Windows restore

flavie_le -  
Bonsoir,

J'ai un problème avec windows restore. Qui peut m'aider à le supprimer ?
Merci de votre aide.
Christèle

30 réponses

Résumé de la discussion

Un problème lié à Windows Restore et à une infection sur le poste invite à utiliser des outils de suppression tels que RogueKiller et Malwarebytes. Plusieurs utilisateurs recommandent d'utiliser RogueKiller en mode administrateur pour générer le rapport RKreport.txt, puis Malwarebytes pour effectuer un examen et enregistrer les rapports avant de redémarrer si nécessaire. Des alternatives complémentaires recommandent ZHPDiag en mode administrateur avec mise à jour, puis l'exécution du diagnostic et l’enregistrement du rapport sur le Bureau avant de partager le lien du fichier; UsbFix est aussi proposé. Pour éviter les faux positifs et couvrir différents types d’infections, plusieurs outils complémentaires et des rapports détaillés ont été proposés, ainsi que l’exécution en mode administrateur sur des machines compatibles Vista et Seven.

Bobot (l’IA à votre service)
  1. Utilisateur anonyme
    Salut,

    * Télécharge sur le bureau RogueKiller (par tigzy)
    https://www.luanagames.com/index.fr.html

    *( Sous Vista/Seven,clique droit, lancer en tant qu'administrateur )

    * Quitte tous tes programmes en cours
    * Lance RogueKiller.exe.
    * Lorsque demandé, tape 2 et valide
    * Un rapport (RKreport.txt) a du se créer à côté de l'exécutable, colle son contenu dans la réponse
    * Si le programme a été bloqué, ne pas hésiter a essayer plusieurs fois.


    Ensuite

    *Télécharges Malwarebytes' (mbam)

    ICI >> Malwarebytes' (mbam)

    * installes + mise a jour
    * Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) sans les ouvrir
    * Lances--> Malwarebytes (MBAM)
    * Puis vas dans l'onglet "Recherche", coche >>Exécuter un examen complet
    * puis "Rechercher"
    * Sélectionnes tes disques durs" puis clique sur "Lancer l'examen"
    * A la fin du scan, clique sur Afficher les résultats puis sur Enregistrer le rapport
    *Si MalwareBytes' détecte des infections, clique sur ==>Afficher les résultats, puis sur ==>Supprimer la sélection
    * S'il t' es demandé de redémarrer, clique sur "oui "
    * aprés la suppression(s) de ou des infections trouvées --> poste le rapport ici
    !!! Ne pas vider la quarantaine de MBAM sans avis !!!

    @+
    1. flavie_le Auteur
      Merci de ton aide,
      Voilà le rapport :

      RogueKiller V4.3.8 par Tigzy
      contact sur https://www.luanagames.com/index.fr.html
      mail: tigzyRK<at>gmail<dot>com
      Remontees: https://www.luanagames.com/index.fr.html

      Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version
      Demarrage : Mode normal
      Utilisateur: Admin Parents [Droits d'admin]
      Mode: Suppression -- Date : 14/04/2011 22:59:59

      Processus malicieux: 13
      [APPDT/TMP/DESKTOP] Rbt.exe -- c:\utilis~1\collgi~1\appdata\local\temp\rbt.exe -> KILLED
      [APPDATA/TEMP/DESKTOP] dcmHEX.dll -- C:\Utilisateurs\Collégien\AppData\Local\dcmHEX.dll -> KILLED
      [APPDT/TMP/DESKTOP] trwy0hxg.exe -- c:\utilisateurs\collégien\appdata\local\temp\trwy0hxg.exe -> KILLED
      [APPDT/TMP/DESKTOP] gcw1u.exe -- c:\utilisateurs\collégien\appdata\local\temp\gcw1u.exe -> KILLED
      [APPDT/TMP/DESKTOP] trwy0hxg.exe -- c:\utilisateurs\collégien\appdata\local\temp\trwy0hxg.exe -> KILLED
      [APPDT/TMP/DESKTOP] gcw1u.exe -- c:\utilisateurs\collégien\appdata\local\temp\gcw1u.exe -> KILLED
      [APPDT/TMP/DESKTOP] r66mr2uj.exe -- c:\utilisateurs\collégien\appdata\local\temp\r66mr2uj.exe -> KILLED
      [APPDT/TMP/DESKTOP] arceom.exe -- c:\utilisateurs\collégien\appdata\local\temp\arceom.exe -> KILLED
      [APPDT/TMP/DESKTOP] EdCcYBPEqSpTN.exe -- c:\programdata\edccybpeqsptn.exe -> KILLED
      [APPDT/TMP/DESKTOP] r66mr2uj.exe -- c:\utilisateurs\collégien\appdata\local\temp\r66mr2uj.exe -> KILLED
      [APPDT/TMP/DESKTOP] arceom.exe -- c:\utilisateurs\collégien\appdata\local\temp\arceom.exe -> KILLED
      [APPDT/TMP/DESKTOP] install.exe -- c:\utilisateurs\collégien\appdata\local\temp\install.exe -> KILLED
      [APPDT/TMP/DESKTOP] Rbs.exe -- c:\utilisateurs\collégien\appdata\local\temp\rbs.exe -> KILLED

