très très urgent virus !!!

[siera]

Bonjour,

Hier sur internet j'ai choper un virus et je ne sais plus quoi faire aidez moi !

Mon ordi m'envoi des message d'alerte en anglais toute les 2 minutes pour me dire que mon ordi est infecter par un spywear et j'ai de gros souci avec google c'est à dire que lorsque j'ouvre internet j'ai la page d'acceuil de google j'usque la tout est normal mais quand je fait une recherche, google passe en anglais et la recherche ne correspond pas à ce que je veut.
Comme antivirus j'ai avast, je lui est fait scanner tout mon ordi et il à trouver 4 fichier infecter que j'ai aussitot mis en quarantaine mais j'ai toujour autant de probleme avec google et les message d'allerte sont toujour la.

Que faire ?

Merci d'avence, cordialement siera.
-----

[JPL]

Ne panique pas. Applique calmement la procédure suivante : http://www.futura-sciences.com/fr/co...701/c3/221/p1/
Poste les rapports obtenus en pièce jointe et un membre du groupe antimalware te prendra en main pour la désinfection (sois patient : les vacances ne sont pas terminées et l'équipe est en sous-effectif).
Je déplace le sujet vers le bon forum.

[siera]

Merci beaucoup JPL par ce que la je ne savai vraiment plus quoi faire.

J'ai fait ce que tu ma demander j'usqua la page ou il est écrit qu'il ne faut faire la suit que sur demande du groupe.

j'ai mi en pièces jointe les résultat.

Cordialement siera.

[siera]

Excuse moi j'ai oublier un raport le voila:

[A voir en vidéo sur Futura]

[siera]

Que doi je faire maintenant ?

Cordialement siera.

[JPL]

Patiente un peu jusqu'à ce que nos "désinfecteurs" prennent ton cas en main.

[erik]

Que doi je faire maintenant ?

Attendre patiemment qu'un des grands manitous du groupe "élimination de virus" vienne te répondre et t'aider à remettre ta bécane en bon état.

Ne t'inquiète pas la cavalerie va arriver.

[siera]

Merci beaucoup les gars c'est super ce que vous faite

Je vais attendre patiamment que la cavalerie arrive, lol.
Juste pour info, je doit attendre à peut près combien de temps ?

Encore merci pour tout.
Cordialement siera.

[JPL]

À mon avis, au plus tôt ce soir. Au plus tard... ? Je ne sais pas parce qu'il n'y a plus qu'un seul membre permanent du groupe. Mais c'est passager.

[siera]

Ok pas de soucis.

[invite275db609]

Bonsoir à tous

La cavalerie arrive, me voila, loool.

Tu es effectivement infecté, voila ce qu'on va faire :

Je ne suis pas sur que FixWareOut passe sur 2000, dis moi si tu rencontres le moindre problème (suis la procédure jusqu'au bout, meme si FixWareOut ne fonctionne pas).

• Télécharge le FixWareout, de LonnyRJones, d'un de ces deux sites sur le bureau:
  http://downloads.subratam.org/Fixwareout.exe
  http://download.bleepingcomputer.com...Fixwareout.exe
• Lance le fix: clique sur Next, puis Install, puis assure toi que "Run fixit" est activé puis clique sur Finish.
• Le fix va commencer, suis les messages à l'écran. Il te sera demandé de redémarrer ton ordinateur, fais le. Ton système mettra un peu plus de temps au démarrage, c'est normal.
• Quand ton système aura redémarré, suis les invites des messages.
• A la fin du fix, tu auras peut-être encore besoin de redémarrer le PC.
• Au final, poste le contenu de C:\fixwareout\report.txt avec un nouveau rapport HijackThis, le tout en pièces jointes, bien sur.

==============================

Lance hijackthis et clique sur Do a System Scan Only.
Coche les lignes suivantes, si présentes :

R0 - HKCU\Software\Microsoft\Intern et Explorer\Main,Start Page = http://gomyron.com/MTE3MTA=/2/3948/last/
R1 - HKCU\Software\Microsoft\Window s\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: StrangeBho Class - {0B9B7B2E-30E3-4C5D-AD2C-C38724979B4B} - C:\PROGRA~1\WinMsg\notepad.dll
O4 - HKLM\..\Run: [sclick] C:\Program Files\WinMsg\SCLICK.EXE
O4 - HKLM\..\Run: [bal] C:\Program Files\WinMsg\SYSMONMS.EXE
O17 - HKLM\System\CCS\Services\Tcpip \..\{0F821832-CF96-4B78-8FC9-6062EF500F44}: NameServer = 85.255.115.237,85.255.112.78
O17 - HKLM\System\CCS\Services\Tcpip \..\{3EEC5012-76E0-4761-883D-DF9336C783A4}: NameServer = 85.255.115.237,85.255.112.78
O17 - HKLM\System\CS1\Services\Tcpip \Parameters: NameServer = 85.255.115.237 85.255.112.78
O17 - HKLM\System\CS1\Services\Tcpip \..\{0F821832-CF96-4B78-8FC9-6062EF500F44}: NameServer = 85.255.115.237,85.255.112.78
O17 - HKLM\System\CS2\Services\Tcpip \Parameters: NameServer = 85.255.115.237 85.255.112.78
O17 - HKLM\System\CS2\Services\Tcpip \..\{0F821832-CF96-4B78-8FC9-6062EF500F44}: NameServer = 85.255.115.237,85.255.112.78
O17 - HKLM\System\CCS\Services\Tcpip \Parameters: NameServer = 85.255.115.237 85.255.112.7

Ferme tous les programmes, sauf hijackthis et clique sur Fix Checked.

