Disque dur externe contaminé ?!

Question

Bonjour,

Je viens récemment d'être infecté par un virus nommé mbr:\.\phisicaldrive0. J'ai réussi à éradiquer le virus (à priori) grâce à combofix (sue ce sujet http://www.commentcamarche.net/forum/affich 6088072 eradiquer virus mbr phisicaldriveo)

Cependant depuis cet événement, en branchant mon Disque Dur externe, j'entends le son de la connexion d'un nouveau périphérique mais il ne s'affiche pas dans le poste de travail. De plus j'ai l'impression que le disque dur n'arrête pas de redémarrer, par conséquent j'ai l'impression que son MBR (Master Boot Record) a été altéré, s'il en possède un également (comme à priori tous les DD en ont un, je pense que je suis dans le vrai)

Bref, mon disque dur externe est un Advance (la marque) 500 Go presque plein donc j'aimerais pouvoir récupérer mes données.

Déjà vérifié : 
- j'ai le pilote USB 2.0 avec mon window XP SP2
- ça ne vient pas du câble USB

Avez-vous des suggestions pour m'aider?

Merci d'avance.

cgui33 · Answer

Salut 
as tu essayé de le brancher sur un autre PC ?
A+

cgui33 · Answer

Pas de pb je pense que tu peux le connecter en mode sans échec !
Mais c'est peut-être un problème matériel (que je ne te souhaite pas ... 500Go !!!)
Moi je viens de perdre 130Go il y a peu de temps ... et pour récupérer des photos (principalement) -->la galère !!!
A+

Chocoboy5 · Answer

Arg!

L'autre PC ne veut pas reconnaitre le disque dur externe, et pour cause : ce dernier n'arrête pas de redémarrer!

Le voyant s'allume et s'éteint à intervalles réguliers (alors que d'habitude il est allumer en permanence), le disque tourne mais dans le vide grrrr

Même si je ne peux pas sauver les données, je voudrais au moins sauver le matériel (un DD 500 Go c'est pas donné!!)

Quelqu'un penserait-il à quelque chose pour forcer mon PC à reconnaitre le disque externe? et surtout y a-t-il un moyen d'empêcher le disque externe de tourner dans le vide?

déjà essayé : démarrage en mode sans échec (en branchant le DDExt avant ou après le démarrage en sans échec)

cgui33 · Answer

Re
Poste un log Hijack (on sait jamais !)
A+

cgui33 · Answer

Re
Ne serait ce pas simplement un problème matériel ? (alimentation un peu juste par exemple)
Peux tu le tester sur un PC récent ? (qui supporte déjà un disque équivalent) 
Que se passe t-il dans le gestionnaire de périphérique lorsque tu le connecte ?
...
A+

cgui33 · Answer

Re
Ne cherche pas plus loin ... va voir ici
Tu trouveras tout ce qu'il faut pour désinfecter le ligne suivante :
O4 - HKLM\..\Run: [Startup] C:\windows\startup.vbs

Pendant ce temps là je regarde une autre ligne suspecte.
Dès que tu as fini la procédure refais un log Hijack
A+

cgui33 · Answer

Re
Lorsque tu en auras fini avec la ligne 04 ...

Avec HijackThis : 
Do a system scan only 
Coche cette ligne :

O20 - Winlogon Notify: uerclt - C:\WINDOWS\SYSTEM32\uercltn.dll

Arrête toutes les autres applications en cours et :
Fix checked 

Toujours dans Hijack
BP Config (bas à droite)
Onglet MiscTools
BP Delete a file on rebbot
Sélectionne :
C:\WINDOWS\SYSTEM32\uercltn.dll
Valide et répond Oui pour redémarrer le PC

A+

cgui33 · Answer

Re

Ton rapport Hijack a l'air clean.
Quels sont les problèmes sur ton PC qui te font penser que tu as encore des virus ?
Est-ce seulement le fait que tu n'accèdes pas à ton disque ?
Renvoi : ici pour l'instant !
Je continue à chercher ... mais c'est le WE et il fait beau !

A+

cgui33 · Answer

Re
Tu peux effectivement désinstaller certains logiciels Orange :
Vas voir ici
Même si je ne crois pas que cela solutionne ton pb !
Peux tu tester le disque sur un autre PC (t'as pas un pote qui a XP ...)
A+

cgui33 · Answer

Re 
C'est quoi comme virus ? (t'as un nom ?)
A+

ludsfa · Answer

salut chocoboy,


c'est ludsfa je t'ai laissé un message sur l'autre post.
tu fais déjà sur l'autre post et après on règle ce petit soucis.

ludsfa · Answer

ok chocoboy,

on fait smitfraudfix et aprés on va s'occuper de ton disque dur externe.

ludsfa · Answer

ce qu'on va faire c'est que tu vas poster dans ton propre sujet .
Donc celui-ci.
poste ton rapport smitfraudfix ,uniquement le deuxième ,suivi de ton nouvel hijackthis.
à tout à l'heure.

ludsfa · Answer

bien,

branche ton disque dur externe:



1.

