centre de sécurité désactivé

Question

Bonjour,

Sous Windows 7 - Internet Explorer 9.0 - Avast version gratuite 110430-1 

Suite à problème avec le virus Win 7 Total security, j'ai mis en quarantaine 9 menaces (trojan, Hijack, Broken) avec malwarebytes anti-malware.  
- Comment savoir si le danger est définitivement écarté ? A ce jour j'ai retrouvé l'accès à internet mais le service Centre de Sécurité Windows reste désactivé et il m'est impossible de l'activé !!!!! 

Merci par avance pour vos conseils.

gen-hackman · Answer

salut


&#9654 Télécharge ici : Ad-remover sur ton bureau : 


&#9654 Déconnecte toi et ferme toutes applications en cours ! 

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

&#9654 sur "Ad-R.exe" pour lancer l'installation et laisse les paramètres d'installation par défaut . 

&#9654 clique le raccourci Ad-remover qui est sur ton bureau pour lancer l'outil .
 
&#9654 Au menu principal choisis "option Nettoyer" et tape sur [entrée] .

&#9654 Laisse travailler l'outil et ne touche à rien ... 

&#9654 Poste le rapport qui apparait à la fin , sur le forum ...

( Le rapport est sauvegardé aussi sous C:\Ad-report.log ) 
( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller ) 

================================

desactive tes protections puis enregistre ceci sur ton bureau

Pre_Scan

Avertissement: Il y aura une extinction courte du bureau --> pas de panique. 

une fois telechargé lance-le , laisse faire le scan puis colle le contenu de "Pre_scan.txt" qui apparaitra à son terme , sur le bureau.

si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

si l'outil semble ne pas avoir fonctionné clique plusieurs fois très rapidement dessus

gen-hackman · Answer

bien le suivant :)

gen-hackman · Answer

reponds avec le bouton vert si possible merci

tu cliques sur le lien bleu au dessus , tu le telecharges , tu l'enregistres sur ton bureau , tu coupes les protections , et tu l'executes

Doumi · Answer

Voici la réponse 
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Scan 1.0.0.40 ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

¤¤¤¤¤ XP | Vista | Seven - 32/64 ¤¤¤¤¤

Mis à jour le 30/04/2011 | 18.50 par g3n-h@ckm@n
Utilisateur : Doumi (Administrateurs)
Ordinateur : GUY32-VAIO

Système d'exploitation : Windows 7 Home Premium (64 bits)
Internet Explorer : 9.0.8112.16421
Mozilla Firefox : 

Scan : 21:16:52 | 30/04/2011

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

[HKCU\..\..\Winlogon] | Shell -> Aucune modification : explorer.exe -> explorer.exe

¤

[HKLM\..\..\Winlogon] | Shell -> Aucune modification : explorer.exe -> explorer.exe
[HKLM\..\..\Winlogon] | AutoRestartShell -> Aucune modification : 1 -> 1
[HKLM\..\..\Winlogon] | userinit -> Aucune modification : C:\Windows\SysWOW64\userinit.exe, -> C:\Windows\SysWOW64\userinit.exe,
[HKLM\..\..\Winlogon] | PowerDownAfterShutdown -> Aucune modification : 1 -> 1

¤¤¤¤¤¤¤¤¤¤ Associations

[.exe] : exefile
[exefile | command] : "%1" %*
[.com] : comfile
[comfile | command] : "%1" %*
[.reg] : regfile
[regfile | command] : regedit.exe "%1"
[.scr] : scrfile
[scrfile | command] : "%1" /S
[.bat] : batfile
[batfile | command] : "%1" %*
[.cmd] : cmdfile
[cmdfile | command] : "%1" %*
[.pif] : piffile
[piffile | command] : "%1" %*

¤

[IE | Command] | @ -> Aucune modification : "C:\Program Files (x86)\Internet Explorer\iexplore.exe" -> "C:\Program Files (x86)\Internet Explorer\iexplore.exe"
[Applications | IE | Command] | @ -> Aucune modification : "C:\Program Files (x86)\Internet Explorer\iexplore.exe" %1 -> "C:\Program Files (x86)\Internet Explorer\iexplore.exe" %1
[Chrome | Command] | @ -> Aucune modification : "C:\Program Files (x86)\Google\Chrome\Application\chrome.exe" -> "C:\Program Files (x86)\Google\Chrome\Application\chrome.exe"

