Ordinateur totalement bloqué

Résolu
Tessel75 -  
Bonjour,
Je viens de récupéré l'ordinateur de ma fille qui est tellement infecté que je suis obligé de vous écrire depuis le mien. En effet l'état de cet ordinateur (celui de ma fille) est tel qu'il n'est même pas possible d'ouvrir un site quelconque, à commencer par CCM, parce qu'à peine un navigateur (MozillaFirefox, Google ou Explorer) est-il ouvert qu'une série de renvoi se met en route rendant impossible toute demande dirigée. Je vous remercie de m'aider à nettoyer ce qui est devenu une décharge publique de tous les polluants possibles et imaginables.
Je n'ai évidemment pas pu charger MalwareByte-Antimalware, et en désespoir de cause j'ai activé un truc qui s'appelle "AdvanceSystemProtector" en me disant que si je parviens à balayer un peu de m...., ce sera toujours ça de moins. Mais après ?????
Je compte beaucoup sur vos conseils pour la suite compte tenu de ce fait que je ne peux même pas charger un nettoyeur sur cette bécane.
En vous remerciant beaucoup d'avance.

14 réponses

  2. Tessel75
    Pas de trace de"ezSharedSvc ", je n'ai trouvé où il était caché.
    Quant à RegRun, je n'ai pas compris la manoeuvre indiquée, je l'ai désinstallé avec le désintallateur de Windows.
    Bonne soirée.
    1. fabul Modérateur
      ezSharedSvc ressemble a de la m**** peut être installée d'origine par le fabricant de l'ordinateur.

      Si tu veux, tu peux le virer avec Get it out -> Terminate -> Reboot

      Si tu veux désinstaller RegRun, juste avant , va dans l'onglet Uninstall Partizan puis clic sur Uninstall Partizan.

      Puis clic sur ce fichier .reg https://www.cjoint.com/c/DIwp0hjRA6Y

      (Juste pour être sur qu'il est désinstallé proprement.)

      Mais c'est un bon détecteur de virus et autres m***** , tu peux le garder.

      Enfin, je crois qu'on peux mettre ton sujet en résolu.
      1. Tessel75
        Pas traces de "Shares EasyBits", ni de "EasyBits" dans aucune des partitions du DD
        Pour le reste: Oui, c'est bien. Vitesse de l'internet normale, sans redirection vers des pages parasites, ni d'ouverture intempestive.
        Le plus difficile a été le début quand je ne pouvait même plus accéder à l'internet sans 50 pages qui s'ouvraient en même temps. Plusieurs centaines de chevaux de Troie.
        Merci de ton aide.
        2. fabul Modérateur
          Regarde si tu a Shared EasyBits services dans Désinstallation de programmes.

          Ça "ressemble" a un programme légitime, mais je ne sais pas c'est quoi ou a quoi il sert.

          A part ça, le PC va bien ?
          1. Tessel75
            Le dernier rapport par RegRun Reanimator

            Item Name: ezSharedSvc
            Author:
            Current Setting: C:\Windows\System32\ezSharedSvcHost.exe
            Type: Auto Services

            Je me demanded si je n'ai pas raté qqch
            1. Tessel75
              Le rapport après ZHP_Fix

              Rapport de ZHPFix 2014.9.16.7 par Nicolas Coolman, Update du 16/09/2014
              Fichier d'export Registre :
              Run by Port Navalo at 22/09/2014 14:36:48
              High Elevated Privileges : OK
              Windows 7 Home Premium Edition, 64-bit Service Pack 1 (Build 7601)

              Corbeille vidée (00mn 06s)

              ========== Clés du Registre ==========
              SUPPRIMÉ:³ Service: 892cc6a3
              SUPPRIMÉ:³ HKLM\Software\SupraSavings
              SUPPRIMÉ:³ HKLM\SOFTWARE\Microsoft\Tracing\NewPlayerUpdater_RASAPI32
              SUPPRIMÉ:³ HKLM\SOFTWARE\Microsoft\Tracing\NewPlayerUpdater_RASMANCS
              SUPPRIMÉ:³ HKLM\SOFTWARE\Wow6432Node\Microsoft\Tracing\BrowserSafeguard_RASAPI32
              SUPPRIMÉ:³ HKLM\SOFTWARE\Wow6432Node\Microsoft\Tracing\BrowserSafeguard_RASMANCS
              SUPPRIMÉ:³ HKLM\SYSTEM\CurrentControlSet\Services\892cc6a3
              SUPPRIMÉ: SearchScopes :{D944BB61-2E34-4DBF-A683-47E505C587DC}
              SUPPRIMÉ:³ HKLM\SOFTWARE\Wow6432Node\Microsoft\Tracing\BingBar_RASAPI32
              SUPPRIMÉ:³ HKLM\Software\AD106F7F-AF77-4203-BCBE-0BE123ECBE63

              ========== Valeurs du Registre ==========
              SUPPRIMÉ: Toolbar: {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA}