Télécharge AVG Anti-Spyware:http://free.grisoft.com/softw/70free/setup/avgas-setup-7.5.0.50.exe

   1. Lance AVG Anti-Spyware et clique sur le bouton Mise à jour (barre d'outils - au haut). Sous Mise à jour manuelle clique Commencer la mise à jour.
   2. Tu verras ceci juste au bas, lorsque la mise à jour sera complétée : "Mise à jour réussie"
   3. Ferme AVG Anti-Spyware. Ne pas le lancer tout de suite.


2. Télécharge Flash Disinfector de sUBs: http://www.techsupportforum.com/sectools/sUBs/Flash_Disinfector.exe

3. Télécharge aussi tel.xls.exe_Remover de sUBs: http://www.techsupportforum.com/sectools/sUBs/tel.xls.exe_Remover.exe

4. Redémarre ton ordinateur en mode sans échec en suivant la procédure que voici :

    * Redémarre ton ordinateur
    * Après avoir entendu l'ordinateur biper lors du démarrage, mais avant que l'icône Windows apparaisse, tapote la touche F8 (une pression par seconde).
    * A la place du chargement normal de Windows, un menu avec différentes options devrait apparaître.
    * Choisis la première option, pour exécuter Windows en mode sans échec, puis appuie sur "Entrée".
    * Choisis ton compte.


5. Passe tel.xls.exe_Remover. Execute le et laisse toi guider.

6. Passe Flash Disinfector. Execute le aussi et laisse toi guider.




   1. Du mode Sans Échec, lance AVG Anti-Spyware,
   2. Choisis l'onglet Analyse puis sur Paramètre, clique sur Actions recommandées : La, choisis Quarantaine.
   3. Clique sur le bouton Analyse (de la barre d'outils) et ensuite clique sur Analyse complète du sytème. Le scan prendra un certain temps, donc sois patient.
   4. AVG Anti-Spyware affichera une liste des fichiers détectés, sur la gauche. En fin de scan, l'outil appliquera les "Actions" à appliquer automatiquement". Clique sur le bouton Appliquer toutes les actions. AVG Anti-Spyware affichera "Toutes les actions ont été effectuées" du côté droit.
   5. Clique sur "Enregistrer le rapport", puis "Enregistrer sous". Ceci génère un rapport en fichier texte. Assure-toi de le sauvegarder dans un endroit sûr (sur ton Bureau, par exemple).




9.
Citation:

    * Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :
    * Cocher la case : Afficher les fichiers et dossiers cachés
    * Décocher la case : Masquer les extensions des fichiers dont le type est connu
    * Décocher la case : Masquer les fichiers protégés du système d'exploitation
    * cliquer sur "Appliquer"
    * cliquer sur le bouton "Appliquer à tous les dossiers" / OK




poste tous les rapports ensuite.

ludsfa · Answer

oui c'est ça.

ludsfa · Answer

car après il est plus facile d'attrper les virus cachés.

ludsfa · Answer

Recommence alors et ignore.

Chocoboy5 · Answer

Le problème vient surtout du fait que lorsque je connecte le disque externe il bloque certaines fonctions ou les ralenti affreusement...

ludsfa · Answer

ok,

tu fais juste avg et flash desinfector.

tu fais en mode normal si tu peux.

Chocoboy5 · Answer

bonjour à tous,

voici ma situation actuelle : mon pc semble être complètement restauré, je n'ai plus de problèmes ni avec le master boot record, ni avec outlook/internet explorer.

maintenant mon DD externe ne veut toujours rien savoir, cependant, en attendant un certain temps il apparait sous le nom "Disque Local" sur le poste de travail.
J'arrive à le voir dans le menu "Gérer" du poste de travail mais je ne peut pas modifier ses paramètres/propriétés. Il y a bien l'option "Formater" qui apparait mais je n'y aurait recours qu'en cas d'impasse complète.

