Rootkit :(

[Christtr]

Bonjour à tous,

Ayant récupéré un portable en dépannage après que le mien ait eu un coup de foudre... J'ai demandé à une amie de vérifier s'il n'était pas infecté car des pubs assez envahissantes etc.

De fait, AdwCleaner a eu du boulot ! (le rapport reste dans un coin si vous en aviez besoin) Mais comme un certain nombre de logiciels n'était pas à jour dont l'antivirus (Avira à ce moment), l'amie a installé Avast et un scan complet a trouvé... un rootkit 
Avast a proposé un re-démarrage pour attaquer la bête au démarrage et là, plus de connexion internet donc plus de coup de mains puisque celui-ci s'effectue par TeamViewer comme vous le verrez forcément.

Je suis resté 24 h sans connexion jusqu'à ce qu'on puisse me la remettre en direct et donc, plutôt que de relancer un scan d'Avast qui pourrait avoir les mêmes suites... Pourriez-vous me dire ce qu'il reste à faire pour sécuriser ce pauvre portable ?

Merci d'avance  !

Christtr

[hyunkel30]

  Bonsoir Christtr,

Bienvenue sur Security-X,

On va regarder un peu tout cela, en faisant un premier diagnostic, pas d'inquiétude, cela ne touche à rien sur le système pour le moment :

Télécharge Farbar Recovery Scan Tool (de Farbar) sur ton Bureau.

Attention: Tu dois lancer la version compatible avec ton système : 32 ou  64bits.

Sous IE9 ou IE10, le filtre SmartScreen déclenche une alerte. Cliquer sur Actions puis sur Exécuter quand même

• Double-clique sur l'outil pour le lancer. Quand l'outil se lance, clique sur Yes pour accepter le disclamer.
  
• Clique sur le bouton  Scan.
  
• L'outil va créer un rapport nommé FRST.txt, enregistré dans le même dossier que l'outil.
  
• A son premier lancement, l'outil va aussi créer un fichier nommé Addition.txt).

Poste les deux rapports générés.

• Pour les rapports, merci d'utiliser ce service de rapport en ligne : dépose le fichier via "parcourir" et poste simplement le lien obtenu dans ta réponse.
  Une aide à l'utilisation ici
  
   

[Christtr]

Merci Hyunkel !

Bon le 1er rapport : http://up.security-x.fr/file.php?h=R414af3d38b2837cad0cff54f77ac1cbd
et addition : http://up.security-x.fr/file.php?h=R5bdf7639eddea76df411c7c6b2b2413a

 

[hyunkel30]

Re,

Y'a encore du monde sur ce pc ...

Tu pourras me fournir l'alerte d'avast! concernant le rootkit ? (fichier et emplacement ciblé)


1) Désinstalle les programmes suivants dans ta liste des programmes (si présents) :

Note : Si tu rencontres une erreur passe au suivant et poursuis la procédure

- Auslogics BoostSpeed (pas ou peu utile)
- Driver Magician 3.68 (inutile, généralement purement commercial)

- FindRight (adware : logiciel publicitaire)
- Re-markit (idem)



/!\ Crée un point de restauration manuel avant d'appliquer le correctif - Tutoriel en images /!\

• Ouvre le Bloc-notes (Démarrer => Tous les programmes => Accessoires => Bloc-notes)
  
• Copie/colle la totalité du contenu de la zone Code ci-dessous dans le Bloc-notes
  
  

Code: [Sélectionner]

