A l'aide : Virus ministère de l'intérieur [Résolu]

[laura57]

Bonjour, je suis actuellement infectée par un virus, qui me présente une page du ministère de l'intérieur. Ma webcam se met automatiquement en route. On me demande de payer par Ukash 100euros sous 48h.

Que dois-je faire pour pouvoir désinfecter mon ordinateur ?

P.S : Je possède Windows 7.

[laura57]

J'ai déjà fait l'analyse avec OTL comme vous l'aviez déjà conseillé à d'autre utilisateur. J'ai donc eu 2 rapports. Que dois-je faire ensuite ?

[hyunkel30]

Bonsoir laura,

Bienvenu sur Security-X

Tu peux donc démarrer en mode sans échec ?

Poste les rapports obtenus de cette manière :

• A la fin du scan, deux rapports se sont ouvert : OTL.Txt et Extras.Txt.

• Pour les rapports, merci d'utiliser ce service de rapport en ligne : dépose le fichier via "parcourir" et poste simplement le lien obtenu dans ta réponse.

Une aide à l'utilisation ici

[laura57]

Voici les liens obtenus :

http://security-x.fr/up/file.php?h=R0ca1e188a228014fae5ffff62de17c20

http://security-x.fr/up/file.php?h=Rc7e24c2774ae747c6ae45d105daf9760

[hyunkel30]

Re,

Une raison pour que ce pc ne soit pas à jour avec le service pack 1 et Internet explorer 9 ?


Tu as été infecté car certains plugin et addon (adobe reader, flash, java ...) n'étaient pas à jour sur ce pc, on s'en occupera en fin de procédure.


1) Relance  OTL.exe

• Ferme toutes tes fenêtres, puis double clique sur OTL.exe pour le lancer.

(Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")

/!\ Attention, utilisateur d'Avast! ou d'autres antivirus, ne lancez pas OTL en mode sandbox /!\

• Copie-colle l'ensemble du texte ci-dessous dans le cadre Personnalisation d'OTL en bas à gauche.

Code: [Sélectionner]


:OTL
[2012/12/03 19:40:07 | 000,001,078 | ---- | C] () -- C:\Users\Laura\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runctf.lnk
[2012/12/03 19:40:06 | 095,023,320 | ---- | C] () -- C:\ProgramData\0tbpw.pad

:Commands
[emptytemp]



• Puis clique sur le bouton Correction en haut à gauche
• Le pc va redémarrer. (si ce n'est pas le cas, fais-le manuellement)
• Poste le rapport de suppression s'il apparait.

Note :  S'il n'apparait pas, il se trouve ici : C:\_OTL, sous la forme xxxxxxxx_xxxx.log où x sont la date et l'heure

/!\ Ce script est exclusivement réservé à l'utilisateur actuel du sujet, vous ne devez en aucun cas l'utiliser de votre propre chef sur un autre pc, sous risque d'endommager le système /!\


Tu devrais pouvoir redémarrer normalement à partir de maintenant, confirme-moi le (ou pas) et nous poursuivrons.

 

[laura57]

J'ai suivi toutes les instructions et mon ordinateur a redémarré normalement mais j'ai un soucis de connexion internet (wifi). Je me suis donc remise en mode sans échec avec réseau pour pouvoir accéder à internet.

Le rapport de suppression est apparut lors de mon redémarrage normal, je ne le trouve plus en mode sans échec

[hyunkel30]

Re,

Il s'est enregistré ici :

C:\_OTL, sous la forme xxxxxxxx_xxxx.log où x sont la date et l'heure


Télécharge l'outil suivant ensuite en mode sans échec avec réseau ou sur un autre pc :
Puis effectue l'analyse en mode normal par contre.

Télécharge Farbar Service Scanner (de Farbar) sur ton bureau.

• Ferme toutes tes fenêtres, puis double clique sur FSS.exe pour le lancer.
  (Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")
  
  
• Coche toutes les options
  
• Clique sur le bouton "Scan"
  
• Laisse travailler l'outil, un rapport va apparaitre.
• Poste son contenu dans ta prochaine réponse

(S'il n'apparait pas, tu le trouveras à l'emplacement du fichier FSS.exe, sous le nom FSS.txt )

[laura57]

Voici le rapport :

All processes killed
========== OTL ==========
C:\Users\Laura\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runctf.lnk moved successfully.
C:\ProgramData\0tbpw.pad moved successfully.
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: All Users
 
User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->Flash cache emptied: 0 bytes
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Flash cache emptied: 0 bytes
 
User: Laura
->Temp folder emptied: 2493172602 bytes
->Temporary Internet Files folder emptied: 821299338 bytes
->FireFox cache emptied: 84937302 bytes
->Flash cache emptied: 3136553 bytes
 
User: Public
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32 (64bit) .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 572617393 bytes
%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 50875 bytes
RecycleBin emptied: 1549212550 bytes
 
Total Files Cleaned = 5 269,00 mb
 
 
OTL by OldTimer - Version 3.2.69.0 log created on 12092012_184145

Files\Folders moved on Reboot...
C:\Users\Laura\AppData\Local\Temp\FXSAPIDebugLogFile.txt moved successfully.

PendingFileRenameOperations files...

Registry entries deleted on Reboot...

[laura57]

Et voici le rapport Fss.txt :

Farbar Service Scanner Version: 07-12-2012
Ran by Laura (administrator) on 09-12-2012 at 19:54:11
Running from "C:\Users\Laura\Downloads"
Windows 7 Home Premium  (X64)
Boot Mode: Normal
****************************************************************

Internet Services:
============

Connection Status:
==============
Localhost is accessible.
LAN connected.
Attempt to access Google IP returned error. Google IP is offline
Attempt to access Google.com returned error: Other errors
Attempt to access Yahoo IP returned error. Yahoo IP is offline
Attempt to access Yahoo.com returned error: Other errors


Windows Firewall:
=============
mpsdrv Service is not running. Checking service configuration:
The start type of mpsdrv service is OK.
The ImagePath of mpsdrv service is OK.

MpsSvc Service is not running. Checking service configuration:
Checking Start type: ATTENTION!=====> Unable to open MpsSvc registry key. The service key does not exist.
Checking ImagePath: ATTENTION!=====> Unable to open MpsSvc registry key. The service key does not exist.
Checking ServiceDll: ATTENTION!=====> Unable to open MpsSvc registry key. The service key does not exist.

bfe Service is not running. Checking service configuration:
Checking Start type: ATTENTION!=====> Unable to open bfe registry key. The service key does not exist.
Checking ImagePath: ATTENTION!=====> Unable to open bfe registry key. The service key does not exist.
Checking ServiceDll: ATTENTION!=====> Unable to open bfe registry key. The service key does not exist.


Firewall Disabled Policy:
==================


System Restore:
============

System Restore Disabled Policy:
========================


Action Center:
============
wscsvc Service is not running. Checking service configuration:
Checking Start type: ATTENTION!=====> Unable to open wscsvc registry key. The service key does not exist.
Checking ImagePath: ATTENTION!=====> Unable to open wscsvc registry key. The service key does not exist.
Checking ServiceDll: ATTENTION!=====> Unable to open wscsvc registry key. The service key does not exist.


Windows Update:
============
wuauserv Service is not running. Checking service configuration:
Checking Start type: ATTENTION!=====> Unable to open wuauserv registry key. The service key does not exist.
Checking ImagePath: ATTENTION!=====> Unable to open wuauserv registry key. The service key does not exist.
Checking ServiceDll: ATTENTION!=====> Unable to open wuauserv registry key. The service key does not exist.

BITS Service is not running. Checking service configuration:
Checking Start type: ATTENTION!=====> Unable to open BITS registry key. The service key does not exist.
Checking ImagePath: ATTENTION!=====> Unable to open BITS registry key. The service key does not exist.
Checking ServiceDll: ATTENTION!=====> Unable to open BITS registry key. The service key does not exist.