¤

[Assoc | Applications] | @ -> Aucune modification : http://shell.windows.com/fileassoc/%04x/xml/redir.asp?Ext=%s -> http://shell.windows.com/fileassoc/%04x/xml/redir.asp?Ext=%s

¤


¤


¤¤¤¤¤¤¤¤¤¤ Services

[Ndisuio] | Start -> Aucune modification : 3 -> 3
[lmhosts] | Start -> Aucune modification : 2 -> 2 : Service Actif
[LanmanWorkstation] | Start -> Aucune modification : 2 -> 2 : Service Actif
[LanmanServer] | Start -> Aucune modification : 2 -> 2 : Service Actif
[agp440] | Start -> Aucune modification : 2 -> 2 : Service Redemarré
[AudioEndpointBuilder] | Start -> Aucune modification : 2 -> 2 : Service Actif
[Audiosrv] | Start -> Aucune modification : 2 -> 2 : Service Actif
[BFE] | Start -> Aucune modification : 2 -> 2 : Service Actif
[Bits] | Start -> Modification apportée : 3 -> 2 : Service Actif
[CryptSvc] | Start -> Aucune modification : 2 -> 2 : Service Actif
[EapHost] | Start -> Aucune modification : 2 -> 2 : Service Actif
[Wlansvc] | Start -> Aucune modification : 2 -> 2 : Service Actif
[SharedAccess] | Start -> Aucune modification : 2 -> 2 : Service Redemarré
[wuauserv] | Start -> Aucune modification : 2 -> 2 : Service Actif
[WerSvc] | Start -> Aucune modification : 2 -> 2 : Service Actif
[wscsvc] | Start -> Aucune modification : 2 -> 2 : Service Redemarré

¤¤¤¤¤¤¤¤¤¤ Internet Explorer

[HKCU | Main] | Start Page -> Aucune Modification : http://www.google.com/ -> http://www.google.com/
[HKCU | Main] | Local Page -> Aucune Modification : C:\Windows\SysWOW64\blank.htm -> C:\Windows\SysWOW64\blank.htm
[HKCU | Main] | Search Page -> Aucune Modification : http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch -> http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

[HKLM | Main] | Start Page -> Aucune Modification : http://go.microsoft.com/fwlink/?LinkId=69157 -> http://go.microsoft.com/fwlink/?LinkId=69157
[HKLM | Main] | Local Page -> Aucune Modification : C:\Windows\SysWOW64\blank.htm -> C:\Windows\SysWOW64\blank.htm
[HKLM | Main] | Default_Search_URL -> Aucune Modification : http://go.microsoft.com/fwlink/?LinkId=54896 -> http://go.microsoft.com/fwlink/?LinkId=54896
[HKLM | Main] | Default_Page_URL -> Aucune Modification : http://go.microsoft.com/fwlink/?LinkId=69157 -> http://go.microsoft.com/fwlink/?LinkId=69157
[HKLM | Main] | Search Page -> Aucune Modification : http://go.microsoft.com/fwlink/?LinkId=54896 -> http://go.microsoft.com/fwlink/?LinkId=54896

¤¤¤¤¤¤¤¤¤¤ Processus

C:\Windows\explorer.exe -> Processus stoppé 

¤¤¤¤¤¤¤¤¤¤ Clés supprimées et Fichier mis en quarantaine


¤¤¤¤¤¤¤¤¤¤ IFEO


¤¤¤¤¤¤¤¤¤¤ Mountpoints2



¤¤¤¤¤¤¤¤¤¤ MBR

MBRCheck, version 1.2.3
(c) 2010, AD

Command-line:			-za C:\MBR\MBR.bin 
Windows Version:		Windows 7 Home Premium Edition
Windows Information:		Service Pack 1 (build 7601), 64-bit
Base Board Manufacturer:	Sony Corporation
BIOS Manufacturer:		American Megatrends Inc.
System Manufacturer:		Sony Corporation
System Product Name:		VGN-FW54E
Logical Drives Mask:		0x00000074

Analysis of file "C:\MBR\MBR.bin":
Windows XP MBR code detected


Done!