start
() C:\Program Files\Re-markit\Re-markit_wd.exe
ProxyEnable: Internet Explorer proxy is enabled.
ProxyServer: http=127.0.0.1:13828
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.awesomehp.com/web/?type=ds&ts=1392211276&from=tugs&uid=FUJITSUXMJA2160BHXG2_K94NT9728DP2&q={searchTerms}
SearchScopes: HKLM - DefaultScope value is missing.
SearchScopes: HKCU - DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = http://start.mysearchdial.com/results.php?f=4&q={searchTerms}&a=tele0103&cd=2XzuyEtN2Y1L1QzutDtDtByCyD0EtAyE0D0FyE0B0EyDyEyCtN0D0Tzu0CyByBtCtN1L2XzutBtFtBtFtCyDtFtCyCtAtCtN1L1CzutBtAtDtC1N1R&cr=785805208&ir=
SearchScopes: HKCU - {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = http://start.mysearchdial.com/results.php?f=4&q={searchTerms}&a=tele0103&cd=2XzuyEtN2Y1L1QzutDtDtByCyD0EtAyE0D0FyE0B0EyDyEyCtN0D0Tzu0CyByBtCtN1L2XzutBtFtBtFtCyDtFtCyCtAtCtN1L1CzutBtAtDtC1N1R&cr=785805208&ir=
BHO: FindRight - {2c774641-5504-46a8-b63f-6715ae3fe376} - C:\Program Files\FindRight\FindRightbho.dll (FindRight)
S4 Re-markit; C:\Program Files\Re-markit\Re-markit153.exe [180736 2014-02-12] ()
S2 Update FindRight; C:\Program Files\FindRight\updateFindRight.exe [80160 2014-02-05] ()
S2 Util FindRight; C:\Program Files\FindRight\bin\utilFindRight.exe [80160 2014-02-09] ()
2014-02-12 14:21 - 2014-02-12 17:02 - 00000000 ____D () C:\ProgramData\WPM
C:\Users\CHRISTOPHE\AppData\Local\Temp\avgnt.exe
C:\Users\Herminig\AppData\Local\Temp\avgnt.exe
Task: {3C094E66-730C-4393-ACC1-6DA52B138C87} - System32\Tasks\Re-markit_wd => C:\Program Files\Re-markit\Re-markit_wd.exe [2014-02-12] () <==== ATTENTION
Task: {71CB3A3B-5789-452E-8100-E59CC7A241D2} - System32\Tasks\Auslogics\BoostSpeed\Integrator\Scan and Repair => C:\Program Files\Auslogics\Auslogics BoostSpeed\BoostSpeed.exe [2012-02-22] (Auslogics)
Task: C:\Windows\Tasks\Re-markit_wd.job => C:\Program Files\Re-markit\Re-markit_wd.exe <==== ATTENTION
AlternateDataStreams: C:\ProgramData\TEMP:07BF512B
C:\Program Files\FindRight
C:\Program Files\Re-markit
end

• Enregistre le fichier sur ton Bureau (au même endroit que FRST) sous le nom fixlist.txt
  
• Ferme toutes les applications, y compris ton navigateur
  
• Double-clique sur FRST.exe
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
  
• Sur le menu principal, clique une seule fois sur Fix et patiente le temps de la correction
  
  
• L'outil va créer un rapport de correction Fixlog.txt. Poste ce rapport dans ta réponse.

/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnement et endommager Windows /!\


Supprime toute trace de awesomehp dans la gestion des moteurs de recherche de Google Chrome :

Pour supprimer manuellement des moteurs de recherche dans le navigateur, suivez la procédure ci-dessous.

   1. Cliquez sur le menu Google Chrome dans la barre d'outils du navigateur.
   2. Sélectionnez Paramètres, puis accédez à la section "Recherche".
   3. Cliquez sur Gérer les moteurs de recherche.
   4. Sélectionnez le moteur de recherche à supprimer, puis cliquez sur la croix (x) qui se trouve à la fin de la ligne.

Support Google Chrome

--------------------------------------------------------------------------------------------

Supprime toute trace de awesomehp dans les préférences de démarrage de Google Chrome :

Support Google Chrome

---------------------------------------------------------------------------------------------

Suis cette procédure pour Arrêter la synchronisation et supprimer les données de Google : (si tu possèdes un compte Google lié)

Supprimer des données synchronisées de votre compte Google

Vous pouvez supprimer les données synchronisées de votre compte Google à tout moment depuis votre tableau de bord Google Dashboard.

    1. Cliquez sur le menu Google Chrome dans la barre d'outils du navigateur.
    2. Sélectionnez Connecté en tant que <votre adresse e-mail>.
    3. Dans la section "Connexion", cliquez sur Google Dashboard.
    4. Accédez à la section "Synchronisation de Google Chrome" du tableau de bord, puis cliquez sur Arrêter la synchronisation et supprimer les données de Google.

La synchronisation est désactivée, et toutes les données synchronisées qui ont été enregistrées dans votre compte Google sont supprimées. Elles sont toutefois conservées sur votre ordinateur. Cela signifie que des informations telles que les favoris, les applications et les extensions présentes sur l'ordinateur que vous utilisez n'apparaîtront pas si vous vous êtes connecté à Google Chrome depuis un autre ordinateur et avez activé la synchronisation sur celui-ci.

