Virus: mes programmes ne marchent plus

Bonjour,
Je viens vers vous aujourd'hui parce que j'ai un problème informatique que je tente de régler vainement depuis hier. En fait, j'ai voulu téléchargé une vidéo d'un site qui n'était pas sûr (je n'ai pas été attentif) et un virus s'est installé sur mon ordi, enfin un ensemble de programmes malveillants.
J'ai manuellement enlevé le maximum de fichiers issus de ce téléchargement jusqu'à ce matin même où j'ai supprimé Safe Browsing. Cependant, un problème (assez chiant persiste: je ne peux ouvrir aucun programme excepté Internet. Je voudrais Désinstaller Avast par exemple pour remettre Windows Defender mais je ne peux plus rien désinstaller également. A chaque fois que je lance un jeu ou un logiciel, celui-ci plante ou ne démarre simplement pas ...

Je prends tout aide, et je vous remercie par avance :)

12 réponses

  • Votes
  • Date
  • Date décroissante
Résumé de la discussion

Une infection virale survient après le téléchargement sur un site non sûr, bloquant l’ouverture des programmes et empêchant la désinstallation d’Avast pour revenir à Windows Defender. Parmi les solutions discutées, la restauration système est évoquée, avec vérification des points de restauration disponibles et éventuelle utilisation du point du 29 mai pour revenir à un état antérieur. D'autres échanges orientent vers des outils de désinfection comme FRST et des ressources de Malekal, afin d’effectuer un scan complet et d’obtenir des rapports pour guider la désinfection. Pour finir, une intervention signale que le PC retrouve l’accès Internet après les actions de nettoyage et que le prochain scan est en cours pour confirmer la présence éventuelle de malwares.

Bobot (l’IA à votre service)
  1. Je voulais savoir à quoi sert cette étape, et si je pouvais attendre un peu pour la faire, j'ai eu ma dose pour aujourd'hui.
    Encore merci pour le suivi aujourd'hui ça m'a bien aidé :)
    1. Modérateur
      oui je pense que tu peux, enfin pas une semaine quoi =)
  2. Modérateur
    ok reste plus que le dnsapi.dll patché.

    Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

    Ouvre le bloc-notes : Touche Windows + R,
    Dans le champs "Exécuter", saisir notepad et OK.
    Copie/Colle dedans ce qui suit :

    CreateRestorePoint:
    CloseProcesses:
    BHO: Xapydugiyireg -> {EDB6CC9A-CE88-41EC-a3CB-ED6D138C067D} -> C:\Program Files\Xapydugiyireg\Muzni64.dll => Pas de fichier
    2016-06-12 16:21 - 2016-06-12 16:21 - 00003682 _____ C:\WINDOWS\System32\Tasks\VirusRemover
    2016-06-12 14:12 - 2016-06-12 14:12 - 00000000 ____D C:\Users\Benjamin\AppData\Local\TempTaskUpdateDetection65F43ED7-CD23-4D5F-8689-426E1514C415
    BHO-x32: Xapydugiyireg -> {EDB6CC9A-CE88-41EC-a3CB-ED6D138C067D} -> C:\Program Files\Xapydugiyireg\Muzni.dll => Pas de fichier


    Une fois, le texte collé dans le Bloc-notes,
    Menu "Fichier" puis "Enregistrer sous",
    A gauche, place toi sur le Bureau,
    Dans le champs en bas, nom du fichier mets : fixlist.txt
    Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

    Relance FRST et clique sur le bouton "Corriger / Fix"
    Un redémarrage sera peut-être nécessaire ( pas obligatoire )
    Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.

    Redémarre l'ordinateur.

    Tu peux lancer un DISM

    Clique-droit sur le menu "Démarrer" puis "Invites de commandes (admin)",
    Saisir DISM /Online /Cleanup-image /Restorehealth dans la fenêtre.

    (attention, il y a un espace devant chaque commande commençant par / /Online /Cleanup-image etc)

    Redémarre.

