Impossible de démarrer windows

nadyyyyy -  
Bonsoir à toute et à tous,

je vous prie de bien vouloir m'aider ne serai-ce que par un conseil, j'ai une unité ( celle d'une amie qui ne mets pas son antivirus à jour régulièrement :P ) elle est bien infectée de virus au point ou elle ne démarre plus sous windows, j'arrive seulement à entrer dans le mode sans échec, qu'est ce que je peux faire ?! j'aimerai sauvegarder les documents s'ils ne sont pas infectés... est ce qu'il faut que je la passe à un technicien carrément !

Merci d'avance pour votre aide
Configuration: Windows XP
Firefox 3.5.7

4 réponses

  1.  choubaka Modérateur
    Salut

    si tu accèdes au mode sans échec, pas de problème. Tu peux sauvegarder tes données sur un disque externe par exemple. Il faudra veiller à scanner les données par un antivirus à jour avant de les réinsérer dans un pc sain.
    1. dédétraqué Contributeur sécurité
      Salut nadyyyyy

      Si plus d'internet faudra mettre sur le bureau du PC malade via clé USB ou autre.

      Télécharge combofix.exe (de sUBs) sur le bureau :

      Faire un clic droit sur ce lien :

      http://download.bleepingcomputer.com/sUBs/ComboFix.exe

      Pour Internet Explorer

      - Choisi Enregistrer la cible sous ...

      Pour Firefox

      - Choisi Enregistrer la cible du lien sous...

      - Choisi le bureau comme lieu d'enregistrement

      - Donne lui ce nom bibite.exe clique sur Enregistrer

      Double clique sur bibite.exe sur le bureau du PC malade, clique sur OUI et valide par Entrée

      Lorsque le scan sera complété, un rapport apparaîtra. Copie/colle ce rapport dans ta prochaine réponse.

      NOTE : Le rapport se trouve également ici : C:\Combofix.txt

      Combofix est détecté par certains antivirus comme une infection, ne pas en tenir compte, il s'agit d'un faux positif, continue la procédure

      @++ :)
      1. nadyyyyy
        Merci pour votre réponse à tous les deux,

        combofix à besoin de créer un point de restauration avec prise en charge internet ( ce qui n'est pas le cas avec le mode sans echec ) comment faire surtout que ce matériel est très dangereux si je fais des erreurs !
      2. nadyyyyy
        salut j'ai fait quand même le scan combofix en acceptant de faire le point de restauration sans connexion et je l'ai laissé faire l'analyse. voilà le rapport

        ComboFix 10-01-04.01 - Administrateur 10/01/2010 20:05:55.1.1 - x86 MINIMAL
        Microsoft Windows XP Professionnel 5.1.2600.2.1252.33.1036.18.895.756 [GMT 1:00]
        Lancé depuis: c:\documents and settings\Administrateur\Bureau\bibite.exe

        AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !!
        .

        (((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
        .

        c:\windows\system32\msconfig.exe
        D:\autorun.inf
        D:\logoneui.exe
        D:\zPharaoh.exe
        E:\Autorun.inf
        E:\cb.exe
        E:\logoneui.exe
        E:\zPharaoh.exe
        F:\Autorun.inf
        F:\cb.exe
        F:\logoneui.exe
        F:\zPharaoh.exe

        .
        ((((((((((((((((((((((((((((( Fichiers créés du 2009-12-10 au 2010-01-10 ))))))))))))))))))))))))))))))))))))
        .