¤¤¤

Fin : 21:17:03

¤¤¤¤¤¤¤¤¤¤( EOF )¤¤¤¤¤¤¤¤¤¤

gen-hackman · Answer

telecharge ici :  

 MBR_Repair   

enregistre-le sur ton bureau ,  

lance-le , choisis "Repair"  

choisis "Windows 7"  

ton pc va redemarrer  

à ton retour , relance MBR_Repair puis fais l'option "Verify"  

MBR_Verify.txt se mettra sur ton bureau poste ici son contenu

Doumi · Answer

Voici le contenu de MBR Verify
¤¤¤¤¤¤¤¤¤ MBR_Repair | Verify | 1.0.0.1¤¤¤¤¤¤¤¤¤¤

Mis à jour le 10/04/2011 | 16.30 par g3n-h@ckm@n

Utilisateur : Doumi (Administrateurs)
Ordinateur : GUY32-VAIO

Système d'exploitation : Windows 7 Home Premium (64 bits)

Scan : 22:31:50 | 30/04/2011

MBRCheck, version 1.2.3

(c) 2010, AD



Command-line:			-za MBR.bin 

Windows Version:		Windows 7 Home Premium Edition

Windows Information:		Service Pack 1 (build 7601), 64-bit

Base Board Manufacturer:	Sony Corporation

BIOS Manufacturer:		American Megatrends Inc.

System Manufacturer:		Sony Corporation

System Product Name:		VGN-FW54E

Logical Drives Mask:		0x00000074



Analysis of file "MBR.bin":

Windows 7 MBR code detected





Done!

Doumi · Answer

J'en profite également pour vous trasmettre les 2 rapports de Malwayrebytes (scan effectué avant de prendre contact avec vous).
Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Version de la base de données: 6468

Windows 6.1.7601 Service Pack 1
Internet Explorer 8.0.7601.17514

29/04/2011 06:36:31
mbam-log-2011-04-29 (06-36-31).txt

Type d'examen: Examen rapide
Elément(s) analysé(s): 154830
Temps écoulé: 2 minute(s), 17 seconde(s)

Processus mémoire infecté(s): 1
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 2
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 5

Processus mémoire infecté(s):
c:\Users\Doumi\AppData\Local\nta.exe (Trojan.FakeAlert) -> 3228 -> Unloaded process successfully.

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
HKEY_CLASSES_ROOT\.exe\shell\open\command\(default) (Hijack.ExeFile) -> Value: (default) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\IEXPLORE.EXE\shell\open\command\(default) (Hijack.StartMenuInternet) -> Bad: ("C:\Users\Doumi\AppData\Local\nta.exe" -a "C:\Program Files (x86)\Internet Explorer\iexplore.exe") Good: (iexplore.exe) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\exefile\shell\open\command\(default) (Broken.OpenCommand) -> Bad: ("C:\Users\Doumi\AppData\Local\nta.exe" -a "%1" %*) Good: ("%1" %*) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\Users\Doumi\AppData\Local\nta.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\Users\Doumi\local settings\nta.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\Users\Doumi\local settings\syo.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\Users\Doumi\local settings\application data\nta.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\Users\Doumi\local settings\application data\syo.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.

Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Version de la base de données: 6468

Windows 6.1.7601 Service Pack 1
Internet Explorer 8.0.7601.17514

29/04/2011 20:34:13
mbam-log-2011-04-29 (20-34-13).txt

Type d'examen: Examen complet (C:\|E:\|F:\|G:\|)
Elément(s) analysé(s): 286969
Temps écoulé: 37 minute(s), 48 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\Users\Doumi\AppData\Roaming\opencandy\opencandy_09dbbf86dd4b406887aaf6d48480fe1d\offerboxsetup_fr.exe (Trojan.Downloader) -> Quarantined and deleted successfully.

En espèrant que ces rapports apporteront  une information supplémentaire.

Dans l'attente de vos conseils, je vous remercie pour vos propositions de démarches.

gen-hackman · Answer

Télécharge ici :OTL

&#9654 enregistre le sur ton Bureau.

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur OTL.exe pour le lancer.

&#9654 => Configuration

&#9654Clic sur Analyse.

A la fin du scan, le Bloc-Notes va s'ouvrir avec le rapport (OTL.txt).

Ce fichier est sur ton Bureau (en général C:\Documents and settings\le_nom_de_ta_session\OTL.txt)

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM (il est trop long)

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/

&#9654 Clique sur Parcourir et cherche le fichier ci-dessus.

&#9654 Clique sur Ouvrir.

&#9654 Clique sur "Cliquez ici pour déposer le fichier".

juste au niveau du bouton , en fin de chargement du fichier , Un lien de cette forme apparaitra :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

&#9654 Copie ce lien dans ta réponse.

&#9654&#9654 Tu feras la meme chose avec le "Extra.txt" qui logiquement sera aussi sur ton bureau.