Le logiciel Silent runner a eu l'air de fonctionner, le rapport (version longue) est le suivant :

"Silent Runners.vbs", revision 57, https://www.silentrunners.org/
Operating System: Windows XP SP2
Output limited to non-default values, except where indicated by "{++}"

Startup items buried in registry:
---------------------------------

HKCU\Software\Microsoft\Windows\CurrentVersion\Run\ {++}
"TOSCDSPD" = "C:\Program Files\TOSHIBA\TOSCDSPD\toscdspd.exe" ["TOSHIBA"]
"ctfmon.exe" = "C:\WINDOWS\system32\ctfmon.exe" [MS]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++}
"igfxtray" = "C:\WINDOWS\system32\igfxtray.exe" ["Intel Corporation"]
"igfxhkcmd" = "C:\WINDOWS\system32\hkcmd.exe" ["Intel Corporation"]
"igfxpers" = "C:\WINDOWS\system32\igfxpers.exe" ["Intel Corporation"]
"SynTPEnh" = "C:\Program Files\Synaptics\SynTP\SynTPEnh.exe" ["Synaptics, Inc."]
"RTHDCPL" = "RTHDCPL.EXE" ["Realtek Semiconductor Corp."]
"LtMoh" = "C:\Program Files\ltmoh\Ltmoh.exe" ["Agere Systems"]
"AGRSMMSG" = "AGRSMMSG.exe" ["Agere Systems"]
"THotkey" = "C:\Program Files\Toshiba\Toshiba Applet\thotkey.exe" ["TOSHIBA"]
"TPSMain" = "TPSMain.exe" ["TOSHIBA Corporation"]
"Tvs" = "C:\Program Files\TOSHIBA\Tvs\TvsTray.exe" ["TOSHIBA Corporation"]
"SmoothView" = "C:\Program Files\TOSHIBA\Utilitaire de zoom TOSHIBA\SmoothView.exe" ["TOSHIBA Corporation"]
"TFncKy" = "TFncKy.exe" ["TOSHIBA Corporation"]
"TDispVol" = "TDispVol.exe" ["TOSHIBA Corporation"]
"SgeEcView" = "c:\Program Files\Utimaco\SafeGuard Easy\Ecview.exe" ["Utimaco Safeware AG"]
"EdWizard" = "c:\Program Files\Utimaco\SafeGuard Easy\EdWizard.exe as" ["Utimaco Safeware AG"]
"UERLKUP" = "c:\Program Files\Utimaco\SafeGuard Easy\uerlkupn.exe" ["Utimaco Safeware AG"]
"Cselect" = "C:\WINDOWS\system32\cselect.exe" ["Toshiba Corporation"]
"DSLAGENTEXE" = "dslagent.exe USB" [null data]
"Logitech Hardware Abstraction Layer" = ""C:\Program Files\Fichiers communs\Logitech\khalshared\KHALMNPR.EXE"" ["Logitech Inc."]
"Kernel and Hardware Abstraction Layer" = "KHALMNPR.EXE" ["Logitech Inc."]
"QuickTime Task" = ""C:\Program Files\QuickTime\qttask.exe" -atboottime" ["Apple Computer, Inc."]
"CloneCDTray" = ""C:\Program Files\SlySoft\CloneCD\CloneCDTray.exe" /s" ["SlySoft, Inc."]
"TkBellExe" = ""C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot" ["RealNetworks, Inc."]
"avgnt" = ""C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min" ["Avira GmbH"]
"SystrayORAHSS" = ""C:\Program Files\Orange\Systray\SystrayApp.exe"" ["France Telecom SA"]
"ORAHSSSessionManager" = "C:\Program Files\Orange\SessionManager\SessionManager.exe" ["France Telecom SA"]

HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\
{44BBA840-CC51-11CF-AAFA-00AA00B6015C}\(Default) = "Microsoft Outlook Express 6"
\StubPath = ""C:\Program Files\Outlook Express\setup50.exe" /APP:OE /CALLER:WINNT /user /install" [MS]
{89820200-ECBD-11cf-8B85-00AA005B4340}\(Default) = "Mise à jour du Bureau Windows"
\StubPath = "regsvr32.exe /s /n /i:U shell32.dll" [MS]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\
{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}\(Default) = (no title provided)
-> {HKLM...CLSID} = "Adobe PDF Reader Link Helper"
\InProcServer32\(Default) = "C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll" ["Adobe Systems Incorporated"]
{4E7BD74F-2B8D-469E-CCB0-B130EEDBE97C}\(Default) = (no title provided)
-> {HKLM...CLSID} = "Megaupload Toolbar"
\InProcServer32\(Default) = "C:\PROGRA~1\MEGAUP~2\MEGAUP~1.DLL" ["MEGAUPLOAD"]
{bf00e119-21a3-4fd1-b178-3b8537e75c92}\(Default) = "Mega Manager IE Click Monitor"
-> {HKLM...CLSID} = "IeMonitorBho Class"
\InProcServer32\(Default) = "C:\Program Files\Megaupload\Mega Manager\MegaIEMn.dll" ["Megaupload Limited"]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\
"{42071714-76d4-11d1-8b24-00a0c9068ff3}" = "Extension Affichage Panorama du Panneau de configuration"
-> {HKLM...CLSID} = "Extension Affichage Panorama du Panneau de configuration"
\InProcServer32\(Default) = "deskpan.dll" [file not found]
"{88895560-9AA2-1069-930E-00AA0030EBC8}" = "Extension icône HyperTerminal"
-> {HKLM...CLSID} = "HyperTerminal Icon Ext"
\InProcServer32\(Default) = "C:\WINDOWS\system32\hticons.dll" ["Hilgraeve, Inc."]
"{cc86590a-b60a-48e6-996b-41d25ed39a1e}" = "Portable Media Devices Menu"
-> {HKLM...CLSID} = "Portable Media Devices Menu"
\InProcServer32\(Default) = "C:\WINDOWS\system32\Audiodev.dll" [MS]
"{2F603045-309F-11CF-9774-0020AFD0CFF6}" = "Synaptics Control Panel"
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = "C:\Program Files\Synaptics\SynTP\SynTPCpl.dll" ["Synaptics, Inc."]
"{DEE12703-6333-4D4E-8F34-738C4DCC2E04}" = "RecordNow! SendToExt"
-> {HKLM...CLSID} = "RecordNow! SendToExt"
\InProcServer32\(Default) = "C:\Program Files\Sonic\RecordNow!\shlext.dll" [null data]
"{E91B2703-013E-4A99-AD33-2B6FB00AA356}" = "RecordNow! ContextMenuExt"
-> {HKLM...CLSID} = "RecordNow! ContextMenuExt"
\InProcServer32\(Default) = "C:\Program Files\Sonic\RecordNow!\shlext.dll" [null data]
"{F0CB00CD-5A07-4D91-97F5-A8C92CDA93E4}" = "Shell Extensions for RealOne Player"
-> {HKLM...CLSID} = "RealOne Player Context Menu Class"
\InProcServer32\(Default) = "C:\Program Files\Real\RealPlayer\rpshell.dll" ["RealNetworks, Inc."]
"{C52AF81D-F7A0-4AAB-8E87-F80A60CCD396}" = "OpenOffice.org Column Handler"
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = ""C:\Program Files\OpenOffice.org 2.0\program\shlxthdl.dll"" ["Sun Microsystems, Inc."]
"{087B3AE3-E237-4467-B8DB-5A38AB959AC9}" = "OpenOffice.org Infotip Handler"
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = ""C:\Program Files\OpenOffice.org 2.0\program\shlxthdl.dll"" ["Sun Microsystems, Inc."]
"{63542C48-9552-494A-84F7-73AA6A7C99C1}" = "OpenOffice.org Property Sheet Handler"
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = ""C:\Program Files\OpenOffice.org 2.0\program\shlxthdl.dll"" ["Sun Microsystems, Inc."]
"{3B092F0C-7696-40E3-A80F-68D74DA84210}" = "OpenOffice.org Thumbnail Viewer"
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = ""C:\Program Files\OpenOffice.org 2.0\program\shlxthdl.dll"" ["Sun Microsystems, Inc."]
"{ba930330-a721-11d3-a7b9-00500464ee16}" = "Drive shell ext"
-> {HKLM...CLSID} = "SafeGuard Easy drive context menu ext"
\InProcServer32\(Default) = "Sgedrse.Dll" [file not found]
"{B41DB860-8EE4-11D2-9906-E49FADC173CA}" = "WinRAR shell extension"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]
"{DC70C4A5-2044-4c59-B806-DEFB9AE0DF7C}" = "Logitech Setpoint Extension"
-> {HKLM...CLSID} = "KbLogiExt Class"
\InProcServer32\(Default) = "C:\Program Files\Logitech\SetPoint\kbcplext.dll" ["Logitech Inc."]
"{B9B9F083-2B04-452A-8691-83694AC1037B}" = "Logitech Setpoint Extension"
-> {HKLM...CLSID} = "LogiExt Class"
\InProcServer32\(Default) = "C:\Program Files\Logitech\SetPoint\mcplext.dll" ["Logitech Inc."]
"{0006F045-0000-0000-C000-000000000046}" = "Microsoft Outlook Custom Icon Handler"
-> {HKLM...CLSID} = "Outlook File Icon Extension"
\InProcServer32\(Default) = "C:\Program Files\Microsoft Office\Office10\OLKFSTUB.DLL" [MS]
"{42042206-2D85-11D3-8CFF-005004838597}" = "Microsoft Office HTML Icon Handler"
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = "C:\Program Files\Microsoft Office\Office10\msohev.dll" [MS]
"{780BCB64-0CAF-473c-A9FC-E08C03D75515}" = "Matroska Shell Extension, Properties Page CLSID"
-> {HKLM...CLSID} = "The Matroska Shell Extension, Prop Page CLSID"
\InProcServer32\(Default) = "C:\Program Files\MatroskaProp\MatroskaProp.dll" [" "]
"{78DC191E-EFC1-4532-9A71-224577A86A7D}" = "Matroska Shell Extension, Thumbnail Handler CLSID"
-> {HKLM...CLSID} = "The Matroska Shell Extension, Thumbnail Handler CLSID"
\InProcServer32\(Default) = "C:\Program Files\MatroskaProp\MatroskaProp.dll" [" "]
"{794D04CA-70AC-4020-80EB-FFD59DEF8027}" = "Matroska Shell Extension, Tooltip Provider CLSID"
-> {HKLM...CLSID} = "The Matroska Shell Extension, Tooltip Provider CLSID"
\InProcServer32\(Default) = "C:\Program Files\MatroskaProp\MatroskaProp.dll" [" "]
"{789111D8-68A3-46a3-9663-145A3FF4C9C9}" = "Matroska Shell Extension, ContextMenu CLSID"
-> {HKLM...CLSID} = "The Matroska Shell Extension, Context Menu CLSID"
\InProcServer32\(Default) = "C:\Program Files\MatroskaProp\MatroskaProp.dll" [" "]
"{781395AF-A127-469f-A06F-59B482AF4F3F}" = "Matroska Shell Extension, Column Provider CLSID"
-> {HKLM...CLSID} = "The Matroska Shell Extension, Column Provider CLSID"
\InProcServer32\(Default) = "C:\Program Files\MatroskaProp\MatroskaProp.dll" [" "]
"{23170F69-40C1-278A-1000-000100020000}" = "7-Zip Shell Extension"
-> {HKLM...CLSID} = "7-Zip Shell Extension"
\InProcServer32\(Default) = "C:\Program Files\7-Zip\7-zip.dll" ["Igor Pavlov"]
"{45AC2688-0253-4ED8-97DE-B5370FA7D48A}" = "Shell Extension for Malware scanning"
-> {HKLM...CLSID} = "Shell Extension for Malware scanning"
\InProcServer32\(Default) = "C:\Program Files\Avira\AntiVir PersonalEdition Classic\shlext.dll" ["Avira GmbH"]