      Entrees de registre: 37
      [BLACKLIST DLL] HKUS\S-1-5-21-301363869-3528514320-536446627-1047[...]\Run : Qtimo (rundll32.exe "C:\Utilisateurs\Collégien\AppData\Local\dcmHEX.dll",Startup) -> DELETED
      [APPDT/TMP/DESKTOP] HKUS\S-1-5-21-301363869-3528514320-536446627-1047[...]\Run : gss700optbin.exe (C:\Utilisateurs\Collégien\AppData\Roaming\2085FD65842F286710ECF86AE012CCE0\gss700optbin.exe) -> DELETED
      [APPDT/TMP/DESKTOP] HKUS\S-1-5-21-301363869-3528514320-536446627-1047[...]\Run : GAGEZ8R8ZB (C:\Utilisateurs\Collégien\AppData\Local\Temp\Rbs.exe) -> DELETED
      [APPDT/TMP/DESKTOP] HKUS\S-1-5-21-301363869-3528514320-536446627-1047[...]\Run : W5E7SH31DG (C:\UTILIS~1\COLLGI~1\AppData\Local\Temp\Rbt.exe) -> DELETED
      [APPDT/TMP/DESKTOP] HKUS\S-1-5-21-301363869-3528514320-536446627-1047[...]\Run : LMXKPfeefnsd (C:\UTILIS~1\COLLGI~1\AppData\Local\Temp\taskmgr.exe) -> DELETED
      [APPDT/TMP/DESKTOP] HKUS\S-1-5-21-301363869-3528514320-536446627-1047[...]\Run : LMXKPfeefnsf (C:\UTILIS~1\COLLGI~1\AppData\Local\Temp\lsass.exe) -> DELETED
      [APPDT/TMP/DESKTOP] HKUS\S-1-5-21-301363869-3528514320-536446627-1047[...]\Run : LMXKPfeefn0Z (C:\UTILIS~1\COLLGI~1\AppData\Local\Temp\system.exe) -> DELETED
      [APPDT/TMP/DESKTOP] HKUS\S-1-5-21-301363869-3528514320-536446627-1047[...]\Run : LMXKPfeefn1dc (C:\UTILIS~1\COLLGI~1\AppData\Local\Temp\trwy0hxg.exe) -> DELETED
      [APPDT/TMP/DESKTOP] HKUS\S-1-5-21-301363869-3528514320-536446627-1047[...]\Run : LMXKPfeefnte (C:\UTILIS~1\COLLGI~1\AppData\Local\Temp\msmgm.exe) -> DELETED
      [APPDT/TMP/DESKTOP] HKUS\S-1-5-21-301363869-3528514320-536446627-1047[...]\Run : LMXKPfeefnrc (C:\UTILIS~1\COLLGI~1\AppData\Local\Temp\winamp.exe) -> DELETED
      [APPDT/TMP/DESKTOP] HKUS\S-1-5-21-301363869-3528514320-536446627-1047[...]\Run : LMXKPfeefncg (C:\UTILIS~1\COLLGI~1\AppData\Local\Temp\gcw1u.exe) -> DELETED
      [APPDT/TMP/DESKTOP] HKUS\S-1-5-21-301363869-3528514320-536446627-1047[...]\Run : engel (C:\Utilisateurs\Collégien\AppData\Roaming\updates\updates.exe) -> DELETED
      [APPDT/TMP/DESKTOP] HKUS\S-1-5-21-301363869-3528514320-536446627-1047[...]\Run : LsrtiHeiejlud (C:\Utilisateurs\Collégien\AppData\Local\Temp\system.exe) -> DELETED
      [APPDT/TMP/DESKTOP] HKUS\S-1-5-21-301363869-3528514320-536446627-1047[...]\Run : LsrtiHeiejlpsc (C:\Utilisateurs\Collégien\AppData\Local\Temp\taskmgr.exe) -> DELETED
      [APPDT/TMP/DESKTOP] HKUS\S-1-5-21-301363869-3528514320-536446627-1047[...]\Run : LsrtiHeiejlqZ (C:\Utilisateurs\Collégien\AppData\Local\Temp\msmgm.exe) -> DELETED
      [APPDT/TMP/DESKTOP] HKUS\S-1-5-21-301363869-3528514320-536446627-1047[...]\Run : LsrtiHeiejlne (C:\Utilisateurs\Collégien\AppData\Local\Temp\lsass.exe) -> DELETED
      [APPDT/TMP/DESKTOP] HKUS\S-1-5-21-301363869-3528514320-536446627-1047[...]\Run : LsrtiHeiejlqb (C:\Utilisateurs\Collégien\AppData\Local\Temp\winamp.exe) -> DELETED
      [APPDT/TMP/DESKTOP] HKUS\S-1-5-21-301363869-3528514320-536446627-1047[...]\Run : LsrtiHeiejluic (C:\Utilisateurs\Collégien\AppData\Local\Temp\trwy0hxg.exe) -> DELETED
