PC bloqué suite infection virus police / sacem

[Ericausoleil]

Bonjour,
mon pc à été infecté et s'est bloqué, j'ai réussi à le débloquer avec Kaspersky Windows Unlocker (tuto du site malekal), mais depuis je n'ai plus rien sur mon pc, bureau vide, disque dur apparait vide (sauf 1 fichier bootsect.bak) mais que 20go de libre sur 144.
Chaque scans avec malwarbyte ou autre se bloquent aussi, et je n'arrive pas accéder à malwarbyte en mode sans echec.
PC acer aspire 8930 windows vista
Merci pour votre aide
Cordialement

[bernard53]

bonsoir
Fait ceci déjà s.t.p

Télécharger sur le bureau<< RogueKiller >> (by tigzy)
Quitter tous les programmes
Lancer RogueKiller.exe.
Attendre que le Prescan ait fini ...
Cliquer sur Scan. Cliquer sur Rapport et copier-coller le contenu du notepad
Ensuite:
Cliquer sur Suppression. Cliquer sur Rapport et copier-coller le contenu du notepad

Puis::

Cliquer sur Racc. RAZ. Cliquer sur Rapport et copier-coller le contenu du notepad

Et pour finir.


* Télécharge >> OTL <<sur ton bureau.

* Fait un double-clic sur l'icône d'OTL pour le lancer
/!\ pour Vista/Seven fais un clic-droit sur l'icône d'OTL et choisis "Exécuter en tant qu'administrateur"

* Assure-toi d'avoir fermé toutes les applications en court de fonctionnement.

* Quand la fenêtre d'OTL apparaît, assure toi que dans la section "Rapport" (en haut à droite) la case "Rapport minimal " soit cochée.

* Copies et colles le contenue de cette citation dans la partie inférieure d'OTL " Personnalisation"

HKLM\SOFTWARE\Microsoft\Internet Explorer\MAIN\FeatureControl|FEATURE_BROWSER_EMULATION /rs
HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\Main\FeatureControl|feature_enable_ie_compression /rs
HKEY_USERS\S-1-5-18\Software\Microsoft\Internet Explorer\Main\FeatureControl|feature_enable_ie_compression /rs
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers /s
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32 /s
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\drivers.desc /s
%temp%\smtmp\1\*.* /s
%temp%\smtmp\2\*.* /s
%temp%\smtmp\4\*.* /s
nslookup http://www.google.fr /c
SAVEMBR:0
NetSvcs
%systemroot%\system32\drivers\*.sys /lockedfiles
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%APPDATA%\*.exe /s
%SYSTEMDRIVE%\*.exe
netsvcs
/md5start
dwm.exe
taskhost.exe
taskeng.exe
wscntfy.exe
ctfmon.exe
rdpclip.exe
volsnap.sys
sptd.sys
explorer.exe
userinit.exe
winlogon.exe
wininit.exe
tcpip.sys
Sfloppy.sys
Changer.sys
cdrom.sys
disk.sys
ndis.sys
usbscan.sys
usbprint.sys
tdtcp.sys
tdpipe.sys
swmidi.sys
splitter.sys
rdpwd.sys
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
sceclt.dll
ntelogon.dll
logevent.dll
RASACD.SYS
iaStor.sys
nvstor.sys
atapi.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
ahcix86.sys
KR10N.sys
nvstor32.sys
ahcix86s.sys
nvrd32.sys
/md5stop
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles

* Cliques sur l'icône "Analyse" (en haut à gauche) .
* Laisse le scan aller à son terme sans te servir du PC
* A la fin du scan un ou deux rapports vont s'ouvrir "OTL.Txt" et ( ou ) "Extras.Txt"( dans certains cas).
* Copie et colle le ou les rapports dans ta réponse stp...
* Au cas où, tu peux les retrouver dans le dossier C:\OTL ou sur ton bureau en fonction des cas rencontrés
Mets le rapport ici car il prend bien de la place.

http://cjoint.com/

[Ericausoleil]

Bonsoir,
Merci pour votre réponse rapide, j'ai donc executer "RogueKiller" comme prescrit mais depuis plus de 10 minutes le scan à l'air de rester bloquer sur :
key
SOFTWARE\Microsoft\current\version\explorer\hideDescktopIncons\ClassicStartMenu
value
645FF040-5081-101B-9F08-00AA002F954E

Cordialement,

[bernard53]

bizarre il ne devrait pas bloquer, attends encore quelques minutes sinon stoppe Roquekiller et mets moi juste le rapport du scan.

[Ericausoleil]

Comment on le stoppe ?
Peut-être ça ne serait pas anti-malware qui le bloque, car il est affiché dans l'onglet processus, status killed, Path C:\...MalwarebytesAnti-malware\mbamgui.exe
Merci.