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
<<!>> AtiExtEvent\DLLName = "Ati2evxx.dll" ["ATI Technologies Inc."]
<<!>> igfxcui\DLLName = "igfxdev.dll" ["Intel Corporation"]
<<!>> NotLog\DLLName = "SGLogEx.dll" ["Utimaco Safeware AG"]
<<!>> SGLogNotification\DLLName = "SGLogNotification.dll" ["Utimaco Safeware AG"]

HKLM\SOFTWARE\Classes\Folder\shellex\ColumnHandlers\
{781395AF-A127-469f-A06F-59B482AF4F3F}\(Default) = "The Matroska Shell Extension, Column Provider CLSID"
-> {HKLM...CLSID} = "The Matroska Shell Extension, Column Provider CLSID"
\InProcServer32\(Default) = "C:\Program Files\MatroskaProp\MatroskaProp.dll" [" "]
{C52AF81D-F7A0-4AAB-8E87-F80A60CCD396}\(Default) = "OpenOffice.org Column Handler"
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = ""C:\Program Files\OpenOffice.org 2.0\program\shlxthdl.dll"" ["Sun Microsystems, Inc."]
{F9DB5320-233E-11D1-9F84-707F02C10627}\(Default) = "PDF Column Info"
-> {HKLM...CLSID} = "PDF Shell Extension"
\InProcServer32\(Default) = "C:\Program Files\Adobe\Acrobat 7.0\ActiveX\PDFShell.dll" ["Adobe Systems, Inc."]

HKLM\SOFTWARE\Classes\*\shellex\ContextMenuHandlers\
7-Zip\(Default) = "{23170F69-40C1-278A-1000-000100020000}"
-> {HKLM...CLSID} = "7-Zip Shell Extension"
\InProcServer32\(Default) = "C:\Program Files\7-Zip\7-zip.dll" ["Igor Pavlov"]
MatroskaContextMenu\(Default) = "{789111D8-68A3-46a3-9663-145A3FF4C9C9}"
-> {HKLM...CLSID} = "The Matroska Shell Extension, Context Menu CLSID"
\InProcServer32\(Default) = "C:\Program Files\MatroskaProp\MatroskaProp.dll" [" "]
Shell Extension for Malware scanning\(Default) = "{45AC2688-0253-4ED8-97DE-B5370FA7D48A}"
-> {HKLM...CLSID} = "Shell Extension for Malware scanning"
\InProcServer32\(Default) = "C:\Program Files\Avira\AntiVir PersonalEdition Classic\shlext.dll" ["Avira GmbH"]
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]

