Windows Vista Recovery

salut tu as fait l option 6 de roguekiller ?

qu'apellestu par mon disuqe dur externe reste infecté ?

il etait branché pour l'option 6 de roguekiller ?

Salut

tu peux fournir les rapports?
Ne les mets pas en docx, heberge directement les fichiers .txt

Rapport RK (1) :

RogueKiller V5.1.9 [29/05/2011] par Tigzy
contact sur https://www.luanagames.com/index.fr.html
mail: tigzyRK<at>gmail<dot>com
Remontees: https://www.luanagames.com/index.fr.html

Systeme d'exploitation: Windows Vista (6.0.6001 Service Pack 1) 32 bits version
Demarrage : Mode normal
Utilisateur: admin [Droits d'admin]
Mode: Recherche -- Date : 29/05/2011 20:06:12

Processus malicieux: 0

Entrees de registre: 0

Fichier HOSTS:
127.0.0.1 localhost
::1 localhost

Termine : << RKreport[3].txt >>
RKreport[1].txt ; RKreport[2].txt ; RKreport[3].txt

Rapport Usb fix (suppression) :
############################## | UsbFix 7.045 | [Suppression]

Utilisateur: admin (Administrateur) # PC-DE-ADMIN [Hewlett-Packard HP Pavilion dv7 Notebook PC]
Mis à jour le 15/05/2011 par TeamXscript
Lancé à 19:39:34 | 29/05/2011
Site Web: http://www.teamxscript.org
Submit your sample: http://www.teamxscript.org/Upload.php
Contact: TeamXscript.ElDesaparecido@gmail.com

CPU: Intel(R) Core(TM)2 Duo CPU P7350 @ 2.00GHz
CPU 2: Intel(R) Core(TM)2 Duo CPU P7350 @ 2.00GHz
Microsoft® Windows Vista(TM) Édition Familiale Premium (6.0.6001 32-Bit) # Service Pack 1
Internet Explorer 8.0.6001.19048

Pare-feu Windows: Activé
RAM -> 3069 Mo
C:\ (%systemdrive%) -> Disque fixe # 224 Go (61 Go libre(s) - 27%) [] # NTFS
D:\ -> Disque fixe # 9 Go (2 Go libre(s) - 18%) [HP_RECOVERY] # NTFS
E:\ -> CD-ROM
F:\ -> CD-ROM
G:\ -> Disque fixe # 466 Go (393 Go libre(s) - 84%) [My Passport] # NTFS

################## | Éléments infectieux |

Supprimé! C:\$RECYCLE.BIN\S-1-5-21-2692589750-4280226949-1803133592-500
Supprimé! C:\$RECYCLE.BIN\S-1-5-21-743751657-4131480-3705837003-1000
Supprimé! C:\$RECYCLE.BIN\S-1-5-21-743751657-4131480-3705837003-500
Supprimé! D:\$RECYCLE.BIN\S-1-5-21-743751657-4131480-3705837003-1000
Supprimé! D:\$RECYCLE.BIN\S-1-5-21-743751657-4131480-3705837003-500
Supprimé! G:\$RECYCLE.BIN\S-1-5-21-1710684118-2757765579-701066157-1000
Supprimé! G:\$RECYCLE.BIN\S-1-5-21-743751657-4131480-3705837003-1000
Non supprimé ! F:\autorun.inf

################## | Registre |

Supprimé! HKLM\software\microsoft\windows nt\currentversion\winlogon|Taskman

################## | Mountpoints2 |

Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\F
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{07cd8dc6-26bc-11de-b22b-001eec7708f6}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{41b0362b-982d-11dd-b85a-001eec7708f6}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{4e158c0d-65e1-11dd-9d5d-001eec7708f6}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{5fecec98-695d-11dd-961d-001eec7708f6}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{a1b02ea9-3f05-11df-8945-001eec7708f6}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{cb1afb9a-2528-11de-aa89-001eec7708f6}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{ec9a8972-89f8-11e0-9cd3-001eec7708f6}