    Clique-droit sur le menu "Démarrer" puis "Invites de commandes (admin)",
    Saisir sfc /scannow dans la fenêtre.

    Ça doit te dire que la protection a détecté des éléments endommagés,
    qu'il faut redémarrer pour pouvoir les corriger. A ce moment, redémarre.

    puis refais un nettoyage RepairDNS.
    et enfin un scan FRST pour checker le dnsapi.dll
    1. Modérateur
      y a du boulot, car beaucoup d'infections différents.
      Ca sent le pack Amonetize.. probablement à la suite d'une tentative de téléchargement de cracks.

      En plus, simple, tu peux Réinitialiser Windows 10.
      Ca va virer toutes les applications dont les pourris.
      Les données sont gardées.

      Sinon voici la procédure à suivre :
      1/

      Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

      Ouvre le bloc-notes : Touche Windows + R,
      Dans le champs "Exécuter", saisir notepad et OK.
      Copie/Colle dedans ce qui suit :

      CreateRestorePoint:
      CloseProcesses:
      HKLM\...\Run: [SpaceSoundPro] => "C:\Program Files\SpaceSoundPro\SpaceSoundPro.exe"
      HKU\S-1-5-21-4054784907-100212130-1135208603-1001\...\Run: [fastweb] => "C:\Program Files (x86)\FastWeb\fastweb.exe"
      HKU\S-1-5-21-4054784907-100212130-1135208603-1001\...\Run: [Bubble Dock] => "C:\Users\Benjamin\AppData\Roaming\Nosibay\Bubble Dock\LBubble Dock.exe" /winstartup
      AutoConfigURL: [S-1-5-21-4054784907-100212130-1135208603-1001] => hxxp://un-stop.info/wpad.dat?691e2930e0c1cdebfca4f9be25bb6a1111353891
      ManualProxies: 0hxxp://un-stop.info/wpad.dat?691e2930e0c1cdebfca4f9be25bb6a1111353891
      R2 05FA00A5-ED0C-49AF-8EE8-5E4BE872DC8F; "C:\Program Files\Xapydugiyireg\Mayugsu.exe" [X]
      S2 Oekeniw; "C:\Users\Benjamin\AppData\Roaming\LedcumGitweux\Aelumleu.exe" -cms [X]
      S2 PCSUService; C:\Program Files (x86)\Accelerer PC\PCSUService.exe [X]
      S2 QifiryplohelebuilderSrv; "C:\Program Files (x86)\Qifiryplohele\QifiryplohelebuilderSrv.html5" {79740E79-A383-47A7-B513-3DF6563D007F} {8C4CE252-7DB2-4F8E-8E76-BAD0E5826A83} [X]
      R2 UivisDeokom; "C:\Program Files\Xapydugiyireg\UivisDeokom.exe" [X]
      R2 Xapydugiyireg Updater; C:\Program Files\Xapydugiyireg\Othopae.exe [X]
      S2 BoxoreService; C:\ProgramData\Boxore\LSP\BoxoreService.exe [1706784 2016-02-27] (Boxore OU) [Fichier non signé]
      R2 zdwfp; C:\WINDOWS\system32\Drivers\zdwfp64.sys [46352 2016-03-04] (zdengine)
      R1 bsdpf64; C:\WINDOWS\system32\Drivers\bsdpf64.sys [27456 2016-06-11] ()
      R1 bsdpr64; C:\WINDOWS\system32\Drivers\bsdpr64.sys [26944 2016-06-11] ()
