[Réglé] Disque C vide infection Rogue

[Ask to Old Man]

Bonsoir,

Je viens de récupérer l'ordinateur de ma mère. Il s'agit d'un PC FIXE fonctionnant sous XP home.

Ce matin en voulant aller surfer un peu ma mère à rencontré un problème.

Donc voilà le problème :

Plus de programme dans son menu démarrer ... + quand on clique dans disque dur C celui-ci est vide à l'intérieur ... plus rien n'apparait ... plus de dossier, de programmes plus rien ... pourtant dans l'ajout et suppression des programmes ils apparaissent. Pourtant dans les propriétés il est bien dectecté qu'il n'est pas vide.

J'ai lu sur la toile qu'un virus ou plutôt qu'un Malware pouvait être responsable de cela.
J'ai tout scanné, avec spybot + malawayre + avast + ccleaner mais malgré tout les programmes n'apparaissent toujours pas dans le disque C.

Je précise que j'ai bien tout vérifié avant de venir poster et qu'il ne s'agit pas d'une simple erreur de clique cacher dans les programmes windows. Genre l'erreur toute bête mais non j'aurai préféré.

Comment puis-je faire réapparaître les dossiers de programme dans le disque C afin que tout rentre dans l'ordre + dans le menu démarrer ?

Je vous remercie pour votre précieuse aide.

Cordialement,

[Raptor14]

C'est par là

@++ Fais ce qui est dis et après un Helper te viendra en aide

[cosmido]

Produisez le rapport proposé par raptor.

Ouvrez l'invité de commandes : Démarrer -> Tout les programmes -> Accessoires ..
S'il est pas accessible depuis le menu démarrer. Ouvrer le Gestionnaire de tâche en appuyant simultanément sur les touches Ctrl, Maj et Ech. Aller dans Fichier -> Nouvelle tâche(Exécuter).., entrer CMD et valider.

Dans la fenêtre de l'invité de commande, entrer :
Attrib -h C:\"Program files"

Et si nécessaire, faites de même pour les autre ?
attrib -h C:\"Documents and settings"
..etc

[Del-crosseur]

Bonsoir ,

@webgraphik

Fais ceci...

* Télécharger sur le bureau RogueKiller
* Quitter tous les programmes en cours
* Sous Vista/Seven , clic droit -> lancer en tant qu'administrateur
* Sinon lancer simplement RogueKiller.exe
* Une fois ouvert , taper 2 et valider
* Un rapport à dû s'ouvrir (RKreport.txt se trouve également à côté de l'exécutable), poste moi le rapport...
* Si le programme a été bloqué, ne pas hésiter a essayer plusieurs fois. Si vraiment cela ne passe pas (ça peut arriver), le renommer en winlogon.exe

Puis relance le en tapant cette fois ci "6" et valider
Poste-moi le rapport...

Et enfin une fois ceci effectuer comme l'a dit @Raptor ...

Télécharge >> OTL <<sur ton bureau.

* Fait un double-clic sur l'icône d'OTL pour le lancer
/!\ pour Vista/Seven fais un clic-droit sur l'icône d'OTL et choisis "Exécuter en tant qu'administrateur"

* Assure toi d'avoir fermé toutes les applications en court de fonctionnement.

* Quand la fenêtre d'OTL apparaît, assure toi que dans la section "Rapport" (en haut à droite) la case "rapport minimal " soit cochée.

* Coches les case situées devant "Tous les utilisateurs", " Recherche LOP" et "Recherche Purity".

* Copier et colle le contenue de cette citation dans la partie inférieure d'OTL "personnalisation"