Support Google Chrome

[Christtr]

Et re-Merci Hyunkel !

Avant que j'oublie, vous saviez que MBAM bloque l'accès à SX ? 

Alors :1  les 4 bouses sont éliminées
2 Est ce que ce "Filxog" est la réponse  ? http://up.security-x.fr/file.php?h=R69f602b7978551ba5970e4fb81774aed
3 Je n'utilise pas Chrome mais FF et n'arrive pas à virer ce" awesomehp" qui ne me plait effectivement pas 

Bon week-end

[hyunkel30]

Re,

Avant que j'oublie, vous saviez que MBAM bloque l'accès à SX ? 

Malheureusement oui, mais cela doit avoir été rectifié avec la dernière mise à jour ...

(à moins qu'ils aient de nouveau bloqué l'IP ...)


Ok pour fixlog.txt.

3 Je n'utilise pas Chrome mais FF et n'arrive pas à virer ce" awesomehp" qui ne me plait effectivement pas

Qu'est-ce que tu n'arrives pas à faire dans la procédure que je t'ai fournis ?


Pense à me donner ceci aussi s'il te plait :

Tu pourras me fournir l'alerte d'avast! concernant le rootkit ? (fichier et emplacement ciblé)

 

[Christtr]

Re,

Avant que j'oublie, vous saviez que MBAM bloque l'accès à SX ? 

Malheureusement oui, mais cela doit avoir été rectifié avec la dernière mise à jour ...

(à moins qu'ils aient de nouveau bloqué l'IP ...)
Il y a quelques minutes c'était encore le cas


Ok pour fixlog.txt.

3 Je n'utilise pas Chrome mais FF et n'arrive pas à virer ce" awesomehp" qui ne me plait effectivement pas

Qu'est-ce que tu n'arrives pas à faire dans la procédure que je t'ai fournis ?

Désolé, rien ne correspond à FF et je n'ai pas trouvé les correspondances sur le net


Pense à me donner ceci aussi s'il te plait :

Tu pourras me fournir l'alerte d'avast! concernant le rootkit ? (fichier et emplacement ciblé)

Là aussi, un mode d'emploi me serait utile. Je n'arrive pas à retrouver ce rapport   

 

[hyunkel30]

Re,

Attention quand tu cites, là on s'y retrouvait plus

Il y a quelques minutes c'était encore le cas

Met à jour ta base de donnée et/ou Malwarebyte's, le déblocage a eu lieu hier ou avant-hier.

Désolé, rien ne correspond à FF et je n'ai pas trouvé les correspondances sur le net

Ah, je n'avais pas compris que c'était sous Firefox que tu avais encore le souci.
Par contre, dans le rapport, je ne vois pas de awesomehp pour Firefox justement, il n'y avait que des restes sous Chrome.

C'est où dans firefox que tu le vois encore ?
Moteur de recherche ?
Page de démarrage ?
Nouvel onglet ?

Là aussi, un mode d'emploi me serait utile. Je n'arrive pas à retrouver ce rapport

Tu ouvres l'interface d'Avast!
Menu "Scan"
En bas "Historique d'analyse"
Tu regardes le dernier scan et me donne l'info, c'est à dire le nom du fichier détecté et son emplacement.

 

[Christtr]

Bonjour,

Je prends la main pour Christtr qui a dû s'absenter. Malheureusement, je ne sais pas si on va pouvoir faire grand chose car il m'a connectée sur une autres session...

Ce matin, il m'a appelée car il ne pouvait plus rien ouvrir sur sa session (ni Firefox, ni sa messagerie, ni TeamViewer) il avait chaque fois un message d'erreur "impossible d'ouvrir..." et il a fait mention à un moment de "paramètres de sécurité" mais je n'ai pu avoir le message exact.
Son fils est ensuite intervenu et je viens d'apprendre qu'il avait désinstallé Avast en pensant que ça pouvait venir de l'anti-virus... Du coup on ne récupèrera jamais l'historique 

Ayant pu accéder à une autre session sur laquelle tout fonctionne je suis sur son ordi via TeamViewer.

Je peux réinstaller Avast et relancer une analyse ? ... J'ai un peu peur qu'on ait le même problème que la première fois (après l'analyse Avast avait demandé à re-démarrer l'ordinateur pour analyser les secteurs de démarrage et suite à celà l'ordi s'était éteint - impossible à rallumer jusqu'à ce que son fils intervienne). De toutes façons, je serais "jetée" et comme il ne sera pas là pour me donner un autre code d'accès... Je vais attendre un peu pour faire ça !

