Problemes pour eradiquer les malwares avec la procedure

[invite1b18906d]

Bonjour,
je me bats contre les fenetres publicitaires pdt que je navigue sur Mozilla et certainement d'autres "choses" qui ralentissent mon ordi.
J'ai nettoyé avec Ad-ware, TuneUp Utilities et Spyware Doctor, mais rien n'a changé.
C'est ainsi que je suis arrivée sur ce Forum. J'ai commencé à exécuter la procédure indiquée, mais après avoir téléchargé Diaghelp et cliqué sur go.cmd il m'est impossible de faire démarrer le programme. J'obtiens la fenetre noire, j'écris 1, mais quand je valide par Entrée la fenetre se ferme et je reviens à l'écran Winzip.
Je ne suis pas bien calée en informatique (ça se voit) et je vous remercie d'avance de l'aide que vous pourrez m'apporter.
Je crains que des fonctions vitales de l'ordi ne soient pas bientôt affectées, il fonctionne de moins en moins bien.
merci d'avance
-----

[invite275db609]

Bonsoir

J'ai répondu à ton MP, as-tu bien dézippé DiagHelp en entier ??

[invite1b18906d]

tu me demandes si j'ai bien dézippé tout l'archive DiagHelp.
Ds Winzip j'ai cliqué sur Open Archive et cliqué sur DiagHelp.zip. Ensuite j'ai cliqué sur le fichier go.cmd, mais au delà de pouvoir écrire le 1 je ne peux toujours pas valider, la fenetre disparaît et je reviens à Winzip.
désolée de poser des questions aussi basiques.

[invite275db609]

Reu

Fais un clique-droit sur Diaghelp.zip et choisis : Extraire tout. Ensuite tu cliques sur le dossier DiagHelp, il s'ouvre et la seulement tu double-cliques sur go.cmd

Bonne soirée

PS : Attention, ne crée pas un nouveau message à chaque fois, réponds dans le sujet que tu as déja crée.

[A voir en vidéo sur Futura]

[invite1b18906d]

Désolée j'ai encore fait une betise, et crée une nouvelle discussion sur le même sujet.
Ds Winzip j'ai cliqué sur Open Archive et cliqué sur DiagHelp.zip. Ensuite j'ai cliqué sur le fichier go.cmd, mais au delà de pouvoir écrire le 1 je ne peux toujours pas valider, la fenetre disparaît et je reviens à Winzip.
J'ai aussi essayé en utulisant la commande Extract sur le fichier go.cmd. mais la fenetre disparait toujours.
désolée de poser des questions aussi basiques.

[JPL]

J'ai fusionné les deux discussions.

[ABN84]

bonsoir,

Désolée j'ai encore fait une betise, et crée une nouvelle discussion sur le même sujet.
Ds Winzip j'ai cliqué sur Open Archive et cliqué sur DiagHelp.zip. Ensuite j'ai cliqué sur le fichier go.cmd, mais au delà de pouvoir écrire le 1 je ne peux toujours pas valider, la fenetre disparaît et je reviens à Winzip.
J'ai aussi essayé en utulisant la commande Extract sur le fichier go.cmd. mais la fenetre disparait toujours.
désolée de poser des questions aussi basiques.

ce que tu es entrain de faire c'est d'ouvrir un seul fichier (go.cmd). il est donc normal que ça ne marche pas, car tous les autres fichiers sont necessaires pour demarrer l'application.
n'ouvres pas winzip. vas directement au fichier diaghelp.zip, bouton droit, extraire. là tu auras un dossier nommé diaghelp avec plain de fichiers dont go.cmd, c'est sur celui là qu'il faudra cliquer et non sur celui contenu dans le fichier zippé.
il faut que tout le fichier diaghelp.zip soit dezippé et non seulement go.cmd

[invite1b18906d]

ouf ! merci !
j'ai enfin réussi à dézipper Diaghelp en cliquant sur tous les fichiers de Diaghelp contenus ds la fenetre de Winzip et en cliquant sur extraire.
Le programme a fonctionné, ci-joint les rapports.

mais quand je passe à l'étape suivante les problèmes continuent...
je télécharge hijackthis.zip, je le mets ds mes Documents, sur le Bureau.
* Puis quand je veux le dézipper j'ai un message de WinRAR: Messages de diagnostic:
C:\Documents and Settings\Internet\Bureau\hijac kthis.zip: L'archive est d'un format inconnu ou endommagée.
Plus une autre petite fenetre: Attention, aucune archive trouvée.
* si je clique directement sur l'icône qui s'est placée sur le bureau Winzip s'ouvre mais le programme n'apparait pas ds la fenetre, et le bouton Extract est grisé.
Et je suis à nouveau bloquée. Je désespère !!!!