      [APPDT/TMP/DESKTOP] HKUS\S-1-5-21-301363869-3528514320-536446627-1047[...]\Run : LsrtiHeiejlnO (C:\Utilisateurs\Collégien\AppData\Local\Temp\gcw1u.exe) -> DELETED
      [APPDT/TMP/DESKTOP] HKUS\S-1-5-21-301363869-3528514320-536446627-1047[...]\Run : LMXKPfeefnvZ (C:\UTILIS~1\COLLGI~1\AppData\Local\Temp\install.exe) -> DELETED
      [APPDT/TMP/DESKTOP] HKUS\S-1-5-21-301363869-3528514320-536446627-1047[...]\Run : LMXKPfeefnxb (C:\UTILIS~1\COLLGI~1\AppData\Local\Temp\sysedit.exe) -> DELETED
      [APPDT/TMP/DESKTOP] HKUS\S-1-5-21-301363869-3528514320-536446627-1047[...]\Run : LMXKPfeefngP (C:\UTILIS~1\COLLGI~1\AppData\Local\Temp\win32.exe) -> DELETED
      [APPDT/TMP/DESKTOP] HKUS\S-1-5-21-301363869-3528514320-536446627-1047[...]\Run : LMXKPfeefnSgc (C:\UTILIS~1\COLLGI~1\AppData\Local\Temp\r66mr2uj.exe) -> DELETED
      [APPDT/TMP/DESKTOP] HKUS\S-1-5-21-301363869-3528514320-536446627-1047[...]\Run : LMXKPfeefnqg (C:\UTILIS~1\COLLGI~1\AppData\Local\Temp\hexdump.exe) -> DELETED
      [APPDT/TMP/DESKTOP] HKUS\S-1-5-21-301363869-3528514320-536446627-1047[...]\Run : LMXKPfeefnz9 (C:\UTILIS~1\COLLGI~1\AppData\Local\Temp\nvsvc32.exe) -> DELETED
      [APPDT/TMP/DESKTOP] HKUS\S-1-5-21-301363869-3528514320-536446627-1047[...]\Run : LMXKPfeefnmb (C:\UTILIS~1\COLLGI~1\AppData\Local\Temp\arceom.exe) -> DELETED
      [APPDT/TMP/DESKTOP] HKUS\S-1-5-21-301363869-3528514320-536446627-1047[...]\Run : EdCcYBPEqSpTN (C:\ProgramData\EdCcYBPEqSpTN.exe) -> DELETED
      [APPDT/TMP/DESKTOP] HKUS\S-1-5-21-301363869-3528514320-536446627-1047[...]\Run : LsrtiHeiejlupc (C:\Utilisateurs\Collégien\AppData\Local\Temp\sysedit.exe) -> DELETED
      [APPDT/TMP/DESKTOP] HKUS\S-1-5-21-301363869-3528514320-536446627-1047[...]\Run : LsrtiHeiejlq+ (C:\Utilisateurs\Collégien\AppData\Local\Temp\win32.exe) -> DELETED
      [APPDT/TMP/DESKTOP] HKUS\S-1-5-21-301363869-3528514320-536446627-1047[...]\Run : LsrtiHeiejlotc (C:\Utilisateurs\Collégien\AppData\Local\Temp\hexdump.exe) -> DELETED
      [APPDT/TMP/DESKTOP] HKUS\S-1-5-21-301363869-3528514320-536446627-1047[...]\Run : LsrtiHeiejlsPc (C:\Utilisateurs\Collégien\AppData\Local\Temp\nvsvc32.exe) -> DELETED
      [APPDT/TMP/DESKTOP] HKUS\S-1-5-21-301363869-3528514320-536446627-1047[...]\Run : LsrtiHeiejlOhd (C:\Utilisateurs\Collégien\AppData\Local\Temp\r66mr2uj.exe) -> DELETED
      [APPDT/TMP/DESKTOP] HKUS\S-1-5-21-301363869-3528514320-536446627-1047[...]\Run : LsrtiHeiejlkb (C:\Utilisateurs\Collégien\AppData\Local\Temp\arceom.exe) -> DELETED
      [APPDT/TMP/DESKTOP] HKUS\S-1-5-21-301363869-3528514320-536446627-1047[...]\Run : LsrtiHeiejlprc (C:\Utilisateurs\Collégien\AppData\Local\Temp\install.exe) -> DELETED
      [APPDT/TMP/DESKTOP] {810401E2-DDE0-454e-B0E2-AA89C9E5967C}.job : rbs.exe -> DELETED
      [APPDT/TMP/DESKTOP] {22116563-108C-42c0-A7CE-60161B75E508}.job : rbt.exe -> DELETED
      [HJ] HKLM\[...]\System : EnableLUA (0) -> REPLACED (1)

