supprimer virus thinkpointRésolu/Fermé

Question

Bonjour, 



voila je viens d etre infecté par thinkpoint sur un site de streaming.
celui ci m empeche d aller sur le net,d ouvrir mon gestionnaire etc;;;
je ne peux plus rien faire.
voici la seul solution qui me fait avancer:
http://deletemalware.blogspot.com/2010/10/how-to-remove-thinkpoint-uninstall.html
mon probléme est que j ai besoin d ouvrir le gestionnaire de tache tres rapidement pour contrer le virus.
la ou ca bloque c est que je peux ouvrir mon gestionnaire ou faisant clique droit sur la petite fleche en bas a droite ou meme dans la barre de tache mais il me faut absolument alt/ctrl/sup pour etre rapide mais celui ci ne fonctionne pas.
est que quelqu un a une solution pour rendre actif la manip alt/ctrl/sup.
je vous rappel que je n ai du coup plus accés au net.
merci de votre aide

benurrr · Accepted Answer

télécharge

https://www.commentcamarche.net/telecharger/securite/14361-malwarebytes-anti-malware/

a l'installation vérifie que mise a jour et lancer programme et scan complet sont bien cocher

Une fois a jour, le programme va se lancer; clic sur l'onglet paramètre, et coche la case : "Arrêter internet explorer pendant la suppression".

A la fin du scan clique sur Afficher les résultats

Vérifier si tout est coché et clic Supprimer la sélection

S'il t'es demandé de redémarrer >>> clique sur "Yes"

Et tu poste le rapport générer

stefanodimecanic · Answer

Bonjour,

J'ai trouvé ceci :
http://news.loaris.com/thinkpoint-removal-how-to-delete-thinkpoint/?gclid=CLui87Dq3qQCFc0_4wodfF7aMA
Tu peux accéder à un applicatif pour deleter ou bien suivre les instruction manuelles. 
Désolé c'est en anglais ...

benurrr · Answer

Salut,

va dans:
démarrer->exécuter->tape ou fait un copier coller: control userpasswords2->va dans l'onglet options avancées et coche " les utilisateurs doivent appuyer sur ctrl+alt+suppr"->OK->

et redémarre.

francky · Answer

merci beaucoup pour ces reponses si rapide.
mon pc rame au demarage maintenant,mais c est réellement un mieux.
encore merci.

francky · Answer

merci de me consacrer tout ce temps.

mon pc met environ 15 min au demarrage pour etre operationnel(le sablier) et le meme temps pour s éteindre.
j avais une ancienne version de malaware bytes qui n avait rien trouvé,je l est donc desinstaller et suivi tes conseils.
je ne pouvais pas lancer malaware en mode normal.
mon premier rapport vient donc du mode sans echec avec gestion reseau.
le deuxieme vient du mode normal et ce qui me semble etrange c est qu il a encore trouvé des fichiers infecté.
j ai peur que ce soit de fausses alerte et que du coup je supprime des choses importantes.

mon 1er rapport(mode sans echec)

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4888

Windows 5.1.2600 Service Pack 3 (Safe Mode)
Internet Explorer 8.0.6001.18702

20/10/2010 07:29:53
mbam-log-2010-10-20 (07-29-53).txt

Type d'examen: Examen complet (C:\|)
Elément(s) analysé(s): 202626
Temps écoulé: 15 minute(s), 18 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 2
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 5

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\NtWqIVLZEWZU (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\IJKUK66HMN (Trojan.FakeAlert) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ijkuk66hmn (Trojan.FakeAlert) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Documents and Settings\xp\Application Data\hotfix.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\Documents and Settings\xp\Bureau\PROGRAMMES\VLCSetup.exe (Adware.HotBar) -> Quarantined and deleted successfully.
C:\Documents and Settings\xp\Local Settings\Temp\fvxme.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\Documents and Settings\All Users\Documents\Server\admin.txt (Malware.Trace) -> Quarantined and deleted successfully.
C:\Documents and Settings\All Users\Documents\Server\server.dat (Malware.Trace) -> Quarantined and deleted successfully.

francky · Answer

voici le 2 eme en mode normal


Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4888

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

20/10/2010 08:06:49
mbam-log-2010-10-20 (08-06-49).txt

Type d'examen: Examen complet (C:\|)
Elément(s) analysé(s): 204377
Temps écoulé: 27 minute(s), 37 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 2

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\System Volume Information\_restore{DFE7C792-7463-4889-96E7-6F4F8B1C22A1}\RP4\A0015400.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{DFE7C792-7463-4889-96E7-6F4F8B1C22A1}\RP4\A0015401.exe (Adware.HotBar) -> Quarantined and deleted successfully.



encore merci.

benurrr · Answer

c'est rien juste la restauration system qui est verole

Télécharge Ad-Remover sur ton bureau: 
http://pagesperso-orange.fr/NosTools/C_XX/AD-R.exe 
https://www.androidworld.fr/ 

Double clique sur le fichier que tu viens de télécharger, à l'écran qui apparait, clique sur "Scanner". 
Laisse travailler l'outil. 
Poste le rapport qui s'affiche à l'écran quand l'analyse est terminée. 
Par Manque De Curiosité On Risque De Mourir Ignorant;Tu es libre de penser que tu es C.., 
Mais C.. de penser que ­tu es libre...Merci a australe13

francky · Answer

voici le rapport ad remover



======= RAPPORT D'AD-REMOVER 2.0.0.2,A | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par TeamXscript le 19/10/10 à 20:10
Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
Site web: http://www.teamxscript.org

C:\Program Files\Ad-Remover\main.exe (SCAN [1]) -> Lancé à 09:50:02 le 20/10/2010, Mode normal

Microsoft Windows XP Édition familiale Service Pack 3 (X86) 
xp@XP-864FE8E747C1 ( ) 
 
============== RECHERCHE ==============


Fichier trouvé: C:\Documents and Settings\xp\scriptjava.html

Clé trouvée: HKLM\Software\Classes\CLSID\{47C6C527-6204-4F91-849D-66E234DEE015}
Clé trouvée: HKLM\Software\Classes\CLSID\{9461b922-3c5a-11d2-bf8b-00c04fb93661}
Clé trouvée: HKLM\Software\Classes\CLSID\{B791A095-A4AC-4312-8894-5B7E8FF5B3CD}
Clé trouvée: HKLM\Software\Classes\TypeLib\{ECA4E801-17AE-4863-9F5C-AF4047AABEE0}

Valeur trouvée: HKLM\Software\Microsoft\Windows\CurrentVersion\Run|binternet


============== SCAN ADDITIONNEL ==============

** Internet Explorer Version [8.0.6001.18702] **

[HKCU\Software\Microsoft\Internet Explorer\Main] 
Default_Page_URL: hxxp://www.google.com
Default_Search_URL: hxxp://www.google.com
Do404Search: 0x01000000
Enable Browser Extensions: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search bar: hxxp://www.google.com
Search Page: hxxp://www.google.com
Show_ToolBar: yes
Start Page: hxxp://www.google.fr/webhp?sourceid=navclient&hl=fr&ie=UTF-8
Use Search Asst: no

[HKLM\Software\Microsoft\Internet Explorer\Main] 
Default_Page_URL: hxxp://www.google.com
Default_Search_URL: hxxp://go.microsoft.com/fwlink/?LinkId=54896
Delete_Temp_Files_On_Exit: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search Page: hxxp://www.google.com
Start Page: hxxp://www.google.com

[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS] 
Tabs: res://ieframe.dll/tabswelcome.htm
Blank: res://mshtml.dll/blank.htm

========================================

C:\Program Files\Ad-Remover\Quarantine: 0 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 1 Fichier(s)

C:\Ad-Report-SCAN[1].txt - 20/10/2010 (914 Octet(s)) 

Fin à: 09:50:43, 20/10/2010 
 
============== E.O.F ==============

benurrr · Answer

Nettoyage:

/!\ Ferme toutes tes applications ouvertes. /!\

Double clique sur le fichier que tu viens de télécharger, à l'écran qui apparait, clique sur "Nettoyer".
Laisse travailler l'outil.
Poste le rapport qui s'affiche à l'écran quand l'analyse est terminée.

GodnessBook · Answer

J'ai moi meme été infecté a l'instant... Mais apparement j'ai reussi a eradique l'ennemi !! Effectivement, le petit coquin semblait se loger dans Users\...\AppData\Roaming sous le nom de HotFix.exe !
Effectivement au lancement de l'ordinateur, lorsque Think Point se lancait, il eztait encore possible d'ouvrir le gestionnaire de tache et en arretant le processus Hotfix, Think POint s'etaignait ! Mais evidemment je ne pouvais pas aller dans le bureau ! De cette maniere, j'ai reussi a le localiser (En faisant propriétés dans le Gestionnaire de taches) !
J'ai cherché avec l'Exporateur Windows mais evidemmment impossible de le supprimer puisqu'il est en cours d'utilisation sur la session ! Alors j'ai crée un 2 eme compte, fermé cette session, ouvert la 2eme ! Et la, tadam, Think POint ne s'ouvre pas puisqu'il s'est installé uniquement sur la 1ere session ! D'ici, j'ai pu le supprimer sans probleme !! Et depuis, il ne s'est pas ouvert sur aucune des sessions !! ^^

GodnessBook · Answer

Esperons que ca suffira !!

francky · Answer

voila j ai tout fermé,j ai lancer nettoyer,effectivement il m a demandé de redémarrer le pc.
le probléme est que je me retrouve sur l écran de fermeture de windows depuis 15 min avec le sablier qui clignote.
je ne peux donc pas envoyer le rapport.
dois je eteindre mon pc manuellement?

francky · Answer

voici le rapport apres le nettoyage d ad remover par contre je suis en mode sans echec avec gestion reseau.


======= RAPPORT D'AD-REMOVER 2.0.0.2,A | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par TeamXscript le 19/10/10 à 20:10
Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
Site web: http://www.teamxscript.org

C:\Program Files\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 18:49:59 le 20/10/2010, Mode normal

Microsoft Windows XP Édition familiale Service Pack 3 (X86) 
xp@XP-864FE8E747C1 ( ) 
 
============== ACTION(S) ==============


Fichier supprimé: C:\Documents and Settings\xp\scriptjava.html

(!) -- Fichiers temporaires supprimés.


