ah, les vilaines bébétes !

[invite42302d4e]

hello,

finalement j'ai fait un dossier vousm.zip que tu va télécharger sur ton bureau, cela sera plus fiable
Fais bien ce qui suit dans l'ordre en prenant ton temps...

1.Télécharge le fichier "vousm.zip" sur ton bureau
http://sd-2.archive-host.com/membres...7185/vousm.zip
2.dezippe le dossier vousm.zip sur ton bureau (tu doit donc avoir un nouveau dossier "vousm" qui apparait sur ton bureau).
3.ouvre ce nouveau dossier "vousm" .
4. l'intérieur se trouve les fichiers "machin" / "CFScript" / "vousm"
5.fais un double clique sur le fichier "vousm" et suis les instructions indiquées par combofix
6.poste le rapport combofix.txt

@++
-----

[vousm]

bonjour,

Bon, je prends la résolution de ne pas continuer lorsqu'un détail survient, que tu n'évoques pas dans tes explications. Et c'est le cas maintenant : j'ai fait 2 téléchargements, le premier avec enregistrement du dossier zip sur mon bureau, puis décompression, sur le bureau. ensuite je n'ai pas trouvé le dossier décompressé. J'ai donc recommancé la manip, et maintenant, le système me sort une pancarte en anglais que je n'ai même pas pris la peine de considérer, sur l'idée que n'ayant pas d'indication de toi sur ce détail, il peut être problèmatique.

Dans l'attente de ton éclairage, et en te remerciant pour ta patience,

@+

Détail supplémentaire : au moment d’envoyer ce message, le site me signale que je ne suis pas connecté. Je vérifie en haut de page : je suis bien connecté.

Fausses pages ?

[invite42302d4e]

hello,

le système me sort une pancarte en anglais que je n'ai même pas pris la peine de considérer

c'est sûrement un avertissement de combofix, mais difficile à dire sans connaitre le contenu du texte

au moment d’envoyer ce message, le site me signale que je ne suis pas connecté.

t'inquiète pas, ça m'arrive aussi si je met trop de temps a rédiger mon message, donc rien d’anormal...

désinstalle combofix comme tu l'as fais la première fois
clique sur démarrer >> exécuter et dans la fenêtre qui s'ouvre fais un copier/coller de texte en rouge combofix /uninstall et valide avec OK

et retente la manip donner dans mon dernier message, ça devrait passer...

Courage, ont y arrivera

[vousm]

Bonjour,

je suis bloqué. Jar j'ai tenté de faire une copie écran, bien agrandie, du message en anglais, sur un doc word, mais ça ne marche pas.

Ce message concerne la "surécriture" (write over), c'est à dire l'enregistrement du dossier sur un dossier similaire...si j'ai bien compris.

J'ai essayé d'aboutir, en répondant oui, mais à la suite, mais pas de fichier décompressé sur le bureau. Le seul présent sur le bureau, même après décompression est un dossier nommé vousm, sous quick zip.

Dans l'attente de tes instructions

@+

[invite42302d4e]

hello,

C'est pas grave...ont va faire autrement, combofix ne semble pas pouvoir fonctionner pour une raison que j'ignore.

Télécharge The Avenger et dézippe-le sur ton bureau.
Lance le fichier "avenger.exe"
valide le message d'accueil par OK
Décoche la case "Scan for rootkit" et copie les lignes de la citation suivante, d'un trait, dans le cadre blanc de The avenger (comme tu le faisais pour OTL) et fais bien attention de sélectionner l'intégralité du texte.

