Comportement PC suspect

[hyunkel30]

Re,

Tout est possible, c'est quoi le message entier ?

[michel.b01]

Une autre installation est deja en cours, terminez la avant de poursuivre cette installation.
Ca le fait avec msiexec /unregister, et avec le dernier outils que tu m'as demandé de lancer (cat, je crois?)

[hyunkel30]

Re,

Peux-tu me faire ceci s'il te plait :

Relance OTL :

• Ferme toutes tes fenêtres, puis double clique sur OTL.exe pour le lancer.
• Coche en haut la case devant "Tous les utilisateurs"
• Coche "Avec liste Blanche" sous "Registre: approfondi"
• Sous Personnalisation, copie-colle l'ensemble du texte ci-dessous, laisse les autres options par défaut.

Code: [Sélectionner]

netsvcs
msconfig
drivers32
activex
/md5start
explorer.exe
wininit.exe
winlogon.exe
userinit.exe
kernel32.dll
services.exe
msiexec.exe
/md5stop
%SYSTEMDRIVE%\*.exe
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\syswow64\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\syswow64\drivers\*.sys /lockedfiles
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs
CREATERESTOREPOINT

• Clique sur le bouton Analyse en haut à gauche puis patiente quelques instants.
• A la fin du scan, deux rapports s'ouvriront OTL.Txt et Extras.Txt.

• Pour les rapports, merci d'utiliser ce service de rapport en ligne : dépose le fichier via "parcourir" et poste simplement le lien obtenu dans ta réponse.

Une aide à l'utilisation ici

Note : Les rapports sont aussi enregistrés sur le bureau

[michel.b01]

Voila l'OTL...
http://security-x.fr/up/file.php?h=R312ac1caaac2c0d1ce8bbeab34dc15e4

et l'Extras...

http://security-x.fr/up/file.php?h=R17f5669b0d32c3df412430e8dbd83c3c

[hyunkel30]

Re,

Tu as toi-même utilisé des outils ?

[2013/03/18 22:38:50 | 005,162,600 | ---- | C] (ParetoLogic, Inc.) -- I:\Documents and Settings\Michel\Bureau\MSIEXEC Repair-tool.exe

Déjà que c'est un peu le bronx dans ce pc, ce serait bien que tu fasses pas trop de choses de ton côtés sans me le dire
En plus la société éditrice est franchement pas recommandable

C'est quoi le lecteur P: ?
Un disque dur externe ?

Question à côté d'ailleurs ... pourquoi toutes ces partitions / disques sur ce système ?
Pourquoi windows est-il installé sur un disque nommé I: ?

On va nettoyer quelques trucs et voir si cela évolue :

Relance  OTL.exe

• Ferme toutes tes fenêtres, puis double clique sur OTL.exe pour le lancer.

/!\ Attention, utilisateur d'Avast! ou d'autres antivirus, ne lancez pas OTL en mode sandbox /!\

• Copie-colle l'ensemble du texte ci-dessous dans le cadre Personnalisation d'OTL en bas à gauche.

Code: [Sélectionner]


:OTL
DRV - File not found [Kernel | Boot | Stopped] -- system32\ZoneLabs\srescan.sys -- (srescan)
FF - HKLM\Software\MozillaPlugins\@funwebproducts.com/Plugin: I:\Program Files\FunWebProducts\Installr\2.bin\NPFunWeb.dll File not found
O3 - HKU\S-1-5-21-1275210071-616249376-725345543-1003\..\Toolbar\WebBrowser: (no name) - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - No CLSID value found.
O8 - Extra context menu item: Google Sidewiki... - res://I:\Program Files\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_6CE5017F567343CA.dll/cmsidewiki.html File not found
MsConfig - StartUpReg: ZoneAlarm Client - hkey= - key= -  File not found
MsConfig - StartUpReg: ZoneAlarm Installer - hkey= - key= - I:\Program Files\CheckPoint\Install\Launcher.exe (Check Point Software Technologies LTD)
[2013/03/18 22:38:50 | 005,162,600 | ---- | C] (ParetoLogic, Inc.) -- I:\Documents and Settings\Michel\Bureau\MSIEXEC Repair-tool.exe
[2013/03/15 22:15:54 | 000,000,000 | ---D | C] -- I:\Program Files\CheckPoint
[2013/03/15 21:51:07 | 002,398,248 | ---- | C] (Check Point Software Technologies LTD) -- I:\Documents and Settings\Michel\Bureau\zafwSetupWeb_110_000_057.exe
[2013/03/15 21:50:34 | 000,000,000 | ---D | C] -- I:\Documents and Settings\All Users\Application Data\CheckPoint
[2013/03/15 21:50:22 | 002,266,848 | ---- | C] (Check Point Software Technologies LTD) -- I:\Documents and Settings\Michel\Bureau\clean.exe
[2013/03/18 17:25:12 | 000,001,929 | ---- | M] () -- I:\Documents and Settings\Michel\Bureau\Reprendre l'installation de ZoneAlarm Security.lnk
[2012/08/16 19:55:17 | 000,140,827 | ---- | C] () -- I:\WINDOWS\System32\drivers\str.sys.vir
[2013/03/15 22:13:44 | 000,000,000 | ---D | M] -- I:\Documents and Settings\All Users\Application Data\CheckPoint

