HDD non lisible après virus

[Toad7]

bonjour,

J'ai eu un virus de type Trojan je suppose qui s'est manifesté après qu'avast se soit affolé avec des messages d'alert sans pour autant bloquer le truc. Cela m'enlève toute les données de mon ordi, j'ai donc un windows 7 avec accés à internet par explorer (plus de firefox) et un disque dur qui présente encore 32,2Go de libre sur 141 donc les données sont encore là pourtant mon bureau est vide, ma listes de programmes aussi, tout est vide ...
Je n'ai aucun moyen de réinstalation tel un CD windows 7. J'ai essayé plusieurs logiciels de nettoyage, rien n'y fait, si ce n'est que j'ai denouveau mon fond d'écran.

voici donc mes rapports OTL.txt : http://dahg3t.cjoint.net/ et Extras.txt : http://zw5c9k.megadl.fr/

En espèrant avoir une réponse rapide de votre part,

Toad7

[bernard53]

Bonjour

Fait ceci s.t.p


* Fait un double-clic sur l'icône d'OTL pour le lancer
/!\ pour Vista/Seven fais un clic-droit sur l'icône d'OTL et choisis "Exécuter en tant qu'administrateur"

* Assure-toi d'avoir fermé toutes les applications en court de fonctionnement.

* Quand la fenêtre d'OTL apparaît, assure toi que dans la section "Rapport" (en haut à droite) la case " Rapport minimal" soit cochée.

* Copies et colles le contenue de cette citation dans la partie inférieure d'OTL "Personnalisation"

:OTL
SRV - File not found [Auto | Stopped] -- -- (avast! Antivirus)
IE - HKLM\..\URLSearchHook: {ba14329e-9550-4989-b3f2-9732e92d17cc} - C:\Program Files\Vuze_Remote\tbVuze.dll (Conduit Ltd.)
IE - HKU\S-1-5-21-3510176971-2720565519-3193979323-1000\..\URLSearchHook: {ba14329e-9550-4989-b3f2-9732e92d17cc} - C:\Program Files\Vuze_Remote\tbVuze.dll (Conduit Ltd.)
FF - prefs.js..extensions.enabledItems: {ba14329e-9550-4989-b3f2-9732e92d17cc}:2.7.2.0
[2011/06/26 22:36:30 | 000,000,000 | -H-D | M] (Vuze Remote Community Toolbar) -- C:\Users\Thomas\AppData\Roaming\mozilla\Firefox\Profiles\v67j20bs.default\extensions\{ba14329e-9550-4989-b3f2-9732e92d17cc}
[2011/05/15 02:30:15 | 000,000,000 | -H-D | M] (Conduit Engine) -- C:\Users\Thomas\AppData\Roaming\mozilla\Firefox\Profiles\v67j20bs.default\extensions\engine@conduit.com
File not found (No name found) –
O2 - BHO: (Vuze Remote Toolbar) - {ba14329e-9550-4989-b3f2-9732e92d17cc} - C:\Program Files\Vuze_Remote\tbVuze.dll (Conduit Ltd.)
O3 - HKLM\..\Toolbar: (Vuze Remote Toolbar) - {ba14329e-9550-4989-b3f2-9732e92d17cc} - C:\Program Files\Vuze_Remote\tbVuze.dll (Conduit Ltd.)
O3 - HKU\S-1-5-21-3510176971-2720565519-3193979323-1000\..\Toolbar\WebBrowser: (Vuze Remote Toolbar) - {BA14329E-9550-4989-B3F2-9732E92D17CC} - C:\Program Files\Vuze_Remote\tbVuze.dll (Conduit Ltd.)
O4 - HKLM\..\Run: [avast5] File not found
2011/06/30 18:07:32 | 000,000,000 | -H-D | C] -- C:\Users\Thomas\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Windows 7 Repair
[2011/06/30 18:10:16 | 000,000,392 | -H-- | M] () -- C:\ProgramData\27451128
[2011/06/30 18:07:36 | 000,000,232 | -H-- | M] () -- C:\ProgramData\~27451128
[2011/06/30 18:07:36 | 000,000,168 | -H-- | M] () -- C:\ProgramData\~27451128r
[2011/06/30 18:07:36 | 000,000,232 | -H-- | C] () -- C:\ProgramData\~27451128
[2011/06/30 18:07:36 | 000,000,168 | -H-- | C] () -- C:\ProgramData\~27451128r
[2011/06/30 18:07:23 | 000,000,392 | -H-- | C] () -- C:\ProgramData\27451128

