Je crois que j'ai un gros problème...

Résolu/Fermé
steph - 4 déc. 2010 à 00:27
glops Messages postés 1850 Date d'inscription mardi 4 décembre 2007 Statut Membre Dernière intervention 26 mai 2012 - 7 déc. 2010 à 23:39
Bonjour, ou plutôt bonsoir à la communauté, et aux bonnes âmes qui me liront.

Comme l'indique mon titre, je pense avoir un gros souci avec mon pc, du genre méga-infection de virus/malware/chevaux de troie/machin-ware etc.

Je vais tenter de décrire de façon ordonnée et concise l'historique, les symptômes et mes différents déboires :

Tout d'abord, c'est la première fois que je lance un message sur ce site, donc je ne sais pas trop si je suis au bon endroit pour ça, je tiens à présenter mes excuses si par malheur je me trompais.

En préalable, j'ai un pc avec windows xp sp2, internet explorer version 7.0.

Il y a quelques semaines, après que ma femme et mes monstres aient traîné par trop sur Emule pour l'une, et sur des sites de jeux pour les autres (absolument, je suis innocent dans cette affaire), mon pc a fini par "choper" le malware "thinkpoint".
Je ne sais pas si c'est une info utile, ni s'il y a un lien de cause à effet, mais en tout cas c'est là que tout commença.

Par un tour à ma façon j'avais réussi à me connecter sur IE (via la session "invité", en fait), et je suis tombé sur le forum de comment ça marche" : j'ai parcouru les différents forums, et j'ai réussi à me dépatouiller.
En tout cas « thinkpoint » a bel et bien disparu. Ce n'était que le début...

Bref, suite à ça, je me suis aperçu que quelques programmes avaient disparu :
- le pilote de ma carte son (c-media cmi 8738 audiochip)
- un logiciel de surveillance (je sais c'est pas beau mais c'était pour la noble cause : fliquer un peu ma grande de 13 ans, pour contrôler qu'elle ne traîne pas sur des sites de jeux quand elle est sensé travailler un exposé, ou qu'elle ne fasse pas de mauvaises rencontres)
- un jeu (pharaon)

de même, certains autres programmes se sont mis à « délirer » :

- windows media ne reconnait plus les fichiers wma
- la barre de menu de word m'impose « microsoft live add-in » je l'enlève et elle revient tout le temps
- ie est très très long à démarrer, et m'oriente systématiquement vers des sites du type « blinkk » ou « gomeo » ou que sais-je d'autre au lieu d'aller vers ce que je demande.
- Le pc est aussi lent que l'administration soviétique de 1975, ou que la sécurité sociale française (2010), et parfois il « gèle » carrément (et vas-y le bouton de redémarrage !)
- L'anti-virus (avira anti-vir version gratos) ne se lance parfois pas.
- J'en passe, et des meilleures.

Pour virer thinkpoint, après la lecture de votre excellent forum, j'avais téléchargé et utilisé « ad-remover », « maleware bytes anti malware », et je les ai utilisé tout comme ils disent (mise à jour, scan complet en mode sans échec etc).
Mbam détecte plein d'infections et les supprime, mais rien ne change. Quand je redemande un scan, il en trouve encore et encore.
J'ai chargé ensuite « ccleaner » pour pouvoir améliorer le nettoyage du disque, et également « everest home edition », pour trouver le pilote de son, que bien sûr, la grosse blette en informatique que je suis ne connaissait pas.

Je crois que c'est quand j'ai retrouvé le pilote cmi-chose-chip et téléchargé celui-ci, que c'est vraiment parti en live.

Là, c'est de pire en pire, tous les symptômes s'accroissent (environ 45 minutes pour ouvrir la page du forum, puis abandonné pour écrire sur word avec office live add-in en barre de menu).