:Reg
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\ZoneAlarm Free Firewall]

:Files
p:\3b5f42f9105ca38d0410964a\mrtstub.exe
I:\Program Files\FunWebProducts
I:\Program Files\CheckPoint

:Commands
[emptytemp]
[resethosts]



• Puis clique sur le bouton Correction en haut à gauche
• Le pc va redémarrer. (si ce n'est pas le cas, fais-le manuellement)
• Poste le rapport de suppression s'il apparait.

Note :  S'il n'apparait pas, il se trouve ici : C:\_OTL, sous la forme xxxxxxxx_xxxx.log où x sont la date et l'heure

/!\ Ce script est exclusivement réservé à l'utilisateur actuel du sujet, vous ne devez en aucun cas l'utiliser de votre propre chef sur un autre pc, sous risque d'endommager le système /!\

[michel.b01]

Non, non, je n'ai pas utilisé le repair tool. je l'avais juste téléchargé au cazou...
A partir de K, c'est un disque externe oui.
Le I... ben ca c'est fait tout seul suite à une réinstallation, ou sauvegarde y a un bon moment. J'ai essayé de le renommer C, mais ca me plantait d'autres soft... donc j'ai laissé tel quel
Le I ex C est ma partition principale. le reste c'est pour stocker photos, CD et sauvegarde.
LE CD externe, c'est en reformatant le K que je me suis apercu qu'il restait 100Go de non utilisé... d'ou le P
Voila voila voila...
Bon, je relance OTL, et je mets les rapports...

[michel.b01]

Le voila...
http://security-x.fr/up/file.php?h=Rc2c63a8920f4140990a70e9fda1570a4

[hyunkel30]

Re,

Tu avais retiré le disque externe P: ?
Il fallait le laisser, il est infecté apparemment ...

Sinon voit si tu peux supprimer manuellement ceci :
p:\3b5f42f9105ca38d0410964a\mrtstub.exe

Et dis-moi s'il y a d'autres fichiers dans ce dossier plein de chiffres.

[michel.b01]

Non, je n'avais pas retiré le disque.
K M N et P sont sur le même disque externe.
Par contre c'est en regardant l'utilitaire gestion des disques que j'ai vu que j'avais encore 100Go non utilisés dessus.
J'ai créé la partition P et je l'ai formaté la semaine dernière, bien après l'apparition des 1ers symptomes.
et je n'ai rien mis dessus pour le moment.
Je n'ai que 2 répertoires en fichiers cachés auquel je n'accède pas :
RECYCLER et Système volume information.
Je n'ai pas de p:\3b5f42f9105ca38d0410964a\mrtstub.exe

Enfin, je le vois pas, en tout cas
Par contre dans les mises à jours très récentes, il y avait l'outil de suppression des logiciels malveillants windows.
Ca viendrait pas de la???

[hyunkel30]

Re,

Oui cela peut l'être si c'est sur la partition système, mais là avec tes lettres de partout, difficile de savoir ...
Pourquoi on le voit sous p: dans le rapport ...

Bon, laissons tomber.

Tu peux réessayer à présent l'installation, j'ai enlever des clés de regsitre qui pouvaient lancer Windows Installer au démarrage.