HKLM\SOFTWARE\Classes\Directory\shellex\ContextMenuHandlers\
7-Zip\(Default) = "{23170F69-40C1-278A-1000-000100020000}"
-> {HKLM...CLSID} = "7-Zip Shell Extension"
\InProcServer32\(Default) = "C:\Program Files\7-Zip\7-zip.dll" ["Igor Pavlov"]
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]

HKLM\SOFTWARE\Classes\Folder\shellex\ContextMenuHandlers\
MBAMShlExt\(Default) = "{57CE581A-0CB6-4266-9CA0-19364C90A0B3}"
-> {HKLM...CLSID} = "MBAMShlExt Class"
\InProcServer32\(Default) = "C:\Program Files\Malwarebytes' Anti-Malware\mbamext.dll" ["Malwarebytes"]
Shell Extension for Malware scanning\(Default) = "{45AC2688-0253-4ED8-97DE-B5370FA7D48A}"
-> {HKLM...CLSID} = "Shell Extension for Malware scanning"
\InProcServer32\(Default) = "C:\Program Files\Avira\AntiVir PersonalEdition Classic\shlext.dll" ["Avira GmbH"]
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]

HKLM\SOFTWARE\Classes\AllFilesystemObjects\shellex\ContextMenuHandlers\
MBAMShlExt\(Default) = "{57CE581A-0CB6-4266-9CA0-19364C90A0B3}"
-> {HKLM...CLSID} = "MBAMShlExt Class"
\InProcServer32\(Default) = "C:\Program Files\Malwarebytes' Anti-Malware\mbamext.dll" ["Malwarebytes"]

Group Policies {GPedit.msc branch and setting}:
-----------------------------------------------

Note: detected settings may not have any effect.

HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\

"HideLegacyLogonScripts" = (REG_DWORD) dword:0x00000000
{unrecognized setting}

"HideLogoffScripts" = (REG_DWORD) dword:0x00000000
{unrecognized setting}

"RunLogonScriptSync" = (REG_DWORD) dword:0x00000001
{unrecognized setting}

"RunStartupScriptSync" = (REG_DWORD) dword:0x00000001
{unrecognized setting}

"HideStartupScripts" = (REG_DWORD) dword:0x00000000
{unrecognized setting}

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\

"shutdownwithoutlogon" = (REG_DWORD) dword:0x00000001
{Computer Configuration|Windows Settings|Security Settings|Local Policies|Security Options|
Shutdown: Allow system to be shut down without having to log on}

"undockwithoutlogon" = (REG_DWORD) dword:0x00000001
{Computer Configuration|Windows Settings|Security Settings|Local Policies|Security Options|
Devices: Allow undock without having to log on}

"HideLegacyLogonScripts" = (REG_DWORD) dword:0x00000000
{unrecognized setting}

"HideLogoffScripts" = (REG_DWORD) dword:0x00000000
{unrecognized setting}

"RunLogonScriptSync" = (REG_DWORD) dword:0x00000001
{unrecognized setting}

"RunStartupScriptSync" = (REG_DWORD) dword:0x00000001
{unrecognized setting}

"HideStartupScripts" = (REG_DWORD) dword:0x00000000
{unrecognized setting}

Active Desktop and Wallpaper:
-----------------------------

Active Desktop may be disabled at this entry:
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellState

Displayed if Active Desktop enabled and wallpaper not set by Group Policy:
HKCU\Software\Microsoft\Internet Explorer\Desktop\General\
"Wallpaper" = "C:\WINDOWS\system32\config\systemprofile\Local Settings\Application Data\Microsoft\Wallpaper1.bmp"

Displayed if Active Desktop disabled and wallpaper not set by Group Policy:
HKCU\Control Panel\Desktop\
"Wallpaper" = "C:\Documents and Settings\utilisateur\Local Settings\Application Data\Microsoft\Wallpaper1.bmp"

Windows Portable Device AutoPlay Handlers
-----------------------------------------

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\Handlers\

IviDVDEventHandler\
"Provider" = "InterVideo WinDVD"
"InvokeProgID" = "Ivi.MediaFile"
"InvokeVerb" = "play"
HKLM\SOFTWARE\Classes\Ivi.MediaFile\shell\play\command\(Default) = ""C:\Program Files\InterVideo\WinDVD\WinDVD.exe" %1" ["InterVideo Inc."]