Il y a une nouveauté : au démarrage, quand l'ordi est en écran noir (sous dos ?) j'ai le message suivant, en jaune, qui bloque tout :

« trend chip away virus has detected a boot virus on your hard disk. Press enter for more information or c to continue. Complete virus protection for the enterprise. »
évidemment je presse « c », là un autre écran où on me dit « t'es sûr ? tu presses y pour oui, ou enter pour non-non-je-suis-une-poire-prête-à-être-cueillie ».
et là enfin, après le « y », ça vient, après un long laps de temps sur windows.

J'ai antimalwaré à donf, j'ai ad-removeré à bloc, mais rien n'y fait.
J'ai lu qu'il fallait absolument un pare-feu. Dont acte. Comme disait Coluche « voyez pire, c'est déjà grave ? ben c'est encore pire ».
Ie rame, voire se lance et reste blanc, et tout le pc gèle. Et quand je parvien à l'ouvrir, j'ai le message : « l'instruction à 0x00000000 emploie l'adresse 0x00000000. la mémoire ne peut pas être « read » ».

Pour info, le pare-feu en question est « zone alarm ».

A l'instar de la tourtel je pourrais aller « au bout de la nuit » pour narrer mes petites misères informatiques, bien anodines à côté de la faim de la monde ou de la défaite de l'om en coupe de la ligue, mais bon, je suis bien coincé.

J'espère ne pas avoir endormi le lecteur éventuel, et fourni des infos exploitables.
Si quelqu'un peut m'aider, je lui en serais extrêmement reconnaissant.

Bonne soirée.

Stéph.





45 réponses

glops Messages postés 1850 Date d'inscription mardi 4 décembre 2007 Statut Membre Dernière intervention 26 mai 2012 150
4 déc. 2010 à 18:12
bien , nous allons attaquer fort et commencer par passer ComboFix

/!\ Le logiciel qui suit peut faire des dégâts s'il est mal utilisé ! Ne pas l'utiliser sans contrôle /!\

/!\ Si tu utilises l'antivirus AVG, IL FAUT IMPERATIVEMENT LE DESINSTALLER avant d'utiliser Combofix car il peut causer des dégâts en interaction avec l'outil pouvant mener à la réinstallation totale du système.
La simple désactivation du résident n'est pas suffisante.
Télécharge le désinstalleur d'AVG sur ce lien: https://www.avg.com/fr-fr/avg-remover
Choisis la version adéquate (32 ou 64 bits) /!\

IMPORTANT: deconnecte toi du net, Désactive tous tes logiciels de protection et ferme toutes les applications en cours

=> Télécharge: ComboFix (de sUBs) sur ton Bureau:
=> Double-clique sur ComboFix.exe afin de le lancer.
=> Il va te demander d'installer la console de récupération :=> accepte.
/!\ Ne touche à rien pendant le scan. /!\
=> si il t'est demandé de redémarrer accepte
=> Lorsque la recherche sera terminée, un rapport apparaîtra. Poste ce rapport (C:\Combofix.txt) dans ta prochaine réponse ou mieux héberge le sur http://www.cijoint.fr et poste moi le lien fourni.

Tutoriel officiel de Combofix :
0
j'ai anti vir, ce n'est pas avg ? je dois aussi le désinstaller ?
0
glops Messages postés 1850 Date d'inscription mardi 4 décembre 2007 Statut Membre Dernière intervention 26 mai 2012 150
4 déc. 2010 à 18:33
non, Antivir n'est pas AVG =>tu ne le désinstalles pas mais tu le désactives impérativement ainsi que ZA et tous tes logs de protection qui ont des actions résidantes
0
de retour, enfin. voici le rapport :


http://www.cijoint.fr/cjlink.php?file=cj201012/cijwFZLh4s.txt


(je n'ai plus le virus au démarrage (trendchip away) sous dos, c'est déjà bon signe non ?)
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
glops Messages postés 1850 Date d'inscription mardi 4 décembre 2007 Statut Membre Dernière intervention 26 mai 2012 150
4 déc. 2010 à 20:55
tu vas analyser des fichiers sur Virus Total

