Disparition du bureau

[bixou69]

Bonjour a tous,

belle petite surprise hier quand je demarre mon ordinateur et que je vois que mon dossier est vide a part le poste de travail,la corbeille et un autre raccourcis.

J'ai windows XP pro 2002, 32bits, service pack 3. L antivirus est avast qui etait peut etre pas a jour.

Au niveau des symptomes: disparition de tout les fichiers et dossiers sur le bureau dont toutes les photos,musique,films...

Disparition aussi de ces memes fichiers dans c:documents,meme avec la recherche il ne me les trouves pas.
Tout les fichiers que je telecharge sur le bureau disparaissent.Par contre quand je les telecharge dans documents puis copie sur le bureau,on me dit qu 'il existe deja sur le bureau et qu' il faut le remplacer alors que je ne le voie pas.

J'ai fait un scan avast : rien

J'ai telecharcher roguekiller,scan : il me trouve 1 truc que je supprime,puis je fais racc raz. Toujours rien sur le bureau.

Je telecharge malwarebytes antimalware,il me trouve 20 trucs que je supprime.

j' ai pas sauvegarder les rapports pour roguekiller et MAB ,désolé.

J'ai ensuite utilisé unhide,mais toujours rien sur le bureau.

Ce matin j'ai reessayé roguekiller et meme rkill qui me trouvent rien mais mon bureau n'est pas revenu.

Voila quoi...je me suis dit que j'allaispeut etre demandé a des gens beaucoup plus qualifié de l' aide.

Merci!!

[hyunkel30]

  Bonsoir bixou69,

Bienvenu sur Security-X.


Quel dommage encore une fois que vous veniez après avoir effectuer plusieurs manipulation, et sans avoir conservé les rapports bien entendu ... Nous sommes là pour vous accompagner, mais dès le début de l'infection, c'est bien plus efficace et facile pour nous

Es-tu sûr de ne pas avoir les rapport sous Malwarebyte's, dans l'onglet "rapports/log" ?

à faire aussi :

Télécharge OTL (de Old Timer) sur ton bureau.

• Ferme toutes tes fenêtres, puis double clique sur OTL.exe pour le lancer.
  (Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")
• Coche en haut la case devant "Tous les utilisateurs"
• Sous Personnalisation, copie-colle l'ensemble du texte ci-dessous, laisse les autres options par défaut.

Code: [Sélectionner]

netsvcs
msconfig
drivers32
activex
/md5start
explorer.exe
wininit.exe
winlogon.exe
userinit.exe
kernel32.dll
services.exe
/md5stop
%SYSTEMDRIVE%\*.exe
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\syswow64\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\syswow64\drivers\*.sys /lockedfiles
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs
CREATERESTOREPOINT

• Clique sur le bouton Analyse en haut à gauche puis patiente quelques instants.
• A la fin du scan, deux rapports s'ouvriront OTL.Txt et Extras.Txt.

• Pour les rapports, merci d'utiliser ce service de rapport en ligne : dépose le fichier via "parcourir" et poste simplement le lien obtenu dans ta réponse.

Une aide à l'utilisation ici

Note : Les rapports sont aussi enregistrés sur le bureau

[bixou69]

Salut hyunkel30,

merci pour ta réponse.

j'ai en effet trouvé les rapports,j'ai aussi refait un scan mais complet cette fois pendant la nuit,je te mets aussi le rapport.

1er rapport malaware : http://security-x.fr/up/file.php?h=R3fec96bcb1db7801b351a15e1dfc294f

Celui cette nuit : http://security-x.fr/up/file.php?h=R2ea1b41cd728b8eb4213135d1b019627

Pour OTL: http://security-x.fr/up/file.php?h=Re4044d7a7c41d0c5ae9f0835739caf91
               
                 http://security-x.fr/up/file.php?h=Rba1eec2d8df31e57ed213120fb1a0ffe

[hyunkel30]

Re,

On va nettoyer quelques trucs, puis on verra si cela évolue dans le bon sens.

Attention cependant :
Drive C: | 149,04 Gb Total Space | 4,53 Gb Free Space | 3,04% Space Free | Partition Type: NTFS
Ton disque dur est saturé, pouvant provoquer ralentissement et problème, tu devrais au plus vite archiver les fichiers tels que les vidéos, photos, et autres documents personnels sur d'autres supports pour libérer de la place.

Autre question, est-ce toi qui a configuré ce proxy ?