IviVideoCameraArrival\
"Provider" = "WinDVD Creator"
"ProgID" = "Shell.HWEventHandlerShellExecute"
"InitCmdLine" = ""C:\Program Files\InterVideo\WCreator2\WCreator.exe" --capture"
HKLM\SOFTWARE\Classes\Shell.HWEventHandlerShellExecute\CLSID\(Default) = "{FFB8655F-81B9-4fce-B89C-9A6BA76D13E7}"
-> {HKLM...CLSID} = "ShellExecute HW Event Handler"
\LocalServer32\(Default) = "rundll32.exe shell32.dll,SHCreateLocalServerRunDll {FFB8655F-81B9-4fce-B89C-9A6BA76D13E7}" [MS]

MPCPlayCDAudioOnArrival\
"Provider" = "Media Player Classi"
"InvokeProgID" = "MPC.CDAudio"
"InvokeVerb" = "play"
HKLM\SOFTWARE\Classes\MPC.CDAudio\shell\play\command\(Default) = ""C:\Program Files\K-Lite Codec Pack\Media Player Classic\mplayerc.exe" %L /cd" ["Gabest"]

MPCPlayDVDMovieOnArrival\
"Provider" = "Media Player Classic"
"InvokeProgID" = "MPC.DVDMovie"
"InvokeVerb" = "play"
HKLM\SOFTWARE\Classes\MPC.DVDMovie\shell\play\command\(Default) = ""C:\Program Files\K-Lite Codec Pack\Media Player Classic\mplayerc.exe" %L /dvd" ["Gabest"]

RPCDBurningOnArrival\
"Provider" = "RealPlayer"
"InvokeProgID" = "RealPlayer.CDBurn.6"
"InvokeVerb" = "open"
HKCU\Software\Classes\RealPlayer.CDBurn.6\shell\open\command\(Default) = ""C:\Program Files\Real\RealPlayer\RealPlay.exe" /burn "%1"" ["RealNetworks, Inc."]

RPDeviceOnArrival\
"Provider" = "RealPlayer"
"ProgID" = "RealPlayer.HWEventHandler"
HKLM\SOFTWARE\Classes\RealPlayer.HWEventHandler\CLSID\(Default) = "{67E76F1D-BDE2-4052-913C-2752366192D2}"
-> {HKLM...CLSID} = "RealNetworks Scheduler"
\LocalServer32\(Default) = ""C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -autoplay" ["RealNetworks, Inc."]

RPPlayCDAudioOnArrival\
"Provider" = "RealPlayer"
"InvokeProgID" = "RealPlayer.AudioCD.6"
"InvokeVerb" = "play"
HKCU\Software\Classes\RealPlayer.AudioCD.6\shell\play\command\(Default) = ""C:\Program Files\Real\RealPlayer\RealPlay.exe" /play %1 " ["RealNetworks, Inc."]

RPPlayDVDMovieOnArrival\
"Provider" = "RealPlayer"
"InvokeProgID" = "RealPlayer.DVD.6"
"InvokeVerb" = "play"
HKCU\Software\Classes\RealPlayer.DVD.6\shell\play\command\(Default) = ""C:\Program Files\Real\RealPlayer\RealPlay.exe" /dvd %1 " ["RealNetworks, Inc."]

RPPlayMediaOnArrival\
"Provider" = "RealPlayer"
"InvokeProgID" = "RealPlayer.AutoPlay.6"
"InvokeVerb" = "open"
HKCU\Software\Classes\RealPlayer.AutoPlay.6\shell\open\command\(Default) = ""C:\Program Files\Real\RealPlayer\RealPlay.exe" /autoplay "%1"" ["RealNetworks, Inc."]

SonicRnAudioCD\
"Provider" = "Sonic RecordNow!"
"InvokeProgID" = "Sonic.RecordNow"
"InvokeVerb" = "AudioCDJob"
HKLM\SOFTWARE\Classes\Sonic.RecordNow\shell\AudioCDJob\Command\(Default) = ""C:\Program Files\Sonic\RecordNow!\RecordNow.exe" /AudioCDJob %L" [null data]

SonicRnBurnAudioCD\
"Provider" = "Sonic RecordNow!"
"InvokeProgID" = "Sonic.RecordNow"
"InvokeVerb" = "AudioCDTarget"
HKLM\SOFTWARE\Classes\Sonic.RecordNow\shell\AudioCDTarget\Command\(Default) = ""C:\Program Files\Sonic\RecordNow!\RecordNow.exe" /AudioCDTarget %L" [null data]

SonicRnBurnDataDisc\
"Provider" = "Sonic RecordNow!"
"InvokeProgID" = "Sonic.RecordNow"
"InvokeVerb" = "DataDiscTarget"
HKLM\SOFTWARE\Classes\Sonic.RecordNow\shell\DataDiscTarget\Command\(Default) = ""C:\Program Files\Sonic\RecordNow!\RecordNow.exe" /DataDiscTarget %L" [null data]