* Cliques sur l'icône Correction (en haut à gauche) .
* Laisse le scan aller à son terme sans te servir du PC
* A la fin du scan un rapport s'ouvrir "OTL.log"
* Copie et colle le ou les rapports dans ta réponse stp...
* Au cas où, tu peux les retrouver dans le dossier C:\OTL ou sur ton bureau en fonction des cas rencontrés
Mets le rapport ici car il prend bien de la place.
http://www.cijoint.fr/index.php

Ensuite .
Pour tes fichiers et dossiers disparus télécharge <<Unhide >> ici puis lance le, et laisse le travailler.

[Toad7]

Merci,

Voici le rapport OT, pas si long que ça ... :

========== OTL ==========
Service avast! Antivirus stopped successfully!
Service avast! Antivirus deleted successfully!
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\URLSearchHooks\\{ba14329e-9550-4989-b3f2-9732e92d17cc} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{ba14329e-9550-4989-b3f2-9732e92d17cc}\ deleted successfully.
C:\Program Files\Vuze_Remote\tbVuze.dll moved successfully.
Registry value HKEY_USERS\S-1-5-21-3510176971-2720565519-3193979323-1000\Software\Microsoft\Internet Explorer\URLSearchHooks\\{ba14329e-9550-4989-b3f2-9732e92d17cc} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{ba14329e-9550-4989-b3f2-9732e92d17cc}\ not found.
File C:\Program Files\Vuze_Remote\tbVuze.dll not found.
Prefs.js: {ba14329e-9550-4989-b3f2-9732e92d17cc}:2.7.2.0 removed from extensions.enabledItems
C:\Users\Thomas\AppData\Roaming\mozilla\Firefox\Profiles\v67j20bs.default\extensions\{ba14329e-9550-4989-b3f2-9732e92d17cc}\searchplugin folder moved successfully.
C:\Users\Thomas\AppData\Roaming\mozilla\Firefox\Profiles\v67j20bs.default\extensions\{ba14329e-9550-4989-b3f2-9732e92d17cc}\modules folder moved successfully.
C:\Users\Thomas\AppData\Roaming\mozilla\Firefox\Profiles\v67j20bs.default\extensions\{ba14329e-9550-4989-b3f2-9732e92d17cc}\META-INF folder moved successfully.
C:\Users\Thomas\AppData\Roaming\mozilla\Firefox\Profiles\v67j20bs.default\extensions\{ba14329e-9550-4989-b3f2-9732e92d17cc}\defaults folder moved successfully.
C:\Users\Thomas\AppData\Roaming\mozilla\Firefox\Profiles\v67j20bs.default\extensions\{ba14329e-9550-4989-b3f2-9732e92d17cc}\components folder moved successfully.
C:\Users\Thomas\AppData\Roaming\mozilla\Firefox\Profiles\v67j20bs.default\extensions\{ba14329e-9550-4989-b3f2-9732e92d17cc}\chrome folder moved successfully.
C:\Users\Thomas\AppData\Roaming\mozilla\Firefox\Profiles\v67j20bs.default\extensions\{ba14329e-9550-4989-b3f2-9732e92d17cc} folder moved successfully.
C:\Users\Thomas\AppData\Roaming\mozilla\Firefox\Profiles\v67j20bs.default\extensions\engine@conduit.com\searchplugin folder moved successfully.
C:\Users\Thomas\AppData\Roaming\mozilla\Firefox\Profiles\v67j20bs.default\extensions\engine@conduit.com\META-INF folder moved successfully.
C:\Users\Thomas\AppData\Roaming\mozilla\Firefox\Profiles\v67j20bs.default\extensions\engine@conduit.com\lib folder moved successfully.
C:\Users\Thomas\AppData\Roaming\mozilla\Firefox\Profiles\v67j20bs.default\extensions\engine@conduit.com\DualPackage folder moved successfully.
C:\Users\Thomas\AppData\Roaming\mozilla\Firefox\Profiles\v67j20bs.default\extensions\engine@conduit.com\defaults folder moved successfully.
C:\Users\Thomas\AppData\Roaming\mozilla\Firefox\Profiles\v67j20bs.default\extensions\engine@conduit.com\components folder moved successfully.
C:\Users\Thomas\AppData\Roaming\mozilla\Firefox\Profiles\v67j20bs.default\extensions\engine@conduit.com\chrome folder moved successfully.
C:\Users\Thomas\AppData\Roaming\mozilla\Firefox\Profiles\v67j20bs.default\extensions\engine@conduit.com folder moved successfully.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{ba14329e-9550-4989-b3f2-9732e92d17cc}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{ba14329e-9550-4989-b3f2-9732e92d17cc}\ not found.
File C:\Program Files\Vuze_Remote\tbVuze.dll not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar\\{ba14329e-9550-4989-b3f2-9732e92d17cc} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{ba14329e-9550-4989-b3f2-9732e92d17cc}\ not found.
File C:\Program Files\Vuze_Remote\tbVuze.dll not found.
Registry value HKEY_USERS\S-1-5-21-3510176971-2720565519-3193979323-1000\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\\{BA14329E-9550-4989-B3F2-9732E92D17CC} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{BA14329E-9550-4989-B3F2-9732E92D17CC}\ not found.
File C:\Program Files\Vuze_Remote\tbVuze.dll not found.
Registry key HKEY_LOCAL_MACHINE\\Software\Microsoft\Windows\CurrentVersion\Run not found.
C:\ProgramData\27451128 moved successfully.
C:\ProgramData\~27451128 moved successfully.
C:\ProgramData\~27451128r moved successfully.
File C:\ProgramData\~27451128 not found.
File C:\ProgramData\~27451128r not found.
File C:\ProgramData\27451128 not found.

