Se débarrasser de Windows Recovery Vista

[gingko2]

Bonsoir,

J'ai depuis ce soir un ordinateur un peu malade qui m'a fait très peur.. jusqu'à ce que je constate qu'internet fonctionne encore.. et donc je viens chercher de l'aide parce que je ne m'y connais pas trop et que je n'ai pas envie de faire de bêtise ni de jeter mon argent par les fenêtres..
J'ai donc un rogue dans mon ordinateur manifestement: system recovery.
J'ai cherché un peu sur google comment faire pour m'en débarrasser mais les seules solutions que j'ai trouvées (et qui ne m'inspirent pas complètement confiance) sont de passer par un logiciel payant: Gridinsoft Trojan Killer ou Malwarebytes.
Je n'ai rien contre le fait de payer pour une réparation mais je veux être sûre avant de le faire que ce sera couronné de succès.. or les avis semblent mitigés.
C'est pour cette raison que je m'adresse directement ici. Il me semble qu'avoir des interlocuteurs personnels est la démarche la plus sérieuse pour venir à bout de ce souci qui me bloque actuellement l'accès à tous mes fichiers personnels et à mon disque dur.
Pourriez-vous, s'il vous plaît, m'aider et me dire quelle démarche je dois suivre pour venir à bout de ce virus?
Merci beaucoup par avance.
Gingko

[bernard53]

bonjour

Fait ceci en premier s.t.p


* Télécharge >> OTL <<sur ton bureau.

* Fait un double-clic sur l'icône d'OTL pour le lancer
/!\ pour Vista/Seven fais un clic-droit sur l'icône d'OTL et choisis "Exécuter en tant qu'administrateur"

* Assure-toi d'avoir fermé toutes les applications en court de fonctionnement.

* Quand la fenêtre d'OTL apparaît, assure toi que dans la section "Rapport" (en haut à droite) la case "Rapport minimal " soit cochée.

* Copies et colles le contenue de cette citation dans la partie inférieure d'OTL " Personnalisation"

%temp%\smtmp\1\*.* /s
%temp%\smtmp\2\*.* /s
%temp%\smtmp\4\*.* /s
NetSvcs
%systemroot%\system32\drivers\*.sys /lockedfiles
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%SYSTEMDRIVE%\*.exe
netsvcs
/md5start
dwm.exe
taskhost.exe
taskeng.exe
wscntfy.exe
ctfmon.exe
rdpclip.exe
volsnap.sys
sptd.sys
explorer.exe
userinit.exe
winlogon.exe
wininit.exe
tcpip.sys
Sfloppy.sys
Changer.sys
cdrom.sys
disk.sys
ndis.sys
usbscan.sys
usbprint.sys
tdtcp.sys
tdpipe.sys
swmidi.sys
splitter.sys
rdpwd.sys
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
sceclt.dll
ntelogon.dll
logevent.dll
RASACD.SYS
iaStor.sys
nvstor.sys
atapi.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
ahcix86.sys
KR10N.sys
nvstor32.sys
ahcix86s.sys
nvrd32.sys
/md5stop
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles

* Cliques sur l'icône "Analyse" (en haut à gauche) .
* Laisse le scan aller à son terme sans te servir du PC
* A la fin du scan un ou deux rapports vont s'ouvrir "OTL.Txt" et ( ou ) "Extras.Txt"( dans certains cas).
* Copie et colle le ou les rapports dans ta réponse stp...
* Au cas où, tu peux les retrouver dans le dossier C:\OTL ou sur ton bureau en fonction des cas rencontrés
Mets le rapport ici car il prend bien de la place.

http://www.cijoint.fr/index.php

[gingko2]

Bonjour,

alors j'espère avoir fait comme il faut. J'ai pu fermer toutes les applications sauf "System Restore" qui reste impossible à fermer..

J'ai déposé le rapport ici:
http://www.cijoint.fr/cjlink.php?file=c ... GNtziF.txt

Gingko

[bernard53]

tu m'as mis le rapport nommé " "Extras.Txt"" mais il ma faut aussi celui nommé "OTL.Txt" s.t.p

Je te mets une réponse ce soir car j'ai des invité ce midi.

[gingko2]

Ah pardon!

voici l'autre rapport:
http://www.cijoint.fr/cjlink.php?file=c ... Puo3uE.txt

(enfin j'espère...)

Bonne journée!

[bernard53]

ok fait ceci.



* Fait un double-clic sur l'icône d'OTL pour le lancer
/!\ pour Vista/Seven fais un clic-droit sur l'icône d'OTL et choisis "Exécuter en tant qu'administrateur"

* Assure-toi d'avoir fermé toutes les applications en court de fonctionnement.

* Quand la fenêtre d'OTL apparaît, assure toi que dans la section "Rapport" (en haut à droite) la case " Rapport minimal" soit cochée.