=> rends toi sur https://www.virustotal.com/gui/
=> clique sur "parcourir" et dans le champ saisis le chemin vers le fichier possiblement "infecté" soit :

C:\Windows\explorer.exe

=> clique sur envoyer le fichier

Si le fichier a déjà été analysé par VirusTotal il te sera proposé de consulter immédiatement l'archive de cette analyse (le temps depuis lequel cette analyse a été faite est signalé).
=> Demande à ce que ce fichier soit ré-analysé,en cliquant sur "réanalyser le fichier"

recommence la manip pour

C:\Windows\System32\winlogon.exe

C:\Windows\System32\wininit.exe

poste moi les liens vers les rapports affichés pour chacun des fichiers
0
lien pour rapport explorer.exe :
http://www.virustotal.com/file-scan/report.html?id=bde54fa15cf877ecd74307d4100f6274a0604b751feaf7f9a35824c793f2ff40-1291497306

lien vers rapport C:\Windows\System32\winlogon.exe :

http://www.virustotal.com/file-scan/report.html?id=742c9351ef19fa17b284f802f694ba9ce61e60bffaf3e612d7585b62b3679ab3-1291497689

lien vers rapport C:\Windows\System32\wininit.exe : ben y en a pas : fichier introuvable. (sic !)
0
lien pour rapport explorer.exe :
https://www.virustotal.com/gui/

lien vers rapport C:\Windows\System32\winlogon.exe :

https://www.virustotal.com/gui/

lien vers rapport C:\Windows\System32\wininit.exe : ben y en a pas : fichier introuvable. (sic !)
0
glops Messages postés 1850 Date d'inscription mardi 4 décembre 2007 Statut Membre Dernière intervention 26 mai 2012 150
4 déc. 2010 à 22:50
ok,même si tu l'as déjà fais tu vas exécuter à nouveau MBAM

=> Télécharge Malwarebytes antimalware:
si tu l'as toujours mets le à jour la dernière version est la 1.50 et la base de données la 5245
=> Tu auras un tutoriel à ta disposition pour l'installer et l'utiliser correctement ici: https://www.malekal.com/tutoriel-malwarebyte-anti-malware/

=> Lance une analyse complète en cliquant sur "Exécuter un examen complet"
=> Sélectionne les disques que tu veux analyser et clique sur "Lancer l'examen"
=> L'analyse peut durer un bon moment....~2 heures
=> Une fois l'analyse terminée, clique sur "OK" puis sur "Afficher les résultats"
=>Vérifie que tout ce qui est en rouge est bien coché et clique sur "Supprimer la sélection" => et ensuite sur "OK"
=> Un rapport va s'ouvrir dans le bloc note... héberge le sur http://www.cijoint.fr/ avant de me poster le lien
=> Il est possible que certains fichiers devront être supprimés au redémarrage du PC... Fais le en cliquant sur "oui" à la question posée
0
ok !

je lance mbam, pour l'avoir déjà fait je sais qu'il va y en avoir pour un sacré bon moment, au moins 3 heures. Donc je pense que l'on se recontactera demain. quoiqu'il en soit je posterai les rapports de maleware ici soit dans la nuit, soit demain matin.
.
Encore une fois merci !
0
glops Messages postés 1850 Date d'inscription mardi 4 décembre 2007 Statut Membre Dernière intervention 26 mai 2012 150
4 déc. 2010 à 23:12
ok, @+
0
bonjour glops.

voilà le rapport de mbam :

http://www.cijoint.fr/cjlink.php?file=cj201012/cijn3jAwxU.txt


Je précise que je ne sais absolument pas ce que tu m'as fait faire, mais l'ordi est métamorphosé : il tourne vite, sans bugs, l'ouverture d'ie est impec.

autre précision : mon fils a un tournoi de rugby, je l'accompagne évidemment, du coup ne sois pas pressé pour me répondre, ni étonné de mon absence. je serai de retour en fin d'après-midi certainement.

merci et bon dimanche
0
voilà de retour.

