Infection personal shield pro

J'ai finalement réussi à réinstaller tcpip en suivant ce tuto :
http://www.micro-astuce.com/reseau/protocole-TCP.php

Merci encore pour votre aide, je vais pouvoir ramener son pc à ma soeur ;-)

La connexion est en ethernet.
Suite a ce que j'ai lu sur ce forum, j'ai essaye de passer winsock xp fix....
Reboot...
Et toujours rien !

Pas mieux....
La tentative pour reparer le reseau indique : echec de la demande des parametres tcp/ip de la cxion impossible de continuer.
J'ai essayé de changer les options de filtrage tcpip ( en positionnant a autoriser tous au lieu d'une liste vide) ... Sans succes.

* Cliquez sur Démarrer > Exécuter
* Dans le champ Ouvrir tapez : cmd et appuyez sur Entrée
* Dans la fenêtre qui s'ouvre tapez la commande suivante : netsh int ip reset c:resetlog.txt et appuyez sur Entrée
* Redémarrez votre ordinateur.

Apres cette manip dis moi si ta connection internet fonctionne.
Pour le pare feu desinstalles le en premier et fais la manip.N'oublies pas de redémarrer.

J'ai peut etre repéré un truc :
Le firewall installé est sunbelt personnal fiwall mais je n'ai pas accès au paramétrage car le fichier kpfgui4.exe est introuvable.
De même, je ne peux pas trouver le répertoire d'nstallation du firewall.
Serait- il possible qu'un pgm ait tout verrouillé via le firewall avant de tout cacher ?!
J'ai bien envie de désinstaller (si ca marche car il apparait dans la liste du gestionnaire de config)
Qu'en penses tu ?

Bonjour,
Il me reste effectivementquelques problèmes : impossible de se connecter au net.
Le témoin de connexion me voit connectémais aucune appli ne peut ouvrir de connexion.
Le diagnostic obtenu quand je lance une cxion via msn est que l'adresse ip est invalide. Je tente la réparation et obtiens le code erreur 8007ee7.
Il est impossible de démarrer le fire wall windows et le service de partage de connexion.

Je vois aussi apparaitre une erreur sur le process memcheck.exe dont le propriétaire du pc me dit qu'il est 'normal' ( disons habituel,quoi !)

tu as encore des problemes??

Si oui peut tu les decrires.

Alors, voici le rapport de ZHPFIx :

http://www.cijoint.fr/cjlink.php?file=cj201107/cijrT5ieDW.txt

et j'ai refait un petit scan dans la foulée :

http://www.cijoint.fr/cjlink.php?file=cj201107/cijGV6xSSw.txt

A faire dans l''ordre.

1/ Copie/colle les lignes suivantes et place les dans ZHPFix :
2/Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag)
3/Clique sur l''icone représentant la lettre H (« coller les lignes Helper »)

----------------------------------------------------------
O42 - Logiciel: Loaris Trojan Remover 1.2 - (.Loaris, Inc..) [HKLM] -- {29988DC6-9C4A-49B2-AC86-5C380B29ADB9}_is1
O42 - Logiciel: UpdatePCTuto 2.0 - (.PCtuto.) [HKLM] -- UpdatePCTuto_is1
[HKCU\Software\PCTuto]
[HKLM\Software\PCTuto]
[HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\UpdatePCTuto_is1]
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]:PCTuto
C:\Documents and Settings\MR OKTAY\Application Data\Adobe\plugs
C:\Documents and Settings\MR OKTAY\Application Data\Adobe\shed
R3 - URLSearchHook: (no name) - {472734EA-242A-422b-ADF8-83D1E48CC825} . (...) (No version) -- (.not file.)
O4 - HKLM\..\Run: [LaunchApp] Clé orpheline
O4 - HKLM\..\Run: [IMEKRMIG6.1] . (.Microsoft Corporation - Microsoft Korean IME 2002.) -- C:\WINDOWS\ime\imkr6_1\IMEKRMIG.exe
O4 - HKLM\..\Run: [PCTuto] Clé orpheline
O4 - HKLM\..\Run: [KernelFaultCheck] Clé orpheline
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} . (.Yahoo! Inc. - Yahoo! Toolbar.) -- C:\Program Files\Yahoo!\Companion\Installs\cpn0\yt.dll
O8 - Extra context menu item: Add to Windows &Live Favorites - (.not file.) - http:\\favorites.live.com\quickadd.aspx
[HKCU\Software\Conduit]
[HKLM\Software\Conduit]
O43 - CFD: 12/12/2010 - 18:33:42 - [14184] ----D- C:\Program Files\ConduitEngine
O43 - CFD: 31/07/2011 - 15:36:48 - [683] ----D- C:\Program Files\DAEMON Tools Toolbar
O43 - CFD: 12/12/2010 - 18:33:42 - [25711] ----D- C:\Program Files\uTorrentBar_FR
O43 - CFD: 12/12/2010 - 14:17:14 - [16026] ----D- C:\Documents and Settings\MR OKTAY\Local Settings\Application Data\Conduit
O43 - CFD: 12/12/2010 - 18:33:42 - [34586] ----D- C:\Documents and Settings\MR OKTAY\Local Settings\Application Data\ConduitEngine
O43 - CFD: 12/12/2010 - 18:33:42 - [551668] ----D- C:\Documents and Settings\MR OKTAY\Local Settings\Application Data\uTorrentBar_FR
[HKCU\Software\Conduit]
[HKLM\Software\Conduit]
[HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser]:{32099aac-c132-4136-9e9a-4e364a424e17}
C:\Program Files\ConduitEngine
C:\Program Files\DAEMON Tools Toolbar
C:\Program Files\uTorrentBar_FR
C:\Documents and Settings\MR OKTAY\Local Settings\Application Data\Conduit
C:\Documents and Settings\MR OKTAY\Local Settings\Application Data\ConduitEngine
C:\Documents and Settings\MR OKTAY\Local Settings\Application Data\uTorrentBar_FR
EmptyTemp
FirewallRaz
--------------------------------------------------------