Pour Awesomeph, c'est bien sous FF qu'il apparaît : comme "moteur de recherche"
Au passage, Chrome, je le lui avais désinstallé (pas complètement manifestement) il ne l’utilise pas et je cherchais à faire de la place car son "ordinateur était lent"...

C'est moi qui avais installé Avast. Celui-ci n'ayant rien trouvé lors d'une analyse rapide mais annoncé un rootkit (dont je n'ai pas noté le nom  ) lors d'une analyse approfondi.

Je suppose qu'il ne servirait à rien de relancer FRST de cette session ?

Merci

[hyunkel30]

Bonjour celuiquiareprislamainpourChristtr 

Le problème vient d'un souci avec le script de l'outil FRST en partie, qu'on va tenter de corriger.

Nous allons restaurer le système sur le point créé avant le script.
Si tu peux accéder à la restauration système sous ta session actuelle, fais la procédure depuis cette session, sinon on le fera autrement :

Restaure le système :
http://www.chantal11.com/2010/05/restauration-systeme-a-une-date-anterieure-windows-7/

Choisi le point créé le hier vers 10h probablement

Si la restauration fonctionne, il retrouvera les accès sur sa session, et nous reprendrons alors.

Si tu rencontres un problème pour restaurer, vient me le dire et m'expliquer lequel.

 

[TCM]

Bonsoir Hyunkel,

Bon, la restauration a été faite mais pas d'accès à sa session pour autant...

Et là, plus d'accès à internet à partir de la session 2 

Je ne sais plus quoi faire

 

[TCM]

Re,

De nouveau accès, j'ai lancé MBAM juste pour tester.. Il a trouvé et éradiqué une petite bouse (C:\Users\CHRISTOPHE\AppData\Local\Temp\1c3d4243-b943-4ca3-819c-df39be644b55\software\Re-markit_2040-2082.exe (PUP.Optional.Bundler) mais bon...

[hyunkel30]

Re TCM se dévoile ...

Lorsque tu dis "de nouveau accès", c'est à sa session ou pas ?
On peut de nouveau travailler dessus ?

[TCM]

Hélas non, c'est la session 2 seulement 

[hyunkel30]

Re,

Pas d'accès à sa session du tout, ou accès, mais l'erreur "impossible..." dès que tu veux utiliser/lancer quelque chose ?

[TCM]

Difficile à affirmer vu que je ne suis pas sur place.
D'après lui, toujours des messages d'erreur genre "impossible d'accéder..." ( j'ai demandé de re-démarrer l'ordi pour vérifier entre temps)

Donc là je suis via TemViewer sur la session 2 

[hyunkel30]

Re,

ça va être super compliqué de gérer cela via Teamviewer ...

On va tester un truc, à faire sous cette seconde session :

Télécharge Farbar Recovery Scan Tool (de Farbar) sur ton Bureau.

• Ouvre le Bloc-notes (Démarrer => Tous les programmes => Accessoires => Bloc-notes)
  
• Copie/colle la totalité du contenu de la zone Code ci-dessous dans le Bloc-notes
  
  

Code: [Sélectionner]

start
Restore From Backup: software
Restore From Backup: system
end

• Enregistre le fichier sur ton Bureau (au même endroit que FRST) sous le nom fixlist.txt
  
• Ferme toutes les applications, y compris ton navigateur
  
• Double-clique sur FRST.exe
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
  
• Sur le menu principal, clique une seule fois sur Fix et patiente le temps de la correction
  
  
• L'outil va créer un rapport de correction Fixlog.txt. Poste ce rapport dans ta réponse.

/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnement et endommager Windows /!\

[TCM]

http://up.security-x.fr/file.php?h=R3c5e293cb27a0ea701f7f8a58cb78d6e

 

[hyunkel30]

Re,

ceci est un Scan 

J'ai demandé un Fix

[TCM]

Désolée, j'avais perdu la main entre temps. J'appelle Christtr cet après-midi

 

Un passage rapide ce matin mais je ne peux pas lancer le fix (no fixlist.txt found) c'est avec le précédent fix que je suis censée le lancer ?

[hyunkel30]

Re,

Oui, faut créer le fichier texte fixlist.txt, et l'enregistrer dans le même dossier que FRST (tu l'as laissé dans le dossier "téléchargement" à priori

[TCM]

Hello Hyunkel,

Voici le nouveau fixlog : http://up.security-x.fr/file.php?h=R0ef2469b934f20e876e6426fa406eb83

Bonne journée !