              ========== Eléments de donnée du Registre ==========
              SUPPRIMÉ: R1 Search Page = http=127.0.0.1:13822;https=127.0.0.1:13822
              ERREUR TCPIP: SearchList = wprod.ds.aphp.fr,ds.aphp.fr,sat.aphp.fr,aphp.fr

              ========== Dossiers ==========
              SUPPRIMÉ: C:\Users\Port Navalo\AppData\Local\{1FDA711E-9B07-4113-97A8-1CF5125E5D7D}
              SUPPRIMÉ: C:\Users\Port Navalo\AppData\Local\{4F36142C-90C2-4ECB-A079-A9F4F40172F7}
              SUPPRIMÉ: C:\Users\Port Navalo\AppData\Local\{50058A13-362F-4B1B-9A5C-C5DBA0F03F39}
              SUPPRIMÉ: C:\Users\Port Navalo\AppData\Local\{651FC63C-A31D-48DA-A46F-C9098B8E783E}
              SUPPRIMÉ: C:\Users\Port Navalo\AppData\Local\{695FD204-EFBF-483D-B417-4E01C339EC87}
              SUPPRIMÉ: C:\Users\Port Navalo\AppData\Local\{6D358C44-1556-4E30-B8A5-8F55CE57FDF7}
              SUPPRIMÉ: C:\Users\Port Navalo\AppData\Local\{75909F23-4CCF-4D75-BAEE-04EB283ED53F}
              SUPPRIMÉ: C:\Users\Port Navalo\AppData\Local\{7E3112D2-7018-4B06-AABE-D34619EEF090}
              SUPPRIMÉ: C:\Users\Port Navalo\AppData\Local\{C9D3BBE1-659E-43B9-841B-EAC30A954562}
              SUPPRIMÉS Temporaires Windows (3)

              ========== Fichiers ==========
              SUPPRIMÉS Temporaires Windows (7) (44 482 octets)

              ========== Tache planifiée ==========
              SUPPRIMÉ: {D4CC4EA6-1DD1-4671-BE6B-16C163EE9B99}

              ========== Restauration Système ==========
              Aucun Point de restauration du système crée

              ========== Récapitulatif ==========
              10 : Clés du Registre
              1 : Valeurs du Registre
              2 : Eléments de donnée du Registre
              10 : Dossiers
              1 : Fichiers
              1 : Tache planifiée
              1 : Restauration Système

              End of clean in 00mn 29s

              ========== Chemin de fichier rapport ==========
              C:\Users\Port Navalo\AppData\Roaming\ZHP\ZHPFix[R1].txt - 22/09/2014 14:36:55 [2641]
              1. fabul Modérateur
                Après redémarrage,

                Télécharge et installe RegRun Reanimator.

                Clic sur "Fix problems".

                Clic sur "Scan windows startup...".

                Coche la case "Use deep level scanning once (For advanced users)".

                Clic sur "Make scan now".

                Clic sur "Fix problems"

                Si il te proposera d'utiliser "RegGuard",clic sur "Non".

                Clic-droit dans le milieu de la fenêtre et choisit "Save to file" pour copier le résultat dans un fichier texte.

                Nomme le 1 (tout court), le .txt sera généré automatiquement

                Clic sur la flèche verte pour passer a l'item suivant, fait comme pour le premier et nomme le 2, et ainsi de suite avec les autres...

                A la fin, clic sur "Exit".

                Poste les résultats.
                1. fabul Modérateur
                  Lance ZHPFix et colle ce script, puis clic sur GO