- Clique sur le bouton « GO » pour lancer le nettoyage,
- Copie/colle la totalité du rapport dans ta prochaine réponse

Voilà le diag
http://www.cijoint.fr/cjlink.php?file=cj201107/cijiWU0j3w.txt

On va faire une analyse de ton systéme.

* Télécharge ZHPDiag ( de Nicolas coolman ).
ou
ZHPDiag
ou
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

Ou le lien FTP en secours :
ftp://zebulon.fr/ZHPDiag2.exe

***********************
/!\Utilisateurs de Vista et Windows 7 : Clique droit sur le logo de ZHPDiag.exe, " exécuter en tant qu'Administrateur /!\
* Laisse toi guider lors de l'installation
* Il se lancera automatiquement à la fin de l'installation
* Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
* Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
* Héberge le rapport ZHPDiag.txt sur le site pjjoint.malekal.com ou cijoint.fr ou toofiles puis copie/colle le lien fournit dans ta prochaine réponse sur le forum

http://www.cijoint.fr/cjlink.php?file=cj201107/cijpnLS8vt.txt

c'est mieux là je pense !

Oui.
Le rapport après reboot c'est ça :

TDSSKiller.2.5.13.0_31.07.2011_16.32.12_log.txt

tu as utilisé l'action cure pour tdsskiller??

Si non relances tdsskiller et post le rapport

la log de tdsskiller !!
désolé je suis un peu un boulet !!!
http://www.cijoint.fr/cjlink.php?file=cj201107/cijLDBxB5c.txt

EDit !!

J'ai réussi à "préparer" tdsskiller sur mon pc et à la lancer sur le malade ;-)
Le résultat est un malicieux et un suspect mais pas de fichier de rapport.
Par contre j'ai eu le message suivant :

c:\windows\system32\drivers\sptd.sys - copied to quarantine
\device\Harddisk0\DR0 (rootkit.win32.tdss.tdl4) - will be cured after reboot
\device\Harddisk0\DR0 OK

2 répertoires tdsskiller sont apparus sur C:/ ( un pour la quarantaine, et l'autre qui contient un fichier zip invalide).

Merci encore pour ton aide, mais j'ai 2 pbs :
tdss se plante à l'extraction (tdsskiller.exe introuvable) et ouvre une page bloc notes.
et le pc ne peut plus se connecter à internet donc pour la mise à jour ça va être compliqué !
j'ai tenté un rename en winlogon... sans succès
je vais voir si je peux dézipper tdss sur mon autre ordi...