[bernard53]

Fait crtl+alt et supp et avec le gestionnaire de taches tu le stoppe.
Puis arrête ton antivirus et Malwaresbytes et tu relance RoqueKiller en mode scan seulement.

[Ericausoleil]

Voici le rapport du scan :

Code: Tout sélectionner

RogueKiller V7.3.2 [20/03/2012] par Tigzy
mail: tigzyRK<at>gmail<dot>com
Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html
Blog: http://tigzyrk.blogspot.com

Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version
Demarrage : Mode normal
Utilisateur: eric [Droits d'admin]
Mode: Recherche -- Date: 17/04/2012 21:41:27

¤¤¤ Processus malicieux: 0 ¤¤¤

¤¤¤ Entrees de registre: 21 ¤¤¤
[SUSP PATH] HKLM\[...]\Run : Malwarebytes' Anti-Malware ("C:\Users\eric\Desktop\logiciel\Malwarebytes' Anti-Malware\mbamgui.exe" /starttray) -> FOUND
[SUSP PATH] HKCU\[...]\Winlogon : Userinit (C:\Users\eric\AppData\Roaming\soundblaster_fx648.exe,C:\WINDOWS\System32\userinit.exe,) -> FOUND
[SUSP PATH] HKUS\S-1-5-21-2182853747-3755738021-3362198130-1000[...]\Winlogon : Userinit (C:\Users\eric\AppData\Roaming\soundblaster_fx648.exe,C:\WINDOWS\System32\userinit.exe,) -> FOUND
[PROXY IE] HKCU\[...]\Internet Settings : ProxyServer (192.168.0.249:3128) -> FOUND
[HJ] HKLM\[...]\System : EnableLUA (0) -> FOUND
[HJ] HKCU\[...]\Advanced : Start_ShowMyDocs (0) -> FOUND
[HJ] HKCU\[...]\Advanced : Start_ShowRecentDocs (0) -> FOUND
[HJ] HKCU\[...]\Advanced : Start_ShowUser (0) -> FOUND
[HJ] HKCU\[...]\Advanced : Start_ShowMyPics (0) -> FOUND
[HJ] HKCU\[...]\Advanced : Start_ShowMyGames (0) -> FOUND
[HJ] HKCU\[...]\Advanced : Start_ShowMyMusic (0) -> FOUND
[HJ] HKCU\[...]\Advanced : Start_ShowControlPanel (0) -> FOUND
[HJ] HKCU\[...]\Advanced : Start_ShowHelp (0) -> FOUND
[HJ] HKCU\[...]\Advanced : Start_ShowPrinters (0) -> FOUND
[HJ] HKCU\[...]\Advanced : Start_ShowRun (0) -> FOUND
[HJ] HKCU\[...]\Advanced : Start_ShowSetProgramAccessAndDefaults (0) -> FOUND
[HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> FOUND
[HJ] HKCU\[...]\ClassicStartMenu : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> FOUND
[HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> FOUND
[HJ] HKCU\[...]\ClassicStartMenu : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> FOUND
[HJ] HKCU\[...]\ClassicStartMenu : {645FF040-5081-101B-9F08-00AA002F954E} (1) -> FOUND

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver: [CHARGE] ¤¤¤

¤¤¤ Infection :  ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
127.0.0.1       localhost
::1             localhost


¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: WDC WD3200BEVT-22ZCT0 +++++
--- User ---
[MBR] d68ae23299775113a17039b12c8fce54
[BSP] d0f025686235e0637716d150b277a297 : Acer tatooed MBR Code
Partition table:
0 - [XXXXXX] ACER (0x27) [VISIBLE] Offset (sectors): 2048 | Size: 10240 Mo
1 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 20973568 | Size: 147501 Mo
2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 323055616 | Size: 143872 Mo
3 - [XXXXXX] COMPAQ (0x12) [VISIBLE] Offset (sectors): 617705472 | Size: 3630 Mo
User = LL1 ... OK!
User = LL2 ... OK!

Termine : << RKreport[1].txt >>
RKreport[1].txt



Par contre dès que j'ai cliqué sur supprimer, le pc s'est à nouveau bloqué. Donc je n'ai pas le rapport de supression.
Merci

[bernard53]

ok ne valide que ceci avec RoqueKiller

Racc. RAZ.

puis passe OTL.