Windows Autoupdate Disabled Policy:
============================


Windows Defender:
==============
WinDefend Service is not running. Checking service configuration:
Checking Start type: ATTENTION!=====> Unable to open WinDefend registry key. The service key does not exist.
Checking ImagePath: ATTENTION!=====> Unable to open WinDefend registry key. The service key does not exist.
Checking ServiceDll: ATTENTION!=====> Unable to open WinDefend registry key. The service key does not exist.


Windows Defender Disabled Policy:
==========================
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender]
"DisableAntiSpyware"=DWORD:1


Other Services:
==============
Checking Start type of SharedAccess: ATTENTION!=====> Unable to retrieve start type of SharedAccess. The value does not exist.
Checking ImagePath of SharedAccess: ATTENTION!=====> Unable to retrieve ImagePath of SharedAccess. The value does not exist.
Checking ServiceDll of SharedAccess: ATTENTION!=====> Unable to retrieve ServiceDll of SharedAccess. The value does not exist.
Checking Start type of iphlpsvc: ATTENTION!=====> Unable to open iphlpsvc registry key. The service key does not exist.
Checking ImagePath of iphlpsvc: ATTENTION!=====> Unable to open iphlpsvc registry key. The service key does not exist.
Checking ServiceDll of iphlpsvc: ATTENTION!=====> Unable to open iphlpsvc registry key. The service key does not exist.


File Check:
========
C:\Windows\System32\nsisvc.dll => MD5 is legit
C:\Windows\System32\drivers\nsiproxy.sys => MD5 is legit
C:\Windows\System32\dhcpcore.dll => MD5 is legit
C:\Windows\System32\drivers\afd.sys
[2012-02-15 13:44] - [2011-12-28 04:59] - 0499200 ____A (Microsoft Corporation) DB9D6C6B2CD95A9CA414D045B627422E

C:\Windows\System32\drivers\tdx.sys => MD5 is legit
C:\Windows\System32\Drivers\tcpip.sys
[2012-05-12 18:55] - [2012-03-30 12:09] - 1895280 ____A (Microsoft Corporation) 624C5B3AA4C99B3184BB922D9ECE3FF0

C:\Windows\System32\dnsrslvr.dll => MD5 is legit
C:\Windows\System32\mpssvc.dll => MD5 is legit
C:\Windows\System32\bfe.dll => MD5 is legit
C:\Windows\System32\drivers\mpsdrv.sys => MD5 is legit
C:\Windows\System32\SDRSVC.dll => MD5 is legit
C:\Windows\System32\vssvc.exe => MD5 is legit
C:\Windows\System32\wscsvc.dll => MD5 is legit
C:\Windows\System32\wbem\WMIsvc.dll => MD5 is legit
C:\Windows\System32\wuaueng.dll => MD5 is legit
C:\Windows\System32\qmgr.dll => MD5 is legit
C:\Windows\System32\es.dll => MD5 is legit
C:\Windows\System32\cryptsvc.dll
[2012-10-10 18:29] - [2012-06-02 06:25] - 0182272 ____A (Microsoft Corporation) BAF19B633933A9FB4883D27D66C39E9A

C:\Program Files\Windows Defender\MpSvc.dll => MD5 is legit
C:\Windows\System32\ipnathlp.dll => MD5 is legit
C:\Windows\System32\iphlpsvc.dll
[2009-07-14 01:09] - [2009-07-14 02:41] - 0565760 ____A (Microsoft Corporation) F8E058D17363EC580E4B7232778B6CB5

C:\Windows\System32\svchost.exe => MD5 is legit
C:\Windows\System32\rpcss.dll => MD5 is legit


**** End of log ****

[hyunkel30]

Re,

Tu as les symptômes des dommages causé normalement par le rootkit qui accompagne cette infection, alors que je n'ai pas vu les traces de ce rootkit sur les rapports ... (souci de services système et connexion réseau)

On va donc faire une vérification avant les réparations :

Télécharge TDSSKiller de Kaspersky sur ton bureau.

• Double clique sur "TDSSKiller.exe" pour lancer l'outil.
  (Utilisateur de Vista/Windows 7 : effectue un clic droit sur TDSSKiller.exe et sélectionne "Exécuter en tant qu'administrateur".)
  
  
• Clique alors sur le bouton "Change parameters".
  
• Coche la case Loaded modules
  
• Valide l'avertissement de Reboot avec Reboot Now
  
  
• Le pc va redémarrer, au redémarrage, accepte le lancement automatique de l'outil
  
  
• Clique de nouveau sur le bouton "Change parameters"
  
• Coche les cases Verify file digital signatures et Detect TDLFS file system sous Additional options
  
• Valide avec Ok
  
  
  
• Clique alors sur le bouton "Start Scan".
  
• Laisse le scan s'effectuer. (cela peut être long)
• Dans la fenêtre de résultat :
• Si TDSS.tdl2 est détecté l'option Delete sera cochée par défaut.
  
• Si TDSS.tdl3 est détecté assure toi que Cure est bien cochée.
  
• Pour la partie "Suspicious object" laisse sur "Skip"
  
• /!\ si dans la partie "Suspicious object" le fichier est de type : c:\windows\123456789:987654321.exe (suite aléatoire),  met l'option sur Delete
  
• Si TDSS.tdl4 (mbr) est détecté assure toi que Cure est bien coché.
  
• Clique enfin sur "Continue"
  
  Note : si No threat found apparait, pas besoin de nous fournir le rapport ni chercher ces options
  
  
• Il peut t'être demandé de redémarrer ton pc, fait-le en cliquant sur "Reboot now"
  
  
• Au redémarrage va chercher le rapport de suppression, il se trouve ici :

C:\ TDSSKiller.x.x.x.x_date_heure_log.txt

Poste son contenu dans ta prochaine réponse.

Un aide à l'utilisation ici

[laura57]

Dans la fenêtre de résultat apparaît : No threat found. Le rapport n'est donc pas nécessaire ?

[hyunkel30]

Re,

Oui, c'ets bon, ça ne m'étonne pas trop, comme j'ai dit je ne voyais pas les indications du rootkit dans les rapports ...

On passe aux réparations :

1) Télécharge Windows Repair (de Tweaking.com) sur ton bureau.

• Double-Clic dessus pour l'installer puis lance-le.
  (Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")
  
  
• Va directement à l'onglet "step 3"
  
  
• Clique sur le bouton Do It, et laisse le scan s'effectuer.
  
  
• Ferme le programme et redémarre le PC
  
  
• Relance l'outil et va cette fois-ci sur l'onglet Start Repairs (à la fin)
  
• Clique sur le bouton"Start"
  
• Dans la fenêtre suivante, coche exactement ces options :
  
  
  
• Clique enfin sur "Start" en bas à droite.
  
• Redémarre le pc s'il ne le fait pas automatiquement.
  
  
  2) Relance FSS :
  
  
• Ferme toutes tes fenêtres, puis double clique sur FSS.exe pour le lancer.
  (Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")
  
  
• Coche toutes les options
  
• Clique sur le bouton "Scan"
  
• Laisse travailler l'outil, un rapport va apparaitre.
• Poste son contenu dans ta prochaine réponse

(S'il n'apparait pas, tu le trouveras à l'emplacement du fichier FSS.exe, sous le nom FSS.txt )

 :AAN

[laura57]

Désolé j'ai mis du temps ! 