OTL by OldTimer - Version 3.2.25.0 log created on 07012011_204531

[Toad7]

Super pour Unhide ! Merci beaucoup je revois tout !

Maintenant j'aimerais bien être sûr que mon ordi est purifié de tout virus, puis installer un antivirus efficaces. Pour l'instant j'ai installé Kaspersky.

Aurais tu d'autres conseils ?

Encore merci

[bernard53]

ok fait ce ceci comme autre rapport s.t.p


Télécharges << ZHPDiag>> (de Nicolas Coolman)

dezzipes le fichier sur ton bureau...
Fais un clic-droit sur l'icône ZHPDiag .exe et choisis "exécuter en tant qu'administrateur".


L'installation va créer raccourcis (ZHPDiag et ZHPFix et MBRchek) sur ton bureau




A la fin de l'installation ZHPDiag va se lancer....

Cliques sur l'icône "Options" (image du tournevis) et coches toutes les options.
Cliques sur "Lancer le diagnostique" (image de la loupe) et patiente...

A la fin du scan cliques sur l'icône "sauvegarder le fichier sous" (image de la disquette bleu) et enregistre le rapport sur ton bureau.

Mets le rapport ici car il prend bien de la place.

http://www.cijoint.fr/index.php


Sinon comme Antivirus Kasperky est très bien

[Toad7]

Et voici le ZHP :

http://www.cijoint.fr/cjlink.php?file=c ... 5PpYsh.txt

[bernard53]

OK pas grand chose dans le rapport.


* Copie le tout le texte présent dans l'encadré ci-dessous (tu le sélectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C)

O4 - HKLM\..\Run: [avast5] C:\Program Files\Alwil Software\Avast5\avastUI.exe (.not file.)
[HKCU\Software\AppDataLow\Software\Conduit]
[HKCU\Software\AppDataLow\Toolbar]
[HKCU\Software\Conduit]
[HKLM\Software\Conduit]
O43 - CFD: 13/04/2010 - 20:45:24 - [521240] ----D- C:\Program Files\Conduit
FirewallRaz
EmptyFlash

Puis Lance ZHPFix depuis le raccourci du bureau.

Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
- Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes
- Clique sur le bouton « GO » pour lancer le nettoyage,
- Copie/colle la totalité du rapport dans ta prochaine réponse

-> laisse travailler l'outil et ne touche à rien ...

Une fois terminée, un nouveau rapport s'affiche : copie/colle le contenu de ce dernier dans ta prochaine réponse ...

(ce rapport est en outre sauvegardé dans ce dossier > C:\Program files\ZHPDiag\ZHPFixReport.txt)

Important : s'il t'est demandé de redémarrer le PC pour finir le nettoyage, fais le de suite !


Comment va ton pc maintenant?

[Toad7]

Voilà ZHPfix:

Rapport de ZHPFix 1.12.3332 par Nicolas Coolman, Update du 28/06/2011
Fichier d'export Registre : C:\ZHPExportRegistry-03-07-2011-18-20-57.txt
Run by Thomas at 03/07/2011 18:20:57
Windows 7 Ultimate Edition, 32-bit (Build 7600)
Web site : http://www.premiumorange.com/zeb-help-p ... hpfix.html

========== Clé(s) du Registre ==========
SUPPRIME Key: HKCU\Software\AppDataLow\Software\Conduit
SUPPRIME Key: HKCU\Software\AppDataLow\Toolbar
SUPPRIME Key: HKCU\Software\Conduit
SUPPRIME Key: HKLM\Software\Conduit

========== Valeur(s) du Registre ==========
SUPPRIME RunValue: avast5
ABSENT Valeur Standard Profile: FirewallRaz :
ABSENT Valeur Domain Profile: FirewallRaz :
SUPPRIME FirewallRaz (Private) : {EFC0EB89-0367-4F65-8320-AA4A90F8531C}
SUPPRIME FirewallRaz (Private) : {6E994C89-748C-4C8D-886E-ECDF3574A550}
SUPPRIME FirewallRaz (None) : {BA4FA1C5-C10E-4692-8035-269300567753}
SUPPRIME FirewallRaz (Private) : TCP Query User{50750F63-D11A-4CEF-B861-7560F33D3531}C:\program files\pd\bin\pd.exe
SUPPRIME FirewallRaz (Private) : UDP Query User{6DEA29FE-08A3-45A3-96FE-F7A943AF328E}C:\program files\pd\bin\pd.exe
SUPPRIME FirewallRaz (Private) : TCP Query User{06D872DE-14DA-4342-AA0F-9E0066A0B1B3}C:\program files\cisco packet tracer 5.3\bin\packettracer5.exe
SUPPRIME FirewallRaz (Private) : UDP Query User{B6A8942F-105A-43A8-B5DA-AAECD9A9279E}C:\program files\cisco packet tracer 5.3\bin\packettracer5.exe
SUPPRIME FirewallRaz (Public) : TCP Query User{A2FB3901-B8B8-4D20-9BA1-4C6A3B029B87}C:\program files\pd\bin\pd.exe
SUPPRIME FirewallRaz (Public) : UDP Query User{10548273-3A3C-49FA-B910-61F8060728BA}C:\program files\pd\bin\pd.exe

========== Dossier(s) ==========
SUPPRIME Folder*: C:\Program Files\Conduit
SUPPRIME Flash Cookies: 831

========== Fichier(s) ==========
ABSENT File: c:\program files\alwil software\avast5\avastui.exe
SUPPRIME Flash Cookies: 370


========== Récapitulatif ==========
4 : Clé(s) du Registre
12 : Valeur(s) du Registre
2 : Dossier(s)
2 : Fichier(s)


========== Chemin du fichier rapport ==========
C:\Program Files\ZHPDiag\ZHPFixReport.txt



End of the scan in 01mn 07s

[bernard53]

OK et ton pc maintenant?

[Toad7]

Mon pc est revenu à la normal, j'ai l'impression, si ce n'est que j'ai quasiment tout mes fichiers de ma colonne de programmes Windows vide, j'ai tenté de relancé Unhide plusieurs fois avec firewall désactivé mais rien n'y fait. Sinon j'ai bien tout mes dossiers sur mon bureau et je peux de nouveau accéder à tout mon disque dur par le poste de travail. J'ai l'impression que mon pc est un peu plus lent aussi

[bernard53]

Cela est normal avec cet intrus
Pas le choix que de recréé tes raccourcis toi même

Pour ta lenteur.