        2010-01-10 18:36 . 2001-08-23 16:04 12288 ----a-w- c:\windows\system32\drivers\mouhid.sys
        2010-01-10 18:36 . 2001-08-17 21:02 9600 ----a-w- c:\windows\system32\drivers\hidusb.sys

        .
        (((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
        .
        2010-01-10 18:36 . 2010-01-03 10:34 90112 ----a-w- c:\windows\DUMP538e.tmp
        2010-01-03 10:17 . 2010-01-03 09:58 -------- d-----w- c:\documents and settings\Administrateur\Application Data\uTorrent
        2010-01-03 10:06 . 2010-01-03 10:06 -------- d-----w- c:\program files\Nouveau dossier
        2010-01-03 10:04 . 2002-08-30 14:00 63950 ----a-w- c:\windows\system32\perfc00C.dat
        2010-01-03 10:04 . 2002-08-30 14:00 439070 ----a-w- c:\windows\system32\perfh00C.dat
        2010-01-03 09:58 . 2010-01-03 09:58 -------- d-----w- c:\program files\Taskix
        2010-01-03 09:58 . 2010-01-03 09:58 -------- d-----w- c:\program files\TransBar
        2010-01-03 09:58 . 2010-01-03 09:58 -------- d-----w- c:\program files\VisualTaskTips
        2010-01-03 09:58 . 2010-01-03 09:58 -------- d-----w- c:\program files\LClock
        2010-01-03 09:58 . 2010-01-03 09:58 -------- d-----w- c:\program files\VistaDriveStatus
        2010-01-03 09:58 . 2010-01-03 09:58 -------- d-----w- c:\program files\FastStone Capture
        2010-01-03 09:58 . 2010-01-03 09:58 -------- d-----w- c:\program files\IrfanView
        2010-01-03 09:58 . 2010-01-03 09:58 -------- d-----w- c:\program files\uTorrent
        2010-01-03 09:58 . 2010-01-03 09:58 -------- d-----w- c:\program files\TUGZip
        2010-01-03 09:48 . 2010-01-03 09:48 -------- d-----w- c:\program files\WPI
        2010-01-03 09:44 . 2010-01-03 09:44 21892 ----a-w- c:\windows\system32\emptyregdb.dat
        2010-01-03 09:44 . 2010-01-03 09:43 -------- d-----w- c:\program files\Notepad++
        2010-01-03 09:43 . 2010-01-03 09:43 -------- d-----w- c:\program files\Unlocker
        2010-01-03 09:43 . 2010-01-03 09:43 -------- d-----w- c:\program files\Paint.NET
        2010-01-03 09:43 . 2010-01-03 09:43 -------- d-----w- c:\program files\Windows Trust
        2007-10-26 06:17 . 2010-01-03 09:58 66408 ----a-w- c:\program files\mozilla firefox\components\jar50.dll
        2007-10-26 06:17 . 2010-01-03 09:58 54112 ----a-w- c:\program files\mozilla firefox\components\jsd3250.dll
        2007-10-26 06:17 . 2010-01-03 09:58 34688 ----a-w- c:\program files\mozilla firefox\components\myspell.dll
        2007-10-26 06:17 . 2010-01-03 09:58 46456 ----a-w- c:\program files\mozilla firefox\components\spellchk.dll
        2007-10-26 06:17 . 2010-01-03 09:58 171880 ----a-w- c:\program files\mozilla firefox\components\xpinstal.dll
        .

        ------- Sigcheck -------

        [-] 2007-11-18 . BB4D3A8E6F7EB1D370BC4AD27AB23368 . 360576 . . [5.1.2600.2892] . . c:\windows\system32\drivers\tcpip.sys

        [-] 2007-11-18 . F75F1A6D307F39239CC9E29989291AC2 . 2323968 . . [5.1.2600.3093] . . c:\windows\system32\ntoskrnl.exe

        [-] 2007-11-18 . 39AD2A0B2E445C2A9E2E48ADBD03058F . 636416 . . [5.1.2600.3099] . . c:\windows\system32\user32.dll

        [-] 2007-11-18 . 7A0ADBFEC6AB00F73EDD829FF1709F0B . 1016832 . . [6.00.2900.3156] . . c:\windows\explorer.exe

        [-] 2007-11-18 . 90B1452213C586D75617AD2BC58EE052 . 1548288 . . [5.1.2600.2180] . . c:\windows\system32\sfcfiles.dll

        [-] 2007-11-18 . 2455CF6CCA7BDF1E47FCB17FA46022C1 . 2201216 . . [5.1.2600.3093] . . c:\windows\system32\ntkrnlpa.exe

        c:\windows\System32\wuauclt.exe ... manque !!
        c:\windows\System32\wscntfy.exe ... manque !!
        .
        ((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))
        .
        .
        *Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés
        REGEDIT4