Voici le rapport :

Farbar Service Scanner Version: 07-12-2012
Ran by Laura (administrator) on 09-12-2012 at 23:28:12
Running from "C:\Users\Laura\Downloads"
Windows 7 Home Premium  (X64)
Boot Mode: Normal
****************************************************************

Internet Services:
============

Connection Status:
==============
Localhost is accessible.
LAN connected.
Attempt to access Google IP returned error. Google IP is offline
Attempt to access Google.com returned error: Other errors
Attempt to access Yahoo IP returned error. Yahoo IP is offline
Attempt to access Yahoo.com returned error: Other errors


Windows Firewall:
=============
MpsSvc Service is not running. Checking service configuration:
The start type of MpsSvc service is OK.
The ImagePath of MpsSvc service is OK.
The ServiceDll of MpsSvc service is OK.

bfe Service is not running. Checking service configuration:
The start type of bfe service is OK.
The ImagePath of bfe service is OK.
The ServiceDll of bfe service is OK.


Firewall Disabled Policy:
==================


System Restore:
============

System Restore Disabled Policy:
========================


Action Center:
============

Windows Update:
============
wuauserv Service is not running. Checking service configuration:
Checking Start type: ATTENTION!=====> Unable to open wuauserv registry key. The service key does not exist.
Checking ImagePath: ATTENTION!=====> Unable to open wuauserv registry key. The service key does not exist.
Checking ServiceDll: ATTENTION!=====> Unable to open wuauserv registry key. The service key does not exist.

BITS Service is not running. Checking service configuration:
Checking Start type: ATTENTION!=====> Unable to open BITS registry key. The service key does not exist.
Checking ImagePath: ATTENTION!=====> Unable to open BITS registry key. The service key does not exist.
Checking ServiceDll: ATTENTION!=====> Unable to open BITS registry key. The service key does not exist.


Windows Autoupdate Disabled Policy:
============================


Windows Defender:
==============
WinDefend Service is not running. Checking service configuration:
Checking Start type: ATTENTION!=====> Unable to open WinDefend registry key. The service key does not exist.
Checking ImagePath: ATTENTION!=====> Unable to open WinDefend registry key. The service key does not exist.
Checking ServiceDll: ATTENTION!=====> Unable to open WinDefend registry key. The service key does not exist.


Windows Defender Disabled Policy:
==========================
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender]
"DisableAntiSpyware"=DWORD:1


Other Services:
==============
Checking Start type of iphlpsvc: ATTENTION!=====> Unable to open iphlpsvc registry key. The service key does not exist.
Checking ImagePath of iphlpsvc: ATTENTION!=====> Unable to open iphlpsvc registry key. The service key does not exist.
Checking ServiceDll of iphlpsvc: ATTENTION!=====> Unable to open iphlpsvc registry key. The service key does not exist.


File Check:
========
C:\Windows\System32\nsisvc.dll => MD5 is legit
C:\Windows\System32\drivers\nsiproxy.sys => MD5 is legit
C:\Windows\System32\dhcpcore.dll => MD5 is legit
C:\Windows\System32\drivers\afd.sys
[2012-02-15 13:44] - [2011-12-28 04:59] - 0499200 ____A (Microsoft Corporation) DB9D6C6B2CD95A9CA414D045B627422E

C:\Windows\System32\drivers\tdx.sys => MD5 is legit
C:\Windows\System32\Drivers\tcpip.sys
[2012-05-12 18:55] - [2012-03-30 12:09] - 1895280 ____A (Microsoft Corporation) 624C5B3AA4C99B3184BB922D9ECE3FF0

C:\Windows\System32\dnsrslvr.dll => MD5 is legit
C:\Windows\System32\mpssvc.dll => MD5 is legit
C:\Windows\System32\bfe.dll => MD5 is legit
C:\Windows\System32\drivers\mpsdrv.sys => MD5 is legit
C:\Windows\System32\SDRSVC.dll => MD5 is legit
C:\Windows\System32\vssvc.exe => MD5 is legit
C:\Windows\System32\wscsvc.dll => MD5 is legit
C:\Windows\System32\wbem\WMIsvc.dll => MD5 is legit
C:\Windows\System32\wuaueng.dll => MD5 is legit
C:\Windows\System32\qmgr.dll => MD5 is legit
C:\Windows\System32\es.dll => MD5 is legit
C:\Windows\System32\cryptsvc.dll
[2012-10-10 18:29] - [2012-06-02 06:25] - 0182272 ____A (Microsoft Corporation) BAF19B633933A9FB4883D27D66C39E9A

C:\Program Files\Windows Defender\MpSvc.dll => MD5 is legit
C:\Windows\System32\ipnathlp.dll => MD5 is legit
C:\Windows\System32\iphlpsvc.dll
[2009-07-14 01:09] - [2009-07-14 02:41] - 0565760 ____A (Microsoft Corporation) F8E058D17363EC580E4B7232778B6CB5

C:\Windows\System32\svchost.exe => MD5 is legit
C:\Windows\System32\rpcss.dll => MD5 is legit


**** End of log ****

[hyunkel30]

Re,

Tu as effectué toute la partie avec Windows Repair avant de refaire ce scan FSS ?

Tu peux me faire ceci aussi s'il te plait :

Télécharge RogueKiller (de Tigzy) sur ton bureau.

• Ferme toutes tes fenêtres, puis double clique sur RogueKiller.exe pour le lancer.
  (Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")
  
  
• Une fois l'initialisation terminée, choisis le bouton Scan en haut à droite.
  
• Laisse l'outil travailler.
• Un rapport s'ouvrira, copie-colle son contenu dans ta prochaine réponse

(S'il ne s'ouvre pas, clique sur le bouton "Rapport", il est aussi enregistré sur le bureau : RKreport.txt)

[laura57]

Oui j'ai fais toute la partie avec windows repair en mode sans échec car ça ne marchait pas en mode normal. Je m'y suis sans doute mal prise ..

[hyunkel30]

Re,

Refais-le en mode normal, puis fais aussi le scan avec Roguekiller que je te propose.

[laura57]

Le soucis c'est qu'en mode normal l'outil windows repair ne se lance pas.

[hyunkel30]

  Ben faut me le dire ...

Vous êtes nos yeux devant le pc, si vous ne nous donnez pas le maximum de détails, difficile pour nous de savoir ce qu'il se passe

Fait juste Roguekiller en mode normal pour le moment s'il te plait, s'il ne se lance pas, dis-le moi.

[laura57]

Oui désolé j'aurais du mieux le préciser 

Le rapport est :

RogueKiller V8.3.2 [Dec  7 2012] par Tigzy
mail : tigzyRK<at>gmail<dot>com
Remontees : http://www.geekstogo.com/forum/files/file/413-roguekiller/
Site Web : http://www.sur-la-toile.com/RogueKiller/
Blog : http://tigzyrk.blogspot.com/

Systeme d'exploitation : Windows 7 (6.1.7600 ) 64 bits version
Demarrage : Mode normal
Utilisateur : Laura [Droits d'admin]
Mode : Recherche -- Date : 10/12/2012 11:55:35

¤¤¤ Processus malicieux : 0 ¤¤¤

¤¤¤ Entrees de registre : 2 ¤¤¤
[HJ DESK] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> TROUVÉ
[HJ DESK] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> TROUVÉ