Clé supprimée: HKLM\Software\Classes\CLSID\{47C6C527-6204-4F91-849D-66E234DEE015}
Clé supprimée: HKLM\Software\Classes\CLSID\{9461b922-3c5a-11d2-bf8b-00c04fb93661}
Clé supprimée: HKLM\Software\Classes\CLSID\{B791A095-A4AC-4312-8894-5B7E8FF5B3CD}
Clé supprimée: HKLM\Software\Classes\TypeLib\{ECA4E801-17AE-4863-9F5C-AF4047AABEE0}

Valeur supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Run|binternet


============== SCAN ADDITIONNEL ==============

** Internet Explorer Version [8.0.6001.18702] **

[HKCU\Software\Microsoft\Internet Explorer\Main] 
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Do404Search: 0x01000000
Enable Browser Extensions: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
Show_ToolBar: yes
Start Page: hxxp://fr.msn.com/
Use Search Asst: no

[HKLM\Software\Microsoft\Internet Explorer\Main] 
Default_Page_URL: hxxp://go.microsoft.com/fwlink/?LinkId=54896
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Delete_Temp_Files_On_Exit: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search bar: hxxp://search.msn.com/spbasic.htm
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Start Page: hxxp://fr.msn.com/

[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS] 
Tabs: res://ieframe.dll/tabswelcome.htm
Blank: res://mshtml.dll/blank.htm

========================================

C:\Program Files\Ad-Remover\Quarantine: 1 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 16 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 20/10/2010 (553 Octet(s)) 
C:\Ad-Report-SCAN[1].txt - 20/10/2010 (2160 Octet(s)) 
C:\Ad-Report-SCAN[2].txt - 20/10/2010 (2216 Octet(s)) 
C:\Ad-Report-SCAN[3].txt - 20/10/2010 (2272 Octet(s)) 

Fin à: 18:50:37, 20/10/2010 
 
============== E.O.F ==============

benurrr · Answer

tu va télécharger Ccleaner http://dl.commentcamarche.net/www.commentcamarche.net/download/files/ccsetup227_slim.exe 

ouvre "Ccleaner" vas dans l'onglet "Option" puis "Avancé" puis décoches "Effacer uniquement les fichiers, du dossier temp de Windows, plus vieux que 48 heures." 

. Puis vas dans l'onglet "Nettoyeur" fais "Analyse" puis "Lancer le nettoyage". 
 Puis vas dans l'onglet "Registre" puis fait "Chercher des erreurs" puis "Réparer les erreurs sélectionnée" 
. Tu refais tous ca 4-5 fois (le nettoyage et le registre).  

Puis reste dans "Ccleaner" puis va dans "Option" puis "Propriété" puis coches "Nettoyer automatiquement l'ordinateur au démarrage".  

içi mode d'emploi pour ccleaner 

https://www.malekal.com/tutoriel-ccleaner/ 

après sa tu fait redémarrage en mode normal pour voir si c'est toujours aussi long 

tu a fait quoi comme manip sur ton pc avant de passer AD-Remover ?


Par Manque De Curiosité On Risque De Mourir Ignorant;Tu es libre de penser que tu es C.., 
Mais C.. de penser que ­tu es libre...Merci a australe13

letiati · Answer

j'ai le meme probleme voici mon rapport avec ad-remover 






======= RAPPORT D'AD-REMOVER 2.0.0.2,B | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par TeamXscript le 20/10/10 à 13:00
Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
Site web: http://www.teamxscript.org

C:\Program Files\Ad-Remover\main.exe (SCAN [1]) -> Lancé à 20:35:12 le 20/10/2010, Mode normal

Microsoft® Windows Vista(TM) Édition Familiale Premium  Service Pack 2 (X86) 
Michel@PC-DE-ALEXANDRE (Packard Bell BV EasyNote MB87) 
 
============== RECHERCHE ==============


Dossier trouvé: C:\Program Files\Mozilla FireFox\extensions\{C91E1C68-B60A-4C9F-B53B-AAAEF0E7EF97}
Dossier trouvé: C:\Program Files\Ask.com
Dossier trouvé: C:\Users\Michel\AppData\LocalLow\Conduit
Dossier trouvé: C:\Program Files\Conduit
Dossier trouvé: C:\Program Files\QuestDns

Clé trouvée: HKLM\Software\Classes\Interface\{79FB5FC8-44B9-4AF5-BADD-CCE547F953E5}
Clé trouvée: HKLM\Software\Classes\ShopperReports.Reporter
Clé trouvée: HKLM\Software\Classes\ShopperReports.Reporter.1
Clé trouvée: HKLM\Software\Classes\Toolbar.CT1726058
Clé trouvée: HKLM\Software\Classes\Toolbar.CT2438727
Clé trouvée: HKLM\Software\Classes\Toolbar.CT2445907
Clé trouvée: HKLM\Software\Conduit
Clé trouvée: HKCU\Software\AppDataLow\Software\Conduit
Clé trouvée: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E}
Clé trouvée: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}
Clé trouvée: HKLM\Software\Microsoft\Internet Explorer\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}

Valeur trouvée: HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser|{D4027C7F-154A-4066-A1AD-4243D8127440}


============== SCAN ADDITIONNEL ==============

** Mozilla Firefox Version [3.6.11 (fr)] **

-- C:\Users\Michel\AppData\Roaming\Mozilla\FireFox\Profiles	klsk6vj.default\Prefs.js --
browser.startup.homepage, hxxp://www.google.fr/
browser.startup.homepage_override.mstone, rv:1.9.2.10

========================================

** Internet Explorer Version [8.0.6001.18975] **

[HKCU\Software\Microsoft\Internet Explorer\Main] 
Do404Search: 0x01000000
Enable Browser Extensions: yes
Local Page: C:\Windows\system32\blank.htm
Search bar: hxxp://www.google.com/ie
Search Page: hxxp://www.google.com
Show_ToolBar: yes
Start Page: hxxp://www.google.fr/
Use Search Asst: no

[HKLM\Software\Microsoft\Internet Explorer\Main] 
AutoHide: yes
Default_Page_URL: hxxp://go.microsoft.com/fwlink/?LinkId=69157
Default_Search_URL: hxxp://go.microsoft.com/fwlink/?LinkId=54896
Delete_Temp_Files_On_Exit: yes
Enable Browser Extensions: yes
Local Page: C:\Windows\System32\blank.htm
Search Page: hxxp://go.microsoft.com/fwlink/?LinkId=54896
Start Page: hxxp://go.microsoft.com/fwlink/?LinkId=56626&homepage=hxxp://go.microsoft.com/fwlink/?LinkId=69157
Use Search Asst: no

[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS] 
Tabs: res://ieframe.dll/tabswelcome.htm
Blank: res://mshtml.dll/blank.htm

========================================

C:\Program Files\Ad-Remover\Quarantine: 0 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 1 Fichier(s)

C:\Ad-Report-SCAN[1].txt - 20/10/2010 (3157 Octet(s)) 

Fin à: 20:36:36, 20/10/2010 
 
============== E.O.F ==============

benurrr · Answer

letiati 

CREER TON PROPRE TOPIK 

Il serait préférable que tu crées ton propre « topik » message personnel. Cela rendra le poste (ici) plus compréhensible, et nous pourrons traiter ton soucis avec plus d'efficacité. 
Donc

letiati · Answer

ok désoler voila j'en ai fait un et encore désoler

francky · Answer

ok je fais ca tout de suite
merci

francky · Answer

pour les manip,j ai un peu bidouiller,mais je n ai rien effacer.
j a i plusieurs fois fait tourner malaware bytes et a chaque fois il me trouve des nouveaux fichiers infectés.
j ai toujour supprimer.
apres reflection j ai souvent vu le mot fake alert et du coup j ai peur d avoir supprimé des fichiers important.

francky · Answer

j ai effacé ce fichier:



HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon "Shell" = "%AppData%\hotfix.exe"

francky · Answer

j ai chopé ce virus en regardant une video streaming sur megavideo,j ai changé mon adresse ip dans la page de gestion de ma box.
c est a partir de ce moment que j ai chopé ce truc.
a savoir que j ai toujour eu des pubs pour des sites de rencontre,mais maintenant ce sont des page en anglais avec des sites pour donner son sang etc...

francky · Answer

c est enorme,le nettoyage du registre a donné 224 erreurs

benurrr · Answer

du coup ton pc a quoi comme symptôme ? 

DÉSACTIVE TON ANTIVIRUS ET TON PAREFEU SI PRÉSENTS !!!!!(car il est détecte a tort comme infection)   

Télécharge ici :List_Kill'em de gen-hackman    

http://sd-4.archive-host.com/membres/up/829108531491024/Mes_Tools/List_Killem_Install.exe 


et enregistre le sur ton bureau  

 windows 7 => clic droit "exécuter en tant que administrateur  

sur le raccourci sur ton bureau pour lancer l'installation  

Laisse coché :  

  Exécuter List_Kill'em  

une fois terminée , clic sur "terminer" et le programme se lancera seul  

Il commencera par telecharger et installer ses mises à jour , puis te donnera son menu  

choisis l'option Search  

  laisse travailler l'outil  

il se peut qu'une boite de dialogue s'ouvre , dans ce cas clique sur "ok" ou "Agrée"  

à l'apparition de la fenetre blanche , c'est un peu long , c'est normal ,c'est une recherche supplementaire de fichiers cachés , le programme n'est pas bloqué.  

  Poste le contenu du rapport qui s'ouvre aux 100 % du scan à l'ecran "COMPLETED"  

------  NE LE POSTE PAS SUR LE FORUM-------  

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/  

  Clique sur Parcourir et cherche le fichier C:\List'em.txt  

  Clique sur Ouvrir.  

 Clique sur "Cliquez ici pour déposer le fichier".  

Un lien de cette forme :  

http://www.cijoint.fr/cjlink.php?file=265368/cijSKAP5fU.txt  

est ajouté dans la page.  

  Copie ce lien dans ta réponse.  