      2016-06-11 15:43 - 2016-06-11 15:43 - 00003346 _____ C:\WINDOWS\System32\Tasks\{D2EE3BC6-0818-45C6-BBF5-33224D22B869}
      2016-06-11 15:09 - 2016-06-11 14:57 - 00294266 ____N (zdengine) C:\WINDOWS\SysWOW64\trz7B23.tmp
      2016-06-11 15:00 - 2016-06-11 19:52 - 00008976 _____ C:\WINDOWS\SysWOW64\BoxoreServiceOff.ini
      2016-06-11 15:00 - 2016-06-11 19:52 - 00008976 _____ C:\WINDOWS\system32\BoxoreServiceOff.ini
      2016-06-11 14:59 - 2016-03-04 16:13 - 00046352 _____ (zdengine) C:\WINDOWS\system32\Drivers\zdwfp64.sys
      2016-06-11 14:58 - 2016-06-11 14:59 - 00011736 _____ C:\WINDOWS\SysWOW64\zdengineOff.ini
      2016-06-11 14:58 - 2016-06-11 14:59 - 00011736 _____ C:\WINDOWS\system32\zdengineOff.ini
      2016-06-11 14:46 - 2016-06-12 13:07 - 00003346 _____ C:\WINDOWS\System32\Tasks\AdBlock
      2016-06-11 14:46 - 2016-06-11 12:59 - 00304211 _____ ( ) C:\WINDOWS\AdBlock.exe
      2016-06-11 14:45 - 2016-06-11 14:51 - 00000374 _____ C:\WINDOWS\Tasks\PC SpeedUp Service Deactivator.job
      2016-06-11 14:45 - 2016-06-11 14:45 - 00002832 _____ C:\WINDOWS\System32\Tasks\PC SpeedUp Service Deactivator
      2016-06-11 14:45 - 2016-06-11 14:45 - 00000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Accelerer PC
      2016-06-11 14:39 - 2016-06-11 21:20 - 00000000 ____D C:\Users\Benjamin\AppData\Local\3810282D-6C19-47B0-8283-5C6C29A7E108
      2016-06-11 14:39 - 2016-06-11 15:26 - 00000000 ____D C:\Users\Benjamin\AppData\Local\WikiZ
      2016-06-11 14:39 - 2016-06-11 14:39 - 00024496 _____ C:\WINDOWS\System32\Tasks\{047A0B47-790C-7D0F-0E11-7D78090F1108}
      2016-06-11 14:39 - 2016-06-11 14:39 - 00009054 _____ C:\WINDOWS\System32\Tasks\Qifiryplohele Builder
      2016-06-11 14:39 - 2016-06-11 14:39 - 00003688 _____ C:\WINDOWS\System32\Tasks\System Healer Task
      2016-06-11 14:39 - 2016-06-11 14:39 - 00000000 ____D C:\Users\Benjamin\AppData\Local\tuto_monetize_120160611
      2016-06-11 14:39 - 2016-06-11 14:39 - 00000000 ____D C:\ProgramData\3eddfb33-4473-1
      2016-06-11 14:39 - 2016-06-11 14:39 - 00000000 ____D C:\ProgramData\3eddfb33-3fc1-0
      2016-06-11 14:39 - 2016-06-11 14:39 - 00000000 ____D C:\ProgramData\3eddfb33-1693-0
      2016-06-11 14:38 - 2016-06-11 14:38 - 00000000 ____D C:\Users\Benjamin\AppData\Local\csdi_monetize_220160611
      2016-06-11 14:37 - 2016-06-11 14:52 - 00000000 ____D C:\Users\Benjamin\AppData\Roaming\System Healer
      2016-06-11 14:37 - 2016-06-11 14:38 - 00000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\System Healer
      2016-06-11 14:37 - 2016-06-11 14:37 - 00000000 ____D C:\Users\Benjamin\AppData\LocalLow02A8AE08
