PC infecté

dimanche77 -  
Bonjour,

depuis hier la connexion Internet se coupe au bout de 10 mn, 1/4h après le démarrage du PC j'ai une fenêtre "Généric Host Process for Win32 Services a rencontré un problème et doit être fermé", puis la barre de tâches de Windows devient pâle, le PC est extrêmement lent et certaines commandes ne répondent plus. J'ai essayé beaucoup de choses ; scan Antivir, outil de suppression de malware de windows, PC Safe Doctor etc. je n'arrive pas à éradiquer ce qui est entré mon pc...

Pourriez-vous m'aider s'il vous plaît ? (j'ai énormément de choses sur mon ordi, en particulier des trucs pour mon boulot).

J'ai suivi ce tuto ici :
https://www.commentcamarche.net/faq/2490-supprimer-les-adwares-publicites-intempestives-pop-up-etc

1/ démarrage de ZHPDiag ; fenêtre DOS et on me dit que MBR n'a pas été trouvé ou je ne sais plus exactement quel message, j'aurais dû le noter...
Résultats ici : http://www.cijoint.fr/cjlink.php?file=cj201106/cijf5GIfJw.txt

2/ CCleaner : nettoyage fait

3/ impossible de lancer MBAM ; j'ai juste une fenêtre DOS qui se referme aussi rapidement qu'elle est apparue, idem en mode sans échec...

Merci d'avance si vous pouvez m'aider.

48 réponses

Résumé de la discussion

Une infection semble provoquer des coupures Internet après environ 10 minutes et le message 'Generic Host Process for Win32 Services a rencontré un problème', rendant la barre des tâches pâle et le PC lent. La résolution prioritaire propose TDSSKiller (Reload_TDSSKiller) pour cibler les rootkits TDSS, téléchargement puis démarrage, clic sur Start Scan, redémarrage éventuel et copie du rapport sur le bureau pour l’analyse. D'autres échanges évoquent des difficultés avec MBAM et des résultats ZHPDiag, mais la priorité reste l’exécution et l’envoi des rapports TDSSKiller pour diagnostic et suivi des actions. Enfin, le rapport TDSSKiller affiché sur le bureau peut préciser les éléments supprimés et orienter les prochaines étapes, notamment en cas de persistance des symptômes après reboot.

Bobot (l’IA à votre service)
  1. g3n-h@ckm@n
    ouaip' prends-toi virut ou TDSS dans le MBR on va voir si tu formates et c'est réglé

    avant de dire des choses dont on est obsolument sûr faut peut-etre en verifier la véracité !

    @dimanche77

    fais ce que je t'ai demandé et poste les rapports comme expliqué je ne pourrai te répondre qu'en les lisant
    ¤¤¤¤¤¤¤¤¤¤ g3n-h@ckm@n ¤¤¤¤¤¤¤¤¤¤
    ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Scan ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
    1. g3n-h@ckm@n

      /!\ ATTENTION SUIVRE A LA LETTRE CES INDICATIONS/!\

      __________________________________________________________
      >Ce logiciel n'est à utiliser que prescrit par un helper qualifié et formé à l'outil.<
      >>>>>>>Ne pas utiliser en dehors de ce cas de figure : dangereux!<<<<<<<<
      =====================================================

      ▶ Surtout , pense à l'enregistrement à renommer Combofix en "ton prenom.exe" avant qu'il soit enregistré sur ton disque dur

      Telecharge ici : Combofix

      Avant d'utiliser ComboFix :

      Si tu utilises AVG, IL FAUT IMPERATIVEMENT LE DESINSTALLER avant d'utiliser Combofix car il peut causer des dégâts en interaction avec l'outil pouvant mener à la réinstallation totale du système.
      La simple désactivation du résident n'est pas suffisante.
      Télécharge le désinstalleur d'AVG sur ce lien : https://www.avg.com/fr-fr/avg-remover
      Choisis la version adéquate (32 ou 64 bits)/!\

      Les logiciels d'émulation de CD comme Daemon Tools peuvent gêner les outils de désinfection. Utilise Defogger pour les désactiver temporairement :

      ▶ Télécharge Defogger (de jpshortstuff) sur ton Bureau

      ▶ Lance le

      Une fenêtre apparait : clique sur "Disable"