Doumi · Answer

Voici le lien pour OTL.texte
http://www.cijoint.fr/cjlink.php?file=cj201104/cijuCqLvNX.txt

Doumi · Answer

Et voici le lien du dépôt du fichier Extras.Txt 

http://www.cijoint.fr/cjlink.php?file=cj201104/cijQyhU0zY.txt

gen-hackman · Answer

ATTENTION !!! : Script personnalisé pour cette machine uniquement , ne pas reproduire !! 

si tu as XP => double clique 
si tu as Vista ou windows 7 => clic droit "executer en tant que...."  

sur OTL.exe pour le lancer. 


&#9654Copie la liste qui se trouve en gras ci-dessous, 

&#9654 colle-la dans la zone sous "Personnalisation" : 

 
:processes 
explorer.exe 
iexplore.exe 
firefox.exe 
msnmsgr.exe 
Teatimer.exe 

:OTL 
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktop = 1   
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktopChanges = 1   
O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: HideSCAHealth = 1       
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} http://java.sun.com/update/1.6.0/jinstall-1_6_0_14-windows-i586.cab (Java Plug-in 1.6.0_14)   
O16 - DPF: {CAFEEFAC-0016-0000-0014-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_14-windows-i586.cab (Java Plug-in 1.6.0_14)  
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_14-windows-i586.cab (Reg Error: Key error.)   

:Reg 
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run] 
"Adobe Reader Speed Launcher"=- 
"ControlCenter3"=- 


:Files 
C:\Users\Doumi\AppData\Local\0g6x7s71hh4a7j71h7ucq5600 
C:\ProgramData\0g6x7s71hh4a7j71h7ucq5600            
         
:commands 
[emptytemp] 
[start explorer] 
[reboot] 
 

&#9654 Clique sur "Correction" pour lancer la suppression. 


&#9654 Poste le rapport qui logiquement s'ouvrira tout seul en fin de travail appres le redemarrage. 

G3?-?@¢??@?......Concepteur de List_Kill'em...Pre_Scan....MBR_Repair....

Doumi · Answer

Bonjour, me revoilà. Tout d'abord, bon 1er mai 2011.

Voici le rapport:
All processes killed
========== PROCESSES ==========
No active process named explorer.exe was found!
No active process named iexplore.exe was found!
No active process named firefox.exe was found!
Process msnmsgr.exe killed successfully!
No active process named Teatimer.exe was found!
========== OTL ==========
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\NoActiveDesktop deleted successfully.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\NoActiveDesktopChanges deleted successfully.
Registry value HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\HideSCAHealth deleted successfully.
Starting removal of ActiveX control {8AD9C840-044E-11D1-B3E9-00805F499D93}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ deleted successfully.
Registry key HKEY_CURRENT_USER\SOFTWARE\Classes\CLSID\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ not found.
Starting removal of ActiveX control {CAFEEFAC-0016-0000-0014-ABCDEFFEDCBA}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0016-0000-0014-ABCDEFFEDCBA}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0014-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_CURRENT_USER\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0014-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{CAFEEFAC-0016-0000-0014-ABCDEFFEDCBA}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0014-ABCDEFFEDCBA}\ not found.
Starting removal of ActiveX control {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ not found.
========== REGISTRY ==========
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\Adobe Reader Speed Launcher deleted successfully.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\ControlCenter3 deleted successfully.
========== FILES ==========
C:\Users\Doumi\AppData\Local\0g6x7s71hh4a7j71h7ucq5600 moved successfully.
C:\ProgramData\0g6x7s71hh4a7j71h7ucq5600 moved successfully.
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: All Users
 
User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
User: Doumi
->Temp folder emptied: 2354905 bytes
->Temporary Internet Files folder emptied: 41553618 bytes
->Java cache emptied: 45707338 bytes
->Flash cache emptied: 2629 bytes
 
User: Public
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32 (64bit) .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 1888073 bytes
%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 50674 bytes
RecycleBin emptied: 4863 bytes
 