FF - prefs.js..network.proxy.http: "174.142.24.201 "
FF - prefs.js..network.proxy.http_port: 3128

1) Désinstalle les programmes suivants dans ta liste des programmes (si présents) :

Note : Si tu rencontres une erreur passe au suivant et poursuis la procédure

- Java(TM) 6 Update 24
- J2SE Runtime Environment 5.0 Update 3
- J2SE Runtime Environment 5.0 Update 6
- J2SE Runtime Environment 5.0 Update 10
- J2SE Runtime Environment 5.0 Update 11
- Java(TM) SE Runtime Environment 6 Update 1
- Java(TM) 6 Update 2
- Java(TM) 6 Update 3
- Java(TM) 6 Update 5
- Java(TM) 6 Update 7  (versions obsolètes et vulnérables, tu possèdes un plus récente)
- Adobe Reader 8.1.1 / Spelling Dictionaries Support For Adobe Reader 8 (idem)

- Badoo Desktop (lié à un adware : logiciel publicitaire)
- Viewpoint Media Player (adware)
- Notification de cadeaux MSN (idem)


2) Relance  OTL.exe

• Ferme toutes tes fenêtres, puis double clique sur OTL.exe pour le lancer.

/!\ Attention, utilisateur d'Avast! ou d'autres antivirus, ne lancez pas OTL en mode sandbox /!\

• Copie-colle l'ensemble du texte ci-dessous dans le cadre Personnalisation d'OTL en bas à gauche.

Code: [Sélectionner]


:OTL
killallprocesses
DRV - File not found [Kernel | On_Demand | Unknown] --  -- (ag94ft54)
IE - HKU\S-1-5-21-1060284298-1454471165-839522115-1003\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://badoo.com/startpage/
IE - HKU\S-1-5-21-1060284298-1454471165-839522115-1003\..\SearchScopes,DefaultScope = {8A244612-A1F7-11E0-95C0-E71F4824019B}
IE - HKU\S-1-5-21-1060284298-1454471165-839522115-1003\..\SearchScopes\{1CB20BF0-BBAE-40A7-93F4-6435FF3D0411}: "URL" = http://www.crawler.com/search/dispatcher.aspx?tp=aus&qkw={searchTerms}&tbid=60308
IE - HKU\S-1-5-21-1060284298-1454471165-839522115-1003\..\SearchScopes\{8A244612-A1F7-11E0-95C0-E71F4824019B}: "URL" = http://badoo.com/startpage/?source=bsb&q={searchTerms}
IE - HKU\S-1-5-21-1060284298-1454471165-839522115-1003\..\SearchScopes\{AD22EBAF-0D18-4fc7-90CC-5EA0ABBE9EB8}: "URL" = http://www.daemon-search.com/search/web?q={searchTerms}
FF - prefs.js..extensions.enabledItems: {CAFEEFAC-0016-0000-0020-ABCDEFFEDCBA}:6.0.20
FF - prefs.js..extensions.enabledItems: {CAFEEFAC-0016-0000-0021-ABCDEFFEDCBA}:6.0.21
FF - HKLM\Software\MozillaPlugins\@viewpoint.com/VMP:  File not found
[2011/07/26 09:11:34 | 000,002,023 | ---- | M] () -- C:\Documents and Settings\Bonnabeau\Application Data\Mozilla\Firefox\Profiles\tnw40gec.default\searchplugins\badoo.xml
[2011/01/03 17:10:46 | 000,002,059 | ---- | M] () -- C:\Documents and Settings\Bonnabeau\Application Data\Mozilla\Firefox\Profiles\tnw40gec.default\searchplugins\daemon-search.xml
O3 - HKLM\..\Toolbar: (no name) - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - No CLSID value found.
O3 - HKU\S-1-5-21-1060284298-1454471165-839522115-1003\..\Toolbar\WebBrowser: (no name) - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - No CLSID value found.
O3 - HKU\S-1-5-21-1060284298-1454471165-839522115-1003\..\Toolbar\WebBrowser: (no name) - {32099AAC-C132-4136-9E9A-4E364A424E17} - No CLSID value found.
O3 - HKU\S-1-5-21-1060284298-1454471165-839522115-1003\..\Toolbar\WebBrowser: (no name) - {4B3803EA-5230-4DC3-A7FC-33638F3D3542} - No CLSID value found.
O3 - HKU\S-1-5-21-1060284298-1454471165-839522115-1003\..\Toolbar\WebBrowser: (no name) - {5AA06644-BC46-4220-A460-47A6EB47C96D} - No CLSID value found.
O20 - Winlogon\Notify\gebbxyx: DllName - (gebbxyx.dll) -  File not found
O20 - Winlogon\Notify\pmnnm: DllName - (Reg Error: Value error.) - Reg Error: Value error. File not found
O20 - Winlogon\Notify\winbfi32: DllName - (winbfi32.dll) -  File not found
MsConfig - StartUpFolder: C:^Documents and Settings^Bonnabeau^Menu Démarrer^Programmes^Démarrage^Notification de cadeaux MSN.lnk - C:\Documents and Settings\Bonnabeau\Application Data\Microsoft\Notification de cadeaux MSN\lsnfier.exe - (Microsoft Corporation)
ActiveX: {03F998B2-0E00-11D3-A498-00104B6EB52E} - Viewpoint Media Player
ActiveX: {1B00725B-C455-4DE6-BFB6-AD540AD427CD} - Viewpoint Media Player
[2009/08/18 21:42:01 | 000,472,446 | ---- | C] () -- C:\Documents and Settings\Bonnabeau\Local Settings\Application Data\aitymr_nav.dat
[2009/08/18 21:42:01 | 000,004,200 | ---- | C] () -- C:\Documents and Settings\Bonnabeau\Local Settings\Application Data\aitymr.dat
[2009/08/18 21:42:01 | 000,004,046 | ---- | C] () -- C:\Documents and Settings\Bonnabeau\Local Settings\Application Data\aitymr_navps.dat
[2010/08/24 15:37:06 | 000,000,000 | ---D | M] -- C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy
[2006/11/12 02:30:53 | 000,000,000 | ---D | M] -- C:\Documents and Settings\All Users\Application Data\Viewpoint
[2006/05/16 02:04:57 | 000,000,000 | ---D | M] -- C:\Documents and Settings\Bonnabeau\Application Data\Lavasoft
[2007/09/30 18:08:16 | 000,000,000 | ---D | M] -- C:\Documents and Settings\Bonnabeau\Application Data\Viewpoint



