Files\Content.IE5\HV4D4I45\adks_qone8[1].exe, Mis en quarantaine, [e13ba780b7c467cfbd128fbf27da6898],
PUP.Optional.WebToolbar, C:\Documents and Settings\Maurice\Local Settings\Temporary Internet Files\Content.IE5\QMPIKQ7Q\BoxoreInstaller[1].exe, Mis en quarantaine, [c458f334f48753e3a6ffcf356f93738d],
PUP.Optional.RegCleanPro, C:\Documents and Settings\Maurice\Local Settings\Temporary Internet Files\Content.IE5\QMPIKQ7Q\rcpsetup_imppi9_imppi9[1].exe, Mis en quarantaine, [1309e04765161a1c4940969e6898867a],
PUP.Optional.Bubbledock.A, C:\Documents and Settings\Maurice\Application Data\Bubble Dock.boostrap.log, Mis en quarantaine, [3ce02cfb5e1d44f2dc2ccea09a6855ab],

Secteurs physiques: 0
(No malicious items detected)

(end)
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 5 / 27
Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 711
 
Afficher les fichiers cachés et systèmes : https://www.commentcamarche.net/informatique/windows/185-afficher-les-extensions-et-les-fichiers-caches-sous-windows/

y a quoi comme fichier dans :
C:\Documents and Settings\<session infectés>\Application Data\
C:\Documents and Settings\<session infectés>\Local Settings/temp <= mets l'affiche en détails et trie par date pour avoir les derniers fichiers créés.
0
twister
 
je n'y arrive pas je suis sur mozilla et dans outils options je n'ai pas ce qui est dans le tuto?
0
Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 711
 
Faut pas aller sur Mozilla, c'est dans le poste de travail.
0
twister
 
ok pardon c'est fait j'ai coché ce qu'il faut mais après je comprends pas ce qu'il faut que je fasse: "mets l'affiche en détails et trie par date pour avoir les derniers fichiers créés. " je vais dans quoi?
0
Réponse 6 / 27
twister
 
Dans:
C:\Documents and Settings\Default User\Local Settings\Temp
et dans: C:\Documents and Settings\Default User\Local Settings\Application Data
y a rien qui rien qui s'affiche dans ces dossiers, "fichier vide" lorsque je les survols
0
Réponse 7 / 27
twister
 
Que dois-je faire?
0
Réponse 8 / 27
twister
 
y a plus personne pour m'aider s'il vous plaît? vous en remerciant.
0
Réponse 9 / 27
Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 711
 
Faut pas aller dans Default User, mais dans le nom de la session infectée.
0
Réponse 10 / 27
twister
 
je suis désolé mais je comprends pas
je vais dans C:\Documents and Settings après j'ai 6 dossiers: "all users" "default user" puis les dossiers des 4 sessions utilisateurs
0
Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 711
 
et dedans y a la session infectée?
oui, donc tu ouvres puis Application Data et tu donnes le nom des fichiers
Retourne dans C:\Documents and settings => session infectée => Local Settings => Temp <= mets l'affiche en détails et trie par date pour avoir les derniers fichiers créés.
0
Réponse 11 / 27
twister
 
ok j'ai compris où aller
j'ai 3 sessions infectées sur les 4, sur une (la première à avoir été infectée j'ai un message d'erreur "...n'est pas accessible accès refusé", j'ai été sur les autres et j'ai fais ce que tu m'as dis et j'ai un tas de fichiers, je l'ai ai trié par date et ensuite?
0
Réponse 12 / 27
twister
 
dedans j'ai depuis la date d'hier (jour de l'apparition de l'infection) des fichiers TMP, document XML, fichier de configuration, parmètres de configuration, document texte, extension de l'application, Fichiers, Application
0
twister
 
je les supprime tous?
0
Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 711
 
non.

Je pense que tu devrais faire cela : http://support.microsoft.com/kb/811151/fr

Ca sera plus simple.
0
twister
 
je recréer une copie de chaque utilisateurs ? puis je supprime les originaux?
0
Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 711
 
bha non, seulement la session infectée...
0
twister
 
elles sont toutes infectées sauf celle sur laquelle je suis
0
Réponse 13 / 27
Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 711
 
Pour les nettoyer, il faut aller regarde dans les dossiers Application Data, si tu as des noms de fichiers/dossiers aléatoires.
Ils doivent dater du jour de l'infection, tu peux faire une recherche de fichiers par date aussi.