%temp%\smtmp\1\*.* /s
%temp%\smtmp\2\*.* /s
%temp%\smtmp\4\*.* /s
nslookup http://www.google.fr /c
SAVEMBR:0
NetSvcs
%systemroot%\system32\drivers\*.sys /lockedfiles
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%SYSTEMDRIVE%\*.exe
netsvcs
/md5start
dwm.exe
taskhost.exe
taskeng.exe
wscntfy.exe
ctfmon.exe
rdpclip.exe
volsnap.sys
sptd.sys
explorer.exe
userinit.exe
winlogon.exe
wininit.exe
tcpip.sys
Sfloppy.sys
Changer.sys
cdrom.sys
disk.sys
ndis.sys
usbscan.sys
usbprint.sys
tdtcp.sys
tdpipe.sys
swmidi.sys
splitter.sys
rdpwd.sys
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
sceclt.dll
ntelogon.dll
logevent.dll
RASACD.SYS
iaStor.sys
nvstor.sys
atapi.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
ahcix86.sys
KR10N.sys
nvstor32.sys
ahcix86s.sys
nvrd32.sys
/md5stop
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles

* Cliques sur l'icône "Analyse" (en haut à gauche) .
* Laisse le scan aller à son terme sans te servir du PC
* A la fin du scan deux rapports vont s'ouvrir "OTL.Txt" et ( ou ) "Extras.Txt"( réduit dans la barre des taches).
* Copie et colle les rapports dans ta réponse stp...
* Au cas où, tu peux les retrouver dans le dossier C:\OTL[/quote]

Bonne nuit...

[webgraphik]

Bonjour et merci pour vos interventions de conseil.

J'ai choisi dans un premier de suivre les informations de Raptor (cela me semblait plus simple pour moi).

Donc voici les rapports :

OTL.txt
http://upload.1fichier.com/end.pl?xid=X8Dbf

Extras.txt
http://upload.1fichier.com/end.pl?xid=l2DDC

Le disque C est toujours vide, plus de programmes apparents ni dans mesdocuments.

Je vous remercie par avance encore pour aide et attends vos nouvelles directives.

[Del-crosseur]

Bonjours ,

Peut tu suivre mes instruction avec RogueKiller stp
Poste-moi les rapports demandé...

Concernant les rapports OTL , je ne peut pas les consulté.
Héberge les sur Cijoint.fr

Bonne journée

[webgraphik]

Ok par contre pour les rapports OTL quand je clique sur les liens, je peux tes téléchargés de mon coté ... bizarre que tu ne puisses pas les consulter.

[Del-crosseur]

Oui , j'ai se message chez moi:

L'identifiant d’émission est invalide

Suit attentivement mes instructions pour RogueKiller et poste-moi les rapports demandé
Suite à sa tu retrouveras surement tes dossiers ...

@ toute !

[webgraphik]

Rapport de RogueKiller après avoir tapé 2

RogueKiller V5.3.4 [30/08/2011] par Tigzy
contact sur http://www.sur-la-toile.com
mail: tigzyRK<at>gmail<dot>com
Remontees: http://www.sur-la-toile.com/discussion- ... ntees.html

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version
Demarrage : Mode normal
Utilisateur: MASIA [Droits d'admin]
Mode: Suppression -- Date : 10/09/2011 14:02:37

Processus malicieux: 1
[SUSP PATH] OTL.exe -- c:\documents and settings\masia\bureau\otl.exe -> KILLED [TermProc]

Entrees de registre: 2
[SUSP PATH] HKCU\[...]\Run : UAgdiHYePcE (C:\Documents and Settings\All Users\Application Data\UAgdiHYePcE.exe) -> DELETED
[SUSP PATH] Notification de cadeaux MSN.lnk : C:\Documents and Settings\MASIA\Application Data\Microsoft\Notification de cadeaux MSN\lsnfier.exe -> DELETED

Fichiers / Dossiers particuliers:

Fichier HOSTS:
127.0.0.1 localhost
127.0.0.1 http://www.007guard.com
127.0.0.1 007guard.com
127.0.0.1 008i.com
127.0.0.1 http://www.008k.com
127.0.0.1 008k.com
127.0.0.1 http://www.00hq.com
127.0.0.1 00hq.com
127.0.0.1 010402.com
127.0.0.1 http://www.032439.com
127.0.0.1 032439.com
127.0.0.1 http://www.0scan.com
127.0.0.1 0scan.com
127.0.0.1 http://www.1000gratisproben.com
127.0.0.1 1000gratisproben.com
127.0.0.1 http://www.1001namen.com
127.0.0.1 1001namen.com
127.0.0.1 100888290cs.com
127.0.0.1 http://www.100888290cs.com
127.0.0.1 100sexlinks.com
[...]