Drivers to disable:
qssrtkya

Drivers to delete:
qssrtkya

Files to delete:
c:\windows\system32\drivers\qssrtkya.sys
c:\program files\Protection_ZoneAlarm\tbProt.dll
c:\windows\system32\fkuxjszp.dll

Folders to delete:
c:\documents and settings\oem\Local Settings\Application Data\Conduit      

Registry keys to delete:
HKEY_CLASSES_ROOT\clsid\{d7f26d0e-9801-45c3-a091-8a65e4ed73b5} 
HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{d7f26d0e-9801-45c3-a091-8a65e4ed73b5}   
HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{F138A574-05AB-C10D-FB76-C8CCB58CC228} 
HKEY_CLASSES_ROOT\CLSID\{F138A574-05AB-C10D-FB76-C8CCB58CC228}

Registry values to delete:
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks | {d7f26d0e-9801-45c3-a091-8a65e4ed73b5}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar | {d7f26d0e-9801-45c3-a091-8a65e4ed73b5}
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\Webbrowser | {D7F26D0E-9801-45C3-A091-8A65E4ED73B5}"

--> Clique ensuite sur "Execute", puis accepte de redémarrer ton pc
Après le redémarrage, un rapport devrait apparaitre (sinon ouvre le fichier C:\avenger.txt) et copie/colle son contenu ici, ainsi qu'un nouveau Log combofix

on croise les doigts

[vousm]

hello,

1.Télécharge le fichier "vousm.zip" sur ton bureau

Bonsoir,

J'ai réussi à avoir sur le bureau le dossier "vousm", contenant les 3 fichiers "machin" / "CFScript" / "vousm". Pour cela, j'ai, non pas enregistré le dossier compressé sur le bureau, comme tu l'expliquais, mais décompressé directement le dossier sur le bureau.

http://sd-2.archive-host.com/membres...7185/vousm.zip
2.dezippe le dossier vousm.zip sur ton bureau (tu doit donc avoir un nouveau dossier "vousm" qui apparait sur ton bureau).
3.ouvre ce nouveau dossier "vousm" .
4. l'intérieur se trouve les fichiers "machin" / "CFScript" / "vousm"
5.fais un double clique sur le fichier "vousm" et suis les instructions indiquées par combofix
6.poste le rapport combofix.txt

J'ai donc fait le scan avec Combofix.
Voici le rapport.

Détail : à l'ouverture de combofix, un message proposant la dernière mise à jour. La semaine dernière, je me souviens avoir utilisé combofix 2 fois dans une journée, parce que j'avais raté une manip, et à chaque fois, à quelques dizaines de minutes de temps, le message de mise à jour était revenu !

Y a t il autant de mises à jour pour ce logiciel ?

en tous cas, pour le scan que je viens de faire, je l'ai refusée.

J'attendrai ta réponse avant de faire le scan avec Avenger.

@+

[vousm]

J'ai finalement voulu exécuter tes derrnières instructions pour scaner avec avenger : pas bon. "erreur de syntaxe", me dit le système. Mais je ne sais pas comment on peut copier le texte d'un message du sytème ? Le recopier caractère par caractère peut être source d'erreur, et je ne connais toutes les commandes du clavier pour les caractères spéciaux.

si tu as besoin de l'integralité du message d'erreur, dis moi comment on fait pour capturer ces messages de Windows, dans un format qui soit acceptable en pièce jointe sur les pages du site.

@+

[invite42302d4e]

bonjour,

essais à nouveau the avenger, mais avec ce script, ça devrait passé...

Drivers to disable:
qssrtkya

Drivers to delete:
qssrtkya

Files to delete:
c:\windows\system32\drivers\qssrtkya.sys
c:\program files\Protection_ZoneAlarm\tbProt.dll
c:\windows\system32\fkuxjszp.dll

Folders to delete:
c:\documents and settings\oem\Local Settings\Application Data\Conduit      

Registry keys to delete:
HKEY_CLASSES_ROOT\clsid\{d7f26d0e-9801-45c3-a091-8a65e4ed73b5} 
HKEY_CLASSES_ROOT\CLSID\{F138A574-05AB-C10D-FB76-C8CCB58CC228}

Registry values to delete:
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks | {d7f26d0e-9801-45c3-a091-8a65e4ed73b5}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar | {d7f26d0e-9801-45c3-a091-8a65e4ed73b5}
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\Webbrowser | {D7F26D0E-9801-45C3-A091-8A65E4ED73B5}

[vousm]

Bonjour,

non, ça ne passe pas.