[Ericausoleil]

Voici le rapport de racc.raz :

Code: Tout sélectionner

RogueKiller V7.3.2 [20/03/2012] par Tigzy
mail: tigzyRK<at>gmail<dot>com
Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html
Blog: http://tigzyrk.blogspot.com

Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version
Demarrage : Mode normal
Utilisateur: eric [Droits d'admin]
Mode: Raccourcis RAZ -- Date: 17/04/2012 22:18:08

¤¤¤ Processus malicieux: 0 ¤¤¤

¤¤¤ Driver: [CHARGE] ¤¤¤

¤¤¤ Attributs de fichiers restaures: ¤¤¤
Bureau: Success 24895 / Fail 0
Lancement rapide: Success 8 / Fail 0
Programmes: Success 56116 / Fail 0
Menu demarrer: Success 471 / Fail 0
Dossier utilisateur: Success 20454 / Fail 0
Mes documents: Success 7455 / Fail 0
Mes favoris: Success 56 / Fail 0
Mes images: Success 9201 / Fail 0
Ma musique: Success 1933 / Fail 0
Mes videos: Success 21 / Fail 0
Disques locaux: Success 58019 / Fail 0
Sauvegarde: [FOUND] Success 339 / Fail 8

Lecteurs:
[C:] \Device\HarddiskVolume2 -- 0x3 --> Restored
[D:] \Device\HarddiskVolume3 -- 0x3 --> Restored
[F:] \Device\CdRom0 -- 0x5 --> Skipped

¤¤¤ Infection : Rogue.FakeHDD ¤¤¤

Termine : << RKreport[3].txt >>
RKreport[1].txt ; RKreport[2].txt ; RKreport[3].txt




je passe à OTL
Merci

[Ericausoleil]

Voilà donc l'analyse OTL s'est bien terminée
voici donc le rapporte OTl.txt

http://cjoint.com/?BDrxqAdQTSN

et Extras.txt

http://cjoint.com/?BDrxsDGkKyf

Merci beaucoup

Cordialement

[bernard53]

ok fait ceci s.t.p

1-tu as bien relancer roqueKiller avec :
Cliquer sur Racc. RAZ. Cliquer sur Rapport et copier-coller le contenu du notepad

2-* Fait un double-clic sur l'icône d'OTL pour le lancer
/!\ pour Vista/Seven fais un clic-droit sur l'icône d'OTL et choisis "Exécuter en tant qu'administrateur"

* Assure-toi d'avoir fermé toutes les applications en court de fonctionnement.

* Quand la fenêtre d'OTL apparaît, assure toi que dans la section "Rapport" (en haut à droite) la case " Rapport minimal" soit cochée.

* Copies et colles le contenue de cette citation dans la partie inférieure d'OTL "Personnalisation"

:OTL
PRC - C:\Users\eric\AppData\Local\Temp\RtkBtMnt.exe (Realtek Semiconductor Corp.)
IE - HKCU\..\URLSearchHook: {472734EA-242A-422b-ADF8-83D1E48CC825} - No CLSID value found
O2 - BHO: (Ask Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files\Ask.com\GenericAskToolbar.dll (Ask)
O3 - HKLM\..\Toolbar: (no name) - {0BF43445-2F28-4351-9252-17FE6E806AA0} - No CLSID value found
O3 - HKLM\..\Toolbar: (Ask Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files\Ask.com\GenericAskToolbar.dll (Ask)
[2011/07/22 16:43:38 | 000,960,457 | ---- | M] () -- C:\Users\eric\AppData\Roaming\.minecraft\saves\ModernCraft City\Mods & Programs To Use\3-Hd Texture Fix\mcpatcher-2.1.0_02.exe
[2009/07/29 22:14:03 | 000,003,262 | R--- | M] () -- C:\Users\eric\AppData\Roaming\Microsoft\Installer\{16393B5A-43A8-434B-B22A-0724581F7873}\NewShortcut1_D50BB830396148EB83D903A04C63534F_1.exe
@Alternate Data Stream - 614 bytes -> C:\Users\eric\AppData\Local\Temp\smtmp\1\Programs\Call of Duty Modern Warfare 2\Call of Duty: Modern Warfare 2.lnk
@Alternate Data Stream - 136 bytes -> C:\ProgramData\TEMP:8BBD1F9A
@Alternate Data Stream - 136 bytes -> C:\ProgramData\TEMP:550A1487
@Alternate Data Stream - 131 bytes -> C:\ProgramData\TEMP:9F683177
@Alternate Data Stream - 131 bytes -> C:\ProgramData\TEMP:8AB6C1D7
@Alternate Data Stream - 130 bytes -> C:\ProgramData\TEMP:193426B4
@Alternate Data Stream - 129 bytes -> C:\ProgramData\TEMP:9E22BBE8
@Alternate Data Stream - 128 bytes -> C:\ProgramData\TEMP:FEBEC560
@Alternate Data Stream - 127 bytes -> C:\ProgramData\TEMP:861A898F
@Alternate Data Stream - 115 bytes -> C:\ProgramData\TEMP:4F636E25
@Alternate Data Stream - 109 bytes -> C:\ProgramData\TEMP:DFC5A2B2
@Alternate Data Stream - 109 bytes -> C:\ProgramData\TEMP:580E04D8
@Alternate Data Stream - 105 bytes -> C:\ProgramData\TEMP:E36F5B57
@Alternate Data Stream - 104 bytes -> C:\ProgramData\TEMP:793F316E
:Commands
[reboot]