* Télécharge load_tdsskiller (de Loup Blanc) sur ton Bureau

http://fradesch.perso.cegetel.net/transf/Load_tdsskiller.exe

* Lance load_tdsskiller en faisant un double-clic dessus / Lance par un clic-droit dessus ? Exécuter en temps qu'administrateur
* L'outil va se connecter pour télécharger une copie à jour de TDSSKiller, puis va lancer une analyse
* Lorsque l'outil a terminé son travail d'inspection, si des nuisibles ("Malicious objects") ont été trouvés, vérifier que l'option (Cure) est sélectionnée,
* Si des objects suspects ("Suspicious objects") ont été détectés, sur l'écran de demande de confirmation, modifier l'action à entreprendre et indiquer Quarantine (au lieu de Skip),
* A la fin, il te sera demandé d'appuyer sur une touche, puis le rapport s'affichera automatiquement : copie-colle son contenu dans ta prochaine réponse (C:\tdsskiller\report.txt)

Voici le résultat du pré-script (vu que l'écran de désinstall de daemon toolbar était lancé je l'ai lancée une fois le fichier txt généré... et du coup je me demande si j'ai bien fait !)

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Script | 1.0.2.55 ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

¤¤¤¤¤ XP | Vista | Seven - 32/64 bits ¤¤¤¤¤

Mise à jour : 25/07/2011 | 17.30 Par g3n-h@ckm@n
Utilisateur : MR OKTAY (Administrateurs)
Ordinateur : OKTAY
Système d'exploitation : Microsoft Windows XP (32 bits)
Internet Explorer : 7.0.5730.13
Mozilla Firefox : 3.6.10 (fr)

Switchs possibles :

processes:: | file:: | folder:: | Registry::
Driver:: | replace:: | DNS:: | Command::
attrib:: | txt:: | Host:: | NsLook::
list:: | IP::

Script : 15:33:09

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Programme : DAEMON Tools Toolbar : Désinstalleur trouvé ! -> C:\Program Files\DAEMON Tools Toolbar\uninst.exe
Programme : DAEMON Tools Toolbar : Désinstallation...
Programme : DAEMON Tools Toolbar : Non Désinstallé !
Programme : uTorrentBar_FR : Désinstalleur introuvable !
Programme : ConduitEngine : Désinstalleur introuvable !

¤

Modification du registre effectuéé

¤

Absent : C:\ProgramData\search_result.xml

¤

Absent : C:\Documents and Settings\MR OKTAY\Application Data\Adobe\plugs C:\Documents and Settings\MR OKTAY\Application Data\Adobe\shed
Supprimé : C:\Documents and Settings\MR OKTAY\Application Data\PCtuto
Supprimé : C:\Documents and Settings\MR OKTAY\Application Data\PriceGong
Supprimé : C:\Program Files\PCTuto

¤

Disques externes : 86 Objets réattribués
Disque Local : 7 Objets réattribués
Utilisateurs : 0 Objets réattribués
ProgramFiles : 0 Objets réattribués
Music : 0 Objets réattribués
Pictures : 0 Objets réattribués
Videos : 0 Objets réattribués
Downloads : 0 Objets réattribués
Desktop : 0 Objets réattribués
Links : 0 Objets réattribués
Searches : 0 Objets réattribués
Contacts : 0 Objets réattribués
Saved Games : 0 Objets réattribués
Favorites : 0 Objets réattribués
Documents : 0 Objets réattribués
Windows : 7 Objets réattribués
StartMenu : 0 Objets réattribués
Librairies : 0 Objets réattribués
Quick Launch : 0 Objets réattribués
%AppData% : 2 Objets réattribués

¤

Fin : 15:36:02

fais glisser une icone n'importe quel fichier sur Pre_scan , pre_script va apparaitre

ouvre Pre_script et colle ce qui suit en gras, à l'interieur du texte qui s'ouvre ,
sans les lignes , en une seule fois en le mettant en surbrillance :
___________________________________________________

Uninst::
DAEMON Tools Toolbar
uTorrentBar_FR
ConduitEngine

Registry::
[-HKEY_CURRENT_USER\Software\Loaris]
[-HKEY_CURRENT_USER\Software\PCTuto]

file::
C:\ProgramData\search_result.xml

folder::
C:\Documents and Settings\MR OKTAY\Application Data\Adobe\plugs C:\Documents and Settings\MR OKTAY\Application Data\Adobe\shed
C:\Documents and Settings\MR OKTAY\Application Data\PCtuto
C:\Documents and Settings\MR OKTAY\Application Data\PriceGong
C:\Program Files\PCTuto

attrib::
___________________________________________________

copie-le (ctrl+c ou clique droit sur la selection puis => copier)

puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille

poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail

si ton bureau ne reapparait pas => ctrl+alt+supp , gestionnaire des taches => onglet fichier => nouvelle tache puis tape explorer