J'ai fait attention de copier tous les caractères,
j'ai mis le curseur immédiatement après le dernier caractère.

voici, si je n'ai pas fait erreur dans la saisie, le message d'erreur :
Error : Invalid registry syntax in command :
“HKEY_classes_root\clsid\{d7f2 6d0e-9801-45c3-a091-8a65e4ed73b5
Only registry keys under the HKEY_LOCAL_MACHINE hive are accessible to this prgram.
Skipping line. (registry key deletion mode)

ensuite, un message demande si on veut continuer. si je clique oui, un autre message d'erreur indique une autre erreur, avec les mêmes indications : Error : Invalid registry syntax in command :
puis la longue ligne de chiffres et caractères divers,
puis : Only registry keys under the HKEY_LOCAL_MACHINE hive are accessible to this prgram.
Skipping line. (registry key deletion mode)

Et si à ce deuxième message d'erreur, on clique oui pour continuer, un autre message concernant une autre erreur arrive...

Faut il que je te recopie tous les messages d'erreur ? si ça peut t'aider, pas de problème.
C'est dans ce genre de situation que se développent, un peu comme un malware se développe proportionnellement à l'utilisation de l'ordinateur, ma patience et ma persévérance.Plus ça bloque, plus j'ai envie de comprendre et de dépasser la difficulté !

Donc, n'hésite pas à me demander ce que tu veux, je suis début face à l'adversité, et merci beaucoup pour ta patience

Bonne journée
@

[invite42302d4e]

bonjour,

merci d'avoir pris la peine de re-transcrire le message d'erreur, je vois d'où vient le soucis maintenant...

On va traiter le rootkit et on fera le registre par un autre moyen

recommence la procédure avec the avenger mais en utilisant le contenu de la citation ci-dessous, ensuite on passera au registre.

fais bien attention de sélectionner l'intégralité du texte

Drivers to disable:
qssrtkya

Drivers to delete:
qssrtkya

Files to delete:
c:\windows\system32\drivers\qssrtkya.sys
c:\program files\Protection_ZoneAlarm\tbProt.dll
c:\windows\system32\fkuxjszp.dll

Folders to delete:
c:\documents and settings\oem\Local Settings\Application Data\Conduit

[vousm]

Bonsoir

voici le rapport de Avenger.

J'ai encore eu les messages d'erreur, de même nature que celui que je t'ai copié, qui s'enchainaient à chaque fois que je cliquais "oui".

Ensuite, j'ai eu très peur, car le système m'a présenté un écran bleu avec un dessin de clef. c'est la page présentée par Windows quand tu installes le système la première fois. Puis, message demandant si je voulais enregistrer Windows maintenant ! Pendant quelques secondes, j'ai imaginé que je n'avais plus mes documents, que le disque dur était vierge, avec seulement Windows.
Ouf !

tu évoquais un nouveau log combofix :

un rapport devrait apparaitre (sinon ouvre le fichier C:\avenger.txt) et copie/colle son contenu ici, ainsi qu'un nouveau Log combofix

je ne l'ai pas, puisque j'ai désinstallé Combofix !
Je n'ai plus rien de Combofix sur C:\

@+

[invite42302d4e]

on progresse, cette fois il a sauter notre rootkit

Faut croire que Windows n'as pas aimée la suppression de ce rootkit qui était bien encré

Peux-tu me poster un rapport OTL comme tu l'as fais la première fois que je vérifie si tout est OK, ensuite je te préparerai un petit fichier a exécuter pour virer les trace infectieuses du registre.

[vousm]

on progresse, cette fois il a sauter notre rootkit.

Y a plus de bèbéte ?

Peux-tu me poster un rapport OTL comme tu l'as fais la première fois

euh, avec quel script ? Je reprends celui que tu m'as fait pour le premier scan ?
Bon, c'est parti...J'espère avoir bien compris.