Total Files Cleaned = 87,00 mb
 
 
OTL by OldTimer - Version 3.2.22.3 log created on 05012011_053201

Files\Folders moved on Reboot...
File move failed. C:\Windows	emp\_avast_\Webshlock.txt scheduled to be moved on reboot.
C:\Windows	emp\FXSAPIDebugLogFile.txt moved successfully.
File\Folder C:\Windows	emp\~DF0606C84469C62F97.TMP not found!
File\Folder C:\Windows	emp\~DF2DD6BBF3607C605A.TMP not found!
File\Folder C:\Windows	emp\~DF2EC8AB41C5C961ED.TMP not found!
File\Folder C:\Windows	emp\~DF40CC5CD2C9253825.TMP not found!
File\Folder C:\Windows	emp\~DF59B16DEDD2960045.TMP not found!
File\Folder C:\Windows	emp\~DF9616D6236D75D69E.TMP not found!
File\Folder C:\Windows	emp\~DFA0EE51B5088660B3.TMP not found!
File\Folder C:\Windows	emp\~DFA6567C0F6A6D2FF7.TMP not found!
File\Folder C:\Windows	emp\~DFA9156E2C007080D0.TMP not found!
File\Folder C:\Windows	emp\~DFAC021B78146095A4.TMP not found!
File\Folder C:\Windows	emp\~DFB2A17EFDECE7D37F.TMP not found!
File\Folder C:\Windows	emp\~DFBEB6F73EF596FE4F.TMP not found!
File\Folder C:\Windows	emp\~DFD4784C008F2996E1.TMP not found!
File\Folder C:\Windows	emp\~DFE48B69FB926FAD00.TMP not found!

Registry entries deleted on Reboot...

Doumi · Answer

Je n'ai plus de réponse de votre part ????

gen-hackman · Answer

re ,

il m'arrive aussi de dormir :)

quels soucis persistent ? toujours des soucis de centre de securité ?

Doumi · Answer

Bonjour,
Dans un 1er temps suite aux diverses manipulations effectuées par vos services et résultats obtenus, pouvez-vous me dire si l'ordinateur est finalement infecté par Win 7 Total Security comme je le craignais ?

D'autre part, le service centre de sécurité windows ne peut toujours pas être activé !!!

Merci, pour vos réponses.

Doumi · Answer

Je suis désolée de vous ennuyer une fois de plus mais je ne sais pas ce que je dois faire suite à notre dernier contact ?

Dans un 1er temps suite aux diverses manipulations effectuées par vos services et résultats obtenus, pouvez-vous me dire si l'ordinateur est finalement infecté par Win 7 Total Security comme je le craignais ?
 
D'autre part, le service centre de sécurité windows ne peut toujours pas être activé !!!
 

Merci par avance.

gen-hackman · Answer

tu as encore signe de vie du virus ??

Doumi · Answer

Comment puis-je savoir si j'ai encore une signe de virus, l'ordinateur fonctionne normalement excepté que je ne puisse toujours pas activer le centre de sécurité windows 7

gen-hackman · Answer

telecharge ici : Load_KidoKiller 

Desactive tes protections 

lance-le , clique sur lancer le nettoyage  

à la fin Kido.txt se mettra sur ton bureau 

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM (il est trop long) 

clic droit dessus , envoyer vers , dossiers compressés 

ensuite : 

tu m'envoies l'archive comme ceci : 

clique sur ce lien : http://www.cijoint.fr/ 

&#9654 Clique sur Parcourir et cherche le fichier ci-dessus. 

&#9654 Clique sur Ouvrir. 

&#9654 Clique sur "Cliquez ici pour déposer le fichier". 

Un lien de cette forme : 

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt 

est ajouté dans la page. 

&#9654 Copie ce lien dans ta réponse.  


G3?-?@¢??@?......Concepteur de List_Kill'em...Pre_Scan....MBR_Repair....

Doumi · Answer

Voici le dépôt du fichier Kido.zip 

http://www.cijoint.fr/cjlink.php?file=cj201105/cijvO7J455.zip

gen-hackman · Answer

tes protections etaient bien desactivées pendant le scan ?

Doumi · Answer

Voici le dernier résultat de scan de malwarebytes avec avast désactivé :

Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Version de la base de données: 6468

Windows 6.1.7601 Service Pack 1
Internet Explorer 9.0.8112.16421

02/05/2011 14:32:59
mbam-log-2011-05-02 (14-32-59).txt

Type d'examen: Examen complet (C:\|E:\|F:\|G:\|)
Elément(s) analysé(s): 290989
Temps écoulé: 33 minute(s), 53 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

gen-hackman · Answer

aucun rapport avec ma question

Doumi · Answer

Désolée pour la réponse. 

Entre temps j'avais cru bon de vous transmettre également le dernier scan Malwarebytes.

Oui, le nettoyage avec Load Kidokiller avait bien été lancé après avoir désactivé AVAST.

A ce jour l'activation du centre de sécurité de Windows reste toujours impossible.