      ▶ Fais redémarrer l'ordinateur si l'outil te le demande

      Note : Quand nous aurons terminé la désinfection, tu pourras réactiver ces logiciels en relançant Defogger et en cliquant sur "Re-enable"

      _________________________________________________________
      >> referme les fenêtres de tous les programmes en cours.
      >> Désactive provisoirement et seulement le temps de l'utilisation de ComboFix,
      >>la protection en temps réel de ton Antivirus et de tes Antispywares,
      >>qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil.
      °°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°

      si tu as XP => double clique
      si tu as Vista ou windows 7 => clic droit "executer en tant que...."

      sur combofix renommé

      ¤¤¤¤¤¤¤¤¤¤ LAISSE-LE INSTALLER LA CONSOLE DE RECUPERATION S'IL TE LE DEMANDE ¤¤¤¤¤¤¤¤¤¤

      ▶ !!!!!NE TOUCHE A RIEN PENDANT LE TRAVAIL DE COMBOFIX (SOURIS/CLAVIER.....)!!!!!

      ▶ n'oublie pas de reactiver la garde de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet.

      ▶▶ Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

      1. MAT83
        Mon blem desole pour vous, c' est avservicescanning.exe programme spyware.
    5. dimanche77 Auteur
      les dernières alertes dans C:\Documents and Settings\moi\Application Data
      3. g3n-h@ckm@n
        ????????

        hélas les alertes aux virus, back-doors et trojan sont revenues en masse
        de la part de qui ?
        1. dimanche77 Auteur
          Voilà le résultat... :

          KLWK.COM utility scan started 15/6/2011 18:24.
          -----------------------------------------------

          Scanning registry:
          Scanning memory:

          modules :1695
          infected :0
          disinfected :0
          will be disinfected after reboot :0
          deleted :0
          will be deleted after reboot :0

          Nothing to clean.
          scan finished 15/6/2011 18:25.
          1. g3n-h@ckm@n
            branche tous tes disques externes ou pas , desactive tes protections puis :

            telecharge ici : Load_klwk

            lance-le , clique sur lancer le nettoyage

            à la fin klwk.txt se mettra sur ton bureau

            ▶▶▶ NE LE POSTE PAS SUR LE FORUM (il est trop long)

            clic droit dessus , envoyer vers , dossiers compressés

            ensuite :

            tu m'envoies l'archive comme ceci :

            clique sur ce lien : http://www.cijoint.fr/

            ▶ Clique sur Parcourir et cherche le fichier ci-dessus.

            ▶ Clique sur Ouvrir.

            ▶ Clique sur "Cliquez ici pour déposer le fichier".

            Un lien de cette forme :

            http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

            est ajouté dans la page.

            ▶ Copie ce lien dans ta réponse.
            1. dimanche77 Auteur
              hélas les alertes aux virus, back-doors et trojan sont revenues en masse

              Je ne peux même plus accéder à mes répertoires de backups sur mon dd externe qui pointent à nouveau vers C:\system32

              Je suis un peu désespérée, là. D'autant qu'il me reste des sauvegardes à faire.

              Questions pour toi :

              - ces bêtes vont-elles me poursuivre si je branche mon dd externe sur un nouveau pc ?

              - que penses-tu de la version payante de Kaspersky (antivirus + pare-feu), est-elle fiable ?

              Je te remercie d'avance.
              2. dimanche77 Auteur
                je te dis ça tout à l'heure car il faut que je travaille sur un truc, ça sera l'occasion de tester

                A ton avis c'est bon, ils sont tous éradiqués ? 8-)
                1. g3n-h@ckm@n
                  tiens tu as vu ca dans F:\ ,