Donc voici le rapport.

Merci beaucoup et bonne nuit.

@+

[invite42302d4e]

hello,

effectivement, la partie la plus dure à éradiquer a été traité...

* Fais un double-clic sur l'icône d'OTL pour le lancer
/!\ pour Vista/Seven fais un clic-droit sur l'icône d'OTL et choisis "Exécuter en tant qu'administrateur"

* Assure toi d'avoir fermé toutes les applications en court de fonctionnement.

* Quand la fenêtre d'OTL apparaît, assure toi que dans la section "Rapport" (en haut à droite) la case "Rapport minimal" soit cochée.

* Copies et colles le contenue de cette citation dans la partie inférieure d'OTL "Personnalisation"

:Files
C:\WINDOWS\System32\rzsmsvxa.dat      
C:\WINDOWS\System32\dmplrffa.dat
C:\WINDOWS\System32\plkemrsa.dat      
C:\WINDOWS\System32\neueipgi.dat      
C:\WINDOWS\System32\fomowebq.dat      
C:\WINDOWS\System32\bmjfqhkh.dat  
C:\WINDOWS\System32\vpaemicu.dat      
C:\WINDOWS\System32\oowntdma.dat      

:OTL
SRV - File not found [Auto | Stopped] --  -- (fzspvopt)      
SRV - File not found [Auto | Stopped] --  -- (btwdins)      
SRV - File not found [On_Demand | Stopped] --  -- (AppMgmt)                

:Commands
[emptytemp] 
[EMPTYFLASH]

* Cliques sur l'icône "Correction" (en haut à gauche) .
* Laisse le scan aller à son terme sans te servir du PC
* A la fin du scan un rapport va s'ouvrir "OTL.Txt"
* Copie et colle le rapports dans ta réponse stp...
* Au cas où, tu peux le retrouver dans le dossier C:\OTL

[vousm]

Bonsoir,

voici le rapport de scan d'OTL. Mais c'est pas OTL.txt.

quand un détail n'est pas exactement comme tu l'évoques, je me demande toujours si j'ai pas fait une connerie...

Bonne fin de soirée
@+

[invite42302d4e]

bonjour,

je me demande toujours si j'ai pas fait une connerie...

Aucuns soucis, tu as tout fais comme il fallait (je me suis mal exprimer par OTL.txt, je voulait dire le rapport OTL )

Tout ce que tu as fais jusqu’à présent était très bien, c'est juste que le rootkit nous faisait la misère en bloquant le bon fonctionnement d'OTL et Combofix

Comment se comporte ton pc, toujours des alertes de ton anti-virus ?

@++

[vousm]

Comment se comporte ton pc,

Bonjour,

Oui, faisons le point.

A la fermeture exlorer.exe ferme bien. Il restait à la traîne...

Je n'ai plus d'anomalie particulière, mais peut être le PC n'a t il pas retrouvé sa vigueur initiale, particulièrement sur les connexions à Internet. Je trouve Firefox un peu long à démarrer.

IE n’est pas plus rapide, je précise.

Tous les jours, j’enlève les fichiers temporaires, et les cookies.

Dans les applications hors connexion, c’est très bien.

Je n’ai pas d’antivirus résident. Juste ZoneAlarm fire wall.

J’ai eu Avast, mais comme tout le monde s’accorde à dire qu’il n’y a pas d’antivirus totalement efficace et qu’on n’est jamais totalement protégé, je ne l’ai pas renouvelé, et je n’ai pas eu de problème…jusqu’au jour où Thunderbird m’a affiché une pancarte d’alerte très rouge. Dans les jours suivants, j’ai commencé à recevoir des emails de mon fils, dont il m’affirmé ne pas être l’auteur, et je trouvais de temps à autres des dossiers ouverts, avec la nette impression que quelque part, quelqu’un matait dans ma messagerie…

Faut il maintenant refaire :http://www.futura-sciences.com/fr/do...701/c3/221/p3/ ?
Avec un scan MAM à la suite ?