Si tu as Vista ou Seven

tapes cmd dans la recherche de Vista<ensuite clique droit sur la petite fenêtre noire nommée cmd.exe et choisis "Exécuter en tant qu'administrateur".

puis chkdsk X: /f /r

X étant la lettre de ton DD qui doit être surement C.

mets bien un espace entre chkdsk et X: puis entre X: et /f puis entre /f et /r

Si ta lettre est le C tu as donc ceci chkdsk C: /f /r

- Windows affiche : type fichier NTFS : impossible de verrouiller le lecteur en cours
CHKDSK ne peut s'exécuter parce que le volume est utilisé par un autre processus.
Voulez vous que ce volume soit vérifier au prochain démarrage : Oui ou Non
Valider O et Redémarrer le pc.

[Toad7]

OK, c'est fait. Sinon j'ai aussi Kaspersky qui m'alerte que mon pc est certainement menacé et qu'il a trouvé 3 virus et 4 cheval de troie. Dois je m'en inquiéter ? ou est ce juste une façon de me dire d'acheté la version complète? (je suis en évaluation)

[bernard53]

Possible que les détections sont dans le backup de ZHP ou dans la restauration du système.
tu as les adresses de détections?

[Toad7]

voilà le rapport kaspersky :

État : En quarantaine (événements : 2)
01/07/2011 12:39:30 En quarantaine virus HEUR:Trojan.Win32.Generic c:\Users\Thomas\AppData\Roaming\google talk\googletalk.exe Elevées
01/07/2011 12:39:30 En quarantaine virus HEUR:Trojan.Win32.Generic c:\Users\Thomas\AppData\Roaming\google talk\googletalk.exe//UPX Elevées
État : Supprimés (événements : 6)
02/07/2011 11:13:04 Supprimés virus HEUR:Trojan.Script.Generic C:\Documents and Settings\Thomas\AppData\Local\Mozilla\Firefox\Profiles\v67j20bs.default\Cache\6\80\FDCAAd01 Elevées
02/07/2011 11:13:04 Supprimés virus HEUR:Trojan.Script.Generic C:\Documents and Settings\Thomas\AppData\Local\Mozilla\Firefox\Profiles\v67j20bs.default\Cache\6\80\FDCAAd01//JIM Elevées
02/07/2011 11:26:26 Supprimés cheval de Troie Trojan-Downloader.Java.Small.ac C:\Documents and Settings\Thomas\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\0\43296140-1b91dad9 Elevées
02/07/2011 11:26:30 Supprimés cheval de Troie Exploit.Java.Agent.f C:\Documents and Settings\Thomas\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\33\30feb821-15d86f5e/vmain.class Elevées
02/07/2011 11:26:33 Supprimés cheval de Troie Exploit.Java.CVE-2010-0840.aq C:\Documents and Settings\Thomas\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\55\5901ab7-423fc8da/MessageStack/ConvertVal.class Elevées
02/07/2011 11:26:34 Supprimés cheval de Troie Exploit.Java.CVE-2010-0840.aq C:\Documents and Settings\Thomas\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\55\5901ab7-423fc8da/xmlTools/XMLMaker.class Elevées
État : Réparés (événements : 2)
02/07/2011 11:26:30 Réparés cheval de Troie Exploit.Java.Agent.f C:\Documents and Settings\Thomas\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\33\30feb821-15d86f5e Elevées
02/07/2011 11:26:34 Réparés cheval de Troie Exploit.Java.CVE-2010-0840.aq C:\Documents and Settings\Thomas\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\55\5901ab7-423fc8da Elevées
État : Suspect (événements : 1)
03/07/2011 14:44:28 Suspect programme légitime pouvant être exploité par un individu mal intentionné afin de nuire à l'ordinateur ou à vos données PDM.Keylogger kernel mode memory patch Moyenne

[bernard53]

ok kaspersky a bien tout supprimer et mis les intrus en quarantaine.
Vide celle-ci et tu sera tranquille.