      2016-06-11 14:37 - 2016-06-11 14:37 - 00000000 ____D C:\Users\Benjamin\AppData\LocalLow000002DFF5E2BEC8
      2016-06-11 14:37 - 2016-06-11 12:54 - 00305876 _____ ( ) C:\WINDOWS\systwin.exe
      2016-06-11 14:36 - 2016-06-11 20:07 - 00000000 ____D C:\Users\Benjamin\AppData\Roaming\Ozaydjic
      2016-06-11 14:36 - 2016-06-11 15:49 - 00000000 ____D C:\Users\Benjamin\AppData\Roaming\Nosibay
      2016-06-11 14:36 - 2016-06-11 14:36 - 00000000 ____D C:\Users\Benjamin\AppData\Roaming\s29ai
      2016-06-11 14:36 - 2016-06-11 14:36 - 00000000 ____D C:\Users\Benjamin\AppData\LocalLow\Company
      2016-06-11 14:36 - 2016-06-11 14:36 - 00000000 ____D C:\Users\Benjamin\AppData\LocalLow\{D2020D47-707D-4E26-B4D9-739C4F4C2E9A}
      2016-06-11 14:36 - 2016-06-11 14:36 - 00000000 ____D C:\Users\Benjamin\AppData\Local\Tempfolder
      2016-06-11 14:35 - 2016-06-11 16:34 - 00000000 ____D C:\Program Files\Xapydugiyireg
      2016-06-11 14:35 - 2016-06-11 15:17 - 00003242 _____ C:\WINDOWS\System32\Tasks\MAXDriverUpdaterRunAtStartup
      2016-06-11 14:35 - 2016-06-11 14:51 - 00000314 _____ C:\WINDOWS\Tasks\MAXDriverUpdater_UPDATES.job
      2016-06-11 14:35 - 2016-06-11 14:35 - 00027456 _____ C:\WINDOWS\system32\Drivers\bsdpf64.sys
      2016-06-11 14:35 - 2016-06-11 14:35 - 00026944 _____ C:\WINDOWS\system32\Drivers\bsdpr64.sys
      2016-06-11 14:35 - 2016-06-11 14:35 - 00003132 _____ C:\WINDOWS\System32\Tasks\MAXDriverUpdater_UPDATES
      2016-06-11 14:35 - 2016-06-11 14:35 - 00000000 ____D C:\Users\Benjamin\AppData\Roaming\vjbk0
      2016-06-11 14:35 - 2016-06-11 14:35 - 00000000 ____D C:\Users\Benjamin\AppData\Roaming\csdimedia
      2016-06-11 14:35 - 2016-06-11 14:35 - 00000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Max Driver Updater
      2016-06-11 14:34 - 2016-06-11 18:45 - 00000000 ____D C:\Users\Benjamin\AppData\Roaming\QgySz
      2016-06-11 14:34 - 2016-06-11 14:34 - 00000000 ____D C:\Users\Benjamin\AppData\Roaming\SpringFiles
      2016-06-11 14:34 - 2016-06-11 14:34 - 00000000 ____D C:\Users\Benjamin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\SpaceSoundPro 1.0
      2016-06-11 14:34 - 2016-06-11 14:34 - 00000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\SrpnFiles
      2016-06-11 14:33 - 2016-06-11 14:33 - 00000000 ____D C:\Users\Benjamin\AppData\Local\Boxore
      2016-06-11 14:33 - 2016-06-11 14:33 - 00000000 ____D C:\ProgramData\Boxore
      2016-06-11 14:33 - 2016-02-27 19:18 - 00304040 _____ (Boxore OU) C:\WINDOWS\SysWOW64\BoxoreService.dll