As-tu eu le rapport de mbam ?

qu'en penses-tu ? je trouve que mon ordi tourne beaucoup mieux, enfin, il me semble.
0
re-bonsoir : sur ie, il arrive encore d'être redirigé sur bing lorsqu'on emploie le formulaire de recherche sur la barre de menu. P.... de bing.
0
glops Messages postés 1850 Date d'inscription mardi 4 décembre 2007 Statut Membre Dernière intervention 26 mai 2012 150
Modifié par glops le 5/12/2010 à 20:02
Salut

Comment s'est passé le tournoi de Rugby de ton fils?

Dans mon coin (Toulouse)^^ le rugby c'est important ;-))

Bien que mes filles n'aient plus besoin de leur papa j'ai d'autres occupations et rassure toi je ne suis pas toujours scotché à l'écran non plus

Tu vas maintenant refaire un ZHPDiag comme au début et me poster le lien vers le rapport ,ceci afin de faire un point sur les suppressions effectuées et adapter la suite

@+


glops31 /-----------\ Une désinfection inachevée est inutile... /------------
----------------------/ Qui prend conseil est près de bien faire.\------------
0
le tournoi s'est super bien passé !!! il progresse le bougre (bon il est en - de 9, il a le temps encore !). en Corse ce n'est pas le sud-ouest mais le rugby commence à bien s'implanter.

ok je fais ça et je poste.

(les filles ont toujours besoin de leur papa, mon pauvre ! et c'est pas le papa qui va s'en plaindre !)
0
voici le rapport en question :


http://www.cijoint.fr/cjlink.php?file=cj201012/cij9RpKaHW.txt
0
glops Messages postés 1850 Date d'inscription mardi 4 décembre 2007 Statut Membre Dernière intervention 26 mai 2012 150
6 déc. 2010 à 00:50
pour continuer tu vas passer un antirootkit car des traces persistent qui font penser à un Tdss

=> Télécharge TDSSKiller (de Kaspersky Labs) sur ton Bureau :

=> Lance le (si tu utilises Windows Vista ou 7 : fais un clic-droit dessus et choisis "Exécuter en tant qu'administrateur")
=> Clique sur [Start Scan] pour démarrer l'analyse.
=> Si des éléments sont trouvés, clique sur [Continue] puis sur [Reboot Now] si proposé=>Un rapport s'ouvrira au redémarrage de l'ordinateur.
=> sinon clique sur [report]
=> Copie/colle son contenu dans ta prochaine réponse.
Note : Le rapport se trouve également sous C:\TDSSKiller.N°deversion_Date_Heure_log.txt



0
Bonjour !

voici le rapport de super killer :

http://www.cijoint.fr/cjlink.php?file=cj201012/cijy1j8xke.txt
0
glops Messages postés 1850 Date d'inscription mardi 4 décembre 2007 Statut Membre Dernière intervention 26 mai 2012 150
Modifié par glops le 6/12/2010 à 10:31
Bonjour

OS Version: 5.1.2600 ServicePack: 2.0
ComputerName: TITANIUM

hum....pas bien!!

Version de XP non officielle et donc pas à jour
Pas de pare-feu et pas d'antivirus +des logiciels comme java ,Adobe reader Internet explorer pas à jour
Ne t' étonne pas si tu chopes des "véroles" et que ton sytème est instable
de plus les désinfections sur ce genre d'OS sont "périlleuses"
0
ben l'antivirus je l'ai viré, j'avais antivir, que j'ai pris pour avg et j'avais scrupuleusement écouté tes coneils. en pare feu j'avais zone alarm; mais - cf mon premier message - il me balançait des messages d'erreur. comment puis-je mettre à jour adobe, java et ie ?
0
Lyonnais92 Messages postés 25159 Date d'inscription vendredi 23 juin 2006 Statut Contributeur sécurité Dernière intervention 16 septembre 2016 1 536
6 déc. 2010 à 08:54
Bonjour,

si j'ose me permettre,

Windows XP Professional Service Pack 2 (Build 2600)

Computer Name: TITANIUM


il y a de grandes chances que ce soit ça ton plus gros problème.