      Fichier HOSTS:
      127.0.0.1 localhost
      ::1 localhost

      Termine : << RKreport[1].txt >>
      RKreport[1].txt
    2. Utilisateur anonyme
      Reste rapport Malwarebytes :)
      A demain :)
      Bonne nuit
    3. flavie_le Auteur
      ça rame dur ! ;-) j'ai lancé le scan et j'attends tjs
    4. flavie_le Auteur
      je vais en profiter pour te poser une question ...

      c'est l'ordinateur de ma fille, il y a sa cession et celle de l'administrateur, donc la mienne. Est-ce que les mises à jour de l'anti-virus se font sur n'importe laquelle des deux sessions ? ou bien faut-il systématiquement la faire sur celle de l'administrateur ?
    5. flavie_le Auteur
      et encore merci de ton aide... à demain
  2. Utilisateur anonyme
    Salut flavie

    1/
    comment désinstaller un programme :

    Tu clique sur Démarrer puis Panneau de configuration ensuite Désinstaller un programme enfin tu choisis ZHPDiag pour le désinstaller

    ***********************Voici Tutoriel***********************

    2/
    Après désinstallation
    Tu l'installe comme expliqué ICI même s'il te dit que ce logiciel existe confirme l'installation

    Membre, Contributeur

    H.F. : Fish66
    1. flavie_le Auteur
      Bonjour,

      J'arrive pas à désinstaller totalement ZHPDiag :-( Quand je vais le désinstaller dans les programmes, ça me dit OK, mais qd je veux le réinstaller, ça me dit qu'il y a déjà un fichier existant. Je ne sais pas où aller le désinstaller ! :-( Et si je lance à nouveau Zhpdiag il va jusqu'à 88 % puis redescend à 80 % et se bloque...
      Je fais quoi ???????????

      Encore merci de ton aide, je crois que je ne te remercierai pas assez ! :-))
      1. Utilisateur anonyme
        Bonjour,

        Lance ZHPDiag depuis ton bureau puis clique sur l'onglet vert juste en haut (Flèche) pour faire la mise à jour, ensuite tu refais CECI :

        * Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
        * Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
        * Héberge le rapport ZHPDiag.txt sur un des sites ci dessous, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum :
        http://pjjoint.malekal.com/

        Si indisponible:
        http://www.cijoint.fr/

        ******************************************************

        Si tu as encore des problèmes, désinstalle ZHPDiag et refais CECI
        3. flavie_le Auteur
          Bonsoir,
          Désolée, j'ai tardé à répondre parce que j'ai eu un pb de connexion, puis je suis partie en week end.

          Voici le rapport.

          ############################## | UsbFix 7.043 | [Suppression]

          Utilisateur: Admin Parents (Administrateur) # WIN-0TTWQF8DD6Y [TOSHIBA Satellite Pro L300]
          Mis à jour le 12/04/2011 par TeamXscript
          Lancé à 00:00:03 | 27/04/2011
          Site Web: http://www.teamxscript.org
          Submit your sample: http://www.teamxscript.org/Upload.php
          Contact: TeamXscript.ElDesaparecido@gmail.com

          CPU: Intel(R) Pentium(R) Dual CPU T3200 @ 2.00GHz
          CPU 2: Intel(R) Pentium(R) Dual CPU T3200 @ 2.00GHz
          Microsoft® Windows Vista(TM) Édition Familiale Premium (6.0.6002 32-Bit) # Service Pack 2
          Internet Explorer 9.0.8112.16421

          Pare-feu Windows: Activé
          RAM -> 1915 Mo
          C:\ (%systemdrive%) -> Disque fixe # 56 Go (13 Go libre(s) - 24%) [Vista] # NTFS
          D:\ -> Disque amovible # 1003 Mo (999 Mo libre(s) - 100%) [] # FAT
          E:\ -> Disque fixe # 55 Go (40 Go libre(s) - 74%) [Data] # NTFS
          F:\ -> CD-ROM

          ################## | Éléments infectieux |

          Supprimé! C:\$RECYCLE.BIN\S-1-5-21-301363869-3528514320-536446627-1048
          Supprimé! E:\$RECYCLE.BIN\S-1-5-21-301363869-3528514320-536446627-1048

          ################## | Registre |

          Non supprimé ! HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\{BBAEAEAF-1275-40e2-BD6C-BC8F88BD114A}
          Supprimé! HKLM\software\microsoft\windows nt\currentversion\winlogon|Taskman