SonicRnCopyCD\
"Provider" = "Sonic RecordNow!"
"InvokeProgID" = "Sonic.RecordNow"
"InvokeVerb" = "CopyDiscJob"
HKLM\SOFTWARE\Classes\Sonic.RecordNow\shell\CopyDiscJob\Command\(Default) = ""C:\Program Files\Sonic\RecordNow!\RecordNow.exe" /CopyDiscJob %L" [null data]

SonicRnCopyDisc\
"Provider" = "Sonic RecordNow!"
"InvokeProgID" = "Sonic.RecordNow"
"InvokeVerb" = "CopyDiscJob"
HKLM\SOFTWARE\Classes\Sonic.RecordNow\shell\CopyDiscJob\Command\(Default) = ""C:\Program Files\Sonic\RecordNow!\RecordNow.exe" /CopyDiscJob %L" [null data]

VLCPlayCDAudioOnArrival\
"Provider" = "VideoLAN VLC media player"
"InvokeProgID" = "VLC.CDAudio"
"InvokeVerb" = "play"
HKLM\SOFTWARE\Classes\VLC.CDAudio\shell\play\command\(Default) = "C:\Program Files\VideoLAN\VLC\vlc.exe --started-from-file cdda:%1" ["VideoLAN Team"]

VLCPlayDVDMovieOnArrival\
"Provider" = "VideoLAN VLC media player"
"InvokeProgID" = "VLC.DVDMovie"
"InvokeVerb" = "play"
HKLM\SOFTWARE\Classes\VLC.DVDMovie\shell\play\command\(Default) = "C:\Program Files\VideoLAN\VLC\vlc.exe --started-from-file dvd:%1" ["VideoLAN Team"]

Autre point : AVG anti-spyware ne semble pas vouloir fonctionner, ni tel.xls.exe_Remover. Comme aucun icône n'apparait pour ces tools, je me demande si le fichier est complet (même après un nouveau téléchargement, le résultat est le même : le lien est-il encore valide?)

ludsfa · Answer

bien,


~Télécharge le programme R-Hosts (de S!RI)
http://siri.urz.free.fr/Softs/RHosts.exe
 
~Lance R-Hosts.exe puis clique sur Restaurer.  
Valide la modification en appuyant sur OK. 


ce logiciel va remettre de l'ordre dans ta base de registre.

ludsfa · Answer

salut,

peux tu refaire un hijackthis .

ludsfa · Answer

ok,


donc ce que tu va faire tu branche ton disque dur externe et tu fais encore une fois combofix.
envois le rapport ensuite.

ludsfa · Answer

salut ,


tu es sur que tu as essayé ton disque dur externe sur un autre PC?

ludsfa · Answer

salut à toi chocoboy


Je suis un peu perdu mais je te propose de regarder ce lien et de déjà faire ce qui tes conseillé.

ensuite tiens moi au courant.

http://www.commentcamarche.net/faq/sujet 9959 desinfecter une cle usb disque amovible#methode de desinfection


envois moi tout de même les rapports au cas ou je connais certaine infections.

à bientôt.

ludsfa · Answer

salut chocoboy,


oui continue comme ça.

et quand tu auras finit toute ces procédures envois moi un nouvel hijackthis pour voir.

Chocoboy5 · Answer

bon, voilà autre chose...

après avoir utilisé les tools en mode sans échec et un redémarrage, j'ai obtenu ça : 
Windows a récupéré d'une erreur sérieuse

j'ai envoyé le rapport d'erreur et une page web s'est ouverte : 

Problème provoqué par Device Driver

Vous avez reçu ce message parce qu''un pilote de périphérique installé sur votre ordinateur a provoqué l''arrêt inattendu du système d''exploitation Windows. Ce type d''erreur est appelé « erreur d''arrêt ». Une erreur d''arrêt nécessite le redémarrage de votre ordinateur.

Est-ce que mon pilote USB déconnerait?

ludsfa · Answer

salut,


mise à part abode reader qui n'est pas à jour tu n'es pas infecté.


pour le pilote c'est possible essai de le réinstaller.

ludsfa · Answer

salut,

non tu va juste dans C clic droit.

propriété , matérielle ,  et ensuite tu regardes tes ports usb 
Et tu fais dépanner ensuite tu regardes si il y à du mieux.
Sinon essai de faire un sujet en adware.

ludsfa · Answer

salut choco,


alors comment se porte ton PC?

Disque dur externe contaminé ?!

30 réponses

Discussions similaires

Newsletters