Security-X

Forum Security-X => Désinfections => Discussion démarrée par: arnoyaya le novembre 16, 2012, 08:51:44

Titre: problème bureau réduit et documents, images supprimés [RESOLU]
Posté par: arnoyaya le novembre 16, 2012, 08:51:44
Bonjour,

Hier, mon mari navigué sur internet quand une dizaine se sont ouvertes. Quand il a eu tout fermé, il s'est retrouvé avec un bureau ne contenant plus que 5 îcones et la perte de dossiers et autres programmes. Cependant, quand on recherche un programme on le retrouve bien dans l'ordi mais vide. De plus, quand on essaye de lancer firefox il nous dit qu'il est en cours d'utilisation et qu'il faut fermer la fenêtre ; impossible de fermer cette soi-disant fenêtre même en redémarrant l'ordi.

C'est un ordi portable de type asus et nous avons windows 7.


Merci de me venir en aide
Titre: Re : problème bureau réduit et documents, images supprimés
Posté par: hyunkel30 le novembre 16, 2012, 10:33:35
Bonjour arnoyaya,

Bienvenu sur Security-X.

Cela ressemble aux symptômes de certaines familles de rogue (faux logiciel de sécurité/optimisation)
On va regarder :

Télécharge OTL (http://oldtimer.geekstogo.com/OTL.exe) (de Old Timer) sur ton bureau.


netsvcs
msconfig
drivers32
activex
/md5start
explorer.exe
wininit.exe
winlogon.exe
userinit.exe
kernel32.dll
services.exe
/md5stop
%SYSTEMDRIVE%\*.exe
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\syswow64\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\syswow64\drivers\*.sys /lockedfiles
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs
CREATERESTOREPOINT


Une aide à l'utilisation ici (http://forum.security-x.fr/cours-et-tutoriels-322/(tutoriel)-impression-d%27ecran-et-hebergement-de-rapport/msg60884/#msg60884)

Note : Les rapports sont aussi enregistrés sur le bureau
Titre: Re : problème bureau réduit et documents, images supprimés
Posté par: arnoyaya le novembre 16, 2012, 12:39:44
http://security-x.fr/up/file.php?h=R7f3b84c08118fbbce62451af3689911d

http://security-x.fr/up/file.php?h=R2daac7759e3e22c09d364d2b1efedcb5
Titre: Re : problème bureau réduit et documents, images supprimés
Posté par: arnoyaya le novembre 16, 2012, 12:43:30
Voilà les 2 rapports
Titre: Re : problème bureau réduit et documents, images supprimés
Posté par: hyunkel30 le novembre 16, 2012, 14:10:34
Re,

Tu as utilisé Roguekiller ?
Citer
[2012/11/15 18:56:27 | 000,000,000 | -H-D | C] -- C:\Users\Asus\Desktop\RK_Quarantine

Si oui, merci de me fournir le rapport (Normalement sur le bureau, nommé RKreport.txt . Ne repasse pas l'outil pour le moment si tu ne trouve pas le rapport !)

à faire ensuite :

1) Désinstalle les programmes suivants dans ta liste des programmes (si présents) :

Note : Si tu rencontres une erreur passe au suivant et poursuis la procédure

- SweetIM for Messenger 3.5 (adware)
- SweetIM Toolbar for Internet Explorer 4.1 (adware)
- Vuze Remote Toolbar (barre d'outil sponsorisée par un adware)

- McAfee Security Scan Plus (inutile)


2) Relance  OTL.exe

(Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")

/!\ Attention, utilisateur d'Avast! ou d'autres antivirus, ne lancez pas OTL en mode sandbox /!\