################## | Listing |

[29/05/2011 - 19:40:24 | SHD ] C:\$RECYCLE.BIN
[18/10/2010 - 17:04:46 | D ] C:\5ac4c59d05714aeb52769c
[10/06/2008 - 00:27:26 | N | 74] C:\autoexec.bat
[10/06/2008 - 11:04:54 | SD ] C:\boot
[21/01/2008 - 04:24:42 | RAS | 333203] C:\bootmgr
[18/09/2006 - 23:43:37 | N | 10] C:\config.sys
[02/11/2006 - 15:02:03 | SHD ] C:\Documents and Settings
[29/05/2011 - 19:00:35 | ASH | 3219341312] C:\hiberfil.sys
[01/08/2008 - 09:42:29 | D ] C:\HP
[13/07/2008 - 14:58:32 | D ] C:\Intel
[28/10/2008 - 19:23:05 | N | 0] C:\IO.SYS
[01/08/2008 - 09:42:29 | N | 371] C:\IPH.PH
[06/09/2008 - 16:55:50 | D ] C:\logs
[28/10/2008 - 19:23:05 | N | 0] C:\MSDOS.SYS
[10/06/2008 - 00:37:17 | RD ] C:\MSOCache
[29/05/2011 - 19:00:34 | ASH | 3533123584] C:\pagefile.sys
[21/01/2008 - 04:32:31 | D ] C:\PerfLogs
[29/05/2011 - 18:58:32 | D ] C:\Program Files
[29/05/2011 - 18:58:32 | D ] C:\ProgramData
[28/10/2008 - 19:23:50 | D ] C:\SIERRA
[14/06/2009 - 22:14:51 | N | 268] C:\sqmdata00.sqm
[14/06/2009 - 22:14:51 | N | 244] C:\sqmnoopt00.sqm
[01/08/2008 - 09:41:11 | D ] C:\SwSetup
[27/05/2011 - 19:43:06 | SHD ] C:\System Volume Information
[01/08/2008 - 09:41:11 | D ] C:\System.sav
[13/08/2008 - 23:10:19 | D ] C:\Temp
[29/05/2011 - 19:40:24 | D ] C:\UsbFix
[29/05/2011 - 19:39:34 | A | 3601] C:\UsbFix.txt
[01/08/2008 - 09:39:19 | D ] C:\Users
[29/05/2011 - 18:34:45 | D ] C:\Windows
[29/05/2011 - 19:40:24 | SHD ] D:\$RECYCLE.BIN
[01/08/2008 - 09:39:49 | N | 13] D:\BLOCK.RIN
[13/07/2008 - 15:28:03 | RSD ] D:\boot
[04/10/2006 - 00:02:44 | S | 438328] D:\bootmgr
[26/03/2008 - 17:08:32 | SH | 1089] D:\Desktop.ini
[10/09/2002 - 17:14:28 | N | 8134] D:\Folder.htt
[13/07/2008 - 15:28:39 | D ] D:\HP
[13/08/2008 - 23:10:06 | N | 22] D:\HPCD.sys
[29/05/2011 - 19:38:37 | N | 432] D:\MASTER.LOG
[13/08/2008 - 23:10:06 | D ] D:\PRELOAD
[16/09/2002 - 15:37:48 | N | 181898] D:\protect.chinese hong kong
[16/09/2002 - 15:37:40 | N | 181916] D:\protect.chinese simplified
[16/09/2002 - 15:37:48 | N | 181898] D:\protect.chinese traditional
[27/04/2006 - 17:19:40 | N | 181865] D:\protect.czech