• Puis clique sur le bouton Correction en haut à gauche
• Le pc va redémarrer. (si ce n'est pas le cas, fais-le manuellement)
• Poste le rapport de suppression s'il apparait.

Note : le rapport est enregistré sous format ".log", il convient de changer cette extension en ".txt" si tu veux le déposer sur des sites en ligne. S'il n'apparait pas, il se trouve ici : C:\_OTL, sous la forme xxxxxxxx_xxxx.log où x sont la date et l'heure

/!\ Ce script est exclusivement réservé à l'utilisateur actuel du sujet, vous ne devez en aucun cas l'utiliser de votre propre chef sur un autre pc, sous risque d'endommager le système /!\


Concernant Roguekiller, tu n'as plus aucun rapport ?

[bixou69]

Le rapport de suppression : http://security-x.fr/up/file.php?h=R058361261889fd301258fba4bcc0d699

par contre l 'ordinateur est vraiment super lent, 10 mn pour ouvrir mes documents ou firefox ca fait beaucoup!!

Pour répondre a tes questions, je n'ai pas touché au proxy.

j 'ai pas pu supprimer  les java et J2SE,il y avait un message d'erreur.

Pour rogue killer ,je suis désolé j 'ai pas retrouvé les rapports.Par contre a l'ouverture de windows j 'ai un message d malware qui me dit :

shell_notifyicon:echec de l'execution de l'action demandé.code d'erreur:0.

[hyunkel30]

Re,

Bon on va faire autrement, car avancé à l'aveugle cela ne sert pas à grand chose.

On va restaurer le pc avant l'apparition du souci :

XP :
http://www.inforumatique.fr/forum/la-restauration-du-systeme-t352.html

Choisi un point de restauration avant que le souci ne ce soit présenté.
Dis-moi si la restauration s'effectue correctement et si tu retrouve l'accès au bureau et document.

On avisera ensuite.

[bixou69]

j 'ai bien galeré pour faire la restauration : 5 jours et 3 jours avant le problemes ca me mettait restauration incomplete et la j 'ai finalement réussi 1 jour avant.

Par contre toujours pas de fichiers et dossiers sur mon bureau ni dans C:

[hyunkel30]

Re,

Je pense donc que le problème est ailleurs, c'est pas dû à une infection, rien de ce qui a été détecté n'engendre ce genre de symptômes.
Sachant que vu le peu d'espace disque restant, les fichiers/dossiers sont bien toujours là.

Tu as d'autres session sur ce pc ?