          ################## | Mountpoints2 |

          ################## | Listing |

          [27/04/2011 - 00:01:38 | SHD ] C:\$RECYCLE.BIN
          [18/09/2006 - 23:43:36 | N | 24] C:\autoexec.bat
          [26/04/2011 - 22:13:42 | RASHD ] C:\Autorun.inf
          [18/11/2009 - 13:15:52 | D ] C:\Boot
          [11/04/2009 - 08:36:36 | RASH | 333257] C:\bootmgr
          [03/12/2008 - 10:47:31 | N | 8192] C:\BOOTSECT.BAK
          [18/09/2006 - 23:43:37 | N | 10] C:\config.sys
          [10/02/2011 - 20:10:27 | N | 1636] C:\DelFixSuppr.txt
          [02/11/2006 - 15:02:03 | SHD ] C:\Documents and Settings
          [03/12/2008 - 11:59:06 | D ] C:\Intel
          [09/12/2008 - 19:27:22 | N | 0] C:\IO.SYS
          [25/11/2009 - 18:47:39 | N | 124] C:\MAP_INDEX[0].txt
          [09/12/2008 - 19:27:22 | N | 0] C:\MSDOS.SYS
          [17/10/2010 - 16:40:21 | N | 47616] C:\msimg32.dll
          [26/04/2011 - 23:49:23 | ASH | 4462739456] C:\pagefile.sys
          [21/01/2008 - 04:32:31 | D ] C:\PerfLogs
          [18/04/2011 - 22:23:53 | N | 512] C:\PhysicalDisk0_MBR.bin
          [19/04/2011 - 13:27:24 | D ] C:\Program Files
          [26/04/2011 - 17:11:10 | HD ] C:\ProgramData
          [08/12/2008 - 12:52:54 | N | 651] C:\RHDSetup.log
          [19/11/2009 - 11:03:04 | D ] C:\Sun
          [03/12/2008 - 12:57:00 | N | 70] C:\SWSTAMP.TXT
          [26/04/2011 - 17:26:58 | SHD ] C:\System Volume Information
          [09/12/2009 - 13:00:02 | D ] C:\temp
          [03/11/2010 - 13:50:05 | D ] C:\Toshiba
          [18/11/2009 - 19:04:52 | D ] C:\UninstallerData
          [27/04/2011 - 00:01:38 | D ] C:\UsbFix
          [27/04/2011 - 00:00:03 | A | 2726] C:\UsbFix.txt
          [26/04/2011 - 22:13:46 | N | 7218417] C:\UsbFix_Upload_Me_WIN-0TTWQF8DD6Y.zip
          [04/01/2010 - 19:22:46 | D ] C:\Utilisateurs
          [27/12/2009 - 22:02:33 | N | 46] C:\version.txt
          [15/04/2011 - 03:18:06 | D ] C:\Windows
          [19/04/2011 - 13:50:25 | N | 191544] C:\ZHPExportRegistry-19-04-2011-13-50-25.txt
          [24/09/2010 - 12:01:12 | N | 1671168] D:\PAGE.pub
          [24/09/2010 - 12:09:52 | N | 3072] D:\pubA.tmp
          [16/10/2010 - 17:27:34 | D ] D:\Favorites
          [07/03/2011 - 17:51:40 | D ] D:\Devoir d'SVT
          [26/04/2011 - 22:13:44 | RASHD ] D:\Autorun.inf
          [27/04/2011 - 00:01:38 | SHD ] E:\$RECYCLE.BIN
          [26/04/2011 - 22:13:42 | RASHD ] E:\Autorun.inf
          [03/11/2010 - 21:58:41 | D ] E:\HDDRecovery
          [03/11/2010 - 13:43:22 | SHD ] E:\System Volume Information

          ################## | Vaccin |

          C:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)
          D:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)
          E:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)

          ################## | Upload |

          Veuillez envoyer le fichier: C:\UsbFix_Upload_Me_WIN-0TTWQF8DD6Y.zip
          http://www.teamxscript.org/Upload.php
          Merci de votre contribution.

          ################## | E.O.F |
          1. Utilisateur anonyme
            Salut flavie_le

            1/
            (!) Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) suceptible d avoir été infectés sans les ouvrir

            * tapez deux fois le fichier téléchargé ( ou Fais un clic droit sur le raccourci UsbFix présent sur ton bureau et choisis "éxécuter en tant qu'administrateur" pour vista et seven)

            * Au menu principal choisis l'option " F " pour français et tape sur [entrée] .

            * Au second menu Choisis l'option " 2 " (suppression) et tape sur [entrée]

            * Laisse travailler l outil.

            * Ensuite post le rapport UsbFix.txt qui apparaitra.