:OTL
killallprocesses
SRV - [2012/09/05 16:56:44 | 000,234,776 | ---- | M] (McAfee, Inc.) [On_Demand | Stopped] -- C:\Program Files (x86)\McAfee Security Scan\3.0.285\McCHSvc.exe -- (McComponentHostService)
IE - HKLM\..\SearchScopes,DefaultScope = {EEE6C360-6118-11DC-9C72-001320C79847}
IE - HKU\S-1-5-21-457315254-677288291-76239515-1000\..\SearchScopes\{F06EA7B5-5745-4834-AC6E-94022CFFA953}: "URL" = http://search.freecause.com/search?ourmark=4&fr=freecause&ei=utf-8&type=61101&p={searchTerms}
FF - prefs.js..browser.search.defaultthis.engineName: "Web Search"
FF - prefs.js..browser.search.defaulturl: "http://search.conduit.com/ResultsExt.aspx?ctid=CT2504091&SearchSource=3&q={searchTerms}"
FF - prefs.js..extensions.enabledAddons: {636fae0b-69b4-4324-9fea-80fc7fb887dc}:1.300.428
FF - prefs.js..extensions.enabledAddons: {ba14329e-9550-4989-b3f2-9732e92d17cc}:3.16.0.3
FF - prefs.js..extensions.enabledItems: {636fae0b-69b4-4324-9fea-80fc7fb887dc}:1.300.367
FF - prefs.js..extensions.enabledItems: {ba14329e-9550-4989-b3f2-9732e92d17cc}:2.7.2.0
FF - prefs.js..keyword.URL: "http://search.conduit.com/ResultsExt.aspx?ctid=CT2504091&SearchSource=2&q="
FF - HKEY_LOCAL_MACHINE\software\mozilla\Firefox\Extensions\\moovida@spointer.com: C:\Program Files (x86)\Fluendo\Moovida\spointer\extensions\moovida@spointer.com
[2012/11/07 13:42:55 | 000,000,000 | -H-D | M] (Vuze Remote Community Toolbar) -- C:\Users\Asus\AppData\Roaming\mozilla\Firefox\Profiles\9e4sltlp.default\extensions\{ba14329e-9550-4989-b3f2-9732e92d17cc}
[2012/07/21 20:39:11 | 000,553,175 | -H-- | M] () (No name found) -- C:\Users\Asus\AppData\Roaming\mozilla\firefox\profiles\9e4sltlp.default\extensions\{636fae0b-69b4-4324-9fea-80fc7fb887dc}.xpi
[2012/08/21 13:01:58 | 000,000,879 | -H-- | M] () -- C:\Users\Asus\AppData\Roaming\mozilla\firefox\profiles\9e4sltlp.default\searchplugins\conduit.xml
[2012/09/04 15:40:48 | 000,001,734 | -H-- | M] () -- C:\Users\Asus\AppData\Roaming\mozilla\firefox\profiles\9e4sltlp.default\searchplugins\search-the-web.xml
O2 - BHO: (Interest recogniser for Moovida (powered by Spointer)) - {E2A7BD67-0EAF-497f-B05B-748D7BF3C421} - C:\Program Files (x86)\Fluendo\Moovida\spointer\extensions\moovida_air_ie.dll File not found
O3 - HKU\S-1-5-21-457315254-677288291-76239515-1000\..\Toolbar\WebBrowser: (no name) - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - No CLSID value found.
[2012/11/14 08:00:46 | 000,000,000 | ---D | C] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\McAfee Security Scan Plus
[2012/11/15 18:55:40 | 000,259,584 | -H-- | M] () -- C:\ProgramData\dUPZ2UR90Ohs3Q.exe
[2012/11/15 18:42:27 | 000,351,232 | -H-- | M] () -- C:\ProgramData\imWQrvqxMpAM.exe
[2012/10/15 08:54:24 | 000,110,592 | -H-- | C] () -- C:\Users\Asus\0.5582447412458286.exe
[2012/10/07 15:01:51 | 000,102,912 | -H-- | C] () -- C:\Users\Asus\0.5484961982130513.exe
[2012/09/15 19:34:44 | 000,078,336 | -H-- | C] () -- C:\ProgramData\lmwabrje.exe
[2012/09/15 19:32:28 | 000,082,869 | -H-- | C] () -- C:\ProgramData\xjudgvrjszifypu
[2012/05/10 22:08:43 | 000,159,744 | -H-- | C] () -- C:\Users\Asus\AppData\Roaming\mjt0uikj.exe
@Alternate Data Stream - 129 bytes -> C:\ProgramData\Temp:4CF61E54
@Alternate Data Stream - 121 bytes -> C:\ProgramData\Temp:AB689DEA

:Files
C:\Program Files (x86)\McAfee Security Scan
C:\Program Files (x86)\Fluendo

:Commands
[Reboot]



Note :  S'il n'apparait pas, il se trouve ici : C:\_OTL, sous la forme xxxxxxxx_xxxx.log où x sont la date et l'heure

/!\ Ce script est exclusivement réservé à l'utilisateur actuel du sujet, vous ne devez en aucun cas l'utiliser de votre propre chef sur un autre pc, sous risque d'endommager le système /!\


3) Télécharge Unhide (http://www.bleepingcomputer.com/download/unhide/dl/6/) (de Grinler) sur ton bureau.