Par Manque De Curiosité On Risque De Mourir Ignorant;Tu es libre de penser que tu es C.., 
Mais C.. de penser que ­tu es libre...Merci a australe13

francky · Answer

ok merci.
les symptomes:
suite a tes conseils j ai redémaré le pc.
il a fermé a une vitesse normal et c est reouvert aussi facilement donc c est super.
maintenant mon prob c est que je me retrouve sur mon bureau.
sur le bureau je peux ouvrir mes doc,programme,je peux aller dans poste travail etc...
mais dés que je met la souris dans la barre de tache en bas de l ecran j ai le sablIer.
si je clic sur internet ou gestionnaire des taches,la il se bloque pendant un bon moment.
une piste qui me semble etrange c est que la petite musique d ouverture de windows arrive 15 minutes environ apres l ouverture de windows et c est a ce moment la que je peux acceder a ma barre de tache.
je v ais sur le net avec un second petit pc portable car sur l autre c est trop long.
les manips sont assez longues car j ai dois attendre un bon moment avant de pouvoir utiliser mon pc et je ne veux pas squatter toute ta soirée.
en tout cas tu es bien courageux et c est vraiment sympas de ta part.
je vais suivre tes instructions a te repondre au plus vite.
il n y a pas de prob,tu me repond quand tu veux ou quand tu peux.

benurrr · Answer

pas de soucie prend ton temps et poste quand tu peut

laf · Answer

Je suis allé dans Windows Defender, gestion des programmes au démarrage, pour le désactiver, puis après je l'ai simplement mis à la corbeille depuis son emplacement: il s'appelle: hotfix.exe. Je ne sais pas si ça va durer mais ja'i récupéreé internet explorer pour l'instant...A suivre

francky · Answer

voici le rapport kill em:

http://www.cijoint.fr/cjlink.php?file=cj201010/cijoebIxc6.txt

benurrr · Answer

Relance List_Kill'em(soit en clic droit pour vista/7),avec le raccourci sur ton bureau. 
mais cette fois-ci : 

choisis l'option CLEAN 

laisse travailler l'outil. 

en fin de scan la fenêtre se ferme , et tu as un rapport du nom de Kill'em.txt sur ton bureau

francky · Answer

voila un nouveau phenoméne:
Generic Host Process for win 32 a rencontré un probleme et doit fermer.
ce phenoméne et apparu un petit moment apres avoir lancé clean de kill em.
je n ai ni fermé ni envoyé le rapport d erreur par peur que cela ferme kill em.
j espere que cela ne va pas troubler le rapport.
qu en pense tU?dois je relancer kill em?
a noter que je n ai plus du tout l apparition de thinkpoint.
merci a tout ceux qui me donnent une solution mais je vais rester sur les manips de BENURRR pour ne pas foutre tout son travail en l air.
quand je redémarre ou ferme windows j ai un truc qui se ferme et qui est nouveaux: qtplugins se ferme.
ce matin l ouverture de windows a etait plus rapide bien que je n ai pas tenté d aller sur le net.en tout cas j ai l impression d avancé.MERCI
dés que kill em affiche le rapport je le post,par contre dis moi si je dois le refaire a cause de ce Generic Host Process.
merci.

francky · Answer

bonjour

je viens de voir ton message.
kill em n a pas encore terminer clean.
j ai donc toujours le message generic host process et maintenant j ai un nouveau message:

svchost.exe-erreur d application
l instruction a "0x7c933845" emploi l adresse mémoire"0x00000000" 
la memoire ne peut etre read.
donc j ai ces deux message que je n ai pas touché avec kill em qui travaill derriere.
dois je recommencer kill em clean?
pour qtplugin c est simplement a la fermeture de windows.

francky · Answer

ok

francky · Answer

bon je relance kill em clean car le prog s est terminé sans aucune reaction,ni aucun rapport.

benurrr · Answer

sur le bureau rien ?

francky · Answer

bon c est bon,il est sur le bureau.
pour l instant le pc est tres instable,simplement le fond decran ou ecran noir,mais de temp en temp le bureau est ok.
ma seul solution pour t envoyer le rapport c est en mode sans echec avec gestion reseau.

francky · Answer

le voici:
http://www.cijoint.fr/cjlink.php?file=cj201010/cijATkaT28.txt

benurrr · Answer

Telecharge combofix :
Faire un clic droit sur le lien
http://download.bleepingcomputer.com/sUBs/ComboFix.exe

    * Choisir : "Enregistrer la cible du lien sous..."
    * Choisir le Bureau comme destination.
    * Dans le champ "Nom du fichier", renommer ComboFix.exe en CCM.exe par exemple, puis enregistrer.
    * Attention ! L'étape de renommage est obligatoire sous peine de voir afficher le message "ComboFix.exe n'est pas une application win32 valide" et de le rendre ainsi totalement inefficace. 


-> Double clique combofix.exe. 
-> Tape sur la touche 1 (Yes) pour démarrer le scan. 
-> Lorsque le scan sera complété, un rapport apparaîtra. Copie/colle ce rapport dans ta prochaine réponse. 

NOTE : Le rapport se trouve également ici : C:\Combofix.txt 

Avant d'utiliser ComboFix : 

-> Déconnecte toi d'internet et referme les fenêtres de tous les programmes en cours. 

-> Désactive provisoirement et seulement le temps de l'utilisation de ComboFix, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil. 

Une fois fait, sur ton bureau double-clic sur Combofix.exe. 

- Répond oui au message d'avertissement, pour que le programme commence à procéder à l'analyse du pc. 

-Attention  Pendant la durée de cette étape, ne te sert pas du pc et n'ouvre aucun programmes. risque de figer l'ordi 

- En fin de scan il est possible que ComboFix ait besoin de redémarrer le pc pour finaliser la désinfection\recherche, laisses-le faire. 

- Un rapport s'ouvrira ensuite dans le bloc notes, ce fichier rapport Combofix.txt, est automatiquement sauvegardé et rangé à C:\Combofix.txt) 

-> Réactive la protection en temps réel de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet. 

-> Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message. 

!\ Ne touche à rien tant que le scan n'est pas terminé. /!\ : risque de figer l'ordi (plantage complet) 

::Si combofix detecte quelque chose et de demande a redémarrer tu accepte

francky · Answer

ok mais est que je peux faire cette manip en mode sans echec ou bien suis-je obligé de repasser en mode normal?

francky · Answer

ok je tente en mode normal mais ca risque d etre unpeu long

francky · Answer

combofix m a demandé de me connecter a internet pour telecharger le prog de recuperation,ce que j ai fait,ensuite je l ai lancé.
il a redémarré.
maintenant j ai seulement le fond d ecran,ce qui se passe une fois sur quatre.
combofix travail.
j ai du rallumer le pc pour passer en mode sans echec pour envoyer le rapport.
juste avant la fermeture avast a mis un virus en quarantaine,je n ai eu le temps de rien faire le pc s est arreté.
il me semble que c etait un truc du genre winolog.exe

