Decryptage rapport ZHPdiag

Re

oui, je vais le graver sur l'ordi de ma soeur

merci

Re,

tu peux trouver un autre ordi pour le graver ?

Le message d'erreur est un vrai fourre-tout;

Re,

Je n'arrive pas à graver l'image disque depuis mon ordinateur

Cela me met le code erreur suivant : 0x80004005

Re,

OK,

alors, tu graves, tu changes l'ordre du boot pour démarrer sur le CD (en modifiant le Bios)

Tu démarres sur le CD et tu vas voir ce qui se passe pour ControlSet003 (le tuto dit 001 mais il faut regarder 003) sur la valeur Windows.

Normalement, tu dois voir consrv.

Tu redémarres sur le DD (comme d'habitude) et tu viens me dire avant de changer quoi que ce soit.

Re

Oui

je vois bien ControlSet 001, 002 et CurentControlset

Bonjour,

bon, alors, tout ça, c'est ma faute.

Ca ne peut pas marcher comme ça.

Il va falloir passer par un live CD.

Avant, tu ouvres le registre, tu vas sur HKEY_LOCAL_MACHINE\System

Tu vas voir des ControlSet (001 et 002 normalement) et CurrentControlSet

Tu me confirmes que tu vois bien ça.

===

ouvre ce lien :

https://www.malekal.com/zaccess-sur-windows-64-bits-consrv-winsrv/

Tu as un lien de téléchargement vers UltimateBootCd.

Tu le télécharges et tu le graves sur un CD réinscriptible comme indiqué (attention, gravage iso).

Tu regardes la suite du tuto car ça sera la maneuvre à faire.

Il me manque le numéro du Controlset à modifier.

Re

Consrv est toujours là

Bonjour,

quelle modification :

la disparition de consrv au profit de winsrv

dans la valeur Windows de la clé HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems

Bonjour

J'ai fait ce que tu m'as dit. Quelles modifications cela est censé apporter ?

Merci

Re,

on fait une dernière tentative.

Ouvre le Bloc Notes.
Copie le texte ci-dessous (entre les * mais sans les *) avec le texte qui se trouve dans l'espace ci-dessous (copie/colle) :

*****************************

REGEDIT4

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems]
"Windows"=hex(2):25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,\
  32,5c,63,73,72,73,73,2e,65,78,65,20,4f,62,6a,65,63,74,44,69,72,65,63,74,6f,\
  72,79,3d,5c,57,69,6e,64,6f,77,73,20,53,68,61,72,65,64,53,65,63,74,69,6f,6e,\
  3d,31,30,32,34,2c,33,30,37,32,2c,35,31,32,20,57,69,6e,64,6f,77,73,3d,4f,6e,\
  20,53,75,62,53,79,73,74,65,6d,54,79,70,65,3d,57,69,6e,64,6f,77,73,20,53,65,\
  72,76,65,72,44,6c,6c,3d,62,61,73,65,73,72,76,2c,31,20,53,65,72,76,65,72,44,\
  6c,6c,3d,77,69,6e,73,72,76,3a,55,73,65,72,53,65,72,76,65,72,44,6c,6c,49,6e,\
  69,74,69,61,6c,69,7a,61,74,69,6f,6e,2c,33,20,53,65,72,76,65,72,44,6c,6c,3d,\
  77,69,6e,73,72,76,3a,43,6f,6e,53,65,72,76,65,72,44,6c,6c,49,6e,69,74,69,61,\
  6c,69,7a,61,74,69,6f,6e,2c,32,20,50,72,6f,66,69,6c,65,43,6f,6e,74,72,6f,6c,\
  3d,4f,66,66,20,4d,61,78,52,65,71,75,65,73,74,54,68,72,65,61,64,73,3d,31,36,\
  00

*****************************
Clique sur "Fichier", "Enregistrer sous".
Clique sur Bureau (dans la colonne de gauche)
Dans Nom du fichier tu écris fix.reg
Pour Type tu choisis "tous les fichiers" avec le menu déroulant.
Tu cliques sur Enregistrer.
Tu fermes le Bloc-notes

Sur ton bureau, tu double-clique sur l'icône de Fix.reg
Tu acceptes l'avertissement concernant la fusion
Le fix va travailler sans se manifester.
A la fin, tu vas voir un message disant que la fusion est terminée. Tu valides.

Re

Impossible de redemarrer l'ordi, écran bleu avec texte en anglais qui apparait après disparation du logo windows

J'ai du restaurer

Je te souhaine une bonne fin de soirée,

Re,

j'espère que tu as bien mis Combofix sur ton Bureau.

Fais ceci :

Copie ou imprime les instructions avant

Déconnecte toi d'internet et ferme toutes tes applications.