      2016-06-11 14:31 - 2016-06-11 14:31 - 04456448 _____ C:\Users\Benjamin\Downloads\dirtymasseur-peta-jensen-480p-new-tf5250004.iso
      2016-06-11 12:40 - 2016-06-11 14:36 - 00065344 _____ (Windows (R) Win 7 DDK provider) C:\WINDOWS\system32\Drivers\cherimoya.sys
      2016-05-16 20:26 - 2016-05-16 20:26 - 00533700 _____ C:\Users\Benjamin\Downloads\DS8_108.pdf
      Task: C:\WINDOWS\Tasks\MAXDriverUpdater_UPDATES.job => C:\Program Files (x86)\Max Driver Updater\maxdu.exe <==== ATTENTION
      Task: C:\WINDOWS\Tasks\PC SpeedUp Service Deactivator.job => C:\Program Files (x86)\Accelerer PC\PCSUSD.exe <==== ATTENTION
      Task: {D139F512-28A6-46FB-B52A-16E09F8302B6} - System32\Tasks\PC SpeedUp Service Deactivator => C:\Program Files (x86)\Accelerer PC\PCSUSD.exe <==== ATTENTION
      Task: {DC34C385-0C3E-4AF5-A6F4-79C436664C09} - System32\Tasks\AdBlock => C:\WINDOWS\AdBlock.exe [2016-06-11] (
      Task: {9E1F2E24-65E2-4C10-9496-25C7314BC375} - System32\Tasks\MAXDriverUpdaterRunAtStartup => C:\Program Files (x86)\Max Driver Updater\maxdu.exe <==== ATTENTION
      Task: {15496E1C-FE68-4DAE-A1A6-02BDAF9D7E62} - System32\Tasks\{D2EE3BC6-0818-45C6-BBF5-33224D22B869} => pcalua.exe -a "C:\Users\Benjamin\AppData\Roaming\Nosibay\Bubble Dock\Bubble Dock Uninstall.exe" -c /cpanel=1
      Task: {192757D7-A026-48A9-BFDD-B28B49B34586} - System32\Tasks\VirusRemover => C:\Users\Benjamin\AppData\Local\Temp\VirusRemover.exe [2016-06-11] ( ) <==== ATTENTION
      Task: {20E98491-2D54-43FA-99DD-7D244CB17CD7} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> Pas de fichier <==== ATTENTION
      Task: {29361865-DC12-43B4-AE6B-826E976F102A} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> Pas de fichier <==== ATTENTION
      Task: {3940218A-6AE1-4DEC-8C5E-E01B967C300C} - System32\Tasks\{047A0B47-790C-7D0F-0E11-7D78090F1108} => powershell.exe -nologo -executionpolicy bypass -noninteractive -windowstyle hidden -EncodedCommand IAAgACAAOwA7ACAAIAA7ACAAIAA7ACAAOwAgADsAIAAgADsAIAA7ACAAIAA7ACAAOwAgACQARQByAHIAbwByAEEAYwB0AGkAbwBuAFAAcgBlAGYAZQByAGUAbgBjAGUAPQAiAHMAdABvAHAAIgA7ACQAcwBjAD0AIgBTAGkAbABlAG4AdABsAHkAQwBvAG4AdABpAG4AdQBlACIAOwAkAFcA (l'élément de données a 10008 caractères en plus). <==== ATTENTION
      Task: {4F250B25-D91A-464F-A02E-5AC996A11834} - System32\Tasks\MAXDriverUpdater_UPDATES => C:\Program Files (x86)\Max Driver Updater\maxdu.exe <==== ATTENTION
      Task: {6BF8193C-9675-4AF9-8CD8-AECFE73F8D9A} - System32\Tasks\Qifiryplohele Builder => C:\Program Files (x86)\Qifiryplohele\QifiryplohelebuilderTsk.exe <==== ATTENTION
      Hosts:
      EmptyTemp:
      RemoveProxy:
      Reboot:


      Une fois, le texte collé dans le Bloc-notes,
      Menu "Fichier" puis "Enregistrer sous",
      A gauche, place toi sur le Bureau,
      Dans le champs en bas, nom du fichier mets : fixlist.txt
      Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

      Relance FRST et clique sur le bouton "Corriger / Fix"
      Un redémarrage sera peut-être nécessaire ( pas obligatoire )
      Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.

      Redémarre l'ordinateur.

      2°)
      Remets/Vérifie que tous les serveurs de noms (DNS) sont automatiques. Suis le paragraphe "manuellement" du tutoriel pour réintialiser les DNS PUIS vide ensuite le cache DNS et internet. Ces 3 étapes sont importantes et à faire sinon les publicités vont continuer.

      3°)
      Réinitialise manuellement tes navigateurs :

      4°)
      Passe RepairDNS
      donne le rapport via pjjoint.

      5°)
      MalwareBytes ( durée : environ 40min de scan ):
      ==================================================
      Télécharge et installe MBAM. La version gratuite permet de nettoyer ( décoche bien la proposition d'essai de la version Premium à la fin de l'installation ) :

      Mettre MBAM à jour puis lancer un examen.
      A la fin du scan, clique sur "Supprimer Sélection" en bas à gauche.
      Redémarrer l'ordinateur si nécessaire puis relancer Malwarebytes.
      Vas chercher le rapport dans l'onglet "Historique".

      A gauche "Journal d'analyse", double-clique sur l'examen dans la liste. Puis en bas "Copier dans le presse papier", va sur http://pjjoint.malekal.com/, clique droit "Coller" pour coller le contenu du rapport du scan. Clique sur "Envoyer". Dans un nouveau message ici en réponse, donne le lien pjjoint afin de pouvoir consulter le rapport.

      6°)
      Refais un scan FRST et donne les rapports via pjjoint
      1. Fixlog : http://pjjoint.malekal.com/files.php?id=20160612_o14b10y8h9c11
      2. RepairDNS : http://pjjoint.malekal.com/files.php?id=20160612_y9b7q10e10m12
      1. Modérateur
        Le fichier FRST.txt est vide.
        Tu as bien laissé le scan aller jusqu'au bout ?
      2. Euh oui, j'ai un autre fichier qui s'appelle FRST.txt si c'est ce que tu recherches.
        Internet sur le PC déconne j'envoie au plus vite
      3. Je msuis trompe celui-ci vient de la recherche que j'ai faite
        J'envoie le dernier, ça va pour les deux autres ?
    2. Comme de l'ai déjà dit, je ne peux pas Ouvrir Adwcleaner ... Il est installé, quand je double-clique rien ne se passe, pareil en Exécutant en tant qu'Admin.
      Mais j'ai quand même ça dans le Gestionnaire de Tâches
      1. Je suis en train de faire la procédure FRST, je te tiens au courant.
    3. Modérateur
      ok tente ça

      Voici les étapes de la procédure à suivre :

      1°) AdwCleaner
      Suis le tutoriel AdwCleaner d'Xplode
      • Télécharge le sur ton Bureau ou dans ton dossier des téléchargements,
      • Lance "AdwCleaner" et clique sur [Scanner],
      • L'analyse va durer plusieurs minutes, patiente,
      • Une fois le scan terminé, ne décoche rien, clique sur [Nettoyer],
      • Une fois le nettoyage terminé, un rapport va s'ouvrir,
      • Copie/colle le contenu du rapport dans ta prochaine réponse.


      Si le copié/collé ne fonctionne pas, utilise le site http://pjjoint.malekal.com/ pour héberger ton rapport, donne le lien du rapport dans un nouveau message.

      Note : Le rapport est également sauvegardé sous C:\AdwCleaner[S1].txt

      2°) FRST
      Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).

      Télécharge et lance le scan FRST, 3 rapports FRST seront générés :
      • FRST.txt
      • Shortcut.txt
      • Additionnal.txt


      Envoie ces 3 rapports sur le site http://pjjoint.malekal.com/ et en retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

      1. Je reprends le fil, mais c'est toujours Bethmale :)
        Voilà ce que donne la restauration système

        Je ne sais pas quoi faire .... J'ai essayé de nettoyer via Adwcleaner mais il ne s'ouvre même plus.
        1. J'ai un point de restauration le 29 Mai créé par Windows. Le dernier date de ce matin quand j'ai désinstallé Java, c'est donc trop tard.
          Je dois lancer la restauration système d'après toi?
          1. Modérateur
            Salut,

            Est-ce qu'une restauration du système avant les problèmes est possible ?
            Regarde si tu as un point de restauration.
            => restauration du système.
            1. Je suis censé créé un point de restauration ou en utiliser un existant ?
            2. Contributeur
              @BethmaleSalut,
              non tu utilise un point de restauration existant (le dernier bon )
              donc celui du 29 Mai