Doumi · Answer

Merci encore pour vos démarches, j'espère qu'après votre absence vous aurez une solution à me proposer pour résoudre ce problème.

Encore mille merci.

Doumi · Answer

Rebonjour,
Toujours impossible d'activer le centre de sécurité Windows.

Merci, de bien vouloir m'aider .

gen-hackman · Answer

salut

▶ Télécharge Dr Web CureIt sur ton Bureau :

▶ redemarre en mode sans échec

▶- Double clique (clic droit "en tant qu'admin" sous Vista) <drweb-cureit.exe> et ensuite clique sur <Analyse>;

▶- Clique <Ok> à l'invite de l'analyse rapide. S'il trouve des processus infectés alors clique le bouton <Oui>.

Note : une fenêtre s'ouvrira avec options pour "Commander" ou "50% de réduction" : Quitte en cliquant le "X".

▶- Lorsque le scan rapide est terminé, clique sur le menu <Options> puis <Changer la configuration> ; Choisis l'onglet <Scanner>, et décoche <Analyse heuristique>. Clique ensuite sur <Ok>.
▶- De retour à la fenêtre principale : clique pour activer <Analyse complète>

selectionne tous les disques

▶- Clique le bouton avec flèche verte sur la droite, et le scan débutera.
▶- Clique <Oui> pour tout à l'invite "Désinfecter ?" lorsqu'un fichier est détecté, et ensuite clique "Désinfecter".
▶- Lorsque le scan sera complété, regarde si tu peux cliquer sur l' icône, adjacente aux fichiers détectés (plusieurs feuilles l'une sur l'autre). Si oui, alors clique dessus et ensuite clique sur l'icône <Suivant>, au dessous, et choisis <Déplacer en quarantaine l'objet indésirable>.
▶- Du menu principal de l'outil, au haut à gauche, clique sur le menu <Fichier> et choisis <Enregistrer le rapport>. Sauvegarde le rapport sur ton Bureau. Ce dernier se nommera DrWeb.csv

▶-pour le rapport tu l enregistres sur ton bureau , tu clic droit dessus /envoyer vers / dossiers compresses

ensuite :

tu m'envoies l'archive comme ceci :

clique sur ce lien : http://www.cijoint.fr/

▶ Clique sur Parcourir et cherche le fichier ci-dessus.

▶ Clique sur Ouvrir.

▶ Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

est ajouté dans la page.

▶ Copie ce lien dans ta réponse.

▶- Ferme Dr.Web Cureit
▶- Redémarre ton ordi (important car certains fichiers peuvent être déplacés/réparés au redémarrage).

Doumi · Answer

Bonsoir,

Un très très grand merci d'avoir répondu à mon message.

J'ai exécuté les deux analyses ( rapide puis complète) ce qui a été très très long.

Mais à partir de là :
-->Lorsque le scan sera complété, regarde si tu peux cliquer sur l' icône, adjacente aux fichiers détectés (plusieurs feuilles l'une sur l'autre). Si oui, alors clique dessus et ensuite clique sur l'icône <Suivant>, au dessous, et choisis <Déplacer en quarantaine l'objet indésirable>.

Je n'ai pas su trouver l'icône pour cliquer.

J'ai enchaîné la suite :
--> ?- Du menu principal de l'outil, au haut à gauche, clique sur le menu <Fichier> et choisis <Enregistrer le rapport>.

Mais lorsque j'ai voulu enregistrer la Sauvegarde du rapport sur le Bureau. Celle-ci est actuellement placée dans un bloc-note que je n'arrive absolument pas à compresser car cela m'est refusé.

Comment vous transmettre le contenu de ce rapport qui faisait apparaître :
Trojan-siggen / Trojan Muldrop / Trojan Siggen

Voici juste les statistiques :
Statistiques d'analyse
-----------------------------------------------------------------------------
Objets scannés: 327981
Objets infectés: 3
Objets ayant été modifiés: 0
Objets suspects: 0
Adwares détectés: 0
Dialers détectés: 0
Canulars détectés: 0
Riskwares détectés: 0
Hacktools détectés: 0
Désinfecté: 0
Supprimé: 0
Renommé: 0
Déplacé en quarantaine: 3
Ignoré: 0
Vitesse du scan: 74 Kb/s
Durée d'analyse: 4:28:12
-----------------------------------------------------------------------------