Désactive tes protections (antivirus, parefeu, garde en temps réel de l'antispyware)

Crée un nouveau document texte : clic droit de souris sur le bureau > Nouveau > Document Texte, et copie dedans les lignes suivantes :

Registry::

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems]
"Windows"=hex(2):25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,\
  32,5c,63,73,72,73,73,2e,65,78,65,20,4f,62,6a,65,63,74,44,69,72,65,63,74,6f,\
  72,79,3d,5c,57,69,6e,64,6f,77,73,20,53,68,61,72,65,64,53,65,63,74,69,6f,6e,\
  3d,31,30,32,34,2c,33,30,37,32,2c,35,31,32,20,57,69,6e,64,6f,77,73,3d,4f,6e,\
  20,53,75,62,53,79,73,74,65,6d,54,79,70,65,3d,57,69,6e,64,6f,77,73,20,53,65,\
  72,76,65,72,44,6c,6c,3d,62,61,73,65,73,72,76,2c,31,20,53,65,72,76,65,72,44,\
  6c,6c,3d,77,69,6e,73,72,76,3a,55,73,65,72,53,65,72,76,65,72,44,6c,6c,49,6e,\
  69,74,69,61,6c,69,7a,61,74,69,6f,6e,2c,33,20,53,65,72,76,65,72,44,6c,6c,3d,\
  77,69,6e,73,72,76,3a,43,6f,6e,53,65,72,76,65,72,44,6c,6c,49,6e,69,74,69,61,\
  6c,69,7a,61,74,69,6f,6e,2c,32,20,50,72,6f,66,69,6c,65,43,6f,6e,74,72,6f,6c,\
  3d,4f,66,66,20,4d,61,78,52,65,71,75,65,73,74,54,68,72,65,61,64,73,3d,31,36,\
  00

Enregistre ce fichier sous le nom CFscript

Fait un glisser/déposer de ce fichier CFscript sur le fichier ComboFix.exe

Clique sur le fichier CFscript, maintient le doigt enfoncé et glisse la souris pour que l'icône du CFscrïpt vienne recouvrir l'icône de Combofix. Relache la souris. Combofix va démarrer.

Patiente le temps du scan.Le bureau va disparaître à plusieurs reprises: c'est normal!

Ne touche à rien tant que le scan n'est pas terminé.

Réactive ton parefeu, ton antivirus, la garde de ton antispyware

Une fois le scan achevé, un rapport va s'afficher: poste son contenu.

Vérifie si la clé a été modifié (plus de consvr).

Bonsoir,

Oui, j'ai combofix installé
Que veux tu que je fasse ?

Merci

Bonsoir,

tu as une sauvegarde de tes fichiers personnels ?

Et les sources (ou les moyens de les retrouver) des logiciels que tu as installé après l'achat ?

Si oui, la restauration départ usine est une possibilité.

Mais la solution la plus simple est de modifier le registre (il faut trouver avec quoi).

Tu as Combofix d'installé ?

Si oui, je te ferai faire une manip avec.

Bonsoir,

je me permet de remonter le sujet dans l'espoir que l'on vienne m'aider

merci d'avance

Bonjour,

Dis moi Lyonnais92, est ce que tu penses que faire une restauration d'usine serait une bonne idée. Avant de venir sur le forum et de me faire aider dans un premier temps par Guillaume puis par toi, j'avais essayer de le dégager et fait tout et n'importe quoi. Cela permettrait peut etre de reprendre l'élimination du virus de zero

Sinon j'ai fait un scan avec malwerabite

Voici le rapport

Malwarebytes Anti-Malware 1.60.0.1800
www.malwarebytes.org

Version de la base de données: v2012.01.11.06

Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 9.0.8112.16421
BEN :: BEN-HP [administrateur]

16/01/2012 05:30:22
mbam-log-2012-01-16 (05-30-22).txt

Type d'examen: Examen complet
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 340451
Temps écoulé: 47 minute(s), 4 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 4
C:\Windows\assembly\tmp\U\000000c0.@ (Trojan.Agent) -> Mis en quarantaine et supprimé avec succès.
C:\Windows\assembly\tmp\U\000000cb.@ (Trojan.Agent) -> Mis en quarantaine et supprimé avec succès.
C:\Windows\assembly\tmp\U\000000cf.@ (Trojan.Agent) -> Mis en quarantaine et supprimé avec succès.
C:\Windows\assembly\tmp\U\800000cb.@ (Backdoor.0Access) -> Mis en quarantaine et supprimé avec succès.

Merci d'avance

Re,

essaye de modifier la clé en mode sans échec.

Re,

Impossible de relancer l'ordi en mode normal et en mode sans échec, j'arrive jusqu'au bureau mais 10s plus tard l'ordi redemarre

J'ai restauré l'ordi à un point que j'avais crée avant que l'on commence cette manip

Re,

c'est infernal de ne pas pouvoir avoir une information fiable.

Tu supprimes consrv.dll puis

tu renommes consrv(2).dll en consrv.dll

Tu fais redémarrer l'ordi.

Re

Malheureusement c'est revenu sur consrv.dll

En fait dans C: windows/system32, j'ai 2 fichiers consrv.dll

celui d'origine et celui qu'on a crée consrv(2).dll

C'est normal ?