                  Spydig_Setup.exe/data002\{app}\ussafe.dll;F:\Spydig_Setup.exe/data002;Trojan.Fakealert.20721;;
                  Spydig_Setup.exe/data002\{app}\opfile.dll;F:\Spydig_Setup.exe/data002;Trojan.Fakealert.20721;;
                  Spydig_Setup.exe/data002\{sys}\drivers\RKHit.sys;F:\Spydig_Setup.exe/data002;Trojan.Fakealert.20721;;
                  data002;F:\;Conteneur comporte des objets infectés;;
                  Spydig_Setup.exe;F:\;Conteneur comporte des objets infectés;Quarantaine.;
                  PCSafeDoctor_Setup.exe/data002\{app}\ussafe.dll;F:\PCSafeDoctor_Setup.exe/data002;Trojan.Fakealert.20721;;
                  PCSafeDoctor_Setup.exe/data002\{app}\opfile.dll;F:\PCSafeDoctor_Setup.exe/data002;Trojan.Fakealert.20721;;
                  PCSafeDoctor_Setup.exe/data002\{sys}\drivers\RKHit.sys;F:\PCSafeDoctor_Setup.exe/data002;Trojan.Fakealert.20721;;
                  data002;F:\;Conteneur comporte des objets infectés;;
                  PCSafeDoctor_Setup.exe;F:\;Conteneur comporte des objets infectés;Quarantaine.;
                  BestSpywareScanner_Setup.exe/data002\{app}\BSSHelper.exe;F:\BestSpywareScanner_Setup.exe/data002;Trojan.Fakealert.20721;;
                  BestSpywareScanner_Setup.exe/data002\{app}\opfile.dll;F:\BestSpywareScanner_Setup.exe/data002;Trojan.Fakealert.20721;;
                  BestSpywareScanner_Setup.exe/data002\{sys}\drivers\RKHit.sys;F:\BestSpywareScanner_Setup.exe/data002;Trojan.Fakealert.20721;;
                  BestSpywareScanner_Setup.exe/data002\{app}\ussafe.dll;F:\BestSpywareScanner_Setup.exe/data002;Trojan.Fakealert.20721;;
                  BestSpywareScanner_Setup.exe/data002\{app}\AutoUpdate.exe;F:\BestSpywareScanner_Setup.exe/data002;Trojan.Fakealert.20721;;
                  data002;F:\;Conteneur comporte des objets infectés;;
                  BestSpywareScanner_Setup.exe;F:\;Conteneur comporte des objets infectés;Quarantaine.;

                  =======================================

                  bref , de l'evolution ?
                  1. juju666 Contributeur sécurité
                    Hello,

                    Au niveau des alertes autorun.inf:

                    ▶ Ouvrir Antivir
                    ▶ Clique sur Configuration
                    ▶ Coche le Mode Expert
                    ▶ Sur le volet droit, clique sur Guard (à chaque fois, tu
                    devras cliquer sur le petit +) >Recherche>action si résultat positif
                    ▶ Décoche Bloquer la fonction d''autodémarrage
                    ▶ Clique sur Accepter, puis sur OK
                    ▶ Tu peux fermer Antivir

                    Aide en images : http://dl.dropbox.com/u/22950063/config_antivir.JPG

                    la suite avec yoda gen hackman :o)

                    .::. Contributeur Sécurité .::.
                    1. dimanche77 Auteur
                      merci !!!
                  2. dimanche77 Auteur
                    Le scan du PC fixe ("l'historique") s'est enfin terminé. Voilà le fichier csv :
                    https://spaces.hightail.com/resolve/download/UnlDTG16TSs1Ujd2Wmc9PQ

                    Et le rapport complet (compressé lol) :
                    https://spaces.hightail.com/resolve/download/UnlDTG0zcVg4NVZjR0E9PQ

                    Merci pour ton aide depuis samedi déjà.

                    Ah au fait (...) une alerte Antivir vient de se déclencher sur le vieux portable bien sûr :
                    C:\Autorun.inf

                    Ca n'a pas de fin ??
                    Bonne nuit ;-\ et à demain
                    2. dimanche77 Auteur
                      Fait ! ;)
                      http://www.cijoint.fr/cjlink.php?file=cj201106/cijeA8R5wT.zip
                      2. dimanche77 Auteur
                        oh c'est pas vrai, c'était un csv que tu voulais ? Comme plus rien n'est relié à une imprimante je n'ai pu imprimer tes instructions... J'ai noté à la main mais j'ai dû louper cette ligne.

                        Ne me dis pas que je dois tout recommencer ?
                        • 1
                        • 2
                        • 3