===========================

Assure toi d'avoir accès à tous les fichiers et dossiers :

• Ouvre ton poste de travail.
• Menu "Outils", "Option des dossiers", onglet "Affichage" :
• Active la case : "Afficher les fichiers et dossiers cachés"
• Désactive la case : "Masquer les extensions des fichiers dont le type est connu"
• Désactive la case : "Masquer les fichiers protégés du système d'exploitation"
• Clique sur "Appliquer".

Maintenant, tu as accès à tous les fichiers et dossiers du système d'exploitation.

==========================

Cherche et supprime les fichiers/dossiers suivants (en gras), si présents :
C:\Program Files\WinMsg <-- le dossier complet
C:\WINNT\system32\kdhul.exe <-- le fichier

============================== =

• Clique droit sur ton bureau puis 'nouveau fichier texte'
• Copier/coller le texte suivant dans le bloc-notes:
  

  regedit /a /e %systemdrive%\regkey.txt "HKEY_LOCAL_MACHINE\SOFTWARE\M icrosoft\Windows NT\CurrentVersion\Winlogon"
  notepad %systemdrive%\regkey.txt
  del /q %systemdrive%\regkey.txt

• Sauve le fichier avec le nom mslook.bat sur le Bureau avec le type : Tous les fichiers.
• Double-clique sur wareout.bat, une fenetre notepad va s'ouvrir, copie/colle (en pièce jointe) le texte dans ta prochaine réponse.
• Lorsque tu fermeras le notepad, la fenetre de commande se fermera egalement et le fichier regkey.txt sera effacer ...

==========================

• Fais un scan en ligne Kaspersky avec Internet Explorer :
• Dans la nouvelle fenêtre, clique sur J'accepte.
• Valide l'installation d'un ou de plusieurs ActiveX si c'est nécessaire.
• Patiente pendant l'installation des Mises à jour.
• Choisis par la suite l'analyse du Poste de travail
• Sauvegarde puis poste le rapport généré (en pièce jointe) en fin d'analyse.

AIDE : Configurer le contrôle des ActiveX
NOTE : Si tu reçois le message "La licence de Kaspersky On-line Scanner est périmée", va dans Ajout/Suppression de programmes puis désinstalle On-Line Scanner, reconnecte toi sur le site de Kaspersky pour retenter le scan en ligne.

=============================

Poste les rapports demandés : FixWareOut, regkey.txt (de wareout.bat), KasperskyOnline et un nouveau hijackthis.

Bonne soirée

[siera]

Bonjour synthexe et merci de venir à mon secour.

J'ai éxécuter le premier logiciel fixwareout et tout c'est dérouler sans probleme

Voila le raport:

[siera]

J'ai cocher les case que tu ma di mais je n'ai pas trouver :

Masquer les extensions des fichiers dont le type est connu"

En suite tu me demande de rechercher et de suprimer le dossier et le fichier que tu ma indiquer mais ou est ce que je doit aller les chercher ?

Merci d'avence, cordialement siera.

[siera]

Bon finalement j'ai trouver le dossier winmsg mais pas de bol je ne peut pas le suprimer pour cause de violation de partage.

De plus je ne trouve pas le fichier: kdhul.exe

Que doi je faire ?

[invite275db609]

Bonjour

Super

• Télécharge OTMoveIt de OldTimer.
• Sauvegarde le sur ton Bureau.
• Double-Clique sur OTMoveIt.exe pour le lancer.
• Copie le chemin des fichiers suivants en selectionnant TOUT et en appuyant sur CTRL+C (ou, après avoir sélectionner, clique-droit et choisis Copier) :

C:\Program Files\WinMsg

• Retourne dans OTMoveit, fais un clique-droit dans la fenêtre "Paste List of Files/Folders to be moved" et choisis Coller.
• Clique sur le bouton rouge Moveit!.
• Ferme OTMoveIt.
  Note : Si un fichier ou un dossier ne peut être déplacer immédiatement il te sera demander de redémarrer ta machine pour finir le processus. Si c'est le cas, choisis Yes.

Poste nous le rapport de OTMoveIT dispo ici : C:\_OTMoveIt\MovedFiles, en pièce jointe.

===========================

Poste moi les rapports demandés dans la procédure précédente et celui d'OTmoveIT

Bonne journée

[siera]

Voila le raport OTmovelt:

Par contre tu me demandes dans ton premier message de cliquer sur wareout.bat mais ou est ce que c'est ?