Bonne journée.

[invite42302d4e]

Salut,

tout le monde s’accorde à dire qu’il n’y a pas d’antivirus totalement efficace et qu’on n’est jamais totalement protégé

ça c'est comme si tu me disait que tu préfère sauter d'un avion sans parachute car il parait qu'un parachute n'est pas fiable

Il te faut impérativement avoir un anti-virus actif sur ton PC

Installe Antivir (qui est gratuit) et fais un scan complet et ayant pris soins de le configurer comme dans le tuto de Bobette Marlow
Tu as une petite vidéo sympa qui te montre la marche à suivre pour le configurer
Téléchargement

Tutoriel vidéo

une fois installé, il y a de forte chance qu'antivir détecte des fichiers infectieux, si c'est le cas, ne pannique pas et suis les instructions d'antivir...

Le scan effectué, poste le rapport

[vousm]

ça c'est comme si tu me disait que tu préfère sauter d'un avion sans parachute car il parait qu'un parachute n'est pas fiable

Merci pour les liens.

@++

[vousm]

Ouah !

4 bébêtes trouvées encore !

Salut Jeanmi,

Voilà. J'ai un parachute...

Voici le rapport.

qu'est ce que je fais des bébêtes ? Je les ai mises en quarantaine...

bonne fin de week end

@+

[invite42302d4e]

re,

Tu vois que ça sert à quelque chose un bon anti virus

Fais cela stp...
Télécharge Winsockxpfix sur ton bureau
Fait un double clic sur l'icône de WinsockXPFix.
>>clique sur "Fix" > et si ton pc ne redémarre pas,redémarre le manuellement.
- Ensuite dis moi si ta connexion internet est un peu plus rapide.

@++

[vousm]

Bonjour,

sur l'ouverture d'une page, je n'ai vu de grosse différence.

Je te dirai dans quelques jours.

Globalement, tout va bien. Me voilà rassuré.

Merci beaucoup pour ton aide.


Détail : au redémarrage, j'ai eu un message, indiquant que ma version d'antivir est obsolète, et proposant de télécharger la dernière version.

Ça te semble normal ? Est ce une simple mise jour de l'antivirus ?

@+

[invite42302d4e]

oups,

autant pour moi, la dernière version (9) est sur cette page
http://www.avira.com/fr/avira-free-antivirus

choisis la gratuite, celle qui s'appelle "Avira AntiVir Personal - Free Antivirus"

Désinstalle l'ancienne version (8) et installe la version 9 que tu auras téléchargé.

ensuite...

relance OTL et clique sur "purge outils", cela désinstallera la plupart des outils que nous avons utilisés.

ça na pas été facile tout ça, bravo pour ta persévérance

si tu as d'autres questions, n'hésite pas

@++

[vousm]

Bonsoir,

Bon, ,là, il vient de m'arriver un truc délirant :

après avoir téléchargé la nouvelle version d'antivir et fait le nettoyage avec OTL, tout allait bien. J'ai redémarré avec l'idée de voir 2 ou 3 trucs sur la toile, tranquille, histoire de profiter du bon nettoyage qu'on a fait. Un message d'antivir se pointe annonçant le blocage d'un virus. Mise en quarantaine ? Je clique oui. Là, plantage de Windows, bloqué. Je redémarre : rien. blocage sur la photo du bureau. 4 tentatives plus tard, rien. je regarde mon modem : voyant ADSL éteint. J'éteins le modem, je le rallume 30 sec plus tard, j'éteins le PC, je laisse le modem charger. J'allume le PC. Ouverture de Firefox très lente.

Là, je te demande du secours, parce que, je me voyais aller chez mon voisin pour t'écrire ce message sur son PC. Curieux ce bug, entre Windows qui ne démarre plus, et ma connexion Internet coupée, ça dans le même temps.

Le virus trouvé est en quarantaine.

Je ne fais plus rien en attendant ta réponse.