* Cliques sur l'icône Correction (en haut à gauche) .
* Laisse le scan aller à son terme sans te servir du PC
* A la fin du scan un rapport s'ouvrir "OTL.log"
* Copie et colle le ou les rapports dans ta réponse stp...
* Au cas où, tu peux les retrouver dans le dossier C:\OTL ou sur ton bureau en fonction des cas rencontrés
Mets le rapport ici car il prend bien de la place.

http://cjoint.com/


3- Désactive ton anti Virus avant le scan car il bloque sur la désinfection

Télécharge USBFix depuis ce lien : <<ICI>>

Double cliquez sur "UsbFix.exe" présent sur votre bureau.
L'installation est automatique.

Branche tes lecteurs externes
Valide Suppression

Une fois l'analyse terminée, un rapport de scan vous est proposé...

CTRL+A pour tout sélectionner
CTRL+C pour copier
CTRL+V pour coller dans la réponse

Tiens moi au courant suite à ces manips.

[Ericausoleil]

J'ai fais comme vous me l'avez dis j'ai ouvert OTL j'ai collez ce que vous m'avez cité dans personnalisation, la case rapport minimale était cochée et lorsque j'ai cliquer sur correction à la fin il à redemarrer mon PC.
Mais je n'ai pas eu de rapport.
est-ce normal ? Merci ( sinon je n'ai pas refais Racc.Raz fallait t-il que je le refasse ? )

[bernard53]

sinon je n'ai pas refais Racc.Raz fallait t-il que je le refasse ?

As tu retrouver tous tes icones?

Pour OTL regarde ici. C:\OTL

[Ericausoleil]

Oui j'ai retrouvé mes icones, et je suis allé voir dans C:\OTL je suis rentré dans le dossier movedfiles et en ficher .log j'ai trouvé ça

Code: Tout sélectionner

========== OTL ==========
Process RtkBtMnt.exe killed successfully!
Registry value HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\URLSearchHooks\\{472734EA-242A-422b-ADF8-83D1E48CC825} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{472734EA-242A-422b-ADF8-83D1E48CC825}\ not found.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D4027C7F-154A-4066-A1AD-4243D8127440}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{D4027C7F-154A-4066-A1AD-4243D8127440}\ not found.
File C:\Program Files\Ask.com\GenericAskToolbar.dll not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar\\{0BF43445-2F28-4351-9252-17FE6E806AA0} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{0BF43445-2F28-4351-9252-17FE6E806AA0}\ not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar\\{D4027C7F-154A-4066-A1AD-4243D8127440} not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{D4027C7F-154A-4066-A1AD-4243D8127440}\ not found.
File C:\Program Files\Ask.com\GenericAskToolbar.dll not found.
C:\Users\eric\AppData\Roaming\.minecraft\saves\ModernCraft City\Mods & Programs To Use\3-Hd Texture Fix\mcpatcher-2.1.0_02.exe moved successfully.
C:\Users\eric\AppData\Roaming\Microsoft\Installer\{16393B5A-43A8-434B-B22A-0724581F7873}\NewShortcut1_D50BB830396148EB83D903A04C63534F_1.exe moved successfully.
Unable to delete ADS C:\Users\eric\AppData\Local\Temp\smtmp\1\Programs\Call of Duty Modern Warfare 2\Call of Duty: Modern Warfare 2.lnk .
ADS C:\ProgramData\TEMP:8BBD1F9A deleted successfully.
ADS C:\ProgramData\TEMP:550A1487 deleted successfully.
ADS C:\ProgramData\TEMP:9F683177 deleted successfully.
ADS C:\ProgramData\TEMP:8AB6C1D7 deleted successfully.
ADS C:\ProgramData\TEMP:193426B4 deleted successfully.
ADS C:\ProgramData\TEMP:9E22BBE8 deleted successfully.
ADS C:\ProgramData\TEMP:FEBEC560 deleted successfully.
ADS C:\ProgramData\TEMP:861A898F deleted successfully.
ADS C:\ProgramData\TEMP:4F636E25 deleted successfully.
ADS C:\ProgramData\TEMP:DFC5A2B2 deleted successfully.
ADS C:\ProgramData\TEMP:580E04D8 deleted successfully.
ADS C:\ProgramData\TEMP:E36F5B57 deleted successfully.
ADS C:\ProgramData\TEMP:793F316E deleted successfully.
========== COMMANDS ==========
 
OTL by OldTimer - Version 3.2.39.2 log created on 04182012_135041


[bernard53]

Comment va ton pc maintenant?