            * Note : Le rapport UsbFix.txt est sauvegardé à la racine du disque. ( C:\UsbFix.txt )

            ( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

            2/
            Stp, prépare un nouveau rapport ZHPDiag comme l'autre fois:

            double clique sur ce fichier téléchargé (clique droit :enregistrer en tant qu'administrateur pour vista/seven)
            Ensuite tu fais ceci :

            * Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
            * Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
            * Héberge le rapport ZHPDiag.txt sur un des sites ci dessous, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum :
            http://pjjoint.malekal.com/

            @+

            Membre, Contributeur

            H.F. : Fish66
            1. Utilisateur anonyme
              A demain

              Bonne nuit
          2. flavie_le Auteur
            ############################## | UsbFix 7.044 | [Recherche]

            Utilisateur: Admin Parents (Administrateur) # WIN-0TTWQF8DD6Y [TOSHIBA Satellite Pro L300]
            Mis à jour le 21/04/2011 par TeamXscript
            Lancé à 21:29:29 | 21/04/2011
            Site Web: http://www.teamxscript.org
            Submit your sample: http://www.teamxscript.org/Upload.php
            Contact: TeamXscript.ElDesaparecido@gmail.com

            CPU: Intel(R) Pentium(R) Dual CPU T3200 @ 2.00GHz
            CPU 2: Intel(R) Pentium(R) Dual CPU T3200 @ 2.00GHz
            Microsoft® Windows Vista(TM) Édition Familiale Premium (6.0.6002 32-Bit) # Service Pack 2
            Internet Explorer 9.0.8112.16421

            Pare-feu Windows: Activé
            RAM -> 1915 Mo
            C:\ (%systemdrive%) -> Disque fixe # 56 Go (15 Go libre(s) - 26%) [Vista] # NTFS
            D:\ -> Disque amovible # 1003 Mo (999 Mo libre(s) - 100%) [] # FAT
            E:\ -> Disque fixe # 55 Go (40 Go libre(s) - 74%) [Data] # NTFS
            F:\ -> CD-ROM

            ################## | Éléments infectieux |

            Présent! D:\autorun.inf

            ################## | Registre |

            Présent! HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\{BBAEAEAF-1275-40e2-BD6C-BC8F88BD114A}
            Présent! HKLM\software\microsoft\windows nt\currentversion\winlogon|Taskman

            ################## | Mountpoints2 |

            HKCU\.\.\.\.\Explorer\MountPoints2\{641f2261-e330-11dd-b647-806e6f6e6963}
            Shell\AutoRun\Command = F:\Autorun.exe

            ################## | Vaccin |

            D:\Autorun.inf -> Vaccin créé par Panda USB Vaccine

            ################## | E.O.F |
            1. Utilisateur anonyme
              Re,

              * Telecharge et install UsbFix par El Desaparecido , C_XX & Chimay8

              (!) Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) suceptible d avoir été infectés sans les ouvrir

              * tapez deux fois le fichier téléchargé ( ou Fais un clic droit sur le raccourci UsbFix présent sur ton bureau et choisis "éxécuter en tant qu'administrateur" pour vista et seven)

              * Au menu principal choisis l'option " F " pour français et tape sur [entrée] .

              * Au second menu Choisis l'option " 1 " (recherche) et tape sur [entrée]

              * Laisse travailler l outil.

              * Ensuite post le rapport UsbFix.txt qui apparaitra.

              * Note : Le rapport UsbFix.txt est sauvegardé à la racine du disque. ( C:\UsbFix.txt )

              ( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

              @+
              1. flavie_le Auteur
                Voici :

                Rapport de ZHPFix 1.12.3275 par Nicolas Coolman, Update du 11/04/2011
                Fichier d'export Registre : C:\ZHPExportRegistry-19-04-2011-13-50-25.txt
                Run by Admin Parents at 19/04/2011 13:50:25
                Windows Vista Home Premium Edition, 32-bit Service Pack 2 (Build 6002)
                Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

                ========== Logiciel(s) ==========
                O42 - Logiciel: Spybot - Search & Destroy - (.Safer Networking Limited.) [HKLM] -- {B4092C6D-E886-4CB2-BA68-FE5A88D31DE6}_is1 => Logiciel supprimé avec succès

                ========== Clé(s) du Registre ==========
                O23 - Service: (SBSDWSCService) . (.Safer Networking Ltd. - Spybot-S&D Security Center integration.) - C:\Program Files\Spybot - Search & Destroy\SDWinSec.exe => Clé absente
                O51 - MPSK:{7ce33318-e998-11df-8163-001e3393192b}\AutoRun\command. (.Pas de propriétaire - Pas de description.) -- C:\Windows\system32\Billgates.vbs" (.not file.) => Clé supprimée avec succès
                O53 - SMSR:HKLM\...\startupreg\Adobe Reader Speed Launcher [Key] . (.Pas de propriétaire - Pas de description.) -- C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe => Clé supprimée avec succès
                HKCU\Software\Microsoft\Internet Explorer\lowregistry\search settings => Clé supprimée avec succès
                HKLM\Software\Classes\installer\products\a6eb8fe4c9986914497e92c7f5a702e3 => Clé supprimée avec succès
                HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\{4ef8be6a-899c-4196-94e7-297c5f7a203e} => Clé supprimée avec succès
                HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b} => Clé supprimée avec succès
                HKLM\Software\Microsoft\Internet Explorer\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b} => Clé supprimée avec succès