francky · Answer

voici le rapport en mode normal: ComboFix 10-10-20.04 - xp 21/10/2010 13:40:42.1.2 - x86 Microsoft Windows XP Édition familiale 5.1.2600.3.1252.33.1036.18.2038.1675 [GMT 2:00] Lancé depuis: c:\documents and settings\xp\Bureau\CCM.exe.exe AV: avast! Antivirus *On-access scanning disabled* (Updated) {7591DB91-41F0-48A3-B128-1A293FD8233D} AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !! . (((((((((((((((((((((((((((((((((((( Autres suppressions )))))))))))))))))))))))))))))))))))))))))))))))) . c:\documents and settings\All Users\Application Data\Tages c:\documents and settings\All Users\Application Data\Tages\100663909\Serial.txt c:\documents and settings\All Users\Application Data\Tages\Priv.xey c:\documents and settings\xp\Application Data\download2 c:\documents and settings\xp\Application Data\download2\svcnost.exe c:\windows\explorer.exe . . . est infecté!! c:\windows\system32\winlogon.exe . . . est infecté!! . ((((((((((((((((((((((((((((( Fichiers créés du 2010-09-21 au 2010-10-21 )))))))))))))))))))))))))))))))))))) . 2010-10-20 23:19 . 2010-10-21 06:31 -------- d-----w- C:\Kill'em 2010-10-20 20:38 . 2010-10-21 07:40 -------- d-----w- c:\program files\List_Kill'em 2010-10-20 18:20 . 2010-10-20 18:20 -------- d-----w- c:\documents and settings\clean 2010-10-20 17:04 . 2010-10-20 17:51 44800 ----a-w- c:\windows\system32\drivers\afwvyzd.sys 2010-10-20 07:50 . 2010-10-20 18:59 -------- d-----w- c:\program files\Ad-Remover 2010-10-20 07:49 . 2010-10-20 07:52 -------- d-----w- c:\documents and settings\NetworkService\Local Settings\Application Data\Adobe 2010-10-20 05:10 . 2010-04-29 13:39 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys 2010-10-20 05:10 . 2010-10-20 05:10 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware 2010-10-20 05:10 . 2010-04-29 13:39 20952 ----a-w- c:\windows\system32\drivers\mbam.sys 2010-10-19 08:19 . 2010-10-19 08:19 -------- d-----w- c:\windows\system32\wbem\Repository 2010-10-19 08:17 . 2010-10-19 08:17 -------- d-sh--w- c:\documents and settings\NetworkService\IETldCache 2010-10-19 06:22 . 2008-04-13 09:40 34688 -c--a-w- c:\windows\system32\dllcache\lbrtfdc.sys 2010-10-19 06:22 . 2008-04-13 09:40 34688 ----a-w- c:\windows\system32\drivers\lbrtfdc.sys 2010-10-19 06:22 . 2008-04-13 09:41 8576 -c--a-w- c:\windows\system32\dllcache\i2omgmt.sys 2010-10-19 06:22 . 2008-04-13 09:41 8576 ----a-w- c:\windows\system32\drivers\i2omgmt.sys 2010-10-19 06:22 . 2008-04-13 09:41 8192 -c--a-w- c:\windows\system32\dllcache\changer.sys 2010-10-19 06:22 . 2008-04-13 09:41 8192 ----a-w- c:\windows\system32\drivers\changer.sys 2010-10-19 06:22 . 2010-10-19 06:22 -------- d-----w- c:\documents and settings\xp\Application Data\6B511F833D1791EDFDCC9EEDACF42419 2010-10-13 20:47 . 2010-10-13 21:03 -------- d-----w- c:\documents and settings\xp\P5JavaClientSettings 2010-10-12 23:38 . 2008-04-14 12:00 221184 ----a-w- c:\windows\system32\wmpns.dll 2010-10-07 18:21 . 2010-10-07 18:21 -------- d-----w- c:\program files\Fichiers communs\Adobe 2010-10-06 01:37 . 2010-10-06 21:33 -------- d-----w- c:\program files\Anno 1701 2010-10-06 01:37 . 2006-02-07 13:45 757760 ----a-w- c:\program files\Fichiers communs\InstallShield\Professional\RunTime\11\50\Intel32\iKernel.dll 2010-10-06 01:37 . 2006-02-07 13:40 204800 ----a-w- c:\program files\Fichiers communs\InstallShield\Professional\RunTime\11\50\Intel32\iuser.dll 2010-10-06 01:37 . 2006-02-07 13:40 69715 ----a-w- c:\program files\Fichiers communs\InstallShield\Professional\RunTime\11\50\Intel32\ctor.dll 2010-10-06 01:37 . 2006-02-07 13:40 274432 ----a-w- c:\program files\Fichiers communs\InstallShield\Professional\RunTime\11\50\Intel32\iscript.dll 2010-10-06 01:37 . 2006-02-07 13:39 32768 ----a-w- c:\program files\Fichiers communs\InstallShield\Professional\RunTime\Objectps.dll 2010-10-06 01:37 . 2005-11-13 21:19 5632 ----a-w- c:\program files\Fichiers communs\InstallShield\Professional\RunTime\11\50\Intel32\DotNetInstaller.exe 2010-10-06 01:37 . 2010-10-06 01:37 331908 ----a-w- c:\program files\Fichiers communs\InstallShield\Professional\RunTime\11\50\Intel32\setup.dll 2010-10-06 01:37 . 2010-10-06 01:37 200836 ----a-w- c:\program files\Fichiers communs\InstallShield\Professional\RunTime\11\50\Intel32\iGdi.dll 2010-10-05 23:36 . 2010-10-05 23:36 -------- d-----w- c:\program files\7-Zip 2010-10-04 01:02 . 2010-10-04 08:07 -------- d-----w- c:\documents and settings\All Users\Application Data\Blizzard Entertainment 2010-10-03 22:03 . 2010-10-03 22:03 -------- d-----w- c:\documents and settings\All Users\Application Data\Blizzard 2010-09-30 23:44 . 2010-09-30 23:44 -------- d-----w- c:\program files\DAEMON Tools Lite 2010-09-30 23:42 . 2010-09-30 23:44 -------- d-s---w- c:\documents and settings\Administrateur 2010-09-30 22:23 . 2010-09-30 23:44 -------- d-----w- c:\documents and settings\xp\Application Data\DAEMON Tools Pro 2010-09-28 14:36 . 2010-09-28 14:36 -------- d-sh--w- c:\documents and settings\All Users\Application Data\SecuROM 2010-09-28 14:35 . 2010-06-02 02:55 74072 ----a-w- c:\windows\system32\XAPOFX1_5.dll 2010-09-28 14:35 . 2010-06-02 02:55 527192 ----a-w- c:\windows\system32\XAudio2_7.dll 2010-09-28 14:35 . 2010-06-02 02:55 239960 ----a-w- c:\windows\system32\xactengine3_7.dll 2010-09-28 14:35 . 2010-05-26 09:41 470880 ----a-w- c:\windows\system32\d3dx10_43.dll 2010-09-28 14:35 . 2010-05-26 09:41 248672 ----a-w- c:\windows\system32\d3dx11_43.dll 2010-09-28 14:35 . 2010-05-26 09:41 2106216 ----a-w- c:\windows\system32\D3DCompiler_43.dll 2010-09-28 14:35 . 2010-05-26 09:41 1868128 ----a-w- c:\windows\system32\d3dcsx_43.dll 2010-09-28 14:35 . 2010-05-26 09:41 1998168 ----a-w- c:\windows\system32\D3DX9_43.dll 2010-09-22 16:10 . 2010-09-22 16:10 103864 ----a-w- c:\program files\Internet Explorer\Plugins ppdf32.dll . (((((((((((((((((((((((((((((((((( Compte-rendu de Find3M )))))))))))))))))))))))))))))))))))))))))))))))) . . ------- Sigcheck ------- [-] 2008-04-14 . F906B60847731883676FECA48506EB8E . 512000 . . [5.1.2600.5512] . . c:\windows\system32\winlogon.exe [-] 2008-04-14 . A4665417736DA28B7D0513B3AAF7A52F . 1037824 . . [6.00.2900.5512] . . c:\windows\explorer.exe . ((((((((((((((((((((((((((((((((( Points de chargement Reg )))))))))))))))))))))))))))))))))))))))))))))))) . . *Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés REGEDIT4 [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "IndxStoreSvr_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\program files\Fichiers communs\Nero\Lib\NMIndexStoreSvr.exe" [2008-02-28 1828136] "LightScribe Control Panel"="c:\program files\Fichiers communs\LightScribe\LightScribeControlPanel.exe" [2008-02-26 2289664] "swg"="c:\program files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2009-10-06 39408] "DAEMON Tools Lite"="c:\program files\DAEMON Tools Lite\DTLite.exe" [2009-10-30 369200] "ccleaner"="c:\program files\CCleaner\CCleaner.exe" [2009-09-24 1685816] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "IgfxTray"="c:\windows\system32\igfxtray.exe" [2008-11-14 141336] "HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2008-11-14 173592] "Persistence"="c:\windows\system32\igfxpers.exe" [2008-11-14 141336] "HDAudDeck"="c:\program files\VIA\VIAudioi\HDADeck\HDeck.exe" [2009-05-14 33624064] "RemoteControl"="c:\program files\CyberLink\PowerDVD\PDVDServ.exe" [2007-03-14 71216] "LanguageShortcut"="c:\program files\CyberLink\PowerDVD\Language\Language.exe" [2007-01-08 52256] "NeroFilterCheck"="c:\program files\Fichiers communs\Nero\Lib\NeroCheck.exe" [2008-03-25 570664] "NBKeyScan"="c:\program files\Nero\Nero8\Nero BackItUp\NBKeyScan.exe" [2008-02-18 2221352] "SystrayORAHSS"="c:\program files\Orange HSS\Systray\SystrayApp.exe" [2007-07-24 94208] "ORAHSSSessionManager"="c:\program files\Orange HSS\SessionManager\SessionManager.exe" [2007-07-24 102400] "HP Software Update"="c:\program files\HP\HP Software Update\HPWuSchd2.exe" [2007-03-11 49152] "QuickTime Task"="c:\program files\QuickTime\qttask.exe" [2009-11-10 417792] "iTunesHelper"="c:\program files\iTunes\iTunesHelper.exe" [2009-11-12 141600] "hpqSRMon"="c:\program files\HP\Digital Imaging\bin\hpqSRMon.exe" [2008-08-20 150016] "XboxStat"="c:\program files\Microsoft Xbox 360 Accessories\XboxStat.exe" [2007-09-26 734264] "avast5"="c:\progra~1\ALWILS~1\Avast5\avastUI.exe" [2010-09-07 2838912] "Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2010-09-23 35760] "Adobe ARM"="c:\program files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe" [2010-09-20 932288] c:\documents and settings\xp\Menu D'marrer\Programmes\D'marrage\ OpenOffice.org 3.2.lnk - c:\program files\OpenOffice.org 3\program\quickstart.exe [2009-12-15 384000] c:\documents and settings\All Users\Menu D'marrer\Programmes\D'marrage\ HP Digital Imaging Monitor.lnk - c:\program files\HP\Digital Imaging\bin\hpqtra08.exe [2007-3-11 210520] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Wdf01000.sys] @="Driver" [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile] "EnableFirewall"= 0 (0x0) [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\Network Diagnostic\xpnetdiag.exe"= "%windir%\system32\sessmgr.exe"= "c:\Program Files\Windows Live\Messenger\wlcsdk.exe"= "c:\Program Files\Windows Live\Messenger\msnmsgr.exe"= "c:\Program Files\Orange HSS\Connectivity\ConnectivityManager.exe"= "c:\Program Files\Bonjour\mDNSResponder.exe"= "c:\Program Files\iTunes\iTunes.exe"= "c:\Program Files\HP\Digital Imaging\bin\hpqpse.exe"= "c:\Program Files\HP\Digital Imaging\bin\hpqsudi.exe"= "c:\Program Files\HP\Digital Imaging\bin\hpqpsapp.exe"= "c:\Program Files\Anno 1701\Anno1701.exe"= R1 aswSP;aswSP;c:\windows\system32\drivers\aswSP.sys [17/09/2009 22:28 165584] R2 aswFsBlk;aswFsBlk;c:\windows\system32\drivers\aswFsBlk.sys [17/09/2009 22:28 17744] R3 VIAHdAudAddService;VIA High Definition Audio Driver Service;c:\windows\system32\drivers\viahduaa.sys [17/09/2009 21:42 1358720] S2 gupdate;Service Google Update (gupdate);c:\program files\Google\Update\GoogleUpdate.exe [31/01/2010 14:28 135664] S2 Norton Internet Security;Norton Internet Security;"c:\program files\Norton Internet Security\Engine\16.0.0.125\ccSvcHst.exe" /s "Norton Internet Security" /m "c:\program files\Norton Internet Security\Engine\16.0.0.125\diMaster.dll" /prefetch:1 --> c:\program files\Norton Internet Security\Engine\16.0.0.125\ccSvcHst.exe [?] S4 sptd;sptd;c:\windows\system32\drivers\sptd.sys [04/11/2009 01:35 691696] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost] getPlusHelper REG_MULTI_SZ getPlusHelper HPZ12 REG_MULTI_SZ Pml Driver HPZ12 Net Driver HPZ12 hpdevmgmt REG_MULTI_SZ hpqcxs08 hpqddsvc [HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{10880D85-AAD9-4558-ABDC-2AB1552D831F}] 2008-02-26 12:06 451872 ----a-w- c:\program files\Fichiers communs\LightScribe\LSRunOnce.exe . Contenu du dossier 'Tâches planifiées' 2010-10-20 c:\windows\Tasks\AppleSoftwareUpdate.job - c:\program files\Apple Software Update\SoftwareUpdate.exe [2008-07-30 11:34] 2010-10-21 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job - c:\program files\Google\Update\GoogleUpdate.exe [2010-01-31 12:28] 2010-10-21 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job - c:\program files\Google\Update\GoogleUpdate.exe [2010-01-31 12:28] . . ------- Examen supplémentaire ------- . uStart Page = hxxp://www.google.com/ uSearchMigratedDefaultURL = hxxp://www.cherche.us/Result.php?cx=partner-pub-0420647136319153%3A5n6ugpjrdrh&cof=GIMP%3ACCCCCC%3BT%3A000000%3BALC%3A551a8b%3BGFNT%3AB7B7B7%3BLC%3A2200cc%3BBGC%3AFFFFFF%3BVLC%3A551a8b%3BGALT%3A008B45%3BFORID%3A10%3BDIV%3A%23FFFFF0%3B&q={searchTerms} uInternet Settings,ProxyOverride = *.local IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~3\OFFICE11\EXCEL.EXE/3000 IE: Google Sidewiki... - c:\program files\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_89D8574934B26AC4.dll/cmsidewiki.html Trusted Zone: chat-land.org . - - - - ORPHELINS SUPPRIMES - - - - HKCU-Run-download - c:\documents and settings\xp\Application Data\download2\svcnost.exe Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net device: opened successfully user: MBR read successfully called modules: ntkrnlpa.exe catchme.sys CLASSPNP.SYS disk.sys ACPI.sys hal.dll >>UNKNOWN [0x8A6A1446]<< kernel: MBR read successfully detected MBR rootkit hooks: \Driver\Disk -> CLASSPNP.SYS @ 0xba0ecf28 \Driver\ACPI -> ACPI.sys @ 0xb9f7ecb8 \Driver\atapi -> atapi.sys @ 0xb9f36852 IoDeviceObjectType -> DeleteProcedure -> ntkrnlpa.exe @ 0x805836a8 ParseProcedure -> ntkrnlpa.exe @ 0x805827e8 \Device\Harddisk0\DR0 -> DeleteProcedure -> ntkrnlpa.exe @ 0x805836a8 ParseProcedure -> ntkrnlpa.exe @ 0x805827e8 NDIS: Atheros AR8121/AR8113/AR8114 PCI-E Ethernet Controller -> SendCompleteHandler -> NDIS.sys @ 0xb9e42bb0 PacketIndicateHandler -> NDIS.sys @ 0xb9e4fa21 SendHandler -> NDIS.sys @ 0xb9e2d87b user & kernel MBR OK ************************************************************************** [HKEY_LOCAL_MACHINE\System\ControlSet004\Services\Norton Internet Security] "ImagePath"="\"c:\program files\Norton Internet Security\Engine\16.0.0.125\ccSvcHst.exe\" /s \"Norton Internet Security\" /m \"c:\program files\Norton Internet Security\Engine\16.0.0.125\diMaster.dll\" /prefetch:1" . --------------------- CLES DE REGISTRE BLOQUEES --------------------- [HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}] @Denied: (A 2) (Everyone) @="FlashBroker" "LocalizedString"="@c:\WINDOWS\system32\Macromed\Flash\FlashUtil10k_ActiveX.exe,-101" [HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\Elevation] "Enabled"=dword:00000001 [HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\LocalServer32] @="c:\WINDOWS\system32\Macromed\Flash\FlashUtil10k_ActiveX.exe" [HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\TypeLib] @="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}" [HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}] @Denied: (A 2) (Everyone) @="IFlashBroker4" [HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\ProxyStubClsid32] @="{00020424-0000-0000-C000-000000000046}" [HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\TypeLib] @="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}" "Version"="1.0" [HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Installer\UserData\LocalSystem\Components\h-€|ÿÿÿÿ¤*€|ù*9~*] "C040110900063D11C8EF10054038389C"="C?\WINDOWS\system32\FM20ENU.DLL" . Heure de fin: 2010-10-21 13:50:55 ComboFix-quarantined-files.txt 2010-10-21 11:50 Avant-CF: 55 576 453 120 octets libres Après-CF: 55 547 170 816 octets libres Current=4 Default=4 Failed=3 LastKnownGood=5 Sets=1,2,3,4,5 - - End Of File - - FA54896ECF94099EA295DC4AD7E7FD8C