(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fi25.servimg.com%2Fu%2Ff25%2F11%2F05%2F93%2F83%2Funhide11.png&hash=68e6e35e750cd4e45d00869875e680bc81517f2f)

Titre: Re : problème bureau réduit et documents, images supprimés
Posté par: arnoyaya le novembre 16, 2012, 14:15:27
Non je n'ai pas utilisé roguekiller. J'aibien le logiciel su l'ordi mais pareil que les autres programmes il est vide
Titre: Re : problème bureau réduit et documents, images supprimés
Posté par: hyunkel30 le novembre 16, 2012, 14:44:44
Re,

Pas grave, fais la suite alors.
Titre: Re : problème bureau réduit et documents, images supprimés
Posté par: arnoyaya le novembre 16, 2012, 14:58:57
je ne trouve aucun rapport de suppression
Titre: Re : problème bureau réduit et documents, images supprimés
Posté par: hyunkel30 le novembre 16, 2012, 15:03:50
Re,

Tu as fait les étapes dans l'ordre ?

Tu as supprimé les programmes, lancé OTL avec son script, le pc à redémarré, puis tu as téléchargé l'outil Unhide et tu l'as lancé jusqu’à avoir la fenêtre de validation ?
Titre: Re : problème bureau réduit et documents, images supprimés
Posté par: arnoyaya le novembre 16, 2012, 15:08:10
Oui oui tout dans l'ordre seulement j'ai dû moi-même redémarrer l'ordi. Je viens de terminer et j'ai un rapport de rogue qui s'affiche je vous le met en lien
Titre: Re : problème bureau réduit et documents, images supprimés
Posté par: arnoyaya le novembre 16, 2012, 15:11:08
http://security-x.fr/up/file.php?h=R3e5df641c8049356e433f5454ed9fd9c

http://security-x.fr/up/file.php?h=Rf1007351e48c717bfbd7e8c8968d5ff0

http://security-x.fr/up/file.php?h=R9cece4d1e9bee356225180c314170d8d
Titre: Re : problème bureau réduit et documents, images supprimés
Posté par: hyunkel30 le novembre 16, 2012, 19:33:05
Re,

Attends, je te dis de ne justement pas utilisé Roguekiller et c'est ce que tu as fait ?
C’est toi qui l'a lancé ?

Tu n'as pas un rapport d'otl ici ?
Citer
C:\_OTL, sous la forme xxxxxxxx_xxxx.log où x sont la date et l'heure

Et Unhide il a fonctionné et marqué le message de validation ou non ?
Titre: Re : problème bureau réduit et documents, images supprimés
Posté par: arnoyaya le novembre 17, 2012, 07:33:28
Alors, non je n'ai pas utilisais roguekiller mais en redémarrant l'ordi mon bureau a affiché ces rapports. Je n'ai rien fais !!

Non je ne trouve aucun rapport d'otl sous c:/OTL j'ai uniquement un dossier quand je l'ouvre qui est vide et oui unhide a bien fonctionné et marqué le message de validation.

http://security-x.fr/up/file.php?h=R3f62b52751f8b35785209280a346d820 - rapport unhide
Titre: Re : problème bureau réduit et documents, images supprimés
Posté par: hyunkel30 le novembre 17, 2012, 10:30:16
Re,

RogueKiller ne se lance pas automatiquement, peut-être l'avais-tu lancé la toute première fois et qu'il attendait un redémarrage ...

Si ce n'est pas fait redémarre le pc, et dis-moi si tu as retrouvé ou non ton bureau et les icônes et dossiers.

à faire ensuite aussi :

Relance OTL :


msconfig
%SYSTEMDRIVE%\*.exe
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\syswow64\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\syswow64\drivers\*.sys /lockedfiles
CREATERESTOREPOINT


Une aide à l'utilisation ici (http://forum.security-x.fr/cours-et-tutoriels-322/(tutoriel)-impression-d%27ecran-et-hebergement-de-rapport/msg60884/#msg60884)

Note : Les rapports sont aussi enregistrés sur le bureau
Titre: Re : problème bureau réduit et documents, images supprimés
Posté par: arnoyaya le novembre 17, 2012, 11:02:52
Je viens de redémarrer mon ordi, j'ai bien récupéré mon bureau ; cependant j'ai encore un programme ou dossier en transparence qui se nomme desktop.ini (je ne sais pas ce que c'est.