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤
[ZeroAccess][FILE] n : C:\$recycle.bin\S-1-5-18\$1789fcce0045cd665ef04bbcb8c98c9b\n --> TROUVÉ
[ZeroAccess][FILE] n : C:\$recycle.bin\S-1-5-21-3269826459-1208102038-1188501346-1000\$1789fcce0045cd665ef04bbcb8c98c9b\n --> TROUVÉ
[ZeroAccess][FILE] @ : C:\$recycle.bin\S-1-5-18\$1789fcce0045cd665ef04bbcb8c98c9b\@ --> TROUVÉ
[ZeroAccess][FILE] @ : C:\$recycle.bin\S-1-5-21-3269826459-1208102038-1188501346-1000\$1789fcce0045cd665ef04bbcb8c98c9b\@ --> TROUVÉ
[ZeroAccess][FOLDER] U : C:\$recycle.bin\S-1-5-18\$1789fcce0045cd665ef04bbcb8c98c9b\U --> TROUVÉ
[ZeroAccess][FOLDER] U : C:\$recycle.bin\S-1-5-21-3269826459-1208102038-1188501346-1000\$1789fcce0045cd665ef04bbcb8c98c9b\U --> TROUVÉ
[ZeroAccess][FOLDER] L : C:\$recycle.bin\S-1-5-18\$1789fcce0045cd665ef04bbcb8c98c9b\L --> TROUVÉ
[ZeroAccess][FOLDER] L : C:\$recycle.bin\S-1-5-21-3269826459-1208102038-1188501346-1000\$1789fcce0045cd665ef04bbcb8c98c9b\L --> TROUVÉ
[ZeroAccess][FILE] Desktop.ini : C:\Windows\Assembly\GAC_64\Desktop.ini --> TROUVÉ

¤¤¤ Driver : [NON CHARGE] ¤¤¤

¤¤¤ Infection : ZeroAccess ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
--> C:\Windows\system32\drivers\etc\hosts



¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: TOSHIBA MK6465GSX +++++
--- User ---
[MBR] c08d23c5728c110961887f6080956dff
[BSP] 7e9c444929c8e4c7cbe094f6a91c74ad : Windows 7/8 MBR Code
Partition table:
0 - [ACTIVE] ACER (0x27) [VISIBLE] Offset (sectors): 2048 | Size: 400 Mo
1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 821248 | Size: 305081 Mo
2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 625627136 | Size: 304997 Mo
User = LL1 ... OK!
User = LL2 ... OK!

+++++ PhysicalDrive1: SD Card +++++
--- User ---
[MBR] f88b70e514c1edfae01ff8f50a59e496
[BSP] df4f83c1f72e36823a12b0dfc7617313 : MBR Code unknown
Partition table:
0 - [XXXXXX] FAT16 (0x06) [VISIBLE] Offset (sectors): 137 | Size: 1875 Mo
User = LL1 ... OK!
Error reading LL2 MBR!

Termine : << RKreport[1]_S_10122012_115535.txt >>
RKreport[1]_S_10122012_115535.txt

[hyunkel30]

Re,

Ah ben voilà, ça m'étonnais aussi de pas voir la cause des symptômes ...

à faire :

1) Relance RogueKiller :

• Ferme toutes tes fenêtres, puis double clique sur RogueKiller.exe pour le lancer.
  (Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")
  
  
• Une fois l'initialisation terminée, choisis le bouton Suppression en haut à droite.
  (Note : si le bouton est grisé, lance d'abord un scan pour qu'il devienne actif)
  
• Laisse l'outil travailler.
• Un rapport s'ouvrira, copie-colle son contenu dans ta prochaine réponse

(S'il ne s'ouvre pas, il est enregistré sur le bureau : RKreport.txt)

[laura57]

Voici le rapport :

RogueKiller V8.3.2 [Dec  7 2012] par Tigzy
mail : tigzyRK<at>gmail<dot>com
Remontees : http://www.geekstogo.com/forum/files/file/413-roguekiller/
Site Web : http://www.sur-la-toile.com/RogueKiller/
Blog : http://tigzyrk.blogspot.com/

Systeme d'exploitation : Windows 7 (6.1.7600 ) 64 bits version
Demarrage : Mode normal
Utilisateur : Laura [Droits d'admin]
Mode : Suppression -- Date : 10/12/2012 18:37:36

¤¤¤ Processus malicieux : 0 ¤¤¤

¤¤¤ Entrees de registre : 2 ¤¤¤
[HJ DESK] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REMPLACÉ (0)
[HJ DESK] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REMPLACÉ (0)

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤
[ZeroAccess][FILE] n : C:\$recycle.bin\S-1-5-18\$1789fcce0045cd665ef04bbcb8c98c9b\n --> SUPPRIMÉ
[ZeroAccess][FILE] n : C:\$recycle.bin\S-1-5-21-3269826459-1208102038-1188501346-1000\$1789fcce0045cd665ef04bbcb8c98c9b\n --> SUPPRIMÉ
[ZeroAccess][FILE] @ : C:\$recycle.bin\S-1-5-18\$1789fcce0045cd665ef04bbcb8c98c9b\@ --> SUPPRIMÉ
[ZeroAccess][FILE] @ : C:\$recycle.bin\S-1-5-21-3269826459-1208102038-1188501346-1000\$1789fcce0045cd665ef04bbcb8c98c9b\@ --> SUPPRIMÉ
[Del.Parent][FILE] 00000004.@ : C:\$recycle.bin\S-1-5-18\$1789fcce0045cd665ef04bbcb8c98c9b\U\00000004.@ --> SUPPRIMÉ
[Del.Parent][FILE] 00000008.@ : C:\$recycle.bin\S-1-5-18\$1789fcce0045cd665ef04bbcb8c98c9b\U\00000008.@ --> SUPPRIMÉ
[Del.Parent][FILE] 000000cb.@ : C:\$recycle.bin\S-1-5-18\$1789fcce0045cd665ef04bbcb8c98c9b\U\000000cb.@ --> SUPPRIMÉ
[Del.Parent][FILE] 80000000.@ : C:\$recycle.bin\S-1-5-18\$1789fcce0045cd665ef04bbcb8c98c9b\U\80000000.@ --> SUPPRIMÉ
[Del.Parent][FILE] 80000032.@ : C:\$recycle.bin\S-1-5-18\$1789fcce0045cd665ef04bbcb8c98c9b\U\80000032.@ --> SUPPRIMÉ
[Del.Parent][FILE] 80000064.@ : C:\$recycle.bin\S-1-5-18\$1789fcce0045cd665ef04bbcb8c98c9b\U\80000064.@ --> SUPPRIMÉ
[ZeroAccess][FOLDER] ROOT : C:\$recycle.bin\S-1-5-18\$1789fcce0045cd665ef04bbcb8c98c9b\U --> SUPPRIMÉ
[ZeroAccess][FOLDER] ROOT : C:\$recycle.bin\S-1-5-21-3269826459-1208102038-1188501346-1000\$1789fcce0045cd665ef04bbcb8c98c9b\U --> SUPPRIMÉ
[Del.Parent][FILE] 00000004.@ : C:\$recycle.bin\S-1-5-18\$1789fcce0045cd665ef04bbcb8c98c9b\L\00000004.@ --> SUPPRIMÉ
[Del.Parent][FILE] 201d3dde : C:\$recycle.bin\S-1-5-18\$1789fcce0045cd665ef04bbcb8c98c9b\L\201d3dde --> SUPPRIMÉ
[ZeroAccess][FOLDER] ROOT : C:\$recycle.bin\S-1-5-18\$1789fcce0045cd665ef04bbcb8c98c9b\L --> SUPPRIMÉ
[ZeroAccess][FOLDER] ROOT : C:\$recycle.bin\S-1-5-21-3269826459-1208102038-1188501346-1000\$1789fcce0045cd665ef04bbcb8c98c9b\L --> SUPPRIMÉ
[ZeroAccess][FILE] Desktop.ini : C:\Windows\Assembly\GAC_64\Desktop.ini --> SUPPRIMÉ

¤¤¤ Driver : [NON CHARGE] ¤¤¤

¤¤¤ Infection : ZeroAccess ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
--> C:\Windows\system32\drivers\etc\hosts



¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: TOSHIBA MK6465GSX +++++
--- User ---
[MBR] c08d23c5728c110961887f6080956dff
[BSP] 7e9c444929c8e4c7cbe094f6a91c74ad : Windows 7/8 MBR Code
Partition table:
0 - [ACTIVE] ACER (0x27) [VISIBLE] Offset (sectors): 2048 | Size: 400 Mo
1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 821248 | Size: 305081 Mo
2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 625627136 | Size: 304997 Mo
User = LL1 ... OK!
User = LL2 ... OK!