benurrr · Answer

il va falloir te remplacer tes fichier infecter

c:\windows\explorer.exe . . . est infecté!!
c:\windows\system32\winlogon.exe . . . est infecté!!

en va les faire un par un il faut trouver les fichier sain

* Télécharge SEAF (de C_XX) sur ton Bureau.

http://pagesperso-orange.fr/NosTools/C_XX/SEAF.exe

* Lance SEAF
* Dans les options, coche "Chercher également dans le Registre"
* Tape explorer.exe dans le champs de recherche, clique sur "Lancer la recherche" et patiente.
* A la fin, poste le rapport dans ta prochaine réponse

francky · Answer

ok  c est bien ce qui me semblait

francky · Answer

mince je tombe la dessus:

Page introuvable
Vous venez d'être redirigé vers une page d'erreur.
L'adresse URL que vous avez saisie ou le lien que vous avez cliqué sont erronés

francky · Answer

ok par contre je reste en mode sans echec,en mode normal,j ai un ecran noir

francky · Answer

1. ========================= SEAF 1.0.1.0 - C_XX
2. 
3. Commencé à: 21:44:01 le 21/10/2010
4. 
5. Valeur(s) recherchée(s):
6. explorer.exe
7. 
8. Légende: TC => Date de création, TM => Date de modification, DA => Dernier accès
9. 
10. (!) --- Recherche registre
11. 
12. ====== Fichier(s) ======
13. 
14. 
15. "C:\WINDOWS\explorer.exe" [ ARCHIVE | 1038 Ko ]
16. TC: 14/04/2008,14:00:00 | TM: 14/04/2008,14:00:00 | DA: 21/10/2010,21:40:18
17. 
18. 
19. =========================
20. 
21. 
22. 
23. ====== Entrée(s) du registre ======
24. 
25. 
26. [HKLM\Software\Classes\Applications\explorer.exe]
27. DA: 21/10/2010 13:46:46
28. 
29. [HKLM\Software\Classes\Briefcase\shell\open\command]
30. ""="explorer.exe %1" (REG_SZ)
31. 
32. [HKLM\Software\Classes\CLSID\{0CD7A5C0-9F37-11CE-AE65-08002B2E1262}\shell\explore\command]
33. ""="%SystemRoot%\Explorer.exe /e,/idlist,%I,%L" (REG_EXPAND_SZ)
34. 
35. [HKLM\Software\Classes\CLSID\{0CD7A5C0-9F37-11CE-AE65-08002B2E1262}\shell\find\command]
36. ""="%SystemRoot%\Explorer.exe" (REG_EXPAND_SZ)
37. 
38. [HKLM\Software\Classes\CLSID\{0CD7A5C0-9F37-11CE-AE65-08002B2E1262}\shell\open\command]
39. ""="%SystemRoot%\Explorer.exe /idlist,%I,%L" (REG_EXPAND_SZ)
40. 
41. [HKLM\Software\Classes\CLSID\{208D2C60-3AEA-1069-A2D7-08002B30309D}\shell\find\command]
42. ""="%SystemRoot%\Explorer.exe" (REG_EXPAND_SZ)
43. 
44. [HKLM\Software\Classes\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\DefaultIcon]
45. ""="%SystemRoot%\Explorer.exe,0" (REG_EXPAND_SZ)
46. 
47. [HKLM\Software\Classes\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\shell\find\command]
48. ""="%SystemRoot%\Explorer.exe" (REG_EXPAND_SZ)
49. 
50. [HKLM\Software\Classes\CLSID\{2559a1f0-21d7-11d4-bdaf-00c04f60b9f0}]
51. "LocalizedString"="@explorer.exe,-7020" (REG_SZ)
52. 
53. [HKLM\Software\Classes\CLSID\{2559a1f0-21d7-11d4-bdaf-00c04f60b9f0}]
54. "InfoTip"="@explorer.exe,-7000" (REG_SZ)
55. 
56. [HKLM\Software\Classes\CLSID\{2559a1f1-21d7-11d4-bdaf-00c04f60b9f0}]
57. "LocalizedString"="@explorer.exe,-7021" (REG_SZ)
58. 
59. [HKLM\Software\Classes\CLSID\{2559a1f1-21d7-11d4-bdaf-00c04f60b9f0}]
60. "InfoTip"="@explorer.exe,-7001" (REG_SZ)
61. 
62. [HKLM\Software\Classes\CLSID\{2559a1f2-21d7-11d4-bdaf-00c04f60b9f0}]
63. "LocalizedString"="@explorer.exe,-7022" (REG_SZ)
64. 
65. [HKLM\Software\Classes\CLSID\{2559a1f3-21d7-11d4-bdaf-00c04f60b9f0}]
66. "LocalizedString"="@explorer.exe,-7023" (REG_SZ)
67. 
68. [HKLM\Software\Classes\CLSID\{2559a1f3-21d7-11d4-bdaf-00c04f60b9f0}]
69. "InfoTip"="@explorer.exe,-7003" (REG_SZ)
70. 
71. [HKLM\Software\Classes\CLSID\{2559a1f4-21d7-11d4-bdaf-00c04f60b9f0}]
72. "LocalizedString"="@explorer.exe,-7024" (REG_SZ)
73. 
74. [HKLM\Software\Classes\CLSID\{2559a1f4-21d7-11d4-bdaf-00c04f60b9f0}]
75. "InfoTip"="@explorer.exe,-7004" (REG_SZ)
76. 
77. [HKLM\Software\Classes\CLSID\{2559a1f4-21d7-11d4-bdaf-00c04f60b9f0}\DefaultIcon]
78. ""="%SystemRoot%\explorer.exe,-253" (REG_EXPAND_SZ)
79. 
80. [HKLM\Software\Classes\CLSID\{2559a1f5-21d7-11d4-bdaf-00c04f60b9f0}]
81. "LocalizedString"="@explorer.exe,-7025" (REG_SZ)
82. 
83. [HKLM\Software\Classes\CLSID\{2559a1f5-21d7-11d4-bdaf-00c04f60b9f0}]
84. "InfoTip"="@explorer.exe,-7005" (REG_SZ)
85. 
86. [HKLM\Software\Classes\CLSID\{2559a1f5-21d7-11d4-bdaf-00c04f60b9f0}\DefaultIcon]
87. ""="%SystemRoot%\explorer.exe,-254" (REG_EXPAND_SZ)
88. 
89. [HKLM\Software\Classes\CLSID\{450D8FBA-AD25-11D0-98A8-0800361B1103}\shell\find\command]
90. ""="%SystemRoot%\Explorer.exe" (REG_EXPAND_SZ)
91. 
92. [HKLM\Software\Classes\CLSID\{48e7caab-b918-4e58-a94d-505519c795dc}\shell\open\command]
93. ""="%SystemRoot%\Explorer.exe /idlist,%I,%L" (REG_EXPAND_SZ)
94. 
95. [HKLM\Software\Classes\CLSID\{7be9d83c-a729-4d97-b5a7-1b7313c39e0a}\shell\open\command]
96. ""="%SystemRoot%\Explorer.exe /idlist,%I,%L" (REG_EXPAND_SZ)
97. 
98. [HKLM\Software\Classes\CLSID\{9E56BE61-C50F-11CF-9A2C-00A0C90A90CE}\DefaultIcon]
99. ""="C:\WINDOWS\explorer.exe,-103" (REG_SZ)
100. 
101. [HKLM\Software\Classes\CLSID\{E211B736-43FD-11D1-9EFB-0000F8757FCD}\AllDevices\shell\explore\command]
102. ""="Explorer.exe /e,/idlist,%I,/L" (REG_SZ)
103. 
104. [HKLM\Software\Classes\CLSID\{E211B736-43FD-11D1-9EFB-0000F8757FCD}\AllDevices\shell\open\command]
105. ""="Explorer.Exe /idlist,%I,/L" (REG_SZ)
106. 
107. [HKLM\Software\Classes\CLSID\{E211B736-43FD-11D1-9EFB-0000F8757FCD}\Camera\shell\explore\command]
108. ""="Explorer.exe /e,/idlist,%I,/L" (REG_SZ)
109. 
110. [HKLM\Software\Classes\CLSID\{E211B736-43FD-11D1-9EFB-0000F8757FCD}\Camera\shell\open\command]
111. ""="Explorer.Exe /idlist,%I,/L" (REG_SZ)
112. 
113. [HKLM\Software\Classes\CLSID\{E211B736-43FD-11D1-9EFB-0000F8757FCD}\CameraContainerItems\shell\explore\command]
114. ""="Explorer.exe /e,/idlist,%I,/L" (REG_SZ)
115. 
116. [HKLM\Software\Classes\CLSID\{E211B736-43FD-11D1-9EFB-0000F8757FCD}\CameraContainerItems\shell\open\command]
117. ""="Explorer.Exe /idlist,%I,/L" (REG_SZ)
118. 
119. [HKLM\Software\Classes\CLSID\{E211B736-43FD-11D1-9EFB-0000F8757FCD}\Scanner\shell\explore\command]
120. ""="Explorer.exe /e,/idlist,%I,/L" (REG_SZ)
121. 
122. [HKLM\Software\Classes\CLSID\{E211B736-43FD-11D1-9EFB-0000F8757FCD}\Scanner\shell\open\command]
123. ""="Explorer.Exe /idlist,%I,/L" (REG_SZ)
124. 
125. [HKLM\Software\Classes\CLSID\{E773F1AF-3A65-4866-857D-846FC9C4598A}\shell\explore\command]
126. ""="%SystemRoot%\Explorer.exe /e,/idlist,%I,%L" (REG_EXPAND_SZ)
127. 
128. [HKLM\Software\Classes\CLSID\{E773F1AF-3A65-4866-857D-846FC9C4598A}\shell\open\command]
129. ""="%SystemRoot%\Explorer.exe /idlist,%I,%L" (REG_EXPAND_SZ)
130. 
131. [HKLM\Software\Classes\CompressedFolder\Shell\find\command]
132. ""="C:\WINDOWS\Explorer.exe" (REG_EXPAND_SZ)
133. 
134. [HKLM\Software\Classes\Directory\shell\find\command]
135. ""="%SystemRoot%\Explorer.exe" (REG_EXPAND_SZ)
136. 
137. [HKLM\Software\Classes\Drive\shell\find\command]
138. ""="%SystemRoot%\Explorer.exe" (REG_EXPAND_SZ)
139. 
140. [HKLM\Software\Classes\fndfile\shell\open\command]
141. ""="%SystemRoot%\Explorer.exe" (REG_EXPAND_SZ)
142. 
143. [HKLM\Software\Classes\Folder\shell\explore\command]
144. ""="%SystemRoot%\Explorer.exe /e,/idlist,%I,%L" (REG_EXPAND_SZ)
145. 
146. [HKLM\Software\Classes\Folder\shell\open\command]
147. ""="%SystemRoot%\Explorer.exe /idlist,%I,%L" (REG_EXPAND_SZ)
148. 
149. [HKLM\Software\Classes\Publishing Folder\shell\explore\command]
150. ""="explorer.exe /e,/idlist,%I,%L" (REG_SZ)
151. 
152. [HKLM\Software\Classes\Publishing Folder\shell\open\command]
153. ""="explorer.exe /idlist,%I,%L" (REG_SZ)
154. 
155. [HKLM\Software\Classes\SHCmdFile\shell\open\command]