 

[hyunkel30]

Re,

Heuuu ... on doit mal se comprendre 

C'est ceci que tu dois faire :
http://forum.security-x.fr/desinfections/rootkit-(/msg113513/#msg113513

Là tu m'as fait le fix initial

[TCM]

ça m'apprendra à faire 4 trucs en même temps 

Ceci dit, ça me donne ça : Error: The restore operation should be done in the recovery mode.
Euh... et le recovery mode sous 7 c'est comme le mode sans échec ?

Désolée, je ne sais vraiment plus rien 

[hyunkel30]

Re,

Ok, alors il faut le faire dans le mode recovery effectivement

à suivre :

Sur un pc/une session fonctionnel :
Télécharge Farbar Recovery Scan Tool x64 (de Farbar) et enregistre-le sur une clé USB.

Note : si le téléchargement ne démarre pas automatiquement, cliquer sur "click here"

• Ouvre le Bloc-notes (Démarrer => Tous les programmes => Accessoires => Bloc-notes).
  
• Copie la totalité du contenu de la zone Code ci-dessous.
• Pour ce faire, sélectionne le contenu de la  zone, fais un clic droit et choisis Copier.
  
• Dans le Bloc-notes, fais un clic droit et choisis Coller.
  
• Enregistre le fichier sur la clé USB où tu as enregistré l'outil FRST.exe sous le nom [color="#FF0000"]fixlist.txt[/color]
  

Code: [Sélectionner]

Restore From Backup: software
Restore From Backup: system
NOTE: Ces lignes ont été écrites spécialement pour cet utilisateur, pour être utilisées exclusivement sur ce PC. Exécuter ces instructions sur une autre machine pourrait endommager le système d'exploitation.

Sur le pc bloqué :

Branche la clé USB dans le PC.

Ouvre les Options de récupération système.

Pour ouvrir les Options de récupération système depuis les Options de démarrage avancées:

• Fait redémarrer le PC.
• Dès que le BIOS est chargé, commence à tapoter sur la touche F8 jusqu'à l'apparition des Options de démarrage avancées.
  
• Utilise les flèches du clavier pour sélectionner l'élément de menu Réparer l'ordinateur.
  
• Choisis Français comme paramètre de langue et de clavier, puis clique sur Suivant.
  
• Sélectionne le système d'exploitation à réparer, puis clique sur Suivant.
  
• Sélectionne ton compte d'utilisateur et clique sur Suivant.

Dans le menu Options de récupération système tu verras les options suivantes:
Réparation du démarrage
Restaurer le système
Restauration de l'ordinateur Windows
Outil Diagnostics de la mémoire Windows
Invite de commandes

• Sélectionne Invite de commandes
  
• Dans la fenêtre de commande, tape notepad puis appuie sur Entrée.
  
• Le Bloc-notes s'ouvre. Dans le menu Fichier, sélectionne Ouvrir.
  
• Clique sur "Poste de travail"/"Ordinateur", cherche la lettre associée à la clé USB et ferme le Bloc-notes.
• Dans la fenêtre de commande, tape e:\frst64 puis appuie sur Entrée
  Note: Remplace la lettre e par la lettre de lecteur associée à la clé USB au besoin.
  
• L'outil va commencer à s'exécuter.
• Au démarrage de l'outil, à l'affichage du message "Disclaimer of warranty" clique sur Oui.
• Lance [color="#0000FF"]FRST[/color], clique une seule fois sur le bouton Fix et attend.
  
• L'outil va créer un rapport de correction (Fixlog.txt) sur la clé USB.
• Copie/colle le contenu de ce rapport dans ta réponse.

[TCM]

Re Hyunkel

C'est bien TeamViewer mais ça ne fait pas encore le café 
Pour info, je viens... d'envoyer par voie postale une clé USB à Christtr (il n'avait pas de PC propre sous la main) donc pas de nouvelles avant demain dans le meilleur des cas.

 

[hyunkel30]

Re,

OK, dommage pour lui surtout ...
La clé USb tu l'as préparée avec FRST et le script déjà ou pas ?

[TCM]

La clé USb tu l'as préparée avec FRST et le script déjà ou pas ?