[03/11/2005 - 16:21:26 | N | 181726] D:\protect.danish
[10/09/2002 - 14:56:12 | N | 181605] D:\protect.dutch
[10/09/2002 - 14:50:18 | N | 181651] D:\protect.ed
[22/11/2004 - 16:28:30 | N | 181648] D:\protect.english
[03/11/2005 - 16:20:20 | N | 181673] D:\protect.finnish
[03/11/2005 - 16:19:52 | N | 181736] D:\protect.french
[03/11/2005 - 16:18:10 | N | 181669] D:\protect.german
[23/11/2005 - 16:56:46 | N | 182689] D:\protect.greek
[23/01/2006 - 10:18:00 | N | 182605] D:\protect.hebrew
[28/08/2007 - 15:58:08 | N | 181696] D:\protect.hungarian
[03/11/2005 - 16:17:00 | N | 181554] D:\protect.italian
[19/06/2007 - 16:22:10 | N | 182351] D:\protect.japanese
[24/11/2005 - 12:24:44 | N | 218295] D:\protect.korean
[03/11/2005 - 16:15:12 | N | 181578] D:\protect.norwegian
[25/04/2006 - 15:44:10 | N | 181789] D:\protect.polish
[03/11/2005 - 16:13:12 | N | 181624] D:\protect.portuguese
[27/10/2005 - 20:24:10 | N | 181882] D:\protect.portuguese brazilian
[28/06/2004 - 09:52:46 | N | 211936] D:\protect.russian
[03/11/2005 - 16:11:46 | N | 181586] D:\protect.spanish
[10/09/2002 - 15:15:06 | N | 181602] D:\protect.swedish
[12/08/2003 - 11:37:30 | N | 181783] D:\protect.turkish
[13/08/2008 - 20:13:24 | N | 26] D:\RCBoot.sys
[13/07/2008 - 15:28:02 | RD ] D:\RECOVERY
[13/07/2008 - 15:28:07 | D ] D:\SOURCES
[13/07/2008 - 09:47:33 | SHD ] D:\System Volume Information
[13/07/2008 - 15:28:30 | D ] D:\Tools
[13/07/2008 - 15:28:09 | D ] D:\WINDOWS
[06/05/2010 - 17:21:18 | A | 82] F:\autorun.inf
[09/09/2010 - 00:16:26 | AD ] F:\Extras
[08/09/2010 - 19:51:20 | A | 5054752] F:\Unlock.exe
[08/09/2010 - 19:51:22 | A | 4615456] F:\WD Quick Formatter.exe
[22/06/2010 - 23:13:43 | AD ] F:\WD SmartWare
[29/05/2011 - 19:40:24 | SHD ] G:\$RECYCLE.BIN
[09/09/2010 - 23:16:57 | D ] G:\Extras
[29/05/2011 - 13:28:01 | D ] G:\Popy
[29/05/2011 - 15:23:08 | N | 486912] G:\RogueKiller.exe
[09/09/2010 - 23:16:57 | D ] G:\User Manuals
[08/09/2010 - 19:51:24 | N | 4615456] G:\WD Quick Formatter.exe
[09/09/2010 - 23:17:30 | D ] G:\WD SmartWare
[09/09/2010 - 23:17:02 | D ] G:\WD SmartWare for Mac
[08/09/2010 - 19:51:22 | N | 5553952] G:\WD SmartWare.exe