+++++ PhysicalDrive1: SD Card +++++
--- User ---
[MBR] f88b70e514c1edfae01ff8f50a59e496
[BSP] df4f83c1f72e36823a12b0dfc7617313 : MBR Code unknown
Partition table:
0 - [XXXXXX] FAT16 (0x06) [VISIBLE] Offset (sectors): 137 | Size: 1875 Mo
User = LL1 ... OK!
Error reading LL2 MBR!

Termine : << RKreport[3]_D_10122012_183736.txt >>
RKreport[1]_S_10122012_115535.txt ; RKreport[2]_S_10122012_183700.txt ; RKreport[3]_D_10122012_183736.txt

[hyunkel30]

Re,

à faire pour s'assurer que le rootkit n'est plus dans les corbeilles :
http://lenewbie.com/2011/10/04/reparer-la-corbeille-sous-windows-7/

Il suffit de faire la commande pour C: chez toi.

Ensuite, redémarre le pc en mode normal, puis refais cette manipulation : (ou dis-moi s'il ne peut se lancer comme la dernière fois)

Télécharge Windows Repair (de Tweaking.com) sur ton bureau.

• Double-Clic dessus pour l'installer puis lance-le.
  (Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")
  
  
• Va directement à l'onglet "step 3"
  
  
• Clique sur le bouton Do It, et laisse le scan s'effectuer.
  
  
• Ferme le programme et redémarre le PC
  
  
• Relance l'outil et va cette fois-ci sur l'onglet Start Repairs (à la fin)
  
• Clique sur le bouton"Start"
  
• Dans la fenêtre suivante, coche exactement ces options :
  
  
  
• Clique enfin sur "Start" en bas à droite.
  
• Redémarre le pc s'il ne le fait pas automatiquement.
  

[laura57]

Alors dans " invite de commandes " apres avoir mis pour C: on me dit le répertoire est vide . Impossible de lancer windows repair en mode normal.

[hyunkel30]

Re,

Attention, tu fais bien ce qui est marqué sur le lien hein, j'ai signalé C: pour pas que tu cherches d'autres répertoire, mais la commande à taper c'est :

rd /s /q C:\$Recycle.bin

Pour Windows repair, que se passe-t-il exactement ? il plante, il met une erreur, ou juste il se lance pas quand tu double-clique dessus ?
Tu as bien pensé à faire un clic-droit -> "exécuter en tant qu'administrateur" comme demandé ?

[laura57]

Jusqu'à maintenant ça ne marchait pas quand j'entrée " le code " entier, et la je vois qu'il me dit : le répertoire n'est pas vide.     Pour windows repair ( en mode normal) je fais un double clic en éxécutant en tant qu'administrateur, un message " contrôle administrateur " s'affiche en me demandant si j'accepte que le programme suivant inconnu à apporter des modifications etc..    Je clique sur oui, puis rien ne se passe ensuite.

[hyunkel30]

Re,

Bon, laisse tomber pour le vidage des corbeilles.

Fais la procédure Windows repair en mode sans échec, puis, à la suite, refais ceci :

Relance FSS :

• Ferme toutes tes fenêtres, puis double clique sur FSS.exe pour le lancer.
  (Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")
  
  
• Coche toutes les options
  
• Clique sur le bouton "Scan"
  
• Laisse travailler l'outil, un rapport va apparaitre.
• Poste son contenu dans ta prochaine réponse

(S'il n'apparait pas, tu le trouveras à l'emplacement du fichier FSS.exe, sous le nom FSS.txt )

[laura57]

Farbar Service Scanner Version: 07-12-2012
Ran by Laura (administrator) on 11-12-2012 at 00:03:16
Running from "C:\Users\Laura\Downloads"
Windows 7 Home Premium  (X64)
Boot Mode: Normal
****************************************************************

Internet Services:
============

Connection Status:
==============
Localhost is accessible.
LAN connected.
Attempt to access Google IP returned error. Google IP is offline
Attempt to access Google.com returned error: Other errors
Attempt to access Yahoo IP returned error. Yahoo IP is offline
Attempt to access Yahoo.com returned error: Other errors


Windows Firewall:
=============
MpsSvc Service is not running. Checking service configuration:
The start type of MpsSvc service is OK.
The ImagePath of MpsSvc service is OK.
The ServiceDll of MpsSvc service is OK.

bfe Service is not running. Checking service configuration:
The start type of bfe service is OK.
The ImagePath of bfe service is OK.
The ServiceDll of bfe service is OK.


Firewall Disabled Policy:
==================


System Restore:
============

System Restore Disabled Policy:
========================


Action Center:
============

Windows Update:
============

Windows Autoupdate Disabled Policy:
============================


Windows Defender:
==============
WinDefend Service is not running. Checking service configuration:
Checking Start type: ATTENTION!=====> Unable to open WinDefend registry key. The service key does not exist.
Checking ImagePath: ATTENTION!=====> Unable to open WinDefend registry key. The service key does not exist.
Checking ServiceDll: ATTENTION!=====> Unable to open WinDefend registry key. The service key does not exist.


Windows Defender Disabled Policy:
==========================
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender]
"DisableAntiSpyware"=DWORD:1


Other Services:
==============
Checking Start type of iphlpsvc: ATTENTION!=====> Unable to open iphlpsvc registry key. The service key does not exist.
Checking ImagePath of iphlpsvc: ATTENTION!=====> Unable to open iphlpsvc registry key. The service key does not exist.
Checking ServiceDll of iphlpsvc: ATTENTION!=====> Unable to open iphlpsvc registry key. The service key does not exist.


File Check:
========
C:\Windows\System32\nsisvc.dll => MD5 is legit
C:\Windows\System32\drivers\nsiproxy.sys => MD5 is legit
C:\Windows\System32\dhcpcore.dll => MD5 is legit
C:\Windows\System32\drivers\afd.sys
[2012-02-15 13:44] - [2011-12-28 04:59] - 0499200 ____A (Microsoft Corporation) DB9D6C6B2CD95A9CA414D045B627422E

C:\Windows\System32\drivers\tdx.sys => MD5 is legit
C:\Windows\System32\Drivers\tcpip.sys
[2012-05-12 18:55] - [2012-03-30 12:09] - 1895280 ____A (Microsoft Corporation) 624C5B3AA4C99B3184BB922D9ECE3FF0

C:\Windows\System32\dnsrslvr.dll => MD5 is legit
C:\Windows\System32\mpssvc.dll => MD5 is legit
C:\Windows\System32\bfe.dll => MD5 is legit
C:\Windows\System32\drivers\mpsdrv.sys => MD5 is legit
C:\Windows\System32\SDRSVC.dll => MD5 is legit
C:\Windows\System32\vssvc.exe => MD5 is legit
C:\Windows\System32\wscsvc.dll => MD5 is legit
C:\Windows\System32\wbem\WMIsvc.dll => MD5 is legit
C:\Windows\System32\wuaueng.dll => MD5 is legit
C:\Windows\System32\qmgr.dll => MD5 is legit
C:\Windows\System32\es.dll => MD5 is legit
C:\Windows\System32\cryptsvc.dll
[2012-10-10 18:29] - [2012-06-02 06:25] - 0182272 ____A (Microsoft Corporation) BAF19B633933A9FB4883D27D66C39E9A

C:\Program Files\Windows Defender\MpSvc.dll => MD5 is legit
C:\Windows\System32\ipnathlp.dll => MD5 is legit
C:\Windows\System32\iphlpsvc.dll
[2009-07-14 01:09] - [2009-07-14 02:41] - 0565760 ____A (Microsoft Corporation) F8E058D17363EC580E4B7232778B6CB5

C:\Windows\System32\svchost.exe => MD5 is legit
C:\Windows\System32\rpcss.dll => MD5 is legit


**** End of log ****

[hyunkel30]

Re,

Ok, il manque encore des éléments qui n'ont pas été réparé :

à faire ne mode normal si possible, sinon en mode sans échec.