Je vais maintenant lancer la suite.
Titre: Re : problème bureau réduit et documents, images supprimés
Posté par: arnoyaya le novembre 17, 2012, 11:35:21
voilà les 2 rapports

http://security-x.fr/up/file.php?h=R21ef6ab2b264889797b44901cb74e6d6

http://security-x.fr/up/file.php?h=Rcf2d9757a40ee337bb3702e482dc5cca
Titre: Re : problème bureau réduit et documents, images supprimés
Posté par: hyunkel30 le novembre 17, 2012, 11:51:17
Re,

C'est normal, ce sont des fichiers "légitimement" caché normalement, on remettra le bon affichage après pour qu'il disparaissent.
Ne les touches pas pour le moment.


2) Relance  OTL.exe

(Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")

/!\ Attention, utilisateur d'Avast! ou d'autres antivirus, ne lancez pas OTL en mode sandbox /!\



:OTL
FF - prefs.js..extensions.enabledAddons: {636fae0b-69b4-4324-9fea-80fc7fb887dc}:1.300.428
FF - prefs.js..extensions.enabledAddons: {ba14329e-9550-4989-b3f2-9732e92d17cc}:3.16.0.3
FF - prefs.js..extensions.enabledItems: offerboxffx@offerbox.com:2.2.2613.45
FF - prefs.js..extensions.enabledItems: {636fae0b-69b4-4324-9fea-80fc7fb887dc}:1.300.367
FF - prefs.js..extensions.enabledItems: {ba14329e-9550-4989-b3f2-9732e92d17cc}:2.7.2.0
FF - prefs.js..keyword.URL: "http://search.conduit.com/ResultsExt.aspx?ctid=CT2504091&SearchSource=2&q="
FF - HKEY_LOCAL_MACHINE\software\mozilla\Firefox\Extensions\\moovida@spointer.com: C:\Program Files (x86)\Fluendo\Moovida\spointer\extensions\moovida@spointer.com
[2012/11/07 13:42:55 | 000,000,000 | ---D | M] (Vuze Remote Community Toolbar) -- C:\Users\Asus\AppData\Roaming\mozilla\Firefox\Profiles\9e4sltlp.default\extensions\{ba14329e-9550-4989-b3f2-9732e92d17cc}
[2012/07/21 20:39:11 | 000,553,175 | ---- | M] () (No name found) -- C:\Users\Asus\AppData\Roaming\mozilla\firefox\profiles\9e4sltlp.default\extensions\{636fae0b-69b4-4324-9fea-80fc7fb887dc}.xpi
[2012/08/21 13:01:58 | 000,000,879 | ---- | M] () -- C:\Users\Asus\AppData\Roaming\mozilla\firefox\profiles\9e4sltlp.default\searchplugins\conduit.xml
[2012/09/04 15:40:48 | 000,001,734 | ---- | M] () -- C:\Users\Asus\AppData\Roaming\mozilla\firefox\profiles\9e4sltlp.default\searchplugins\search-the-web.xml
O2 - BHO: (Interest recogniser for Moovida (powered by Spointer)) - {E2A7BD67-0EAF-497f-B05B-748D7BF3C421} - C:\Program Files (x86)\Fluendo\Moovida\spointer\extensions\moovida_air_ie.dll File not found
O3 - HKU\S-1-5-21-457315254-677288291-76239515-1000\..\Toolbar\WebBrowser: (no name) - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - No CLSID value found.
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktop = 1
MsConfig:64bit - StartUpReg: 3L7GqLayaXLuxhj - hkey= - key= -  File not found
MsConfig:64bit - StartUpReg: Setwallpaper - hkey= - key= -  File not found
[2012/11/16 15:03:35 | 000,000,000 | ---D | C] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\McAfee Security Scan Plus
[1 C:\Windows\*.tmp files -> C:\Windows\*.tmp -> ]
[1 C:\Users\Asus\*.tmp files -> C:\Users\Asus\*.tmp -> ]
[2012/11/15 18:55:40 | 000,259,584 | ---- | M] () -- C:\ProgramData\dUPZ2UR90Ohs3Q.exe
[2012/11/15 18:42:27 | 000,351,232 | ---- | M] () -- C:\ProgramData\imWQrvqxMpAM.exe
[2012/11/14 08:00:47 | 000,002,164 | ---- | M] () -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\McAfee Security Scan Plus.lnk
[2012/10/15 08:54:24 | 000,110,592 | ---- | C] () -- C:\Users\Asus\0.5582447412458286.exe
[2012/10/07 15:01:51 | 000,102,912 | ---- | C] () -- C:\Users\Asus\0.5484961982130513.exe
[2012/09/15 19:34:44 | 000,078,336 | ---- | C] () -- C:\ProgramData\lmwabrje.exe
[2012/09/15 19:32:28 | 000,082,869 | ---- | C] () -- C:\ProgramData\xjudgvrjszifypu
[2012/05/10 22:08:43 | 000,159,744 | ---- | C] () -- C:\Users\Asus\AppData\Roaming\mjt0uikj.exe
@Alternate Data Stream - 129 bytes -> C:\ProgramData\Temp:4CF61E54
@Alternate Data Stream - 121 bytes -> C:\ProgramData\Temp:AB689DEA