156. ""="explorer.exe" (REG_SZ)
157. 
158. [HKLM\Software\Classes\Shell\shell\explore\command]
159. ""="%SystemRoot%\Explorer.exe /e,/idlist,%I,%L" (REG_EXPAND_SZ)
160. 
161. [HKLM\Software\Classes\Shell\shell\open\command]
162. ""="%SystemRoot%\Explorer.exe /idlist,%I,%L" (REG_EXPAND_SZ)
163. 
164. [HKLM\Software\Microsoft\Internet Explorer\International]
165. "explorer.exe"="6.0.2600.0-6.0.9999.9999" (REG_SZ)
166. 
167. [HKLM\Software\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_BEHAVIORS]
168. "explorer.exe"="1" (REG_DWORD)
169. 
170. [HKLM\Software\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_DISABLE_MK_PROTOCOL]
171. "explorer.exe"="1" (REG_DWORD)
172. 
173. [HKLM\Software\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_LOCALMACHINE_LOCKDOWN]
174. "explorer.exe"="1" (REG_DWORD)
175. 
176. [HKLM\Software\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_MAXCONNECTIONSPER1_0SERVER]
177. "explorer.exe"="4" (REG_DWORD)
178. 
179. [HKLM\Software\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_MAXCONNECTIONSPERSERVER]
180. "explorer.exe"="2" (REG_DWORD)
181. 
182. [HKLM\Software\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_MIME_HANDLING]
183. "explorer.exe"="1" (REG_DWORD)
184. 
185. [HKLM\Software\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_MIME_SNIFFING]
186. "explorer.exe"="1" (REG_DWORD)
187. 
188. [HKLM\Software\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_OBJECT_CACHING]
189. "explorer.exe"="1" (REG_DWORD)
190. 
191. [HKLM\Software\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_PROTOCOL_LOCKDOWN]
192. "explorer.exe"="0" (REG_DWORD)
193. 
194. [HKLM\Software\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_SAFE_BINDTOOBJECT]
195. "explorer.exe"="1" (REG_DWORD)
196. 
197. [HKLM\Software\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_WEBOC_POPUPMANAGEMENT]
198. "explorer.exe"="1" (REG_DWORD)
199. 
200. [HKLM\Software\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_WINDOW_RESTRICTIONS]
201. "explorer.exe"="1" (REG_DWORD)
202. 
203. [HKLM\Software\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_ZONE_ELEVATION]
204. "explorer.exe"="1" (REG_DWORD)
205. 
206. [HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\FileAssociation]
207. "KillList"="%1;explorer.exe;dvdplay.exe;mplay32.exe;msohtmed.exe;quikview.exe;rundll.exe;rundll32.exe;taskman.exe;bck32api.dll;" (REG_SZ)
208. 
209. [HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\StartMenu\StartPanel\MyComp]
210. "Bitmap"="%SystemRoot%\explorer.exe,100" (REG_SZ)
211. 
212. [HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings\LockDown_zones\0]
213. "Icon"="explorer.exe#0100" (REG_SZ)
214. 
215. [HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0]
216. "Icon"="explorer.exe#0100" (REG_SZ)
217. 
218. [HKLM\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Layers]
219. "C:\WINDOWS\explorer.exe"="EnableNXShowUI" (REG_SZ)
220. 
221. [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
222. "Shell"="Explorer.exe" (REG_SZ)
223. 
224. [HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Lockdown_Zones\0]
225. "Icon"="explorer.exe#0100" (REG_SZ)
226. 
227. [HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0]
228. "Icon"="explorer.exe#0100" (REG_SZ)
229. 
230. [HKU\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Lockdown_Zones\0]
231. "Icon"="explorer.exe#0100" (REG_SZ)
232. 
233. [HKU\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0]
234. "Icon"="explorer.exe#0100" (REG_SZ)
235. 
236. [HKU\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Lockdown_Zones\0]
237. "Icon"="explorer.exe#0100" (REG_SZ)
238. 
239. [HKU\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0]
240. "Icon"="explorer.exe#0100" (REG_SZ)
241. 
242. [HKU\S-1-5-21-1220945662-606747145-682003330-1004\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Lockdown_Zones\0]
243. "Icon"="explorer.exe#0100" (REG_SZ)
244. 
245. [HKU\S-1-5-21-1220945662-606747145-682003330-1004\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0]
246. "Icon"="explorer.exe#0100" (REG_SZ)
247. 
248. [HKU\S-1-5-21-1220945662-606747145-682003330-1004\Software\Microsoft\Windows\ShellNoRoam\MUICache]
249. "C:\WINDOWS\explorer.exe"="Explorateur Windows" (REG_SZ)
250. 
251. [HKU\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Lockdown_Zones\0]
252. "Icon"="explorer.exe#0100" (REG_SZ)
253. 
254. [HKU\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0]
255. "Icon"="explorer.exe#0100" (REG_SZ)
256. 
257. =========================
258. 
259. Fin à: 21:45:49 le 21/10/2010
260. 198636 Éléments analysés
261. 
262. =========================
263. E.O.F

benurrr · Answer

Télécharge load_tdsskiller (de Loup Blanc) sur ton Bureau

http://fradesch.perso.cegetel.net/transf/Load_tdsskiller.exe

execute le , La fenêtre suivante va s'ouvrir::

http://i265.photobucket.com/albums/ii226/Marie_Ven/0001img-2421.png

 Clique sur Start scan et laisse l'outil scanner ton disque dur sans l'interrompre et sans utiliser le PC.
 Si des fichiers infectés sont trouvées, une nouvelle fenêtre va s'ouvrir:

[img]http://i265.photobucket.com/albums/ii226/Marie_Ven/0002img-40.png/img

 Si TDSS.tdl2 est détecté l'option delete sera cochée par défaut.

 Si TDSS.tdl3 est détecté assure toi que Cure est bien cochée.

 Si Suspicious file est indiqué, laisse l'option cochée sur Skip

 Clique sur Continue puis sur Reboot now pour redémarrer le PC.

 Envoie le rapport généré sur http://www.cijoint.fr/ dans ta prochaine réponse (Il est aussi sauvegardé à la racine de ta partition système sous le nom C:\TDSSKiller_Quarantine\JJ.MM.AA_HH.MM.SS. (JJ.MM.AA date du passage de l'outil, HH.MM.SS heure de passage).

tutoriel--> https://support.kaspersky.com/5350

francky · Answer

ok j ai malicious objects
         rootkit.win32 TDSS.tdl4

         avec cure coché.
je continue comme cela ou je passe en skip?

benurrr · Answer

avec cure coché

francky · Answer

http://www.cijoint.fr/cjlink.php?file=cj201010/cijsjzIvNv.txt

francky · Answer

je peux prendre kapersky pure free trial?

benurrr · Answer

pour vérifier quelque chose

va dans démarrer puis rechercher la dans tout les fichier et tout les dossier tape explorer.exe

dans option avancer tu coche tout sauf respecter la casse et rechercher dans la bande de sauvegarde

et clic sur rechercher 

poste le résultat

francky · Answer

ok j espere que je vais reussir,il faut que je passe en mode normal car en mode sans echec j ai seulement la fenetre avec le chien sans les fenetres de recherche.

francky · Answer

bon impossible de demarrer le pc en mode normal,j ai simplement le fond d ecran.
j ai egalement perdu la connexion de mon second pc en wifi.
autre chose,j ai java6 qui se lance et qui charge quelque chose mais je ne sais pas quoi.
pense tu que je n ai plus windows.exe?
y at il un autre moyen de trouver windws.exe en mode sans echec sans passer par rechercher?
merci.

benurrr · Answer

ta essayer sa en mode normal

Si le Bureau ne réapparait pas presse Ctrl + Alt + Suppr , Onglet "Fichier" , "Nouvelle tâche" , tapes explorer.exe et valides

francky · Answer

non rien a faire en mode normal.
le seul point de restauration que j ai c est le moment ou j ai chopé le virus,je n ai aucun point antecedent.
pense tu que cela peux etre utile de retourner a cet etat et de refaire tout les test et rapports?
est ce que le fait de faire une restauration me remetra le pc exactement dans le meme etat qu au moment du virus?
j ai certainement supprimé quelque chose d important.