Télécharge Services Repair (de Eset) sur ton bureau.

• Ferme toutes tes fenêtres, puis double clique sur ServicesRepair.exe pour le lancer.
  (Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")
  
  
• L'outil va te demander de confirmer le lancement, accepte avec le bouton "Yes"
  
• Laisser-le travailler (cela peut prendre quelques minutes)
• Une nouvelle fenêtre va apparaitre pour demander de redémarrer le PC, accepte avec "Yes"
  
  
• Au redémarrage, un dossier aura été crée sur ton bureau, nommé CC Support
  
• Poste-moi dans la prochaine réponse le rapport qui se trouve ici : CC Support\Logs\SvcRepair.txt
  
  
  Puis ensuite de nouveau :
  
  Relance FSS :
  
  
• Ferme toutes tes fenêtres, puis double clique sur FSS.exe pour le lancer.
  (Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")
  
  
• Coche toutes les options
  
• Clique sur le bouton "Scan"
  
• Laisse travailler l'outil, un rapport va apparaitre.
• Poste son contenu dans ta prochaine réponse

(S'il n'apparait pas, tu le trouveras à l'emplacement du fichier FSS.exe, sous le nom FSS.txt )

[laura57]

Voici le CC Support\Logs\SvcRepair.txt :

Log Opened: 2012-12-11 @ 12:37:56
12:37:56 - -----------------
12:37:56 - | Begin Logging |
12:37:56 - -----------------
12:37:56 - Fix started on a WIN_7 X64 computer
12:37:56 - Prep in progress.  Please Wait.
12:37:56 - Prep complete
12:37:56 - Repairing Services Now.  Please wait...
INFO: The restore action ignores the object name parameter (paths are read from the backup file). However, other actions that require the object name may be combined with -restore.
INFORMATION: Input file for restore operation opened: '.\Win7\BFE.sddl'
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\BFE\Parameters\Policy\Persistent\SubLayer>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\BFE\Parameters\Policy\Persistent\Provider>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\BFE\Parameters\Policy\Persistent\Filter>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\BFE\Parameters\Policy\Persistent>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\BFE\Parameters\Policy\BootTime\Filter>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\BFE\Parameters\Policy\BootTime>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\BFE\Parameters\Policy>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\BFE\Parameters>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\BFE>

SetACL finished successfully.
INFO: The restore action ignores the object name parameter (paths are read from the backup file). However, other actions that require the object name may be combined with -restore.
INFORMATION: Input file for restore operation opened: '.\Win7\BITS.sddl'
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\BITS\Security>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\BITS\Performance>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\BITS\Parameters>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\BITS>

SetACL finished successfully.
INFO: The restore action ignores the object name parameter (paths are read from the backup file). However, other actions that require the object name may be combined with -restore.
INFORMATION: Input file for restore operation opened: '.\Win7\iphlpsvc.sddl'
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\iphlpsvc\Teredo>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\iphlpsvc\Parameters\Teredo\{FA88062C-9A61-4C1E-AC45-7143F8F01AAD}>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\iphlpsvc\Parameters\Teredo>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\iphlpsvc\Parameters\Isatap\{8AD2FB26-F91E-44F1-9B24-3C0AE56C9CE0}>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\iphlpsvc\Parameters\Isatap>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\iphlpsvc\Parameters\IPHTTPS>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\iphlpsvc\Parameters>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\iphlpsvc\Interfaces>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\iphlpsvc\config>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\iphlpsvc>

SetACL finished successfully.
INFO: The restore action ignores the object name parameter (paths are read from the backup file). However, other actions that require the object name may be combined with -restore.
INFORMATION: Input file for restore operation opened: '.\Win7\MpsSvc.sddl'
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\MpsSvc\Security>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\MpsSvc\Parameters\PortKeywords\Teredo>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\MpsSvc\Parameters\PortKeywords\RPC-EPMap>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\MpsSvc\Parameters\PortKeywords\IPTLSOut>
ERROR: Writing SD to <machine\System\CurrentControlset\Services\MpsSvc\Parameters\PortKeywords\IPTLSOut> failed with: Le fichier spécifié est introuvable.
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\MpsSvc\Parameters\PortKeywords\IPTLSIn>
ERROR: Writing SD to <machine\System\CurrentControlset\Services\MpsSvc\Parameters\PortKeywords\IPTLSIn> failed with: Le fichier spécifié est introuvable.
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\MpsSvc\Parameters\PortKeywords\DHCP>
ERROR: Writing SD to <machine\System\CurrentControlset\Services\MpsSvc\Parameters\PortKeywords\DHCP> failed with: Le fichier spécifié est introuvable.
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\MpsSvc\Parameters\PortKeywords>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\MpsSvc\Parameters>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\MpsSvc>

SetACL finished successfully.
INFO: The restore action ignores the object name parameter (paths are read from the backup file). However, other actions that require the object name may be combined with -restore.
INFORMATION: Input file for restore operation opened: '.\Win7\SharedAccess.sddl'
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\Logging>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\SharedAccess\Parameters\FirewallPolicy\RestrictedServices\Static\System>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\SharedAccess\Parameters\FirewallPolicy\RestrictedServices\Static>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\SharedAccess\Parameters\FirewallPolicy\RestrictedServices\Configurable\System>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\SharedAccess\Parameters\FirewallPolicy\RestrictedServices\Configurable>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\SharedAccess\Parameters\FirewallPolicy\RestrictedServices>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\SharedAccess\Parameters\FirewallPolicy\PublicProfile\Logging>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\SharedAccess\Parameters\FirewallPolicy\PublicProfile\GloballyOpenPorts>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\SharedAccess\Parameters\FirewallPolicy\PublicProfile\AuthorizedApplications>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\SharedAccess\Parameters\FirewallPolicy\PublicProfile>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\Logging>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\GloballyOpenPorts>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\SharedAccess\Parameters\FirewallPolicy>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\SharedAccess\Parameters>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\SharedAccess\Epoch2>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\SharedAccess\Epoch>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\SharedAccess\Defaults\FirewallPolicy\StandardProfile\Logging>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\SharedAccess\Defaults\FirewallPolicy\StandardProfile>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\SharedAccess\Defaults\FirewallPolicy\PublicProfile\Logging>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\SharedAccess\Defaults\FirewallPolicy\PublicProfile>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\SharedAccess\Defaults\FirewallPolicy\FirewallRules>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\SharedAccess\Defaults\FirewallPolicy\DomainProfile\Logging>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\SharedAccess\Defaults\FirewallPolicy\DomainProfile>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\SharedAccess\Defaults\FirewallPolicy>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\SharedAccess\Defaults>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\SharedAccess>

SetACL finished successfully.
INFO: The restore action ignores the object name parameter (paths are read from the backup file). However, other actions that require the object name may be combined with -restore.
INFORMATION: Input file for restore operation opened: '.\Win7\WinDefend.sddl'
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\WinDefend\TriggerInfo\0>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\WinDefend\TriggerInfo>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\WinDefend\Security>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\WinDefend\Parameters>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\WinDefend>

SetACL finished successfully.
INFO: The restore action ignores the object name parameter (paths are read from the backup file). However, other actions that require the object name may be combined with -restore.
INFORMATION: Input file for restore operation opened: '.\Win7\wscsvc.sddl'
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\wscsvc\Security>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\wscsvc\Parameters>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\wscsvc>

SetACL finished successfully.
INFO: The restore action ignores the object name parameter (paths are read from the backup file). However, other actions that require the object name may be combined with -restore.
INFORMATION: Input file for restore operation opened: '.\Win7\wuauserv.sddl'
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\wuauserv\Security>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\wuauserv\Parameters>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\wuauserv>