################## | Vaccin |

C:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)
D:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)
F:\Autorun.inf -> Vaccin créé par Panda USB Vaccine
G:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)

################## | Upload |

Veuillez envoyer le fichier: C:\UsbFix_Upload_Me_PC-DE-ADMIN.zip
http://www.teamxscript.org/Upload.php
Merci de votre contribution.

################## | E.O.F |

toujours pas d'accès à ton DDE ?

Non..

Pour l'ordi déjà, ça te semble bon ?

Alors ensuite, le dossier "recovery manager" qui traîne dans les programmes, kesaco ?

Pour le DDE, j'ai juste utilisé usbfix pour le moment, je dois tester autre chose ? (ou alors je recommence ? d'ailleurs, j'avais débloqué le DDE avant de lancer usbfix, j'ai bien fait ? ^^)

branche ton DDE et repasse roguekiller option 6

Rapport RK (6) :
RogueKiller V5.1.9 [29/05/2011] par Tigzy
contact sur https://www.luanagames.com/index.fr.html
mail: tigzyRK<at>gmail<dot>com
Remontees: https://www.luanagames.com/index.fr.html

Systeme d'exploitation: Windows Vista (6.0.6001 Service Pack 1) 32 bits version
Demarrage : Mode normal
Utilisateur: admin [Droits d'admin]
Mode: Raccourcis RAZ -- Date : 30/05/2011 20:24:46

Processus malicieux: 0

Attributs de fichiers restaures:
Bureau: Success 0 / Fail 0
Lancement rapide: Success 0 / Fail 0
Programmes: Success 0 / Fail 0
Menu demarrer: Success 0 / Fail 0
Dossier utilisateur: Success 15 / Fail 0
Mes documents: Success 0 / Fail 0
Mes favoris: Success 0 / Fail 0
Mes images: Success 0 / Fail 0
Ma musique: Success 0 / Fail 0
Mes videos: Success 0 / Fail 0
Disques locaux: Success 42901 / Fail 0
Sauvegarde: [NOT FOUND]

Termine : << RKreport[5].txt >>
RKreport[1].txt ; RKreport[2].txt ; RKreport[3].txt ; RKreport[4].txt ; RKreport[5].txt

Du coup j'ai récupéré tous mes fichiers sur le DDE, merci.

Est-ce que j'ai encore des choses à faire pour être sûre d'être débarrassée du problème sur le pc + DDE ? (je n'avais supprimé les dossiers windows vista recovery restants après tous les scans que manuellement)

desactive ton antivirus
desactive Windows defender si présent
desactive ton pare-feu

Ferme toutes tes appilications en cours

telecharge et enregistre ceci sur ton bureau :

Pre_Scan

s'il n'est pas sur ton bureau coupe-le de ton dossier telechargements et colle-le sur ton bureau

Avertissement: Il y aura une extinction courte du bureau --> pas de panique.

une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition de "Pre_scan.txt" sur le bureau.

si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

si l'outil semble ne pas avoir fonctionné renomme-le winlogon , ou change son extension en .com ou .scr

Il se peut que l'outil soit un peu long sur la reattribution des fichiers tout depend combien tu en as , laisse-le travailler

Poste Pre_Scan.txt qui apparaitra sur le bureau en fin de scan

▶▶▶ NE LE POSTE PAS SUR LE FORUM (il est trop long)

clique sur ce lien : http://www.cijoint.fr/

▶ Clique sur Parcourir et cherche le fichier ci-dessus.

▶ Clique sur Ouvrir.

▶ Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

est ajouté dans la page.

▶ Copie ce lien dans ta réponse.

Rapport pre_scan :

http://www.cijoint.fr/cjlink.php?file=cj201105/cijeek17eI.txt

Il a tourné avec le DDE branché.

selectionne ce texte sans les lignes :
___________________________________________________
file::
C:\ProgramData\SPL1AD2.tmp
C:\ProgramData\SPL4561.tmp
C:\ProgramData\SPLB57.tmp
C:\ProgramData\SPLD740.tmp
C:\Users\admin\AppData\Local\AtStart.txt
C:\Users\admin\AppData\Local\DSwitch.txt
C:\Users\admin\AppData\Local\FnF4.txt
C:\Users\admin\AppData\Local\QSwitch.txt

folder::
C:\ProgramData\Viewpoint
___________________________________________________

copie-le (ctrl+c) puis lance Pre_Script qui est sur ton bureau

colle dans le document texte qui s'ouvre , puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

poste Pre_Script.txt qui apparaitra à coté de l'executable en fin de travail

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Script ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

¤¤¤¤¤ XP | Vista | Seven - 32/64 bits ¤¤¤¤¤

Utilisateur : admin (Administrateurs)
Ordinateur : PC-DE-ADMIN

Système d'exploitation : Windows Vista (TM) Home Premium (32 bits)
Internet Explorer : 8.0.6001.19048
Mozilla Firefox : 3.6.17 (fr)