=============================================================================
Statistiques totales de la session
=============================================================================
Objets scannés: 329271
Objets infectés: 3
Objets ayant été modifiés: 0
Objets suspects: 0
Adwares détectés: 0
Dialers détectés: 0
Canulars détectés: 0
Riskwares détectés: 0
Hacktools détectés: 0
Désinfecté: 0
Supprimé: 0
Renommé: 0
Déplacé en quarantaine: 3
Ignoré: 0
Vitesse du scan: 109 Kb/s
Durée d'analyse: 4:30:03

Merci par avance pour vos prochains conseils.

gen-hackman · Answer

rentre dans :

C:\Users	a session\DrWeb\CureIt.log

clic droit sur le log , envoyer vers , dossiers compréssés

tu m'envoies l'archive .zip ainsi crée comme ceci :

clique sur ce lien : http://www.cijoint.fr/

&#9654 Clique sur Parcourir et cherche le fichier ci-dessus.

&#9654 Clique sur Ouvrir.

&#9654 Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

est ajouté dans la page.

&#9654 Copie ce lien dans ta réponse.

Doumi · Answer

Que de soucis pour l'obtenir !

http://www.cijoint.fr/cjlink.php?file=cj201105/cijPYiwJg7.zip

Merci pour la prochaine réponse.

gen-hackman · Answer

toujours des soucis ???

Doumi · Answer

1° Les soucis sont toujours localisés à partir du Service Centre de sécurité Windows qu'il m'est impossible d'activer, à chaque fois j'ai le message suivant:
Croix blanche dans rond rouge " Impossible de démarrer le service centre de sécurité windows".

2° Que doit-on faire des 3 élémentss mis dans QUARANTINE ?
-  Fichier ION description
- Application OTL _ 0
- Application Uninstall

3° Puis-je supprimer tous les éléments du bureau suite aux différentes manipulations faites ? Les supprimer à partir du bureau suffit ou à partir de désinstaller un programme ?
-load kidokiller
-dweb-cureit
-Mbr Repair
-Kido
-OTL
-Zip kido
-Zip Cureit
-Extras
-Pre_scan
-quarantine
-desktop 
-Pre-scan
-Mb-verify
-curelt
-AD-R
-Drweb excel

4° Est-il possible de faire maintenant un point de restauration sans danger ?

Voila mes questions en attente de vos prochains conseils.

gen-hackman · Answer

re pour l instant non

telecharge ici : CLRAV

lance-le , clique sur telecharger la nouvelle version 

relance-le clic sur lancer le nettoyage 

A la fin du scan, CLRAV.txt sera sur ton bureau

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM (il est trop long)

tu clic droit dessus /envoyer vers / dossiers compresses

ensuite :

tu m'envoies l'archive comme ceci :

clique sur ce lien : http://www.cijoint.fr/

&#9654 Clique sur Parcourir et cherche le fichier ci-dessus.

&#9654 Clique sur Ouvrir.

&#9654 Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

est ajouté dans la page.

&#9654 Copie ce lien dans ta réponse.

Doumi · Answer

Bonsoir,

Voici le fichier du rapport CLRAV :
http://www.cijoint.fr/cjlink.php?file=cj201105/cijDGERVyw.zip

gen-hackman · Answer

hello

&#9654 Télécharge ZHPDiag (de Nicolas Coolman) 

ou :ZHPDiag

&#9654 Enregistre le sur ton Bureau.

Une fois le téléchargement achevé, 

&#9654 lance ZHPDiag.exe et clique sur Unzip dans la fenêtre qui s'ouvre.

&#9654 Clique sur le tournevis puis sur Tous pour cocher toutes les cases des options.

&#9654 Clique sur la loupe pour lancer l'analyse.

A la fin de l'analyse, 

&#9654 clique sur l'appareil photo et enregistre le rapport sur ton Bureau.

Pour me le transmettre clique sur ce lien :

http://www.cijoint.fr/

&#9654 Clique sur Parcourir et cherche le fichier C:\Documents and settings\le_nom_de_ta_session\.ZHPDiag.txt

&#9654 Clique sur Ouvrir.

&#9654 Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cj200905/cib7SU.txt

est ajouté dans la page.

&#9654 Copie ce lien dans ta réponse.