benurrr · Answer

est ce que le fait de faire une restauration me remetra le pc exactement dans le même état qu'au moment du virus?  oui

francky · Answer

bonjour

pense-tu que faire une retauration vaut le coup?
quels sont mes solutions,reinstaller windows?
a tu une idée de prix chez un reparateur?

benurrr · Answer

fait la restauration si tu peut essayer de payer 

dans la foulée tu passe 

Combofix 
Tsskiller 
D'AD-REMOVER (option nettoyage)
List_Kill'em( Clean)
malwarbyte

francky · Answer

bon j ai le message votre ordinateur ne peut pas etre restauré,aucune modification apportée.
j ai remarqué que depuis hier plein de gens ont chopé ce virus.
quand je l ai eu moi,il n y avait aucun topic en francais.
j ai ete victime de la premiere vague,pas mal de gens arrivent a trouver une solution.
je pense avoir atteint la zone de non retour.
j ai voulu bidouiller seul au depart et voila le resultat.
je m en veux davoir touché a tout sans connaitre,ca m apprendra.
si tu as d autres solutions,je suis preneur.
mais je ne vais pas te faire perdre ton temps si tu pense qu il n y a rien a faire.

benurrr · Answer

essaye une reparation avec cette commande

. Fait Démarrer > Exécuter > cmd > Appuye sur la touche "Entrée" ou cliquez sur le bouton "Ok".

     copie et colle se' qui est en gras

 SFC /scannow


  ton cd-rom original te sera  demandé. Insére-le

     Suit le déroulement des opérations. Il peut vous être demandé plusieurs fois d'insérer le cd-rom de Windows XP (alors qu'il est déjà inséré !)

   5. Exécutez Windows Update afin d'appliquer toutes les mises à jour que la réparation de Windows aurait pu dégrader. Normalement, les mises jour de Windows sont conservées automatiquement et Windows les ré-applique automatiquement mais il est préférable de s'en assurer en allant sur Windows Update.

francky · Answer

c est ce que je redoutais,je n ai jamais eu le cd d instal.
de plus en mode sans echhec je n ai pas executer.
quand j ouvre l invite de command et que je tape cmd,ca ne repond pas.

francky · Answer

ok j en ai pour 2h30 quel est la marche a suivre ensuite?

francky · Answer

par contre je ne peux travailler qu en mode sans echec

francky · Answer

bon j ai suivi ton conseil est c est vraiment genial,j ai l impression d avoir retrouvé mon pc.
je peux maintenant travailler en mode normal.
le pc met un peu de temp au demarage mais a part cela tout est nickel.
la seul chose qui me chagrine c est qu avast me trouve 20 fichiers infectés alors que malawarebytes rien du tout.
j ai mis les fichiers qu avast a trouvé en quarantaine car j ai peur de refaire les meme erreurs.

benurrr · Answer

Télécharge DelFix sur ton bureau.

http://sd-1.archive-host.com/membres/up/17959594961240255/DelFix.exe

3.1 - Option Recherche

Téléchargez DelFix sur votre bureau.
Lancez le, tapez 1 et validez en appuyant sur [Entrée]
Patientez quelques secondes puis copiez/collez le contenu du rapport qui s'ouvrira sur le forum qui vous prend en charge.

Note : Le rapport est sauvegardé sous C:\DelFixSearch.txt

-------------------------

3.2 - Option Suppression

Téléchargez DelFix sur votre bureau
Lancez le, tapez 2 et validez en appuyant sur [Entrée]
Patientez quelques secondes puis copiez/collez le contenu du rapport qui s'ouvrira sur le forum qui vous prend en charge.

Note : Le rapport est sauvegardé sous C:\DelFixSuppr.txt

-------------------Après--------------

scan en ligne

fait les scan içi

https://www.eset.com/

içi un tuto

https://www.commentcamarche.net/faq/29643-scanner-en-ligne-avec-eset-nod32

lilie 62 · Answer

j'viens de résoudre le problème  , puisque moi aussi j'ai eu le droit à thinkpoint qui a empéché l'affichage du bureau et la réalisation de n'importe quelle action.   
donc en passant par le gestionnaire de tâche, j'ai créé un nouvel utilisateur, j'ai ouvert une nouvelle session,  chargé sur le net Malwarebytes , installé et fait tourner pendant presque 3h. Il a trouvé  plus de 250 programmes malveillants de toutes sortes, j'ai supprimé et redémarrer. Et oh! miracle, je peux ouvrir ma session administrateur.  


en bonus, j'ai eu le droit à une pub sonore pour un DJ toulousain pendant que thinkpoint  s'effectuait ! quelle chance !

francky · Answer

rapport recherche

Rapport DelFix v6.0 - 23/10/2010 à 04:12,22
Mis à jour le 22/10/10 à 13h30 par Xplode
Système d'exploitation : Microsoft Windows XP (32 bits) [version 5.1.2600] Service Pack 3
Navigateur : Internet Explorer  [Navigateur par défaut]
Processeur : Pentium(R) Dual-Core  CPU      E5300  @ 2.60GHz
Mémoire vive totale : 1,99 Go
Nom d'utilisateur : xp - XP-864FE8E747C1 (Administrateur)
Exécuté depuis : C:\Documents and Settings\xp\Bureau\DelFix.exe


~~~~~~ Dossier(s) ~~~~~~

Présent : C:\Qoobox
Présent : C:	dsskiller
Présent : C:\Kill'em
Présent : C:\Program Files\Ad-Remover
Présent : C:\Program Files\List_Kill'em
Présent : C:\Program Files\SEAF
Présent : C:\Documents and Settings\All Users\Menu Démarrer\Programmes\List_Kill'em

~~~~~~ Fichier(s) ~~~~~~

Présent : C:\ComboFix.txt
Présent : C:\List'em.txt
Présent : C:\SeafLog.txt
Présent : C:\Ad-Report-CLEAN[1].txt
Présent : C:\Ad-Report-SCAN[1].txt
Présent : C:\Ad-Report-SCAN[2].txt
Présent : C:\Ad-Report-SCAN[3].txt
Présent : C:\Ad-Report-SCAN[4].txt
Présent : C:\Ad-Report-SCAN[5].txt
Présent : C:\TDSSKiller.2.4.4.0_21.10.2010_22.51.06_log.txt
Présent : C:\TDSSKiller.2.4.4.0_21.10.2010_23.00.06_log.txt
Présent : C:\WINDOWS\grep.exe
Présent : C:\WINDOWS\PEV.exe
Présent : C:\WINDOWS\NIRCMD.exe
Présent : C:\WINDOWS\MBR.exe
Présent : C:\WINDOWS\sed.exe
Présent : C:\WINDOWS\SWREG.exe
Présent : C:\WINDOWS\SWSC.exe
Présent : C:\WINDOWS\SWXCACLS.exe
Présent : C:\WINDOWS\zip.exe

~~~~~~ Registre ~~~~~~

Clé Présente : HKLM\Software\swearware
Clé Présente : HKCU\SOFTWARE\Ad-Remover
Clé Présente : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\Ad-Remover
Clé Présente : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\SEAF
Clé Présente : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{E88BA4E8-6B36-4D39-9499-C10B439819E1}_is1


########## EOF - "C:\DelFixSearch.txt" - [1981 octets] ##########

francky · Answer

rapport supression



Rapport DelFix v6.0 - 23/10/2010 à 04:14,33
Mis à jour le 22/10/10 à 13h30 par Xplode
Système d'exploitation : Microsoft Windows XP (32 bits) [version 5.1.2600] Service Pack 3
Navigateur : Internet Explorer  [Navigateur par défaut]
Processeur : Pentium(R) Dual-Core  CPU      E5300  @ 2.60GHz
Mémoire vive totale : 1,99 Go
Nom d'utilisateur : xp - XP-864FE8E747C1 (Administrateur)
Exécuté depuis : C:\Documents and Settings\xp\Bureau\DelFix.exe


~~~~~~ Dossier(s) ~~~~~~

Supprimé : C:\Qoobox
Supprimé : C:	dsskiller
Supprimé : C:\Kill'em
Supprimé : C:\Program Files\Ad-Remover
Supprimé : C:\Program Files\List_Kill'em
Supprimé : C:\Program Files\SEAF
Supprimé : C:\Documents and Settings\All Users\Menu Démarrer\Programmes\List_Kill'em

~~~~~~ Fichier(s) ~~~~~~

Supprimé : C:\ComboFix.txt
Supprimé : C:\List'em.txt
Supprimé : C:\SeafLog.txt
Supprimé : C:\Ad-Report-CLEAN[1].txt
Supprimé : C:\Ad-Report-SCAN[1].txt
Supprimé : C:\Ad-Report-SCAN[2].txt
Supprimé : C:\Ad-Report-SCAN[3].txt
Supprimé : C:\Ad-Report-SCAN[4].txt
Supprimé : C:\Ad-Report-SCAN[5].txt
Supprimé : C:\TDSSKiller.2.4.4.0_21.10.2010_22.51.06_log.txt
Supprimé : C:\TDSSKiller.2.4.4.0_21.10.2010_23.00.06_log.txt
Supprimé : C:\WINDOWS\grep.exe
Supprimé : C:\WINDOWS\PEV.exe
Supprimé : C:\WINDOWS\NIRCMD.exe
Supprimé : C:\WINDOWS\MBR.exe
Supprimé : C:\WINDOWS\sed.exe
Supprimé : C:\WINDOWS\SWREG.exe
Supprimé : C:\WINDOWS\SWSC.exe
Supprimé : C:\WINDOWS\SWXCACLS.exe
Supprimé : C:\WINDOWS\zip.exe

~~~~~~ Registre ~~~~~~

Clé Supprimée : HKLM\Software\swearware
Clé Supprimée : HKCU\SOFTWARE\Ad-Remover
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\Ad-Remover
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\SEAF
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{E88BA4E8-6B36-4D39-9499-C10B439819E1}_is1

########## EOF - "C:\DelFixSuppr.txt" - [2013 octets] ##########

francky · Answer

voici le scan de eset online


C:\Documents and Settings\All Users\Application Data\ReviverSoft\Registry Reviver\InstallCache\{05B64610-ED45-40AC-89A3-507F6B6A25B9}\Registry Reviver.msi	une variante de Win32/Adware.RegistryReviver application	supprimé - mis en quarantaine
C:\Documents and Settings\All Users\Documents\Server\hlp.dat	Win32/Bamital.EK cheval de troie	nettoyé par suppression - mis en quarantaine
C:\Documents and Settings\xp\Bureau\PROGRAMMES\List_Killem_Install.exe	Win32/PrcView application	supprimé - mis en quarantaine
C:\Documents and Settings\xp\Bureau\PROGRAMMES\mspass.exe	Win32/MPass.A application	nettoyé par suppression - mis en quarantaine

francky · Answer

voila je vais laisser la fenetre eset online ouverte avant de faire n importe quoi.