        [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
        "TransBar"="c:\program files\TransBar\TransBar.exe" [2005-06-01 65536]

        [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
        "Vistadrv"="c:\program files\VistaDriveStatus\vsdrv.exe" [2006-07-30 121089]
        "VisualTaskTips"="c:\program files\VisualTaskTips\VisualTaskTips.exe" [2007-09-05 36352]
        "LClock"="c:\program files\LClock\LClock.exe" [2004-09-19 65536]
        "Taskix"="c:\program files\Taskix\Taskix32.exe" [2007-01-25 65536]

        [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
        "ShowDeskFix"="shell32" [X]

        [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
        "SynchronousMachineGroupPolicy"= 0 (0x0)
        "SynchronousUserGroupPolicy"= 0 (0x0)

        [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]
        "NoResolveTrack"= 1 (0x1)
        "HideRunAsVerb"= 1 (0x1)

        [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
        "NoSMHelp"= 1 (0x1)
        "NoResolveTrack"= 1 (0x1)
        "NoSMBalloonTip"= 1 (0x1)
        "NoSMConfigurePrograms"= 1 (0x1)
        "NoStrCmpLogical"= 0 (0x0)
        "NoWelcomeScreen"= 1 (0x1)

        [HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer]
        "NoSMHelp"= 1 (0x1)
        "ForceClassicControlPanel"= 1 (0x1)
        "NoResolveTrack"= 1 (0x1)
        "NoSMBalloonTip"= 1 (0x1)
        "NoSMConfigurePrograms"= 1 (0x1)
        "NoStrCmpLogical"= 0 (0x0)
        "NoWelcomeScreen"= 1 (0x1)

        [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
        "EnableFirewall"= 0 (0x0)
        "DisableUnicastResponsesToMulticastBroadcast"= 0 (0x0)

        [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
        "%windir%\\system32\\sessmgr.exe"=

        [COLOR=RED]NETSVCS DOIT ÊTRE RÉPARÉ - liste des éléments présents/COLOR
        6to4
        AppMgmt
        AudioSrv
        Browser
        CryptSvc
        DMServer
        DHCP
        EventSystem
        FastUserSwitchingCompatibility
        HidServ
        Ias
        Iprip
        Irmon
        LanmanServer
        LanmanWorkstation
        Netman
        Nla
        Ntmssvc
        NWCWorkstation
        Nwsapagent
        Rasauto
        Rasman
        Remoteaccess
        Schedule
        Seclogon
        SENS
        Sharedaccess
        SRService
        Tapisrv
        Themes
        W32Time
        WZCSVC
        Wmi
        WmdmPmSp
        winmgmt
        xmlprov
        BITS
        ShellHWDetection
        WmdmPmSN

        HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs

        .
        .
        ------- Examen supplémentaire -------
        .
        uStart Page = hxxp://www.google.com/
        mStart Page = hxxp://www.google.com/
        ucustomizesearch = hxxp://www.google.com/ie
        usearchassistant = hxxp://www.google.com/ie
        FF - ProfilePath -
        .

        **************************************************************************

        catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
        Rootkit scan 2010-01-10 20:08
        Windows 5.1.2600 Service Pack 2 NTFS

        Recherche de processus cachés ...

        Recherche d'éléments en démarrage automatique cachés ...

        Recherche de fichiers cachés ...

        Scan terminé avec succès
        Fichiers cachés: 0

        **************************************************************************
        .
        --------------------- DLLs chargées dans les processus actifs ---------------------

        - - - - - - - > 'winlogon.exe'(224)
        c:\windows\system32\SETUPAPI.dll

        - - - - - - - > 'lsass.exe'(280)
        c:\windows\system32\SETUPAPI.dll
        .
        Heure de fin: 2010-01-10 20:09:49
        ComboFix-quarantined-files.txt 2010-01-10 19:09

        Avant-CF: 39 221 534 720 octets libres
        Après-CF: 39 201 366 016 octets libres

        - - End Of File - - 663C978293239102721AD10A23789FE0
    2. dédétraqué Contributeur sécurité
      Salut nadyyyyy

      j'aimerai sauvegarder les documents s'ils ne sont pas infectés
      Tes documents ne sont pas infectés, tu peux procédé a une sauvegarde de tes document.