                ========== Valeur(s) du Registre ==========
                O4 - HKLM\..\Run: [Moon Secure AntivirusFrontEnd GUI] Clé orpheline => Valeur absente
                [HKLM\SOFTWARE\Microsoft\Security Center\Svc] AntiSpywareOverride: Modified => Valeur absente
                [HKLM\SOFTWARE\Microsoft\Security Center\Svc] AntiVirusOverride: Modified => Valeur absente
                FirewallRaz : Aucune valeur présente dans la clé de registre "Standard Profile"
                FirewallRaz : Aucune valeur présente dans la clé de registre "Domain Profile"
                FirewallRaz (Public) : TCP Query User{2827CEF5-353B-4CF3-AE33-DA9CDCDDA53B}C:\program files\le robert\le petit robert 2009\robertha.exe => Valeur supprimée avec succès
                FirewallRaz (Public) : UDP Query User{200B5AD4-C142-4362-B6D0-67899137BF91}C:\program files\le robert\le petit robert 2009\robertha.exe => Valeur supprimée avec succès
                FirewallRaz (Public) : TCP Query User{B05A903C-DEF1-4BD6-A2A7-1AB76B847CBE}C:\program files\le robert\le petit robert 2009\robert.exe => Valeur supprimée avec succès
                FirewallRaz (Public) : UDP Query User{C16D9F90-7EC6-453F-8915-782798E7438D}C:\program files\le robert\le petit robert 2009\robert.exe => Valeur supprimée avec succès
                FirewallRaz (None) : {3B44940C-F7D5-48B7-A3F0-0F0CAA7C09DB} => Valeur supprimée avec succès

                ========== Elément(s) de donnée du Registre ==========
                [HKLM\SOFTWARE\Microsoft\Security Center] UacDisableNotify: Modified => Donnée supprimée avec succès

                ========== Dossier(s) ==========
                Dossiers Flash Cookies supprimés : 0

                ========== Fichier(s) ==========
                Fichiers Flash Cookies supprimés : 0

                ========== Tache planifiée ==========
                Task : {1B3FD255-6150-48C0-8EEA-236635CF62BF} => Tâche supprimée avec succès
                Task : {89534F4E-4635-432C-9D1B-57D790995724} => Tâche supprimée avec succès

                ========== Récapitulatif ==========
                8 : Clé(s) du Registre
                10 : Valeur(s) du Registre
                1 : Elément(s) de donnée du Registre
                1 : Dossier(s)
                1 : Fichier(s)
                1 : Logiciel(s)
                2 : Tache planifiée

                End of the scan
                1. Utilisateur anonyme
                  Re,

                  Copie tout le texte présent en gras ci-dessous ( tu le selectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C )

                  O4 - HKLM\..\Run: [Moon Secure AntivirusFrontEnd GUI] Clé orpheline
                  O23 - Service: (SBSDWSCService) . (.Safer Networking Ltd. - Spybot-S&D Security Center integration.) - C:\Program Files\Spybot - Search & Destroy\SDWinSec.exe => Spybot®Search & Destroy
                  [MD5.00000000000000000000000000000000] [APT] [{1B3FD255-6150-48C0-8EEA-236635CF62BF}] (.Pas de propriétaire.) -- C:\PROGRA~1\MESSEN~2\UNWISE.exe (.not file.)
                  [MD5.00000000000000000000000000000000] [APT] [{89534F4E-4635-432C-9D1B-57D790995724}] (.Pas de propriétaire.) -- C:\Program Files\Messenger Plus! Live\Uninstall.exe (.not file.)
                  O42 - Logiciel: Spybot - Search & Destroy - (.Safer Networking Limited.) [HKLM] -- {B4092C6D-E886-4CB2-BA68-FE5A88D31DE6}_is1 => Safer Networking Limited Spybot - S&D
                  O43 - CFD: 19/11/2009 - 12:24:18 - [79989699] --H-D- C:\Program Files\Spybot - Search & Destroy => Spybot - Search & Destroy
                  O43 - CFD: 10/02/2011 - 20:21:24 - [4506] --H-D- C:\ProgramData\Spybot - Search & Destroy => Spybot - Search & Destroy
                  O51 - MPSK:{7ce33318-e998-11df-8163-001e3393192b}\AutoRun\command. (.Pas de propriétaire - Pas de description.) -- C:\Windows\system32\Billgates.vbs" (.not file.)
                  SR - | Auto 26/01/2009 1153368 | (SBSDWSCService) . (.Safer Networking Ltd..) - C:\Program Files\Spybot - Search & Destroy\SDWinSec.exe => Spybot®Search & Destroy
                  O53 - SMSR:HKLM\...\startupreg\Adobe Reader Speed Launcher [Key] . (.Pas de propriétaire - Pas de description.) -- C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe => Adobe®Reader
                  [HKLM\SOFTWARE\Microsoft\Security Center] UacDisableNotify: Modified
                  [HKLM\SOFTWARE\Microsoft\Security Center\Svc] AntiSpywareOverride: Modified
                  [HKLM\SOFTWARE\Microsoft\Security Center\Svc] AntiVirusOverride: Modified
                  [HKCU\Software\Microsoft\Internet Explorer\lowregistry\search settings]
                  [HKLM\Software\Classes\installer\products\a6eb8fe4c9986914497e92c7f5a702e3]
                  [HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\{4ef8be6a-899c-4196-94e7-297c5f7a203e}]
                  [HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}]
                  [HKLM\Software\Microsoft\Internet Explorer\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}]