Si tu affiches ces options, et que tu parcours les dossiers, tu retrouves des choses ?
Affiche les fichiers et dossiers cachés :
Clique sur le menu Demarrer /Panneau de configuration/Options des dossiers/ puis dans l'onglet Affichage :

• Coche Afficher les fichiers et dossiers cachés
  
• Décoche Masquer les extensions des fichiers dont le type est connu
  
• Décoche Masquer les fichiers protégés du système d'exploitation (recommandé)
  clique sur Appliquer, puis OK.
  
  

[bixou69]

Merci pour ta reponse mais j'avais deja verifié en premier de ce coté et c'est deja comme tu m as dit de faire.

Je n 'ai pas d 'autre session.

j'ai du mal a comprendre comment tout peut disparaitre en une soirée si c'est pas une infection ,ca commence a sentir plutot mauvais tout ca...

[hyunkel30]

Re,

Tu te souviens d'un ou plusieurs nom "exact" de fichier que tu ne retrouve plus, ou de dossier ?

On va tester un outil spécial de recherche pour voir.

[bixou69]

des dossiers photos ou musique ca irait?

[hyunkel30]

Re,

N'importe, juste il me faut un nom "exact" (on peut en chercher plusieurs à la fois)

[bixou69]

ok je devrais trouver ca.

[bixou69]

salut hyunkel3,

tu m'as oublié ou j 'ai loupé une étape?

[hyunkel30]

Bonjour 

Ben j'attends les noms de dossiers et/ou fichiers pour te donner la procédure avec l'outil spécial de recherche ... sauf erreur, tu ne m'en as toujours pas fournis

[bixou69]

j'avais pas compris en effet,j 'attendais que tu medises quoi faire;

Tu as des dossiers zik , photo, derek trucks , gary moore.

[hyunkel30]

Re,

Allons-y

Télécharge SystemLook (de jpshortstuff) sur ton Bureau.

• Double-clique sur SystemLook.exe pour le lancer.
  
• Assure toi que tes périphériques amovibles soient branchés, et allumés si nécessaire.
• Copie-colle l''intégralité de ce qui suit dans la fenêtre de saisie de l'outil :

Code: [Sélectionner]

:folderfind
zik
photo
derek trucks
gary moore

• Clique sur le bouton Look pour démarrer l'analyse. (cela peut durer quelques minutes)
  
• Lorsque celle-ci est terminée, une fenêtre du Bloc-notes va s'ouvrir avec les résultats du diagnostique. Poste s'il te plaît ce rapport dans ta prochaine réponse.

Note : Le rapport peut être trouvé sur ton Bureau, intitulé SystemLook.txt.

[bixou69]

hello!

voici le rapport systemlook : http://security-x.fr/up/file.php?h=R758d0d22c73b7ce3f9acb2c72367c16c

Et j 'ai toujours ce probleme des icones qui disparaissent : tout ce que je met sur le bureau devient invisible...

[hyunkel30]

Re,

Si tu fais "Poste de travail" -> C: -> Documents and Settings -> Bonnabeau et enfin "Bureau", vois-tu les dossiers que tu cherches ou pas ?

[bixou69]

Non justement, le dossier est vide et fait 0 octets....

[hyunkel30]

Re,

OK, regardons cela de plus près alors :

64bits :
Télécharge SystemLook (de jpshortstuff) sur ton Bureau.


32bits :

Relance systemlook :

• Double-clique sur SystemLook.exe pour le lancer.
  
• Copie-colle l''intégralité de ce qui suit dans la fenêtre de saisie de l'outil :

[fixed]:dir
%USERPROFILE%\Bureau /s[/fixed]

• Clique sur le bouton Look pour démarrer l'analyse. (cela peut durer quelques minutes)
  
• Lorsque celle-ci est terminée, une fenêtre du Bloc-notes va s'ouvrir avec les résultats du diagnostique. Poste s'il te plaît ce rapport dans ta prochaine réponse.

Note : Le rapport peut être trouvé sur ton Bureau, intitulé SystemLook.txt.

[bixou69]

re,

je sais pas si les "fixed" allait avec donc j'ai essayé avec et sans et dans les deux cas la recherche dure 1 seconde et il me trouve rien.

[hyunkel30]

Re,

Oui, c'est ma faute pour les balises, erreur de format forum 

Par contre pas normal qu'il trouve rien vu qu'au moins un dossier était trouvé sur le bureau ...

Donc on refait :

Relance systemlook :

• Double-clique sur SystemLook.exe pour le lancer.
  