[ABN84]

il se peut que hijackthis.zip soit endommagé. essaie de le telecharger de nouveau. et fais comme pour diaghelp.zip

[invite1b18906d]

oui ! j'ai effacé tous les hijackthis présents ds l'ordi et je l'ai téléchargé à nouveau et ça a marché !!!
ci-joint le rapport.
maintenant je suis entre vos mains. combien de bête sauvages cannibalisent ma machine ?
j'attends et vous souhaite bonne nuit.
merci d'avance

[invite275db609]

Bonjour

Merci einstein pour tes interventions qui ont fait avancer aamapola.

aamapola, tu es effectivement infecté par Magic.Control/Navipromo, voila ce qu'on va faire :

• Télécharge Navilog1 de Il-Mafioso.
• Ensuite double clique sur navilog1.exe pour lancer l'installation.
• Une fois l'installation terminée, le fix s'exécutera automatiquement.
  (Si ce n'est pas le cas, double-clique sur le raccourci Navilog1 présent sur le bureau).
• Au menu principal, choisis 4 et valide.
  
• Le fix va te demander de saisir le nom de fichier.
• Saisies ce qui est en gras ci-dessous et rien d'autre puis valide:
  tkzkhvt
• Le fix va te demander de le resaisir, fais-le et valide.
  
• Le fix va t'informer qu'il va alors redémarrer ton PC.
• Ferme toutes les fenêtres ouvertes et enregistre tes documents personnels ouverts
• Appuie sur une touche comme demandé.
  (si ton Pc ne redémarre pas automatiquement, fais le toi même)
• Au redémarrage de ton PC, choisis ta session habituelle.
  
• Patiente jusqu'au message :
  *** Nettoyage Termine le ..... ***
• Le bloc-note va s'ouvrir.
• Sauvegarde le rapport de manière à le retrouver.
• Referme le bloc-note. Ton bureau va réapparaitre.

Note : Si ton bureau ne réapparait pas, fais CTRL+ALT+SUPP pour ouvrir le gestionnaire de tâches.
Puis rends-toi à l'onglet "processus". Cliques en haut à gauche sur fichiers et choisis "exécuter".
Tapes explorer et valides. Celà te fera apparaitre ton bureau.[/i][/list]
===========================

Rends toi dans Ajout/Suppression de programmes et désinstalle les programmes suivants :
J2SE Runtime Environment 5.0 Update 1
J2SE Runtime Environment 5.0 Update 10
J2SE Runtime Environment 5.0 Update 11
J2SE Runtime Environment 5.0 Update 4
J2SE Runtime Environment 5.0 Update 6
J2SE Runtime Environment 5.0 Update 9
Java(TM) SE Runtime Environment 6 Update 1

Conserve par contre, la version update2.

============================

• Fais un scan en ligne Kaspersky avec Internet Explorer :
• Dans la nouvelle fenêtre, clique sur J'accepte.
• Valide l'installation d'un ou de plusieurs ActiveX si c'est nécessaire.
• Patiente pendant l'installation des Mises à jour.
• Choisis par la suite l'analyse du Poste de travail
• Sauvegarde puis poste le rapport généré (en pièce jointe) en fin d'analyse.

AIDE : Configurer le contrôle des ActiveX
NOTE : Si tu reçois le message "La licence de Kaspersky On-line Scanner est périmée", va dans Ajout/Suppression de programmes puis désinstalle On-Line Scanner, reconnecte toi sur le site de Kaspersky pour retenter le scan en ligne.

==============================

Poste les rapports demandés : Navilog option4, KasperskyOnline, et un nouveau hijackthis.

Comment se comporte ta machine ? As-tu encore des dysfonctionnements ??