Termine : << RKreport[1].txt >>
RKreport[1].txt

Rapport de RogueKiller après avoir tapé 6

RogueKiller V5.3.4 [30/08/2011] par Tigzy
contact sur http://www.sur-la-toile.com
mail: tigzyRK<at>gmail<dot>com
Remontees: http://www.sur-la-toile.com/discussion- ... ntees.html

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version
Demarrage : Mode normal
Utilisateur: MASIA [Droits d'admin]
Mode: Raccourcis RAZ -- Date : 10/09/2011 14:13:45

Processus malicieux: 0

Attributs de fichiers restaures:
Bureau: Success 23 / Fail 0
Lancement rapide: Success 2 / Fail 0
Programmes: Success 35420 / Fail 0
Menu demarrer: Success 148 / Fail 0
Dossier utilisateur: Success 10209 / Fail 0
Mes documents: Success 2335 / Fail 0
Mes favoris: Success 66 / Fail 0
Mes images: Success 0 / Fail 0
Ma musique: Success 0 / Fail 0
Mes videos: Success 0 / Fail 0
Disques locaux: Success 61270 / Fail 0
Sauvegarde: [FOUND] Success 28 / Fail 1

Lecteurs:
[C:] \Device\HarddiskVolume1 -- 0x3 --> Restored
[D:] \Device\CdRom0 -- 0x5 --> Skipped
[E:] \Device\Harddisk1\DP(1)0-0+4 -- 0x2 --> Restored
[F:] \Device\CdRom1 -- 0x5 --> Skipped
[G:] \Device\CdRom2 -- 0x5 --> Skipped

Termine : << RKreport[2].txt >>
RKreport[1].txt ; RKreport[2].txt



Et enfin mes rapports OTL cette fois ci depuis cijoint.fr

OTL.txt
http://www.cijoint.fr/cjlink.php?file=cj201109/cijCKeiHSx.txt

EXTRAS.txt
http://www.cijoint.fr/cjlink.php?file=cj201109/cij8KX9Fej.txt

Voilà, j'espère que tout sera bon pour vous.
A vous relire pour la suite de la procédure. Merci encore.

[Del-crosseur]

re ,

Relancer RogueKiller et taper cette fois si la touche "5"
Poste-moi le rapport Obtenue ...

A tu retrouvé tes documents... ?


Fait un double-clic sur l'icône d'OTL pour le lancer
/!\ pour Vista/Seven fais un clic-droit sur l'icône d'OTL et choisis "Exécuter en tant qu'administrateur"

* Assure-toi d'avoir fermé toutes les applications en court de fonctionnement.

* Quand la fenêtre d'OTL apparaît, assure toi que dans la section "Rapport" (en haut à droite) la case " Rapport minimal" soit cochée.

* Copies et colles le contenue de cette citation dans la partie inférieure d'OTL "Personnalisation"

:OTL
IE - HKU\S-1-5-21-607534911-4225096327-236060245-1007\SOFTWARE\Microsoft\Internet Explorer\Main,SearchMigratedDefaultName = cherche.us
IE - HKU\S-1-5-21-607534911-4225096327-236060245-1007\SOFTWARE\Microsoft\Internet Explorer\Main,SearchMigratedDefaultURL = http://google.cherche.us/Result.php?cli ... 7B7B7%3BLC%3
[2009/10/03 21:57:13 | 000,001,587 | -H-- | M] () -- C:\Documents and Settings\MASIA\Application Data\Mozilla\Firefox\Profiles\66v8efp0.default\searchplugins\cherche.xml
O2 - BHO: (BandooIEPlugin Class) - {EB5CEE80-030A-4ED8-8E20-454E9C68380F} - C:\Program Files\Bandoo\Plugins\IE\ieplugin.dll (Bandoo Media Inc.)
O20 - AppInit_DLLs: (c:\progra~1\bandoo\bndhook.dll) - c:\Program Files\Bandoo\BndHook.dll (Discordia Limited)
[2011/01/27 10:59:58 | 000,000,000 | -H-D | M] -- C:\Documents and Settings\All Users\Application Data\Bandoo
[2011/01/27 10:57:19 | 000,000,000 | -H-D | M] -- C:\Documents and Settings\MASIA\Application Data\Bandoo
[2010/08/05 20:22:36 | 000,000,000 | -H-D | M] -- C:\Documents and Settings\MASIA\Application Data\PriceGong
FF - prefs.js..browser.search.defaulturl: "http://search.conduit.com/ResultsExt.aspx?ctid=CT2567681&SearchSource=3&q={searchTerms}"
FF - prefs.js..extensions.enabledItems: {280b5d37-4a76-467a-b3d6-942fca90acde}:3.2.5.2
FF - prefs.js..extensions.enabledItems: {59994074-c06d-4a75-9768-49e5a8c21264}:2.6.0.15