:Files
C:\Program Files (x86)\Fluendo

:Commands
[emptytemp]



Note :  S'il n'apparait pas, il se trouve ici : C:\_OTL, sous la forme xxxxxxxx_xxxx.log où x sont la date et l'heure

/!\ Ce script est exclusivement réservé à l'utilisateur actuel du sujet, vous ne devez en aucun cas l'utiliser de votre propre chef sur un autre pc, sous risque d'endommager le système /!\
Titre: Re : problème bureau réduit et documents, images supprimés
Posté par: arnoyaya le novembre 17, 2012, 12:28:42
Voilà le rapport

http://security-x.fr/up/file.php?h=Rc821c8e90826d012a98c516466c0f57a
Titre: Re : problème bureau réduit et documents, images supprimés
Posté par: hyunkel30 le novembre 17, 2012, 13:45:04
Re,

OK, deux petits scan pour terminé :

1) Télécharge AdwCleaner (http://general-changelog-team.fr/fr/downloads/viewdownload/20-outils-de-xplode/2-adwcleaner) (de Xplode) sur ton Bureau.




2) Télécharge MalwareByte's Anti-Malware (http://www.inforumatique.fr/site/download/download-82+malwarebytes-anti-malware.php) :

Titre: Re : problème bureau réduit et documents, images supprimés
Posté par: arnoyaya le novembre 17, 2012, 13:57:23
rapport adwcleaner

http://security-x.fr/up/file.php?h=R2d17424024da15af8de3ffbe0cd0852d
Titre: Re : problème bureau réduit et documents, images supprimés
Posté par: hyunkel30 le novembre 17, 2012, 14:29:48
Re,

Ok, j'attends donc le dernier avec Malwarebyte's. ;)
Titre: Re : problème bureau réduit et documents, images supprimés
Posté par: arnoyaya le novembre 17, 2012, 15:10:14
voilà le rapport de malwarebyte's

http://security-x.fr/up/file.php?h=Rd7f88cbef2a3e97fc4bcf1efb9e631da
Titre: Re : problème bureau réduit et documents, images supprimés
Posté par: hyunkel30 le novembre 17, 2012, 18:31:07
Re,

Très bien, on peut conclure alors :

1) Désinstalle AdwCleaner :

(Utilisateur de Vista/Windows 7, clique-droit sur le fichier -> Exécuter en tant qu'administrateur)
[li$i]Dans la fenêtre principal, choisis l'option Désinstaller, et valide avec "Oui"[/li][/list]

2) Relance  OTL.exe
(Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")



Tu peux conserver Malwarebyte's pour des scans occasionnels si tu le souhaites, pense alors à le mettre à jour auparavant. Sinon, désinstalle-le dans ta liste des programmes.

Si les fichiers "transparent" comme desktop.ini sont toujours présent après ce redémarrage, fait ceci :
Clique sur Ordinateur, puis en haut sur Organiser -> Options des dossiers et de recherche puis dans l'onglet Affichage :
Titre: Re : problème bureau réduit et documents, images supprimés
Posté par: arnoyaya le novembre 17, 2012, 21:27:37
sxcu ne s'exècute pas !!
Titre: Re : problème bureau réduit et documents, images supprimés
Posté par: hyunkel30 le novembre 17, 2012, 22:09:41
Re,

Parfois lors du premier lancement, il est un peu long (il va chercher des infos de version)
S'il ne se lance pas au bout d'une ou deux minutes, redémarre le pc et réessaye
Titre: Re : problème bureau réduit et documents, images supprimés
Posté par: arnoyaya le novembre 17, 2012, 22:38:07
ok c'est bon, sxcu c'est bien lancer et j'ai effectué les mises à jour. Si j'ai bien fais avec la purge de restauration système (j'attend ta réponse) alors j'ai terminé.

Dans c'est cas là un grand merci à toi pour ton aide. ;D