                  FirewallRAZ
                  EmptyTemp
                  EmptyFlash



                  Puis Lance ZHPFix depuis le raccourci du bureau .

                  * Une fois l'outil ZHPFix ouvert , clique sur le bouton [ H ] ( "coller les lignes Helper" ) .

                  * Dans l'encadré principal tu verras donc les lignes que tu as copié précédemment apparaitrent .

                  Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.

                  Clique sur le bouton GO

                  Copie/Colle le rapport à l'écran dans ton prochain message.

                  @+
                  1. flavie_le Auteur
                    Ca y est !!!!!!!! Moon machin est désinstaller !
                    Je fais quoi maintenant ?
                    1. Utilisateur anonyme
                      Re,

                      Non pas du tout :) ,le contraire tu as réussis à faire tous :)))

                      Bonne chance...

                      @+
                      1. flavie_le Auteur
                        Ouhhhhhhhhhhh !!!! Je sens comme un air de moquerie là !! :-))))
                        Ben, on fait ce qu'on peut ! On ne peut pas être douée en tout !! :-)))
                        Bref, je vais essayer... J'y vais... Souhaite moi bonne chance ! :D !
                        1. Utilisateur anonyme
                          Salut,

                          On va désinstaller moon Secure :

                          Télécharge : Revouninstaller ICI

                          Clique droit sur le fichier téléchargé et choisis exécuter en tant qu'administrateur

                          Voici Aide pour l'installer.

                          Une fois revouninstaller installé, lance le et tu choisis Moon Secure Antivirus pour le désinstaller.

                          Tu suis pas à pas les manipulations se trouvant dans l'Aide que je
                          t'ai donné (Partie :Désinstallation du programme "récalcitrant")

                          C'est pas pas difficile flavie_le ,tu vas réussir :)

                          Si tu trouves des difficultés dis moi, je vais t'aider...

                          A bientôt

                          @+

                          Membre, Contributeur

                          H.F. : Fish66
                          1. flavie_le Auteur
                            Bonne nuit...
                            Et tu sais quoi.... Hé ben, je vais aussi avoir besoin de ton aide pour savoir lequel désinstaller :-)
                            A demain, et merci
                            1. Utilisateur anonyme
                              Salut,

                              Enfin, tu n'oublieras jamais la préparation du rapport de ZHPDiag, heureusement ton problème essentiel c'est que tu as deux antivirus :
                              McAfee Security Scan et Moon Secure Antivirus et ca peut provoquer des problèmes énormes de conflits, pour cela il faut désinstaller l'un de ces deux .
                              Quel est l'antivirus que tu vas garder pour t'aider à désinstaller proprement l'autre?

                              @+
                              Membre, Contributeur

                              H.F. : Fish66
                              1. Utilisateur anonyme
                                Pardon je vais me coucher, demain on va continuer
                                Bonne nuit :)
                            3. Utilisateur anonyme
                              Salut,

                              Clique droit sur le fichier téléchargé puis choisir exécuter en tant qu'administrateur
                              Ensuite tu fais la mise à jour en cliquant sur la flèche verte .
                              Puis tu fais comme suit :

                              * Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
                              * Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
                              * Héberge le rapport ZHPDiag.txt sur un des sites ci dessous, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum :
                              http://pjjoint.malekal.com/

                              J'espère c'est clair maintenant...
                              1. flavie_le Auteur
                                Bonsoir,
                                Quand je télécharge ZHPDiag, ça me met : impossible d'exécuter le fichier. Create Process a échoué ; code 740. L'opération demandée demande une élévation...

                                Ca veut dire quoi tout ça ? je suis complétement perdue.
                                • 1
                                • 2