• Copie-colle l''intégralité de ce qui suit dans la fenêtre de saisie de l'outil :

Code: [Sélectionner]

:dir
C:\Documents and Settings\Bonnabeau\Bureau /s




• Clique sur le bouton Look pour démarrer l'analyse. (cela peut durer quelques minutes)
  
• Lorsque celle-ci est terminée, une fenêtre du Bloc-notes va s'ouvrir avec les résultats du diagnostique. Poste s'il te plaît ce rapport dans ta prochaine réponse.

Note : Le rapport peut être trouvé sur ton Bureau, intitulé SystemLook.txt.

[bixou69]

salut hyunkel,

ca me fait exactement pareil,recherche qui dure moins d'une seconde.Je te mets juste en copier/coller,le rapport vu qu il est tres court


SystemLook 30.07.11 by jpshortstuff
Log created at 10:42 on 03/11/2012 by Bonnabeau
Administrator - Elevation successful


========== dir ==========

C:\Documents and Settings\Bonnabeau\Bureau - Parameters: "/s"

---Files---
None found.

No folders found.

-= EOF =-

[hyunkel30]

Re,

Mouais y'a un truc qui colle pas là, hier, il trouve un dossier sur le bureau, et là aucun ...

C'est pas un problème infectieux, c'est un souci de système/disque je pense ...

Je voudrais voir si tu peux accéder à ces dossiers via un liveCD :

Télécharge OTLPEnet sur le bureau d'un pc fonctionnel (Taille > 120 Mo)

• Double-Clique sur OTLPENet.exe et assures-toi d'avoir insérer un CD-R vierge dans ton graveur CD/DVD.
  
• Une fenêtre va s'ouvrir pour te demander si tu souhaites graver Le CD, clique sur le bouton Oui.
  
• Patiente le temps de la décompression et de la gravure du CD.
• Passe sur le PC bloqué/infecté
• Modifie l'ordre de Boot pour démarrer sur le CD
  
• Redémarre ton PC en utilisant le LiveCD venant d'être créé.
• Ton système doit montrer un bureau REATOGO-X-PE

Note : En fonction de ton type de connexion Internet (Ethernet), tu dois être en mesure d'accéder au Net.

Tu peux normalement alors parcourir ton disque comme avec ton windows actuel, via "My Computer", regarde si tu peux accéder au dossier ici :
C:\Documents and Settings\Bonnabeau\Bureau
Et si tu vois tes dossiers ou pas dedans.


Note : Si tu dois repasser en mode normal, ferme l'environnement comme un windows normal, puis enlève le CD et redémarre normalement.

[bixou69]

salut hiunkel

j ai pu faire la manip et il y a tjs rien dans C:\Documents and Settings\Bonnabeau\Bureau

[hyunkel30]

Re,

Ce n'est pas possible, il devrait au moins y avoir ce dossier :

C:\Documents and Settings\Bonnabeau\Bureau\derek trucks   d------   [11:06 17/11/2011]

Il y était ou pas ?

[bixou69]

re,

non il y a rien du tout.j 'ai regardé dans "all users" et il y a rien.

[hyunkel30]

Re,

C'était pas dans "all user", c'était dans le dossier à ton nom. (Bonnabeau)

Si sur liveCD il n'y a rien, ce n'est pas infectieux, c'est un problème de disque/données.

On ne peut donc rien faire.
Tu peux toujours tester une vérification des disques pour voir :
http://www.commentcamarche.net/faq/3755-faire-un-checkdisk-chkdsk-sous-windows-xp

Mais je reste très sceptique, surtout sachant que l'espace disque est bel est bien occupé ...

[bixou69]

J 'ai bien regardé dans le dossier a mon nom en premier et dans les autres pour etre sur

Je vais tenter la verification de disque.

Tu penses que je vais pas pouvoir recuperer mes donnéés?

[hyunkel30]

Re,

Si elle ne sont pas visible sous liveCD, j'ai de gros doutes comme j'ai dit ... après, faut voir avec des logiciels de récupération, mais les résultats sont pas toujours probant.

[bixou69]

helooo!!

bon bonnes nouvelles de mon coté, apres plusieurs verif de disque ,mon bureau est revenu comme par magie.
j 'ai pas compris mais bon,c'est revenu!!

par contre j 'ai l impression qu il arrivait pas a demarré en mode sans echec...je vais essayé de faire un le ménage.

En tout merci pour ton soutien et ton aide,ca fait plaisir!

[hyunkel30]

Re,

Donc on était bien sur un problème matériel de disque.

Par contre cela signifie aussi qu'il faut rapidement si ce n'est pas fait, effectuer une sauvegarde de tes données, car la réparation peut n'être que temporaire si c'est le disque qui lâche et non seulement quelques secteurs qui sont défectueux ...