[michel.b01]

Bon, j'ai refait le test avec TLD et ca plante toujours avec le même message... désolé

[hyunkel30]

Re,

Je suis désolé, mais là, je ne vois pas ce qui coince, bien qu'à mon avis, ton système doit être un peu déstabiliser suite à l'infection initiale de zeroacces.
Je ne peux rien faire de plus vis à vis du service Windows Installer, on l'a réinstaller deux fois, il semble démarrer et fonctionner normalement.

Comme je disais, possible que ce soit plutôt le plugin qui plante à l'installation que Windows installer

Il faudrait tester avec un autre logiciel utilisant Windows installer.

Celui-ci par exemple qui est en .msi :
http://www.filehippo.com/fr/download_hijackthis/tech/

(en haut à droite pour télécharger)

Si pas d'erreur, Windows installer fonctionne normalement

[michel.b01]

Bon, j'arrive avec un fichier .MSI qui me redirige sur une page windows association de fichier...et c'est tout
En sauvant le fichier sur le bureau, il ne fait visiblement pas le lien avec l'extension msi... la fenetre de choix de programme d'ouverture s'ouvre.
En téléchargeant une version antérieure, j'ai un .exe qui s'exécute sans pb

[hyunkel30]

Re,

Fais ceci s'il te plait :

Télécharge RstAssociations (de Xplode ) sur ton bureau.

• Double-clique sur le fichier pour le lancer.
• Coche la case "msi"
  
• Clique sur "Restaurer"
  
  
• Un fichier bloc-note va s'ouvrir, copie-colle son contenu dans ta prochaine réponse
  
  Note : s'il ne s'ouvre pas, il est ici "C:\RstAssociations.txt"
  
  
• Ferme l'outil.

Réessaye l'installation du premier fichier en .msi

 :AAN

[michel.b01]

voila le résultat...

RstAssociations v1.3 - Rapport créé le 20/03/2013 à 20:58
Mis à jour le 26/05/11 à 16h par Xplode
Système d'exploitation : Microsoft Windows XP (32 bits) [version 5.1.2600] Service Pack 3
Nom d'utilisateur : Michel - PCMBO (Administrateur)
Exécuté depuis : I:\Documents and Settings\Michel\Bureau\rstassociations.scr

¤¤¤¤¤ Restauration ¤¤¤¤¤

-> msi ... association de fichiers restaurée !

¤¤¤¤¤ Résultats ¤¤¤¤¤¤

-> [1 association(s) de fichiers restaurée(s) avec succès]
-> [0 association(s) de fichiers non restaurée(s)]

########## EOF - "I:\RstAssociations.txt" - [653 octets] ##########

Je ne suis plus redirigé sur la fenêtre Windows, mais je retombe sur le même message : impossible d'acceder...etc

[hyunkel30]

Re,

Je ne peux plus rien faire à mon niveau sur un windows XP, il faudrait le réparer et sous xp, c'est pas simple, ton système semble avoir subit des dégâts suite à l'infection par zeroaccess.

Une réinstallation semble la seule solution pour retrouver la stabilité, sinon il faudrait trouver un cd original avec service pack 3 pour tenter des réparations

J'y crois pas trop, mais tu peux aussi tenter l'installation de cette version de windows installer :
http://download.microsoft.com/download/2/6/1/261fca42-22c0-4f91-9451-0e0f2e08356d/WindowsXP-KB942288-v3-x86.exe

[michel.b01]

Bon, je crois que je vais tenter une restauration d'une sauvegarde ancienne.
Il y a donc bien eu infection.
As tu la possibilité de connaitre la date, que je ne réinstalle pas une sauvegarde infectée?

[hyunkel30]

Re,

Non, je ne peux même pas te certifier qu'il y a bien eu une infection, tu en as simplement des symptômes qui pourrait y être lié, sans qu'aucun fichiers identifiable à l'infection ne soit présent
Maintenant peut-être que l'un des nombreux outils que tu avais passé l'avait éradiqué ...

Je ne peux donc pas non plus te donner de date à cause de cela, ni que c'est lié effectivement à une infection ces symptômes de toute manière, ton système peut lui-même avoir des problèmes.

[michel.b01]

bon, je vais faire une sauvegarde de cette conf actuelle et je vais essayer d'en remettre une ancienne.
Encore un grand merci pour ton temps passé

[michel.b01]

Un petit miracle suite à la dernière manip conseillée...
CA MARCHE !!!!!!!!
Ta version d'installer est nickel.
Bon, ca rame toujours, mais je vais voir à l'usage...
Encore merci pour tout