Bonne journée

[invite1b18906d]

me revoilà. d'abord, merci des conseils.
j'ai donc nettoyé avec Navilog1 (rapport en pièce jointe), supprimé les programmes de la liste et, avec Internet Explorer, je me suis rendue sur le site Kaspersky pour le scan on-line .
Après une longue attente un message d'erreur s'est affiché, voici le texte:
"Echec du chargement du contrôle Active X Kespersky On-line Scanner ! Vous devez jouir des privilèges d'administrateur sur ce poste; en outre il faut configurer le niveau de sécurité IE sur Moyen."
J'ai bien ouvert ma session de travail qui est celle de l'administrateur.
En haut de la fenetre il y a un autre message sur fond jaune pâle: "ce site nécessite peut-être le module supplémentaire suivant: 'kavwebscan_unicode.cab' publié par 'Kaspersky Lab'. Si vous faites confiance au site Web et au module, cliquez ici pour l'install...".
inutile de dire que pour moi c'est du martien. J'ai refait la manip deux fois, et j'ai tjs obtenu le même message.
encore merci de votre aide.

[invite1b18906d]

après avoir lu votre dossier "protéger votre ordinateur..." je crois avoir compris que IE c'est Internet Explorer, j'ai donc vérifié le niveau de sécurité ds les outils c'était déjà sur un niveau moyen. je viens de refaire encore un essai de scan et j'ai encore eu le même message d'erreur. Sic ! ????

[JPL]

Pourquoi ne charges-tu pas le fichier .cab ? Ce qui vient de Kaspersky est sûr.

[invite1b18906d]

bonne nouvelle quand même !!! je suis sur Mozilla depuis un petit moment et je n'ai plus de fenêtres publicitaires !!!!!!!!!!!!!!!!!!!!!!!!!!!!!! !!!!!!!!!!!!!!!!!!!!!!!!!!!!!! !!!!!!!!!!!!!!!!
C EST SUPER !!!!!!!!!!!!!!!! MERCI !!!!!!!!!!!!!

[invite275db609]

Bonjour

Normal que tu n'es plus de pubs, navilog les a éradiquées ... ce n'est pas Mozilla qui fait que tu n'en a plus, attention à ne pas tout confondre.

Comme dit JPL, accepte ce que te propose Kaspersky, il nous faut ce rapport de scan en ligne, pour s'assurer que rien d'autre ne traine sur la machine.

Il manque également le nouveau hijackthis.

Bonne journée

[invite1b18906d]

Bonjour,

j'avais bien compris que c'est Navilog qui a éradiqué le programme qui envoie
les pages de pub. Je parlais de Mozilla simplement pour vous informer du navigateur
que j'utilise pour travailler sur internet.

J'ai téléchargé le programme proposé par Kasper et j'ai pu accéder au scan
en ligne, depuis deux jours j'essaie de mener à terme le scan mais mon ordi doit avoir
un autre GROS problème: impossible de le garder allumé pdt toute la durée du scan.
Régulièrement j'ai un écran bleu qui affiche un message de WINDOWS que j'ai copié plus bas.

J'ai quand même refait le Hijackthis, et je joins le rapport.

Souvent j'ai eu aussi un message de IE me prévenant que le programme avait un problème et qu'il allait être arrêté, là aussi je joins la copie des rapports d'erreur.
j'ai donc désinstallé IE et téléchargé à nouveau, mais le résultat est le même.

VOICI LE TEXTE DE L ECRAN BLEU:

"Un problème a été détecté et Windows a été arrêté afin de prévenir tout dommage
sur votre ordinateur.

BAD_POOL_HEADER

Si vous voyez cet écran d'erreur d'arrêt pour la première fois, rédemarrez votre
ordinateur.
Si cet écran apparaît encore, suivez ces étapes:
Assurez-vous que tout nouveau matériel ou logiciel est installé correctement.
S'il s'agit d'une nouvelle installation consultez votre fabriquant de matériel.
Si les problèmes persistent désactivez ou supprimez tout matériel ou tout logiciel
nouvellement installé.
Désactivez les options de mémoire du BIOS telles que mémoire cache ou l'ombrage.
Si vous êtes obligé d'utiliser le mode sans échec pour supprimer ou désactiver des
composants, redémarrez votre ordinateur, appuyez sur F8 pour sélectionner les
options de démarrage avancées, puis sélectionnez le mode sans échec.