Oui je lui ai livrée "prête à servir" et je lui ai mis un tirage papier de tes instructions. Il doit m'appeler après avoir tout reçu pour guidage par téléphone si besoin était.

Voili

Ah si, et je lui ai mis Avast sur cette deuxième session (je n'étais pas trop fière de lui envoyer une vieille clé que je n'ai pas eu le temps de vérifier avant la levée postale... manquerait plus que... !)

biz Maître à bientôt

[TCM]

Re-Hyunkel

La désinfection va attendre encore quelque temps 

Aller à l'invite de commandes a été assez "compliqué" et un message abscons (= je n'ai rien compris) apparait ensuite...
Bref, Christtr peut continuer à bosser sur les urgences avec ce portable pourri, doit récupérer son ordi réparé ce soir ou demain et on doit se voir vendredi : il m'apportera alors la bête vérolée sur laquelle j'essaierai moi-même de suivre tes consignes.
Entre temps, il envoie le minimum de messages extérieurs, évite d'utiliser des mp et ne va sur aucun site sensible genre banque of course.

Je reprends donc contact ce week-end seulement pour la suite. Sorry ! 

 

[hyunkel30]

Re,

Pas de souci

Y'a pas de risque à l’utilisation du pc, j'ai pas vu trace d'infection dangereuse, je pense que l'alerte d'Avast! était un faux-positif

 

[TCM]

Bonjour Hyunkel,

Me revoilà 

Bon, j'ai récupéré le portable de Christtr, refait une clé et...

Je bloque à l'exécution de l'outil.
Après avoir tapé e:\frst64 j'ai le message : "e:\frst64 n'est pas reconnu en tant que commande interne ou externe, un programme exécutable ou un fichier de commandes."
 
La clé est bien sous e:\ j'ai vérifié et contient bien FRST.exe et le dernier fixlist

Précision : pour le compte d'utilisateur à réparer, j'ai -évidemment ?- choisi celui de Christ

Je fais quoi chef ?   
(je peux peut-être vérifier que le problème ne vient pas de la clé sur mon propre ordi mais je n'ai pas trop envie d'y mettre la zone ?)

 

[hyunkel30]

Re,

contient bien FRST.exe et le dernier fixlist

Tu dois changer la commande en e:\frst (ou e:\frst.exe) puisque tu n'as pas la version 64 mais 32 bits

[TCM]

Re

Bon sang mais c'est bien sûr ! 64 pour 64 bits 

Voici le fixlog

Fix result of Farbar Recovery Tool (FRST written by Farbar) (x86) Version: 23-02-2014 02
Ran by SYSTEM at 2014-02-24 15:18:47 Run:4
Running from E:\
Boot Mode: Recovery

==============================================

Content of fixlist:
*****************
Restore From Backup: software
Restore From Backup: system
*****************

Software hive was renamed to software.old
Software hive was successfully restored from backup.
System hive was renamed to system.old
System hive was successfully restored from backup.

==== End of Fixlog ====

ça semble tout bon 

Je lui réinstalle Avast et lance un scan complet pour voir s'il retrouve ce faux-positif ?

Merci !!!

[hyunkel30]

Re,

Tu as de nouveau accès à sa session ?

Je lui réinstalle Avast et lance un scan complet pour voir s'il retrouve ce faux-positif ?

Oui, pourquoi pas.

Il faudra aussi me refaire ceci pour vérification :

Télécharge Farbar Recovery Scan Tool (de Farbar) sur ton Bureau.

Attention: Tu dois lancer la version compatible avec ton système : 32 ou  64bits.

Clique ici pour la version 32 bits
Clique ici pour la version 64 bits

Info : comment savoir quelle version j'utilise ?

Sous IE9 ou IE10, le filtre SmartScreen déclenche une alerte. Cliquer sur Actions puis sur Exécuter quand même

• Double-clique sur l'outil pour le lancer. Quand l'outil se lance, clique sur Yes pour accepter le disclamer.
  
• Clique sur le bouton  Scan.
  
• L'outil va créer un rapport nommé FRST.txt, enregistré dans le même dossier que l'outil.
  
• A son premier lancement, l'outil va aussi créer un fichier nommé Addition.txt).

Poste les deux rapports générés.

• Pour les rapports, merci d'utiliser ce service de rapport en ligne : dépose le fichier via "parcourir" et poste simplement le lien obtenu dans ta réponse.
  Une aide à l'utilisation ici
  

[TCM]

Re,

Je bute à chaque pas... Temps que je m'y remette sans doute !