Malwarebyte en a viré un bout dans All Users :

Trojan.FakeMS, C:\Documents and Settings\All Users\Application Data\2992199F9A\qhohz89.cpp, Mis en quarantaine, [f7254bdc9ae1e74f21cac29f2fd220e0],

0
twister
 
c'est quoi noms de fichiers/dossiers aléatoires?
j'ai des dossiers nommés: "quone8", Microsoft", "41", "macromedia", "adobe" et un fichier 'bubble.dock.installation.log"
0
twister
 
j'essai la procédure de copier les comptes utilisateur mais le tuto dit:
"Recherchez le dossier C:\Documents and Settings\Ancien_Nom_Utilisateur où C est le lecteur sur lequel Windows XP est installé et Ancien_Nom_Utilisateur est le nom du profil à partir duquel vous voulez copier les données utilisateur."
mais je n'y arrive pas "inaccessible" "accès refusé"
0
Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 711
 
Ajouté l'onglet Sécurité : https://www.commentcamarche.net/faq/2785-windows-xp-familial-rajouter-l-onglet-securite-manquant

clic droit sur le dossier en question et onglet Sécurité, ajout tout le monde et mets contrôle total dessus.
0
twister
 
je fais clic droit, "partage sécurité", ensuite? je coche "partager ce dossier sur le réseau" et coche "autoriser les utilisateurs réseau à modifier mes fichiers"? "appliquer" ?
0
Réponse 14 / 27
Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 711
 
qone8 tu peux le virer.

Pour voir :

Faire un Scan OTL - Temps : Environ 40min
=====================
OTL permet de diagnostiquer les programmes qui tournent et déceler des infections - Le programme va générer deux rapports OTL.txt et Extras.txt
Fournir les deux rapports :

Tu peux suivre les indications de cette page pour t'aider : https://www.malekal.com/tutorial-otl/

* Télécharge http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/ sur ton bureau.
(Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)

Coche la case : tous les utilisateurs.

Dans le cas d'Avast!, ne pas lancer le programme dans la Sandbox (voir lien d'aide ci-dessus).

* Lance OTL
* En haut à droite de Analyse rapide, coche "tous les utilisateurs"
* Sur OTL, sous Personnalisation, copie-colle le script ci-dessous :

netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%ALLUSERSPROFILE%\Application Data\*.dll /s
%ALLUSERSPROFILE%\Application Data\*.cpp /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%temp%\*.exe /s
%SYSTEMDRIVE%\*.exe
%systemroot%\*. /mp /s
%systemroot%\system32\consrv.dll
%systemroot%\system32\*.dll /lockedfiles
%windir%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
/md5start
explorer.exe
winlogon.exe
services.exe
wininit.exe
qhohz89.cpp
/md5stop
HKEY_CLASSES_ROOT\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32 /s
HKEY_LOCAL_MACHINE\SYSTEM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\AppCertDlls /s
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList /s
HKEY_LOCAL_MACHINE\Software\Microsoft\Command Processor /s
HKEY_CURRENT_USER\Software\Microsoft\Command Processor /s
CREATERESTOREPOINT
nslookup https://www.google.fr/?gws_rd=ssl /c
SAVEMBR:0
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs

* Clique sur le bouton Analyse.

**** Si durant le scan - OTL ne répond pas, ne touche à rien et laisse le scan se poursuivre ****

* Quand le scan est fini, utilise le site http://pjjoint.malekal.com/ pour envoyer le rapport OTL.txt (et Extra.txt si présent).
Donne le ou les liens pjjoint qui pointent vers ces rapports ici dans une réponse.
Je répète : donne le lien du rapport pjjoint ici en réponse.

NE PAS COPIER/COLLER LE RAPPORT ICI - DONNER LE LIEN PJJOINT DANS UN NOUVEAU MESSAGE
0
Réponse 15 / 27
twister
 
rapport OTL : http://pjjoint.malekal.com/files.php?id=20140406_14m11h11z6j8
rapport Extra: http://pjjoint.malekal.com/files.php?id=20140406_o11m13b8j11p13
0
Réponse 16 / 27
Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 711
 
Désinstalle :

AVG Antispyware, sert à rien.
Désinstalle \WebInternetSecurity

Relance OTL.
o sous Personnalisation (Custom Scan), copie_colle le contenu du cadre ci dessous (bien prendre :OTL en début).
Clic Correction (Fix), un rapport apparraitra, copie/colle le contenu ici:

:OTL
SRV - File not found [Auto | Stopped] -- C:\DOCUME~1\ALLUSE~1\APPLIC~1\2992199F9A\qhohz89.cpp -- (winmgmt)
O4 - HKLM..\Run: [Windows DLL System Manager] C:\Program Files\Update Software\dllmon32.exe ()
O4 - HKU\S-1-5-21-1606980848-602609370-839522115-1003..\Run: [wmgiw] c:\documents and settings\franck\local settings\application data\wmgiw.exe wmgiw File not found
O4 - HKU\S-1-5-21-1606980848-602609370-839522115-1005..\Run: [WebInternetSecurity] C:\Documents and Settings\Maurice\Local Settings\Application Data\WebInternetSecurity\WebInternetSecurity.exe (WebInternetSecurity)
O4 - HKU\S-1-5-21-1606980848-602609370-839522115-1005..\Run: [WebInternetSecurity Update Task] C:\Documents and Settings\Maurice\Local Settings\Application Data\WebInternetSecurity\uninstall.webinternetsecurity.exe ()
[2014/04/05 22:13:14 | 000,000,000 | ---D | C] -- C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Update Software
[2014/04/05 22:13:13 | 000,000,000 | ---D | C] -- C:\Program Files\Update Software
[2014/04/05 21:12:02 | 000,000,000 | ---D | C] -- C:\Program Files\Top Password
[2014/04/05 21:12:02 | 000,000,000 | ---D | C] -- C:\Documents and Settings\All Users\Menu Démarrer\Programmes\ISO2Disc
[2014/04/05 18:59:05 | 000,000,000 | ---D | C] -- C:\Documents and Settings\All Users\Application Data\2992199F9A
:reg
[-HKEY_LOCAL_MACHINE\software\clients\startmenuinternet\MSN Explorer\shell\open\command]