@+
0
glops Messages postés 1850 Date d'inscription mardi 4 décembre 2007 Statut Membre Dernière intervention 26 mai 2012 150
6 déc. 2010 à 10:33
pour finir

=> Lance ZHPFix (via le raccourci sur ton Bureau, soit via ZHPDiag)
=> Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
=> Copie/colle les lignes suivantes et place les dans ZHPFix :

[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusOverride: Modified
O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe
O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [FEATURE_BROWSER_EMULATION] -- svchost.exe
O47 - AAKE:Key Export SP - "E:\ee\GAME\empires2.EXE" [Disabled] .(.Pas de propriétaire - Pas de description.) (.not file.) --
O47 - AAKE:Key Export SP - "F:\Nouveau dossier\eMule\emule.exe" [Enabled] .(.Pas de propriétaire - Pas de description.) (.not file.) --
O47 - AAKE:Key Export SP - "F:\iTunes.exe" [Enabled] .(.Pas de propriétaire - Pas de description.) (.not file.) --
O47 - AAKE:Key Export SP - "E:\FPOINT\OperationFlashpoint\FlashpointResistance.exe" [Enabled] .(.Pas de propriétaire - Pas de description.) (.not file.) --
O47 - AAKE:Key Export SP - "E:\FPOINT\OperationFlashpoint\OperationFlashpoint.exe" [Enabled] .(.Pas de propriétaire - Pas de description.) (.not file.) --
O64 - Services: CurCS - (.not file.) - dwprpvncwkpicxe (dwprpvncwkpicxe) .(.Pas de propriétaire - Pas de description.) - LEGACY_DWPRPVNCWKPICXE
O64 - Services: CurCS - C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\jgameenp.sys (.not file.) - jgameenp (jgameenp) .(.Pas de propriétaire - Pas de description.) - LEGACY_JGAMEENP
HKCU\Software\Conduit]
O16 - DPF: {00000045-9980-0010-8000-00AA00389B71} () - http://codecs.microsoft.com/codecs/i386/sg726acm.cab
O16 - DPF: {0D41B8C5-2599-4893-8183-00195EC8D5F9} (asusTek_sysctrl Class) - http://support.asus.com/common/asusTek_sys_ctrl.cab
O16 - DPF: {233C1507-6A77-46A4-9443-F871F945D258} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://gfx1.hotmail.com/mail/w2/pr02/resources/MSNPUpld.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/MessengerGamesContent/GameContent/fr/uno1/GAME_UNO1.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scanner/sources/fr/scan8/oscan8.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} () - http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab


=>les lignes copiées et seulement celles-là doivent se placer dans la fenêtre
=> valide par "OK"
=> Clique sur « Tous », puis sur « Nettoyer »
=> Copie/colle la totalité du rapport dans ta prochaine réponse ou héberge le sur cijoint.fr

Je te conseille de passer à une version officielle de Windows

Bon surf!
0
merci pour tout !

pourquoi as-tu dit "hum pas bien" ? Titanium c pas bien ? pourrais-tu m'expliquer ?

pour windows, c'est un gars qui m'a fait l'ordi et installé le système, je pensais qu'il était ok. C'est le fait que je n'ai pas de version "officielle" qui m'a ramené tout cela ?

dans les lignes que tu m'as demandées de copier, j'ai vu flashpoint, un jeu auquel joue ma fille. il n'est pas officiel non plus ? je l'avais acheté en grande surface pourtant ! je ne comprends plus rien ! oups!

le rapport :
http://www.cijoint.fr/cjlink.php?file=cj201012/cijtToK4LO.txt
0