Informations techniques:
STOP : 0x000000000001
Début de vidage de la mémoire physique.
Vidage de la mémoire Physique : des chiffres défilent ici
puis l'ordi s'éteint et redémarre tout seul.

NOUVEAU MESSAGE D AUJOURD HUI:
Contactez votre administrateur système....(l'écran a disparu à ce moment)


Une fenêtre m'indiquant l'erreur s'ouvre alors j'ai copié le contenu:

Le système a récupéré d'une erreur sérieuse.
Un journal de cette erreur a été créé.
Pour obtenir plus d'informations concernant cette erreur. Cliquez ici.

APRES CLIC

1) Signature de l'erreur
BCCode: 19 BCP1: 00000020 BCP2: 81CEED8 BCP3: 81C7EF18
BCP4: 0A080008 PSVer: 5_1_2600 SP: 2_0 Product : 768_1


Pour consulter les informations techniques concernant le rapport d'erreur. Cliquez ici
APRES CLIC

Les fichiers suivants seront inclus dans ce rapport d'erreurs:
C:\DOCUME~1\internet\LOCALS~1\ Temp\WERdc35.dir00\Mini082807-01.dmp
C:\DOCUME~1\internet\LOCALS~1\ Temp\WERdc35.dir00\sysdata.sml


2) Deuxième message du même type après un nouvel arrêt de la machine et nouveau
redémarrage automatique. Voici le message d'erreur:
BCCode: a BCP1 : 8C77005C BCP2 : 00000002 BCP3: 0000001
BCP4: 804EB4B7 OSVer: 5_1_2600 SP : 2_0 Product: 768_1.

Les informations techniques:
C:\DOCUME~1\internet\LOCALS~1\ Temp\WER0a71.dir00\Mini082807-02.dmp
C:\DOCUME~1\internet\LOCALS~1\ Temp\WER0a71.dir00\sysdata.xml

3) Troisième message du même type après un nouvel arrêt de la machine et nouveau
redémarrage automatique, voici le message:
BCCode: d1 BCP1: 00004300 BCP2: 00000002 BCP3: 00000001
BCP4: 815a435B OSVer: 5_1_2600 SP: 2_0 Product: 768_1

les informations techniques:
C:\DOCUME~1\internet\LOCALS~1\ Temp\WER9c35.dir00\Mini082907-01.dmp
C:\DOCUME~1\internet\LOCALS~1\ Temp\WER9c35.dir00\sysdata.xml


Cet écran apparâit depuis un petit moment. J'ai nettoyé le PC et supprimé plusieurs programmes inutilisés.
S'agit-il d'un virus ou d'une défaillance du Hardware ?
Je ne comprends pas le sens des termes techniques utilisés dans le message et je ne saurais pas suivre la procédure indiquée. Désolée pour avoir tardé à répondre, mais j'ai essayé de trouver une solution.
Merci de votre patience.

[invite275db609]

Bonjour

Quand ton probleme d'ecran bleu est-il apparu ? Tu as installer un nouveau périphérique récemment ? (si oui, désinstalle-le).
Repasse ATF-Cleaner comme demandé dans la procédure, cela videra les fichiers temporaires.

Lance hijackthis et clique sur Do a System Scan Only.
Coche les lignes suivantes, si présentes :

R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - (no file)
O3 - Toolbar: (no name) - {ACB1E670-3217-45C4-A021-6B829A8A27CB} - (no file)
O3 - Toolbar: (no name) - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - (no file)
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

Ferme tous les programmes, sauf hijackthis et clique sur Fix Checked.

===========================

Clique sur Démarrer --> Exécuter --> Saisie ensuite ce qui suit :
SC stop IDriverT
Valide en cliquant sur Ok.
Recommence l'opération en saisissant ceci :
SC delete IDriverT
SC stop "IomegaAccess"
SC delete "IomegaAccess"
SC stop SvnService
SC delete SvnService

============================== =

Dis moi ce qu'il en est.

Bonne journée

[invite1b18906d]

Bonsoir,
me revoilà, désolée, mais j'ai repris le travail et le temps m'a manqué pour appliquer plus vite vos conseils.
J'ai donc suivi à la lettre toutes les phases indiquées:
> Après avoir repassé ATF-Cleaner j'ai eu une alerte de Spyware Doctor, j'ai fait un scan et il a éradiqué un Trojan-Proxy Wopla, j'espère qu'il est vraiment détruit.
> J'ai repris la procédure indiquée, lancé hijackthis et coché tous les fichiers indiqués, sauf O4 - HKLM\..Run:[KernelFaultCheck]%system32\dumprep 0 -k
qui n'était pas présent.
> J'ai exécuté toutes les commandes indiquées dans le menu Démarrer.