                  Script ZHPFix
                  SysRestore
                  R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:13822;https=127.0.0.1:13822 =>Hijacker.Proxy
                  O23 - Service: Performance Optimizer (892cc6a3) . (...) - c:\progra~3\perfor~1\PerformanceOptimizerSvc.dll (.not file.) =>PUP.PerformanceOptimizer
                  [MD5.00000000000000000000000000000000] [APT] [{D4CC4EA6-1DD1-4671-BE6B-16C163EE9B99}] (...) -- C:\Users\Port Navalo\AppData\Roaming\webssearches\UninstallManager.exe (.not file.) [0] =>Hijacker.WebsSearches
                  [HKLM\Software\SupraSavings ] =>PUP.SupraSavings
                  O43 - CFD: 22/09/2014 - 00:44:02 - [0] ----D C:\Program Files (x86)\RoyaliShopperAPp =>PUP.RoyalShopperApp
                  O43 - CFD: 22/09/2014 - 00:44:02 - [0] ----D C:\ProgramData\RoyaliShopperAPp =>PUP.RoyalShopperApp
                  O43 - CFD: 22/06/2014 - 17:54:24 - [] ----D C:\Users\Port Navalo\AppData\Local\com
                  HKLM\SOFTWARE\Microsoft\Tracing\NewPlayerUpdater_RASAPI32 =>Adware.NewPlayer
                  HKLM\SOFTWARE\Microsoft\Tracing\NewPlayerUpdater_RASMANCS =>Adware.NewPlayer
                  HKLM\SOFTWARE\Wow6432Node\Microsoft\Tracing\BrowserSafeguard_RASAPI32 =>PUP.BrowserSafeguard
                  HKLM\SOFTWARE\Wow6432Node\Microsoft\Tracing\BrowserSafeguard_RASMANCS =>PUP.BrowserSafeguard
                  SS - | Auto 10/07/1658 0 | (892cc6a3) . (...) - c:\progra~3\perfor~1\PerformanceOptimizerSvc.dll
                  [HKLM\SYSTEM\CurrentControlSet\Services\892cc6a3] =>PUP.PerformanceOptimizer^
                  C:\Program Files (x86)\RoyaliShopperAPp =>PUP.RoyalShopperApp^
                  C:\ProgramData\RoyaliShopperAPp =>PUP.RoyalShopperApp^
                  [HKLM\Software\SupraSavings ] =>PUP.SupraSavings^
                  O3 - Toolbar\WebBrowser: (no name) - [HKCU]{7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} Clé orpheline
                  O69 - SBI: SearchScopes [HKCU] {D944BB61-2E34-4DBF-A683-47E505C587DC} - (eBay) - http://rover.ebay.com
                  HKLM\SOFTWARE\Wow6432Node\Microsoft\Tracing\BingBar_RASAPI32
                  [HKLM\Software\Wow6432Node\Microsoft\Tracing\BingBar_RASAPI32]
                  O17 - HKLM\System\CCS\Services\Tcpip\..\{280ABB43-3FCB-4543-81B6-BCB038CDA4D9}: Domain = wprod.ds.aphp.fr
                  O17 - HKLM\System\CS1\Services\Tcpip\..\{280ABB43-3FCB-4543-81B6-BCB038CDA4D9}: Domain = wprod.ds.aphp.fr
                  O17 - HKLM\System\CS2\Services\Tcpip\..\{280ABB43-3FCB-4543-81B6-BCB038CDA4D9}: Domain = wprod.ds.aphp.fr
                  O17 - HKLM\System\CCS\Services\Tcpip\Parameters: SearchList = wprod.ds.aphp.fr,ds.aphp.fr,sat.aphp.fr,aphp.fr
                  [HKLM\Software\AD106F7F-AF77-4203-BCBE-0BE123ECBE63]
                  O43 - CFD: 22/09/2014 - 02:17:57 - [] ----D C:\Program Files (x86)\AD106F7F-AF77-4203-BCBE-0BE123ECBE63
                  O43 - CFD: 22/09/2014 - 00:51:25 - [] ----D C:\ProgramData\dc7802024b23761f
                  EmptyCLSID
                  EmptyTemp
                  1. Tessel75
                    Ci-dessous le lien pour le rapport ZHP_Diag
                    http://cjoint.com/?3IwourHXC9p
                    1. Tessel75
                      J'ai jeté AdvanceSystemProtector, et de toutes façons je ne l'avais pas utilisé au delà de l'analyse avant paiement.
                      AdwCleaner + MalwareAntibyte + RogueKiller c'est fait.
                      Reste ZHP_Diag, je le lance dès que l'ordi fini de charger des mises à jour.
                      A plus tard..
                      1. fabul Modérateur
                        Et après, Advanced System Protector te demandra de payer pour nettoyer, une arnaque , laisse tomber c'est un rogue...

                        Tu peux télécharger et copier / transférer a partir d'une clé USB ?

                        Télécharge Roguekiller 32 ou 64 bit selon le système: https://www.surlatoile.org/RogueKiller/

                        Utilise le, puis ensuite, nettoie avec Adwcleaner et Malwarebytes.

                        Ensuite ,télécharge ZHPDiag https://nicolascoolman.eu

                        "Rechercher" , "Configurer" , "Complet"

                        Il te donnera un log.

                        Poste le sur Cijoint et donne moi le lien Cijoint: https://www.cjoint.com/
                        1. Tessel75
                          Mille merci pour ta réponse.
                          A l'instant présent, comme je l'ai dit, je fais tourner AdvanceSystemProtector qui était déjà installé et donc n'avait pas besoin d'internet. Pour le moment après 2 heures d'analyses on en est à : 10 infections dans les programmes mémoire + 1078 dans les registres Systèmes + 1560 dans le système de fichiers et Dossiers. Pour dire.
                          Quand ce sera un peu nettoyé, j'espère pouvoir charger les nettoyeurs habituels.
                          Cordialement.

                          Discussions similaires

                          Clavier bloqué qui n'écrit plus : comment le débloquer
                          pomad

                          5 réponses
                          J'aimerais verrouiller mon clavier. Comment faire ?
                          marc

                          20 réponses
                          Comment verrouiller son clavier d'ordinateur
                          Les-Abbesses

                          28 réponses