[invite275db609]

Bonjour siera

Par contre tu me demandes dans ton premier message de cliquer sur wareout.bat mais ou est ce que c'est ?

Pfff, c'est de ma faute, j'ai changer le nom du fichier, et pas lorsque je te le fais sauvegarder .. je voulais bien sur parler de mslook.bat ... que je voulais te faire enregistrer avec le nom wareout.bat ... mais ce n'est pas grave, FixWareOut a résolu cette infection.

============================== =

Poste le rapport de Kaspersky demandé plus haut, accompagné d'un nouveau hijackthis.

Où en sont tes dysfonctionnements ?? Comment se comporte ta machine ?

Bonne journée

[siera]

Bonjour synthexe,

J'ai une bonne nouvelle mon ordi n'a plus aucun symptome d'infection plus de message d'alerte et google marche normalement mais je vai quand même faire l'analyse avec Kaspersky et une avec hijackthis.

Je te poste les raports tout à l'heure.

[siera]

Voici le raport de Kaspersky:

C:\Documents and Settings\Administrateur\Bureau \raport kaspersky.html


mais pour hijackthis sur quelle bouton veut tu que je click:

"do a systeme scan only" ou "do a systeme scan and save a logfile"
Car comme on à déja utiliser les 2 je ne sais pas lequel tu veut que j'utilise.

[invite275db609]

Bonsoir

J'attends les rapports demain

Bonne nuitée

[siera]

Salut synthexe

Tu à vue que je t'ai mis le raport de kaspersky ?
Et tu n'a pas répondu à ma question pour hijackthis.

Cordialement siera.

[philou21]

Salut synthexe

Tu à vue que je t'ai mis le raport de kaspersky ?
Et tu n'a pas répondu à ma question pour hijackthis.

Cordialement siera.

bonjour

oui ton rapport est ici :

C:\Documents and Settings\Administrateur\Bureau \raport kaspersky.html

mais à mon humble avis ils vont avoir du mal à aller le chercher !

[invite275db609]

Bonjour à tous les 2

Merci philou
siera, je ne peux pas voir ton rapport Kaspersky, tu ne l'as pas mis en pièce jointe mais indiqué qu'il était sur ton bureau et comme je ne suis pas a coté de toi devant la machine, si tu ne le postes pas en piece jointe, je ne pourrais pas voir son contenu ...

Pour hijackthis : quand je te demande de poster un rapport, c'est qu'il en faut un, cad : do a system scan and save a logfile, l'autre option ne donne pas de rapport ...

Bonne journée

[siera]

Merci je vais te fair eune analyse et je t"envoi ça pour ce qui est de kaspersky normalement si tu tape l'adresse dans la barre d'adresse google tu doit arriver au raport.
Dit moi si ça marche ou pas.

[invite275db609]

Pour Kaspersky, voila ce que tu donnes :

C:\Documents and Settings\Administrateur\Bureau \raport kaspersky.html

C'est sur ta machine !!!!!! C: correspond à ton disque dur, il n'est donc pas en ligne...

[siera]

Je sais que C c'est mon disque dur mais je l'ai tapper dans la barre d'adresse je suis tomber dessus. Mais le probleme c'est que je n'arrive pas à le metre en pièce jointe il me dit "fichier non valide" comment je doit faire ?

Merci de l'attention que tu porte à mon probleme.

[siera]

Voila le raport d'ijackthis:

[invite275db609]

Bonjour siera

C'est normal que tu accedes au fichier en le tapant dans la barre d'adresse, il est sur TA machine (moi je n'y ai pas accès, comment je pourrais voir ce qu'il y a sur TA machine ?). Si tu avais regardé les extensions acceptées dans les pieces jointes, tu aurais remarqué que le html n'est pas valide (pour des raisons de sécurité). Donc, tu copie/colle le contenu du fichier html dans un fichier texte et tu joins celui-ci.

==============================

Lance hijackthis et clique sur Do a System Scan Only.
Coche les lignes suivantes, si présentes :

O16 - DPF: {09F1ADAC-76D8-4D0F-99A5-5C907DADB988} - htt p: //cdn.d ownloadcontrol.c om/files/installers/cab/SystemDoctor2006FreeInstall_fr .c ab

Ferme tous les programmes, sauf hijackthis et clique sur Fix Checked.

============================

Où en sont tes dysfonctionnements ??

J'attends toujours ton rapport de Kaspersky.

Bonne journée

[siera]

Salut synthexe et merci pour tout,

Pour ce qui est des symptome comme dit plus haut tout à l'air d'être rentrer dans l'ordre.

Voila le raport de kaspersky :
Bonne journée, cordialement siera.

[siera]

Salut synthexe, j'ai un nouveau probleme c'est a dire qu"il arrive que d'un coup l'ordi ce mette à ouvrir je ne sai combien de pages internet et plus je veut les suprimer et plus il y en à.
Qu'est ce qui ce passe ?

Cordialement siera.