Doumi · Answer

Téléchargement de ZHPDiag effectué
2 Icônes sur le bureau = ZHPDiag et ZHPFix

Lorsque je clique sur ZHPDiag, je n'ai pas trouvé UNZIP
J'ai cliqué sur la loupe pour lancer le diagnostic. Ai-je fait une erreur ?

gen-hackman · Answer

non c'est bon poste le rapport comme demandé

Doumi · Answer

Voici le contenu du fichier ZHPDiag.txt :
http://www.cijoint.fr/cjlink.php?file=cj201105/cijgsgeCvG.txt

gen-hackman · Answer

sélectionne les lignes ci-dessous et copie les dans le Presse-papier (Ctrl C)

OPT:O4 - HKLM\..\Run: [SunJavaUpdateSched] . (.Sun Microsystems, Inc. - Java Platform SE binary.) -- C:\Program Files\Java\jre6\bin\jusched.exe 
OPT:O4 - HKLM\..\Wow6432Node\Run: [SunJavaUpdateSched] . (.Sun Microsystems, Inc. - Java Update Scheduler.) -- C:\Program Files (x86)\Common Files\Java\Java Update\jusched.exe 
OPT:O4 - Global Startup: C:\Users\Doumi\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\OpenOffice.org 3.2.lnk . (...)  -- C:\Program Files (x86)\OpenOffice.org 3\program\quickstart.exe  
[HKLM\Software\BrowserChoice]
O64 - Services: CurCS - (.not file.) - 6000101301E3B (6000101301E3B)  .(...) - LEGACY_6000101301E3B 
O64 - Services: CurCS - (.not file.) - 6000101303A5B (6000101303A5B)  .(...) - LEGACY_6000101303A5B 


Pour Xp : Double clique sur l'icône ZHPFix.exe sur ton Bureau.

Pour Vista : Clique droit sur l'icône ZHPFix.exe sur ton Bureau,
puis sélectionne 'Exécuter en tant qu'administrateur'.

- Clique sur l'icone représentant la lettre H (« coller les lignes Helper ») 
- Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes 
- Clique sur le bouton « GO » pour lancer le nettoyage,
- Copie/colle la totalité du rapport dans ta prochaine réponse

Doumi · Answer

Voici la totalité du rapport :
Rapport de ZHPFix 1.12.3280 par Nicolas Coolman, Update du 02/05/2011
Fichier d'export Registre : C:\ZHPExportRegistry-07-05-2011-19-24-15.txt
Run by Doumi at 07/05/2011 19:24:15
Windows 7 Home Premium Edition, 64-bit Service Pack 1 (Build 7601)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

========== Clé(s) du Registre ==========
HKLM\Software\BrowserChoice  => Clé non supprimée
O64 - Services: CurCS - (.not file.) - 6000101301E3B (6000101301E3B) .(...) - LEGACY_6000101301E3B  => Clé supprimée avec succès
O64 - Services: CurCS - (.not file.) - 6000101303A5B (6000101303A5B) .(...) - LEGACY_6000101303A5B  => Clé supprimée avec succès

========== Valeur(s) du Registre ==========
O4 - HKLM\..\Run: [SunJavaUpdateSched] . (.Sun Microsystems, Inc. - Java Platform SE binary.) -- C:\Program Files\Java\jre6\bin\jusched.exe  => Valeur supprimée avec succès
O4 - HKLM\..\Wow6432Node\Run: [SunJavaUpdateSched] . (.Sun Microsystems, Inc. - Java Update Scheduler.) -- C:\Program Files (x86)\Common Files\Java\Java Update\jusched.exe  => Valeur supprimée avec succès

========== Fichier(s) ==========
c:\users\doumi\appdata\roaming\microsoft\windows\start menu\programs\startup\openoffice.org 3.2.lnk  => Supprimé et mis en quarantaine


========== Récapitulatif ==========
3 : Clé(s) du Registre
2 : Valeur(s) du Registre
1 : Fichier(s)


End of the scan

gen-hackman · Answer

re essaie ca :

https://forums.commentcamarche.net/forum/affich-3900974-activer-le-centre-de-securite-windows#14

Doumi · Answer

Bonsoir,
J'ai tenté sous WINDOWS 7 :
- Démarrer
- Panneau de configuration
- Outils d'administration
- Services
  Et là IMPOSSIBLE de trouver "Centre de sécurité" pour tenter un démarrage 
  automatique

Que faire ????

gen-hackman · Answer

tu as le cd de windows ?

Doumi · Answer

Lors de l'achat de l'ordinateur (neuf) windows 7 était installé, j'ai effectué une copie de réinstallation comme cela était conseillé (contenu sur 3 DVD).

gen-hackman · Answer

hello tu peux trouver un cd du meme windows 7 que tu as dans ton entourage ?

Centre de sécurité désactivé

45 réponses

Discussions similaires

Newsletters