Bon là, je ne peux pas accéder à internet via ce portable. Pas une question de réseau -bien connecté sur le wi-fi- plutôt de paramètres de sécurité à la c*...
Je vais attendre demain (un rapport à poster avant 00:00) et poser la question dans la section ad'hoc grrrrr

Sorry 

 

[hyunkel30]

Re,

Juste, déjà réponds à ma question 

Tu as de nouveau accès à sa session ?

Pour le reste, il suffit de télécharger depuis ton propre pc et transférer via la clé usb
(si bien entendu, tu as accès à sa session ...  )

[TCM]

Message à supprimer

[TCM]

Message à supprimer - dsl

[TCM]

Yes Hyunkel,

Oui, j'ai accès à sa session ! en partie du moins
C'est déjà génial ok merci 

Télécharger via mon ordi, évidemment. Mais je voudrais le lui rendre "propre et fonctionnel" et ce n'est pas le cas si la bécane ne peut aller sur le net...

Bon mais tu as raison, ça ne semble plus le même sujet. Sauf que quand je veux lancer FRST à partir de ma clé pour faire un scan j'ai le même message que quand je veux aller télécharger Avast ou FRST sur internet : "Vos paramètres de sécurité Internet (je suis bien sur ma clé) ont interdit l'ouverture de un ou plusieurs fichiers" 

Donc, je dirais que j'ai accès à sa session mais ne peux pas y faire grand chose ?

Maintenant que j'ai testé à partir de la clé, je me dis que le problème n'est peut-être pas du ressort de la section réseaux&Cie ?
Quelque chose de pas clair dans la récup de la session plutôt ?

 


Edit : Suis-je bête ! C'était ça le message dont il parlait au début ! Ces "paramètres de sécurité"  qui lui bloquaient l'accès aussi bien à internet qu'à TeamViewer. Bon, on est bien sur le même souci donc 

[hyunkel30]

Re,

Oui, tu retombes sur le message induits par le script initial.

Donc, maintenant que tu as regagné l'accès, dis-moi si tu peux lancer la restauration système ou pas ?
Normalement, tu ne pourras pas.

Il faudrait retourner en mode recovery (celui d'où tu as lancé FRST en invite de commande depuis la clé)
Mais au lieu de choisir "invite de commande", choisir l'option restaurer le système
Et regarder si tu trouves un point assez éloigné, avant le début de la prise en charge
(avant le 14 février quoi)
Puis lancer la restauration système.

Je t'avoue que vous êtes trois cas comme celui-ci :
- l'un, la restauration système à suffit
- le second, comme toi, on a tourné enrond et il a disparu ensuite, probablement lassé, il a du formater
- toi, pareil, restauration suffit pas, et on tourne en rond. Je te le cache pas, je pense que cela va probablement finir par une réinstallation du système.

[TCM]

Désolée Hyunkel, je viens de réaliser que je n'avais jamais donné de nouvelles 

L'ordi du pauvre Christtr s'était bien trouvé dans le 3ème cas de figure : j'avais essayé plusieurs points de restauration sans succès.

A l'époque, j'hésitais pour la réinstallation du système -d'une part, je ne savais ce qu'il aurait fallu tenter de sauvegarder (si possible !), d'autre part comme il y avait un accès "normal" via une autre session... - Mais je n'ai pas eu longtemps à me poser la question puisqu'il m'a fallu redonner l'ordi.

Je vais quand même indiquer "Résolu" dans le titre même si ce n'est pas vraiment le cas pour indiquer que le chapitre est clos.

En tout cas, merci une fois de plus pour tout ce que tu as fait ; tu n'y peux évidement rien quand un log foire et ça ne t'a pas empêché d'y passer un temps fou


Edit - Ah zut non, je ne peux pas mettre "Résolu" dans le titre, la création avait été faite par Christtr et à partir de son IP. Peux pas non plus lui demander de le faire, il a rendu l'ordi à ceux qui le lui avait prêté et je doute qu'il ait conservé un lien sur ce topic
 

[hyunkel30]

Salut

On s'en fiche du résolu, en plus cela ne l'est pas de toute manière.

Aucun des cas n'a pu être réglé de toute manière à posteriori, l'un des trois à disparu depuis, l'autre à formaté, et toi aussi.

On a jamais pu comprendre d'où venait le souci non plus qui ne s'est jamais reproduit ...