SetACL finished successfully.
12:37:57 - Services Repair Complete.
12:38:48 - Reboot Initiated
Log Opened: 2012-12-11 @ 12:43:59
12:43:59 - -----------------
12:43:59 - | Begin Logging |
12:43:59 - -----------------
12:43:59 - Fix started on a WIN_7 X64 computer
12:43:59 - Prep in progress.  Please Wait.
12:44:03 - Prep complete
12:44:03 - Repairing Services Now.  Please wait...
INFO: The restore action ignores the object name parameter (paths are read from the backup file). However, other actions that require the object name may be combined with -restore.
INFORMATION: Input file for restore operation opened: '.\Win7\BFE.sddl'
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\BFE\Parameters\Policy\Persistent\SubLayer>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\BFE\Parameters\Policy\Persistent\Provider>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\BFE\Parameters\Policy\Persistent\Filter>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\BFE\Parameters\Policy\Persistent>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\BFE\Parameters\Policy\BootTime\Filter>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\BFE\Parameters\Policy\BootTime>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\BFE\Parameters\Policy>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\BFE\Parameters>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\BFE>

SetACL finished successfully.
INFO: The restore action ignores the object name parameter (paths are read from the backup file). However, other actions that require the object name may be combined with -restore.
INFORMATION: Input file for restore operation opened: '.\Win7\BITS.sddl'
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\BITS\Security>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\BITS\Performance>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\BITS\Parameters>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\BITS>

SetACL finished successfully.
INFO: The restore action ignores the object name parameter (paths are read from the backup file). However, other actions that require the object name may be combined with -restore.
INFORMATION: Input file for restore operation opened: '.\Win7\iphlpsvc.sddl'
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\iphlpsvc\Teredo>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\iphlpsvc\Parameters\Teredo\{FA88062C-9A61-4C1E-AC45-7143F8F01AAD}>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\iphlpsvc\Parameters\Teredo>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\iphlpsvc\Parameters\Isatap\{8AD2FB26-F91E-44F1-9B24-3C0AE56C9CE0}>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\iphlpsvc\Parameters\Isatap>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\iphlpsvc\Parameters\IPHTTPS>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\iphlpsvc\Parameters>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\iphlpsvc\Interfaces>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\iphlpsvc\config>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\iphlpsvc>

SetACL finished successfully.
INFO: The restore action ignores the object name parameter (paths are read from the backup file). However, other actions that require the object name may be combined with -restore.
INFORMATION: Input file for restore operation opened: '.\Win7\MpsSvc.sddl'
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\MpsSvc\Security>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\MpsSvc\Parameters\PortKeywords\Teredo>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\MpsSvc\Parameters\PortKeywords\RPC-EPMap>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\MpsSvc\Parameters\PortKeywords\IPTLSOut>
ERROR: Writing SD to <machine\System\CurrentControlset\Services\MpsSvc\Parameters\PortKeywords\IPTLSOut> failed with: Le fichier spécifié est introuvable.
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\MpsSvc\Parameters\PortKeywords\IPTLSIn>
ERROR: Writing SD to <machine\System\CurrentControlset\Services\MpsSvc\Parameters\PortKeywords\IPTLSIn> failed with: Le fichier spécifié est introuvable.
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\MpsSvc\Parameters\PortKeywords\DHCP>
ERROR: Writing SD to <machine\System\CurrentControlset\Services\MpsSvc\Parameters\PortKeywords\DHCP> failed with: Le fichier spécifié est introuvable.
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\MpsSvc\Parameters\PortKeywords>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\MpsSvc\Parameters>
INFORMATION: Restoring SD of: <machine\System\CurrentControlset\Services\MpsSvc>

SetACL finished successfully.










et voici le rapport Fss.txt :

Farbar Service Scanner Version: 07-12-2012
Ran by Laura (administrator) on 11-12-2012 at 13:01:38
Running from "C:\Users\Laura\Downloads"
Windows 7 Home Premium  (X64)
Boot Mode: Normal
****************************************************************

Internet Services:
============

Connection Status:
==============
Localhost is accessible.
LAN connected.
Attempt to access Google IP returned error. Google IP is offline
Attempt to access Google.com returned error: Other errors
Attempt to access Yahoo IP returned error. Yahoo IP is offline
Attempt to access Yahoo.com returned error: Other errors


Windows Firewall:
=============

Firewall Disabled Policy:
==================


System Restore:
============

System Restore Disabled Policy:
========================


Action Center:
============

Windows Update:
============

Windows Autoupdate Disabled Policy:
============================


Windows Defender:
==============
WinDefend Service is not running. Checking service configuration:
The start type of WinDefend service is set to Demand. The default start type is Auto.
The ImagePath of WinDefend service is OK.
The ServiceDll of WinDefend service is OK.


Windows Defender Disabled Policy:
==========================
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender]
"DisableAntiSpyware"=DWORD:1


Other Services:
==============


File Check:
========
C:\Windows\System32\nsisvc.dll => MD5 is legit
C:\Windows\System32\drivers\nsiproxy.sys => MD5 is legit
C:\Windows\System32\dhcpcore.dll => MD5 is legit
C:\Windows\System32\drivers\afd.sys
[2012-02-15 13:44] - [2011-12-28 04:59] - 0499200 ____A (Microsoft Corporation) DB9D6C6B2CD95A9CA414D045B627422E

C:\Windows\System32\drivers\tdx.sys => MD5 is legit
C:\Windows\System32\Drivers\tcpip.sys
[2012-05-12 18:55] - [2012-03-30 12:09] - 1895280 ____A (Microsoft Corporation) 624C5B3AA4C99B3184BB922D9ECE3FF0

C:\Windows\System32\dnsrslvr.dll => MD5 is legit
C:\Windows\System32\mpssvc.dll => MD5 is legit
C:\Windows\System32\bfe.dll => MD5 is legit
C:\Windows\System32\drivers\mpsdrv.sys => MD5 is legit
C:\Windows\System32\SDRSVC.dll => MD5 is legit
C:\Windows\System32\vssvc.exe => MD5 is legit
C:\Windows\System32\wscsvc.dll => MD5 is legit
C:\Windows\System32\wbem\WMIsvc.dll => MD5 is legit
C:\Windows\System32\wuaueng.dll => MD5 is legit
C:\Windows\System32\qmgr.dll => MD5 is legit
C:\Windows\System32\es.dll => MD5 is legit
C:\Windows\System32\cryptsvc.dll
[2012-10-10 18:29] - [2012-06-02 06:25] - 0182272 ____A (Microsoft Corporation) BAF19B633933A9FB4883D27D66C39E9A

C:\Program Files\Windows Defender\MpSvc.dll => MD5 is legit
C:\Windows\System32\ipnathlp.dll => MD5 is legit
C:\Windows\System32\iphlpsvc.dll
[2009-07-14 01:09] - [2009-07-14 02:41] - 0565760 ____A (Microsoft Corporation) F8E058D17363EC580E4B7232778B6CB5

C:\Windows\System32\svchost.exe => MD5 is legit
C:\Windows\System32\rpcss.dll => MD5 is legit


**** End of log ****

[hyunkel30]

Re,

Ok, c'est beaucoup mieux.

As-tu retrouvé la connexion en mode normal à présent ?

[laura57]

Non toujours pas de connexion en mode normal 

[hyunkel30]

Re,

Comment te connectes-tu ? En wi-fi, en cable Ethernet, ou autrement ?

Avais-tu un antivirus ou un parefeu sur ce pc avant l'infection ou que tu aurais supprimé pendant la procédure ?

[laura57]

Je me connecte en wi-fi. J'avais et j'ai toujours l'antivirus Bitdefender.