Puis je suis retournée sur le site de Kasper et (divine surprise) j'ai pu terminer le scan !!!!
non seulement, alors qu'auparavant il fallait une heure pour scanner le 25% du poste de travail, tout le scan a été fait en moins de 3 heures !!!
Je n'ai pas eu de rapport, je crois parce qu'il n'y a pas de virus.
J'ai recopié ds un fichier bloc-notes les indications qui apparaissaient dans la fenêtre et je joins le fichier.

J'ai refait un hijackthis après tout cela et je joins le rapport.

L'ordinateur est resté allumé pendant près de 5h30 sans s'éteindre et sans message d'erreur !!!!

Je n'ose pas y croire, vous me direz certainement d'après les rapports ce qu'il en est, mais j'ai l'impression qu'il est ...guéri !!!

Merci mille fois pour vos conseils et votre présence. Ce que vous faites est vraiment génial !

[invite275db609]

Bonjour aamapola

Que de bonnes nouvelles tu nous donnes là.
C'est impeccable.

Si tu n'as plus de dysfonctionnements, fais encore ceci :

• Clic droit sur Poste de travail --> Propriétés --> onglet Système de restauration
• Coche la case "Désactiver le système de restauration..."
• Redémarre l'ordinateur
• Après redémarrage, retourne dans le même onglet pour rétablir le Système de restauration
• Décoche la case "Désactiver le système de restauration..."

Et voila, un nouveau point de restauration qui est a priori propre.

Désinsalle/supprime tout ce que je t'ai fait télécharger (sauf bien sur le firewall), tu peux aussi garder ATF-Cleaner.

Lis bien le dossier de prevention pour éviter de rattraper ce genre d'infection. La sécurisation est un tout et passe entre autre par un Antivirus, un firewall et un antispyware, correctement paramétrés.

Si tu as des questions n'hésite surtout pas à nous les poser, nous sommes aussi là pour çà.

Maintenant que ton ordinateur est désinfecté, tu as aussi la possibilité de nous aider à poursuivre les créateurs de ces malwares en justice en déposant un témoignage de ton infection sur Malware Complaints.

Pour cela, rends-toi sur Malware Complaints, et inscris-toi sur le forum.
Poste une réponse (en cliquant sur Post reply) dans ce type d'infection : Navipromo/Magic.control/EgdAccess.

Aide-toi des règles de Malware Complaints pour formater ton message.
Merci de ton aide

Bonne fin de journée

[invite1b18906d]

Bonjour,
je reviens sur le net après un long silence.
Hélas j'ai bien effectué les dernières manip conseillées et dès la fin, l'écran bleu a recommacé à apparaître.
Depuis ça n'a été qu'une longue galère: l'arrêt du système étant de plus en plus fréquent il devenait impossible de travailler.
J'ai craqué et j'ai acheté un portable Mac pour travailler dans l'urgence espérant être débarassée des virus.

Ceci dit j'ai besoin du PC qui est le seul compatible avec les machines dont je dispose au travail, donc s'il y avait un espoir de récupérer mon cher dinosaure je serais râvie.

merci merci

[invite275db609]

Bonsoir

Peut-etre que tu devrais ne pas te prendre la tete et formater ta machine, non ?

[invite1b18906d]

OK je me lancerai donc dans cette aventure.
Une question cependant, dans le PC j'ai deux disques durs
un sur lequel je sauve les photos et fichiers de sauvegarde
un partitionné sur lequel j'ai d'un côté les programmes, de l'autre le travail courant.

Je peux garder le disque séparé sans le formater et formater les deux partitions de l'autre ou bien
Je peux formater seulement la partition avec les programmes ?
Ou alors il faut formater les deux disques durs intégralement ?
merci beaucoup

[invite275db609]

Bonjour

Normalement ton disque dur avec les sauvegardes ne mérite pas d'etre formaté, il faut pas contre formaté celui avec le systeme et réinstaller celui-ci.