:Files
c:\program files\bandoo\plugins\ie\ieplugin.dll

:Commands
[emptytemp]
[emptyflash]

* Cliques sur l'icône Correction (en haut à gauche) .
* Laisse le scan aller à son terme sans te servir du PC
* A la fin du scan un rapport s'ouvrir "OTL.log"
* Copie et colle le ou les rapports dans ta réponse stp...
* Au cas où, tu peux les retrouver dans le dossier C:\OTL ou sur ton bureau en fonction des cas rencontrés

Puis :::

1_Télécharger USBFix par El Desaparecido et C_XX

Cliquer sur le Lien, et Sélectionner ==> Enregistrer le Fichier sous ==> Vers le bureau
/!\ Il et très important de l'enregistrer sur le bureau /!\

Une fois téléchargé, vous n'aurez plus qu'à l'ouvrir (Clic droit, Exécuter en tant qu'administrateur pour VISTA/7)

2_Mode Recherche :

La page d'accueil USBfix apparaitra automatiquement une fois l'installation automatique achevée

/!\Prenez bien soin de brancher toutes vos sources de données, clés USB..disque dur externe...etc...etc/!\

Vous n'aurez plus qu'à cliquer sur Recherche Pour y exécuter la recherche d'infections...
Une fenêtre apparaîtra vous demandant de brancher tous vos disques durs externes et clés usb, faites le, puis cliquez sur OK

L'analyse sera alors lancée après confirmation...Patientez quelques minutes jusqu'à la fin du scan...
Le temps peut varier suivant votre configuration et le nombre d'infections présentes dans votre disque dur..
Si l'outil se met a bloquer au niveau des 48% de l'analyse, ceci est tout à fait normal, cela correspond à la comparaison de vos sommes MD5 présentes sur votre PC...Soyez juste patient...

Une fois l'analyse Terminée, Un rapport sera alors automatiquement généré ...
Poste le rapport dans se sujet uniquement ...

@ Toute !

[webgraphik]

Effectivement mes programmes sont revenus comme par magie. Un énorme merci à toi.

Ai-je une autre procédure à effectuer à présent ?

Et surtout comme j'aime bien comprendre les choses peux expliquer ce qu'il s'est passé sur ce pc. Pourquoi tout avait disparu et est-ce bien un virus ou malware qui peut être responsable de cela ?

Ton programme a-t-il permis de restaurer ou d'éradiquer la cause responsable de tout ceci.

Avec encore mes remerciements et un très gros d'avance de ma mère qui saura très reconnaissante.

[webgraphik]

NOUVEAU RAPPORT APRES AVOIR TAPE LE TOUCHE 5

RogueKiller V5.3.4 [30/08/2011] par Tigzy
contact sur http://www.sur-la-toile.com
mail: tigzyRK<at>gmail<dot>com
Remontees: http://www.sur-la-toile.com/discussion- ... ntees.html

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version
Demarrage : Mode normal
Utilisateur: MASIA [Droits d'admin]
Mode: DNS RAZ -- Date : 10/09/2011 14:40:48

Processus malicieux: 0

Entrees de registre: 0

Termine : << RKreport[3].txt >>
RKreport[1].txt ; RKreport[2].txt ; RKreport[3].txt

[webgraphik]

Voici le rapport OTL
Toutefois, l'ordi,ateur m'a demandé de redémarrer et c'est seulement après que j'ai pu copié le rapport mais pas sous le nom que tu m'indiques.