[hyunkel30]

Re,

Alors je peux te dire que ton antivirus est soit endommagé, soit mal installé. (peut-être à cause de l'infection)
Sur les rapports rien n'indique qu'il est actif, il n'y a que des restes ...

Il faudrait tester de la désinstaller, puis le réinstaller, je pense.

Si tu as des soucis pour le désinstalle,r je peux te fournir un outil spécifique pour cela (il semble ne pas apparaitre dans ta liste des programmes)

[laura57]

J'ai pas fais les mises à jours depuis pas mal de temps, c'est sans doute ça. Pour le réinstaller, je vais donc devoir acheter de nouveau l'antivirus ?

[laura57]

En tout cas, merci beaucoup de ta patience et de m'avoir guidé jusque là déjà

[hyunkel30]

Re,

Non, non aucun besoin de le racheter, ta licence est toujours fonctionnelle, il suffira de la remettre.
Tu peux aussi "réparer" l'installation si tu trouves le logiciel dans la liste des programmes (personnellement, je ne le vois pas ...)

Nous n'avons pas terminé ensuite, il faut mettre à jour plusieurs logiciels sur le pc, nettoyer les outils utilisé et je te donnerais des conseils aussi.

[laura57]

J'ai trouvé le logiciel , j'ai essayé "réparer" . La réparation est en cours et la connexion internet fonctionne enfin

[laura57]

L'antivirus a bien été réparé.

[hyunkel30]

Re,

Bien, j'avais visé juste donc, ça m'étonnais de voir aucun antivirus actif, et souvent quand ils sont endommagé et qu'ils gère un parefeu ou des protection web, il peuvent alors couper l'accès Internet.

Pour terminer donc :

1) Suppression des logiciels :

Supprime manuellement :
- FSS
- Windows repair
- Service repair

2) Relance  OTL.exe

• Ferme toutes tes fenêtres, puis double clique sur OTL.exe pour le lancer.
  (Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")
  
  
• Copie-colle l'ensemble du texte ci-dessous dans le cadre Personnalisation d'OTL en bas à gauche.
  
  
  Code: [Sélectionner]
  
:Commands
[CLEARALLRESTOREPOINTS]

  
• Puis clique sur le bouton Correction en haut à gauche.
  Pas besoin de me fournir le rapport.
  
  
  Relance  OTL.exe de nouveau :[/color]
  (Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")
  
  
• Clique sur "Purge d'outils"
  
• Valide l'avertissement par "ok" et laisse le pc redémarrer.
  
  Si après redémarrage : TDSSKiller ou Roguekiller sont encore présent, supprime-les manuellement.
  
  
  3)) Mise à jour du système et des logiciels :
  
  /!\ Cette étape est très importante, en effet tu as été infectée car plusieurs logiciels et plugins n'étaient pas à jour, ton système non plus d'ailleurs /!\
  
  
  Mise à jour du système et des logiciels :
  
  Télécharge SX Check&Update (de Igor51 ) sur ton bureau.
  
  
• Lance SXCU.exe en double-cliquant dessus.
  (Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")
  
  
• Clique sur Windows Update à droite. Fais l'ensemble des mises à jours proposées, en priorité le "service Pack 1" et ensuite Internet Explorer 9 . Si rien ne se passe, fais manuellement les mise à jour ici : Démarrer -> Tous les programmes -> Windows Update
  
  
• Clique sur Update Java à droite. Le chargement et l'exécution de la mise à jour vont se faire, suis les instructions. Si rien ne se passe, fais manuellement la mise à jour ici : http://www.java.com/fr/download/
  Vérifie que les anciennes version sont supprimées dans ta liste des programmes, sinon fait-le manuellement : Java(TM) 6 Update 17
  
  
• Clique sur Update Adobe Reader à droite. Le chargement et l'exécution de la mise à jour vont se faire, suis les instructions. Si rien ne se passe, fais manuellement la mise à jour ici : http://get.adobe.com/reader/
  Vérifie que les anciennes version sont supprimées dans ta liste des programmes, sinon fait-le manuellement : Adobe Reader 9.3
  
  
• Clique sur Update Flash à droite. Selon le cas, soit Internet Explorer, soit ton ou tes autres navigateurs vont s'ouvrir, suis pour chacun d'eux les instructions à l'écran pour la mise à jour.
  (pense à ne pas accepter les offres comme McAfee security scan ou Chrome)   
  
  
  Ferme le programme via "Quit"
  Tu peux supprimer SXCU.exe.
  
  
  Viens me dire si tout s'est bien dérouler pour ces étapes, puis nous conclurons avec des conseils.
  
   

[laura57]

J'ai du mal à faire les manipulations, mon Pc tourne vraiment au ralentit ( ce qu'il ne faisait pas avant ). Il fonctionne normalement les premières minutes après le démarrage puis il se plante.                        Je vais commencer l'étape du téléchargement de Sxcu mais je doute d'y arriver

[hyunkel30]

Re,

Tu as supprimé les outils déjà ?

Attends avant de faire les mises à jour, on va refaire un scan pour voir :

Télécharge MalwareByte's Anti-Malware :

• Installe le programme (aide ici)
  
• Lance-le et met à jour la base de définition.
  
  
• Choisi ensuite "Exécuter un examen complet" puis "Rechercher"
  
• Sélectionne les disques dur et clique sur "Lancer l'examen"
  
• Laisse l'analyse se faire (cela peut durer longtemps).
• A la fin, vérifie que les éléments trouvés soient coché (dans "Résultat de l'examen).
• Puis clique sur "Supprimer la sélection" en bas.
  
• Un redémarrage peut être nécessaire.
• Un rapport va s'afficher, enregistre-le sur ton bureau.
• ou sinon, après le démarrage, il se trouvera dans "Rapports/logs"

[laura57]

J'ai supprimé les outils oui

[laura57]

Impossible de télécharger quoique se soit en mode normal, le pc se plante en plein téléchargement.
Je suis donc obligée de basculer en mode sans échec pour télécharger puis je lance le programme en mode normal.

[hyunkel30]

Re,

Peux-tu s'il te plait désinstaller BitDefender, je pense qu'il est en cause pour tout ces désagrément.

Si tu as toujours la clé de licence, tu pourras le réinstaller complétement par la suite.

[laura57]

J'ai fini l'analyse et j'ai supprimé les éléments infectés.

 J'ai désinstallé BitDefender.

Voici le rapport :

Malwarebytes Anti-Malware (Essai) 1.65.1.1000
www.malwarebytes.org

Version de la base de données: v2012.12.11.12

Windows 7 x64 NTFS
Internet Explorer 8.0.7600.16385
Laura :: LAURA-TOSH [administrateur]

Protection: Activé

12/12/2012 13:22:55
mbam-log-2012-12-12 (13-22-55).txt

Type d'examen: Examen complet (C:\|D:\|E:\|F:\|Q:\|)
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 389709
Temps écoulé: 53 minute(s), 21 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 0
(Aucun élément nuisible détecté)

(fin)

[hyunkel30]

Re,

Quels éléments infectés ? Il n'a rien trouvé justement ...
Il t'avait signalé quelque chose ?

Comment se comporte le pc sans Bitdefender ? Mieux ou pas ? La connexion est revenu ?
Les téléchargements fonctionnent ?

[laura57]

Alors , il avait trouvé 21 éléments infectés. Le soucis c'est que le pc s'était planté juste après avoir supprimé la sélection. J'ai donc refait une analyse pour être sûre.

Le pc se comporte mieux sans l'antivirus, je n'ai plus de bugs, les téléchargements se font normalement et la connexion est revenue .

[hyunkel30]

Re,

Peux-tu me fournir le rapport initial de MBAM, tu dois le trouver dans l'onglet "Rapport/log"
Regarde la date et l'heure pour avoir le premier.

 

[laura57]

Je ne trouve pas rapports/logs, je suis désolé mais je ne suis pas très doué !