* poste le rapport ici

Redémarre l'ordinateur
0
twister
 
j'ai désintallé AVG Antispaware mais je ne trouve pas WebInternetSecurity
0
twister
 
le rapport après clic sur correction est:

========== OTL ==========
Service winmgmt stopped successfully!
Service winmgmt deleted successfully!
File C:\DOCUME~1\ALLUSE~1\APPLIC~1\2992199F9A\qhohz89.cpp not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\Windows DLL System Manager deleted successfully.
C:\Program Files\Update Software\dllmon32.exe moved successfully.
Registry key HKEY_USERS\S-1-5-21-1606980848-602609370-839522115-1003\Software\Microsoft\Windows\CurrentVersion\Run not found.
Registry key HKEY_USERS\S-1-5-21-1606980848-602609370-839522115-1005\Software\Microsoft\Windows\CurrentVersion\Run not found.
C:\Documents and Settings\Maurice\Local Settings\Application Data\WebInternetSecurity\WebInternetSecurity.exe moved successfully.
Registry key HKEY_USERS\S-1-5-21-1606980848-602609370-839522115-1005\Software\Microsoft\Windows\CurrentVersion\Run not found.
C:\Documents and Settings\Maurice\Local Settings\Application Data\WebInternetSecurity\uninstall.webinternetsecurity.exe moved successfully.
C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Update Software folder moved successfully.
C:\Program Files\Update Software folder moved successfully.
C:\Program Files\Top Password folder moved successfully.
C:\Documents and Settings\All Users\Menu Démarrer\Programmes\ISO2Disc folder moved successfully.
C:\Documents and Settings\All Users\Application Data\2992199F9A folder moved successfully.
========== REGISTRY ==========
Registry key HKEY_LOCAL_MACHINE\software\clients\startmenuinternet\MSN Explorer\shell\open\command\ deleted successfully.

OTL by OldTimer - Version 3.2.69.0 log created on 04062014_212822
0
Réponse 17 / 27
Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 711
 
Si les sessions sont encore bloquées, c'est qu'il y a des trucs dans chacune d'elles.
Faut arriver à y avoir accès.

Pour ça : https://forums.commentcamarche.net/forum/affich-30005977-virus-interpol-sur-pc-bureau-windows-xp#31
Faut décocher, le partage simple, pour avoir l'onglet Sécurité quand tu fais un clic droit sur le dossier de la session dans Document and Settings.

Si tu n'y arrives pas, je pourrai prendre la main à distance sur le PC, demain pour le faire.

Like the angel you are, you laugh creating a lightness in my chest,
Your eyes they penetrate me,
(Your answer's always 'maybe')
That's when I got up and left
0
twister
 
lorsque je clic droit sur la session bloquée j'ai "partage et sécurité" ensuite 3 onglets: "général", "partage", "personnaliser"
c'est ça?
sinon est-ce que je peux copier la session dans documents partagés?
0
Réponse 18 / 27
twister
 
Bonjour,

D'abord je tiens à te remercier Malekal de passer tout ce temps à m'aider.

Ce matin bonne nouvelle le virus semble enrayé, la page interpol n'apparaît plus.

Par contre l'ordi est très très long à chargé bien 15 minutes...

J'ai aussi un message d'erreur RUNDLL: C:\DOCUME~1\ALLUSE~1\APPLIC~1\299219~1\qhohz89.cpp

et puis des autres messages qui apparaissent régulièrement de genre "un script sur cette page est occupé.... avec 2 boutons cliquer pour Continuer ou Arrêter
0
Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 711
 
Fais un scan OTL sur la session où tu as le message.
0
twister
 
ok
je coche tous utilisateurs?
est-ce je colle un script dans personnalisation comme hier?
0
Réponse 19 / 27
twister
 
J'ai cocher tous utilisateur et lancé l'analyse

voici le rapport OTL: http://pjjoint.malekal.com/files.php?id=20140407_y6y11q14i5c11

pas de rapport Extra
0
twister
 
Qu'est qu'il en est?
Je fais quoi maintenant?
0
Réponse 20 / 27
Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 711
 
Menu Démarrer / tous les programmes / Démarrage
tu dois avoir 98zhohq - supprime le.

Fais ça sur toutes les sessins (le nom du fichier peux changer, tu vires dès que y a un nom aléatoire).

Tu devrais désinstaller Spybot et le remplacer par Malwarebytes, il est plus efficace, je pense : https://www.malekal.com/tutoriel-malwarebyte-anti-malware/

Like the angel you are, you laugh creating a lightness in my chest,
Your eyes they penetrate me,
(Your answer's always 'maybe')
That's when I got up and left
0
  • 1
  • 2