All processes killed
========== OTL ==========
HKU\S-1-5-21-607534911-4225096327-236060245-1007\SOFTWARE\Microsoft\Internet Explorer\Main\\SearchMigratedDefaultName| /E : value set successfully!
HKU\S-1-5-21-607534911-4225096327-236060245-1007\SOFTWARE\Microsoft\Internet Explorer\Main\\SearchMigratedDefaultURL| /E : value set successfully!
C:\Documents and Settings\MASIA\Application Data\Mozilla\Firefox\Profiles\66v8efp0.default\searchplugins\cherche.xml moved successfully.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{EB5CEE80-030A-4ED8-8E20-454E9C68380F}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{EB5CEE80-030A-4ED8-8E20-454E9C68380F}\ deleted successfully.
C:\Program Files\Bandoo\Plugins\IE\ieplugin.dll moved successfully.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\\AppInit_Dlls:c:\progra~1\bandoo\bndhook.dll deleted successfully.
c:\Program Files\Bandoo\BndHook.dll moved successfully.
C:\Documents and Settings\All Users\Application Data\Bandoo\Repository folder moved successfully.
C:\Documents and Settings\All Users\Application Data\Bandoo folder moved successfully.
C:\Documents and Settings\MASIA\Application Data\Bandoo folder moved successfully.
C:\Documents and Settings\MASIA\Application Data\PriceGong\Data folder moved successfully.
C:\Documents and Settings\MASIA\Application Data\PriceGong folder moved successfully.
Prefs.js: "http://search.conduit.com/ResultsExt.aspx?ctid=CT2567681&SearchSource=3&q={searchTerms}" removed from browser.search.defaulturl
Prefs.js: {280b5d37-4a76-467a-b3d6-942fca90acde}:3.2.5.2 removed from extensions.enabledItems
Prefs.js: {59994074-c06d-4a75-9768-49e5a8c21264}:2.6.0.15 removed from extensions.enabledItems
========== FILES ==========
File\Folder c:\program files\bandoo\plugins\ie\ieplugin.dll not found.
========== COMMANDS ==========

[EMPTYTEMP]

User: Administrateur
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 4563026 bytes
->Flash cache emptied: 405 bytes

User: All Users

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 32902 bytes
->Flash cache emptied: 56509 bytes

User: LocalService
->Temp folder emptied: 115348 bytes
->Temporary Internet Files folder emptied: 374402 bytes

User: MASIA
->Temp folder emptied: 12031129 bytes
->Temporary Internet Files folder emptied: 32490240 bytes
->Java cache emptied: 18566 bytes
->FireFox cache emptied: 53715242 bytes
->Google Chrome cache emptied: 233619283 bytes
->Flash cache emptied: 63249 bytes

User: NetworkService
->Temp folder emptied: 66016 bytes
->Temporary Internet Files folder emptied: 33170 bytes

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 2114937 bytes
%systemroot%\System32 .tmp files removed: 93184 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 5784007 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temp folder emptied: 250622002 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temporary Internet Files folder emptied: 34313 bytes
RecycleBin emptied: 884 bytes

Total Files Cleaned = 568,00 mb


[EMPTYFLASH]

User: Administrateur
->Flash cache emptied: 0 bytes

User: All Users

User: Default User
->Flash cache emptied: 0 bytes

User: LocalService

User: MASIA
->Flash cache emptied: 0 bytes

User: NetworkService

Total Flash Files Cleaned = 0,00 mb


OTL by OldTimer - Version 3.2.27.0 log created on 09102011_144333

Files\Folders moved on Reboot...

Registry entries deleted on Reboot...

[Del-crosseur]

Je t'expliquerais tous cela en fin de désinfection , il nous reste du Taff

Poste moi le rapport demande pour USBFix. (Mode Recherche)

Puis Télécharge MyHosts par Jeanmimigab et suit correctement le Tutoriel.
Poste-moi le rapport obtenue...

[webgraphik]

Ok USBFIX est en train de tourner ...

Dés qu'il a fini je te poste le rapport il est à 75 % ...