      Tes lecteurs D:\, E:\ et F:\ sont détectés comme infectés, une réinstallation de Windows va obligatoirement réinfecté le PC.

      Télécharge et installe UsbFix par Chiquitine29
      http://pagesperso-orange.fr/NosTools/Chiquitine29/UsbFix.exe

      (!) Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d'avoir été infectées sans les ouvrir.

      • Double clic sur le raccourci UsbFix présent sur ton bureau .

      • Au menu principal choisis l'option " F " pour français et tape sur [entrée] .

      • Au second menu Choisis l'option " 2 " ( Suppression ) et tape sur [entrée]
      -- > Si tu est encore en MSE choisi l'option " 4 " ( Suppression MSE )

      • Ton bureau disparaîtra et le pc redémarrera.

      • Au redémarrage, UsbFix scannera ton PC, laisse travailler l'outil.

      • Ensuite poste le rapport UsbFix.txt qui apparaîtra avec le bureau.

      • Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque.( C:\UsbFix.txt )

      ( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

      Note2 : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.
      Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.
      Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

      • Tuto : http://pagesperso-orange.fr/NosTools/usbfix.html

      @++ :)
      1. nadyyyyy
        Bonjour dédétraqué,

        si ce message passe c'est que le rapport est trop volumineux il ne passe pas après quatre tentatives d'envoi !! comment faire !

        j'ai fait le scan usbfix j'ai arrêté l'ordi sans fermer la fenêtre d'usbfix j'espère que ce n'est pas grave !!

        le scan à généré un dossier zip uploadme sur le bureau et avira l'a détecté comme virus !

        les documents sur l'ordi infecté sont sans sigle W on dirait qu'ils sont perdus :(
    3. dédétraqué Contributeur sécurité
      Salut nadyyyyy

      Télécharge Dr.Web CureIt! sur le Bureau :
      ftp://ftp.drweb.com/pub/drweb/cureit/drweb-cureit.exe

      - Double clique sur l'icône de drweb-cureit.exe sur le bureau et clique sur Commencer le scan.
      - Si des infections sont trouvées après ce scan rapide, clique sur le bouton Oui pour Tout.
      - Après ce scan rapide, sélectionnez Analyse complète et clique sur la flèche verte à droite.
      - Le scan du PC va débuter, le scan peut-être très très long.
      - Si une infection sont trouvée, clique sur le bouton Oui pour Tout.
      - A la fin du scan, si des infections sont trouvées, clique sur Tout sélectionner, puis sur Désinfecter. Si la désinfection est impossible, clique sur Quarantaine.
      - Au menu principal de l'outil, en haut à gauche, clique sur le menu Fichier et choisissez Enregistrer le rapport.
      - Sauvegarde le rapport sur votre Bureau. Ce dernier se nommera DrWeb.csv.
      - Ferme Dr.Web CureIt!
      - Redémarre ton PC (très important) car certains fichiers peuvent être déplacés/réparés au redémarrage.
      - Suite au redémarrage, poste (Copie/Colle) le contenu du rapport de l'outil Dr.Web dans ta prochaine réponse.

      @++ :)
      1. nadyyyyy
        Bonjour Dédétraqué,

        le rapport est trop volumineux 3,60 Mo il ne passe pas sur Cjoint comment faire pour le poster ?!

        pour l'ordi l'office à complètement disparu, et après l'avoir redémarré il s'est mis à ouvrir des documents notepad tout seul sans que je le touche !!
      2. nadyyyyy
        Bonjour Dédétraqué;

        le rapport USBfix sur cijoint.fr

        http://www.cijoint.fr/cjlink.php?file=cj201001/cijWJ1Xs06.txt