Script : 20:40:29

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Supprimé : C:\ProgramData\SPL1AD2.tmp
Supprimé : C:\ProgramData\SPL4561.tmp
Supprimé : C:\ProgramData\SPLB57.tmp
Supprimé : C:\ProgramData\SPLD740.tmp
Supprimé : C:\Users\admin\AppData\Local\AtStart.txt
Supprimé : C:\Users\admin\AppData\Local\DSwitch.txt
Supprimé : C:\Users\admin\AppData\Local\FnF4.txt
Supprimé : C:\Users\admin\AppData\Local\QSwitch.txt

¤

Supprimé : C:\ProgramData\Viewpoint

¤

explorer.exe -> Processus redémarré

Fin : 20:40:30

¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤

fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.

▶ Télécharge ici :

Malwarebytes

▶ Installe le ( choisis bien "francais" ; ne modifie pas les paramètres d'installe ) et mets le à jour .

(NB : Si tu as un message d'erreur t'indiquant qu'il te manque "COMCTL32.OCX" lors de l'installe, alors télécharge le ici : COMCTL32.OCX

▶ Potasses le Tuto pour te familiariser avec le prg :

( cela dit, il est très simple d'utilisation ).

relance malwarebytes en suivant scrupuleusement ces consignes :

! Déconnecte toi et ferme toutes applications en cours !

▶ Lance Malwarebyte's .

Fais un examen dit "Complet" .

▶ Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ).
▶ à la fin tu cliques sur "résultat" .
▶ Vérifie que tous les objets infectés soient validés, puis clique sur " suppression " .

▶ Note : si il faut redémarrer ton PC pour finir le nettoyage, fais le !

▶ Poste le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwarebytes, le dernier en date)

avec

Malwarebytes' Anti-Malware 1.51.0.1200
www.malwarebytes.org

Version de la base de données: 6736

Windows 6.0.6001 Service Pack 1
Internet Explorer 8.0.6001.19048

01/06/2011 07:47:17
mbam-log-2011-06-01 (07-47-17).txt

Type d'examen: Examen complet (C:\|D:\|E:\|F:\|G:\|)
Elément(s) analysé(s): 409419
Temps écoulé: 1 heure(s), 45 minute(s), 39 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 2

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\Windows\System32\rk_quarantine\34004728.exe.vir (Rogue.FakeHDD) -> Quarantined and deleted successfully.
c:\Windows\System32\rk_quarantine\utyutxppbb.exe.vir (Trojan.FakeMS) -> Quarantined and deleted successfully.

bonjour

Télécharge ici :OTL

▶ enregistre le sur ton Bureau.

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...."

sur OTL.exe pour le lancer.

▶ => Configuration

▶Clic sur Analyse.

A la fin du scan, le Bloc-Notes va s'ouvrir avec le rapport (OTL.txt).

Ce fichier est sur ton Bureau (en général C:\Documents and settings\le_nom_de_ta_session\OTL.txt)

▶▶▶ NE LE POSTE PAS SUR LE FORUM (il est trop long)

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/

▶ Clique sur Parcourir et cherche le fichier ci-dessus.

▶ Clique sur Ouvrir.

▶ Clique sur "Cliquez ici pour déposer le fichier".

juste au niveau du bouton , en fin de chargement du fichier , Un lien de cette forme apparaitra :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

▶ Copie ce lien dans ta réponse.

▶▶ Tu feras la meme chose avec le "Extra.txt" qui logiquement sera aussi sur ton bureau.

re

non c'est bon

Okay, au passage est-il normal qu'à l'allumage j'aie 2 messages desktop qui s'ouvrent dans le bloc-notes :

[.ShellClassInfo]
LocalizedResourceName=@%SystemRoot%\system32\shell32.dll,-21787

non c'est un beug dans la reatrribution des fichiers on reglera ca une fois la desinfection finie avant le grand menage final