Merci d'avance

@+

[vousm]

Détail que j'oubliais : quand j'ai mis le virus en quarantaine, antivir a commencé une réparation, quelque chose comme ça...Et ensuite ont commencé tous les détails que j'ai décrits.

@+

[vousm]

Bonjour,

J'ai eu encore une bébête ce matin. Cette fois, j'ai noté :
dans C\System Volume Information\...A0000234.sys, nom du malware : TR/Patched Gen

J'ai supprimé le fichier.

@+

[invite42302d4e]

Bonsoir,

Cette fois, j'ai noté :
dans C\System Volume Information\...A0000234.sys, nom du malware : TR/Patched Gen

ce n'est pas grave, ce dossier est celui qui stocke tes points de restaurations, il est normal que c'est points comporte des éléments infectieux, en fin de procédure on purgera la restauration système, mais avant cela il faut être sûr que le PC soit stable.

Qu'en est il du problème de démarrage du pc ?

@++

[vousm]

Bonsoir,

Ta réponse me rassure.

Mais ce matin, il n'a pas démarré la première fois.il a fallu redémarrer.

Ça, ça m'inquiète !

@+

[invite42302d4e]

Bonsoir,

Ta réponse me rassure.

Mais ce matin, il n'a pas démarré la première fois.il a fallu redémarrer.

Ça, ça m'inquiète !

@+

hello,

Si ces problème lors du redémarrage persistent (une fois c'est bon, une fois c'est pas bon) , il faudra peut être envisager un problème matériel ( disque dure qui fait des siennes ou problème de mémoire )
Car un système Windows endommagé plante tout le temps et pas une fois de temps en temps

Par précaution, fais une sauvegarde de tes documents important sur un disque dure externe, clefs USB ou des CD/DVD.

Une fois tes sauvegardes effectuées (c'est le plus important à faire en priorité ) fais cela stp...

pour désinstaller les outils utilisés, lance OTL et clique sur "Purge Outils", laisse OTL redémarrer ton PC

Supprime WinsockXPFix de ton bureau...

On va purger ta restauration système et créer un nouveau point propre (cela évitera qu'Antivir hurle à chaque fois qu'il la scannera )

Pour cela utilise OneClick2RP de Laddy
Téléchargement et tuto ici

ensuite...

Pense à mettre à jours Windows:

• La méthode la plus simple et l'utilisation de "Windows Update" qui se trouve dans ton menu démarrer

Pense à mettre à jours Java:

• La méthode la plus simple et l'utilisation de >> JavaRa <<

Pense à mettre à jour Acrobat reader si il est installé sur ton PC de cette manière:

• Ouvre Acrobat reader, clique sur "aide" et choisis "rechercher des mises à jours..."

Procède à une Défragmentation afin d'optimiser les temps d'accès du disque dur lors de la lecture des :

• Pour lancer une défragmentation, double-clique sur Poste de Travail,clic-droit sur le disque à défragmenter puis sur Propriétés.
• Choisis l'onglet Outils puis clique sur défragmenter maintenant .
• Cette opération est à renouveler régulièrement ( Environs une fois par mois ).

un peu de lecture sur la manière de protéger ton surf et ton ordinateur:

• un Compte Utilisateur limité accroît la sécurité de l'ordinateur.
  
• Quelques mesures préventives pour surfer couvert.
  
• Comment éviter les imprudences d'installation.
  
• Reconnaitre et éviter les infections Msn.
  
• Si tu utilises "Face Book", lis >> cet article << afin de ne pas te faire piéger

N'hésite pas a demander en cas de doute sur ces procédures

[vousm]

Bonjour

A cause d'activités qui demandent du temps, j'ai mis en suspend les problèmes du PC, qui ne fonctionne pas mal, somme toutes. Je le laisse en veille, ce qui évite de charger windows tous les jours.

Ma prochaine action sera de faire des sauvegardes, puis je reprendrai la chasse aux bébêtes, avec ton aide, si tu veux bien
.

Merci beaucoup.

@++