est ce que je dois cocher les cases
-desinstaller l application a la fermeture
-suppresion des fichiers en quarantaine

je n est donc pas réessayer de redémarrer le pc mais j ai remarqué que le pc répond a partir du moment ou avast s ouvre(environ 10 min d attente)
a savoir que j ai pas mal de fichiers en quarantaine dans avast que je n ose supprimer.

laura · Answer

bonjour à tous !
J'ai attrapé le virus thinkpoint hier et je ne peux plus allumer mon ordinateur il est bloqué sur cette page !
je suis vraiment novice en informatique et je ne peux meme pas rentrer dans "demarrer" .
Aidez moi s'il vous plait merci d'avance :)

domfru · Answer

Laura, tu fais comme moi hier soir. Quand tu arrives sous windows, tu fais style d'avancer dans la demande d'achat d'antivirus proposé par Thinkpoint, sans aller jusqu'au paiement bien sûr.
A ce moment là, tu pourras fermer la fenètre thinkpoint. Tu ne pourras certainement pas aller sur internet car il aura gelé tes navigateurs.
Tu vas chercher ici :

documents&settings\user (ta session)\applicationdata\ et tu devrais dans ce dossier trouver un fichier hotfix.exe
tu le supprimes simplement
une fois que c'est fait, tu redémarres
tu n'auras plus la fenètre thinkpoint mais tu auras accès à internet
tu télécharges malwarebytes, tu l'installes, tu le lance, il va te trouver toutes les cochonneries résidentes et te les nettoyer.

francky · Answer

bonjour benurrr
bon j ai fermé et desinstallé et supprimer les fichiers en quarantaine.
je vais redémarrer mon pc et te tiens au courant.

francky · Answer

une fois démarré et sur le bureau mon pc reagi un poil plus vite.
que pense tu de créer un point de restauration systeme et de supprimer les fichiers en quarantaine dans avast?

francky · Answer

pas de changement,c est toujour un peu long.
bon en tout cas je voulais te remercier de tout le temp que tu as consacré pour m aider et surtout d avoir reussi a remettre mon pc sur pied.
ce qui est sur c est que je ne toucherais plus rien sans demander conseil a des personnes plus experimenté.
merci infiniment.

benurrr · Answer

tu va télécharger Ccleaner http://dl.commentcamarche.net/www.commentcamarche.net/download/files/ccsetup227_slim.exe

ouvre "Ccleaner" vas dans l'onglet "Option" puis "Avancé" puis décoches "Effacer uniquement les fichiers, du dossier temp de Windows, plus vieux que 48 heures."

. Puis vas dans l'onglet "Nettoyeur" fais "Analyse" puis "Lancer le nettoyage".
 Puis vas dans l'onglet "Registre" puis fait "Chercher des erreurs" puis "Réparer les erreurs sélectionnée"
. Tu refais tous ca 4-5 fois (le nettoyage et le registre). 

Puis reste dans "Ccleaner" puis va dans "Option" puis "Propriété" puis coches "Nettoyer automatiquement l'ordinateur au démarrage". 

içi mode d'emploi pour ccleaner

https://www.malekal.com/tutoriel-ccleaner/

phiphi83150 · Answer

Tu peux aussi démarrer en appuyant sur f8 et tu prend mode sans échec avec réseau ensuite si tu le peux comme cela a été mon cas tu vas dans ton panneau de configuration et tu fais une restauration de ton systeme à une date antérieur bien avant d'avoir eu thinkpoint cela va prendre quelques minutes ton ordi va se rallumer avec sa page de windows et tout ces icones,et la n'oubli surtout pas d'installer malwarbytes anti-malware pour éviter que cette merde revienne envahir ton ordi.

karima · Answer

cc a tous , 
depui hier soir j'ai subit le virus thinkpoint sur mon ordi , je n'ai acces a rien dautre k ce virus et gestionnaire de tache le truc c ke je suis tro nul en informatique pour pouvoir me débarrasser du virus 
je fai ce ke vous avez écri ms javoue je galère à isoler et a suprimmer le virus pouvez vous m'aidez a trouver cmt je peut fr??? 

mercii

karima · Answer

merrrrrrrrrrciiiiiiiii pour tte les info je v voir ce que sa peut donner

alain · Answer

C'est tout simple,il suffit de faire semblant d'acheter l'antivirus.Pas de panique,lorsque on arrive à la derniere page ou on demande nom prenom  etc.. il faut mettre un nom bidon, une adresse tordue et surtout un numéro de carte bancaire   avec une serie de chiffre du style 1111 2222 3333 4444 etc.. un ecran noir apparait il faut faire ctrl alt sup et on a la page d'accueil . Pour info je ne suis pas doué en informatique

domfru · Answer

Voilà et ensuite aller dégommer le hotfix.exe + les merdes incrustées avec un soft adapté
Si tous les virus étaient aussi gentils que ce thinkpoint ce serait presque un plaisir de se faire infecter

francky · Answer

salut a tous voila je pense avoir eté victime de la 1 er vague de thinkpoint.
je ne trouvais aucun topic en francais sur ce sujet et maintenant je vois que plus en plus de monde est touché.
j ai essayé de m en sortir seul alors que je ne suis vraiment pas un specialiste,resultat j ai failli flinguer mon pc.
j ai chopé pleins d astuce ici et la et je me suis rendu compte que je supprimais tout et n importe quoi meme des fichiers importants donc attention .
pour moi la restauration systeme a une date anterieur est une bonne solution mis a part que dans mon cas ,la seul date a laquelle j avais accés c est justement au moment ou j ai chopé thinkpoint.
j ai reussi a supprimer hotfix.exe en faisant un scan d avast.
attention avast a trouvé beaucoup de fichiers infectés styel fake alert.
a la fin du scan j ai tout supprimé et quand j ai redemarré mon pc,plus rien,seulement le mon fond d ecran.
seul solution travailler en mode sans echec avec gestion reseau.
j ai telechargé enormement de logiciel scan antivirus,j ai supprimé beaucoup de fichiers et le resultat etait de pire en pire.
tout c est debloqué a partir du moment ou j ai reinstaller la pack sp3 en telechargement gratuit,pas besoin de cd ou de clef d activation.ensuite j ai fait les mises a jour,j ai fait travailler malaware bytes et avast.
tout est rentré dans l ordre.
seul sequelle mon pc est un peu lent au demarrage.
pour pouvoir acceder a votre bureau quand thinkpoint s ouvre il faut avance dans le prog,aller dans parametre et cochez save et votre bureazu raparaitra.
pour ce qui est du reste,il suffit de relire le topic a partir de la 1 en tout por moi ca a marché
encore merci a benurrr sans qui je ne pourrais pas poster ici.
bon courage.
(le lien pour le pack sp3 est dans les pages precedentes).

francky · Answer

bonjour asakura
essaye en mode sans echec,tu tapote f8 a l ouverture de windows,tu choisi mode sans echec avec gestion reseau;dand mon cas je pouvais aller sur le net,faire tourner les antivirus etc...
mais si a l ouverture tu peux ouvrir le gestionnaire il me semble qu il faut fermer hotfix.exe dans la liste(demande quand meme confirmation car moi j ai failli foutre le pc par la fenetre.
moi je ne pouvais meme pas acceder au gestionnaire c est pour cette raison que je suis passé en mode sans echec.
bon courage.

benurrr · Answer

SALUT

francky comment va le pc ?

Dan · Answer

appuyer sur F8 au démarrage, ensuite taper "reparer l'ordinateur" ensuite "restauration du système".
La restauration n'est pas complète, mais le pc redémarre normalement.
certaine touche ne sont plus accessible, refaire un nouveau démarrage, et là tout est en parfait état de marche.
c'est ce qui m'est arrivé et ce que j'ai fait et ça a fonctionné.

Badben · Answer

Hello... j'ai passé moi aussi pas mal de temps a m'arracher les cheveux sur ce problème...

Sous télécharger.com tu trouveras le logiciel spyboot anti spyware qui corrige le problème ...

demainde a quelqu'un de te l'enregistrer sur une clé et une fois le programme fermé installe le et fait le scanner ton pc.
... et au redémarrage... tout sera comme avant!

Bon courrage

herve · Answer

je viens de l'avoir.  quand il se lance au démarrage, tu fais tout de suit ctrl alt suppr pour le gestonnaire des taches .  tu vas dans processus et tu recherches "hotfix.exe". tu supprimes ce processus . Si ton systeme ne repond plus, tu fais "nouvelle tache" et tu lances 'explorer' . ensuit va dans "documents and settings/ ton username + application data / et supprime hotfix.exe + les fichiers d'installation (checke avec la date et l"heure , il y en a 3 au total. Enfin, va dans ton menu des programmes et supprime le raccourci vers hotfix.exe.

johnz · Answer

Thinkpoint virus faux peut être enlevé en utilisant Anti-Malware ou logiciel anti-espion. ou encore il peut être enlevé manuellement. ce tutoriel peut vous aider
http://translate.google.com/...

SALE · Answer

au secour, j'ai le même géant problème!!

jlj · Answer

Merci à Herve dont la solution m'a aidé à sortir de ce bourbier :)

tony · Answer

https://fr.pcthreat.com/parasitebyid-13012fr.html ( voila la solution)

eldana · Answer

personnellement j'ai fais plus simple

quand la fenetre est apparu, j'ai fais "ok supprime la menace" (il avait detecté msnmessenger en menace)

si je faisais pas, reload de la fenetre,etc... et impossibilité de lancer un browser ou meme le taskmanager

en cliquant sur ok, j'ai reboot a la sauvage quand il tentait d'installer sa merde, debranchage de DDE, de cable reseau.

La dans C:/document and setting/Administrateur/application data tu supprimes hotfix.exe

En plus tu passes un coup de Malware, d'ad-aware, anti virus (Avast pour moi), antivirus en ligne (quick scan de bit defender et ESET online scanner de Nod32), un coup de rogue killer, et hop parti.

tu reboots au cas ou pour verifier, tu verifies ton taskmgr au demarrage, ton msconfig pour verifier que tout est normal et parti comme en 14

Il est pas chiant a virer, et est pas méchant en soit (pas de scan de pc, de recuperation de numero de CB ou autre, il tente juste de te faire acheter un truc a la con)

en esperant que ca aide .

Supprimer virus thinkpoint

92 réponses

Discussions similaires

Newsletters