* Copies et colles le contenue de cette citation dans la partie inférieure d'OTL "Personnalisation"

:OTL
PRC - C:\ProgramData\6DSS92c31Apgjk.exe ()
PRC - C:\ProgramData\fHXSUJnFKyQkA.exe ()
MOD - C:\ProgramData\6DSS92c31Apgjk.exe ()
MOD - C:\ProgramData\fHXSUJnFKyQkA.exe ()
FF - HKLM\Software\MozillaPlugins\@Apple.com/iTunes,version=: File not found
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - No CLSID value found.
O4 - HKLM\..\Run: [] File not found
O4 - HKCU\..\Run: [fHXSUJnFKyQkA.exe] C:\ProgramData\fHXSUJnFKyQkA.exe ()
O16 - DPF: {CAFEEFAC-0016-0000-0000-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinsta ... s-i586.cab (Java Plug-in 1.6.0)
[2011.10.29 20:38:23 | 022,446,536 | -H-- | M] (GridinSoft, Inc. ) -- C:\Users\Ulysse\trojankiller2110-setup.exe
[2011.10.29 20:18:53 | 000,000,440 | -H-- | M] () -- C:\ProgramData\6DSS92c31Apgjk
[2011.10.29 20:15:20 | 000,000,192 | -H-- | M] () -- C:\ProgramData\~6DSS92c31Apgjk
[2011.10.29 20:15:20 | 000,000,088 | -H-- | M] () -- C:\ProgramData\~6DSS92c31Apgjkr
[2011.10.29 20:06:43 | 000,000,611 | -H-- | M] () -- C:\Users\Ulysse\Desktop\System Restore.lnk
[2011.10.29 20:06:31 | 000,329,616 | -H-- | M] () -- C:\ProgramData\6DSS92c31Apgjk.exe
[2011.10.29 20:03:55 | 000,406,416 | -H-- | M] () -- C:\ProgramData\fHXSUJnFKyQkA.exe
[2011.10.29 11:43:48 | 000,027,430 | -H-- | M] () -- C:\Users\Ulysse\AppData\Roaming\nvModes.001
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Documents\tricot_modèles:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Documents\Simulation chambres:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Documents\RIB Société Générale Papa.jpg:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Documents\Recettes:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Documents\Postbank:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Documents\patrons couture:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Documents\My Stationery:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Documents\Klarmobil:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Documents\KIGA Elternbeirat 2011-2012:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Documents\Hans:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Documents\Graboid:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Documents\gingko:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Documents\fernstudium Hagen:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Documents\Faire-part choupette:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Documents\Elterngeld:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Documents\Eigene eBooks:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Documents\D-Telekom:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Documents\Download:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Documents\DKV:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Documents\digiscrap:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Documents\Customisation:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Documents\Courriers divers:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Documents\Communication:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Documents\Communication profonde:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Documents\brouillons ps:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Documents\Brother:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Documents\Briefe:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Documents\Bau:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Documents\(ebook-pdf) Adobe Photoshop Advanced Techniques:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Desktop\Viano:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Desktop\Table Tours:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Desktop\Pippa:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Desktop\PA081960.JPG:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Desktop\Noël 2008 006.jpg:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Desktop\ldk_.jpg:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Desktop\ldk.jpg:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Desktop\Hausbau:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Desktop\FV 2008:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Desktop\DSCN0888.JPG:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Desktop\attachments_2011_02_14:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Desktop\Argentan:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Desktop\Anouk_081211_port de tete.MOV:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Desktop\2010-11-23, Gingko:Roxio EMC Stream
@Alternate Data Stream - 76 bytes -> C:\Users\Ulysse\Desktop\11_November 2010:Roxio EMC Stream
:Commands
[emptytemp]
[createrestorepoint]
[reboot]

* Cliques sur l'icône Correction (en haut à gauche) .
* Laisse le scan aller à son terme sans te servir du PC
* A la fin du scan un rapport s'ouvrir "OTL.log"
* Copie et colle le ou les rapports dans ta réponse stp...
* Au cas où, tu peux les retrouver dans le dossier C:\OTL ou sur ton bureau en fonction des cas rencontrés
Mets le rapport ici car il prend bien de la place.
http://www.cijoint.fr/index.php


Puis::

Installe Malewarebytes' Antimalware,

http://malwarebytes.org/products/malwarebytes_free

Prends bien la version FREE
*** Met-le à jour puis choisi, Exécuter un examen complet

*** Si une infection est trouvée, coche la case a coté et valides avec l’Onglet Supprimer la sélection

Poste le rapport final.

[gingko2]

Voici le rapport après le deuxième scan par OTL:
http://www.cijoint.fr/cjlink.php?file=c ... rduerD.txt

Je vais m'occuper de Malwarebytes.. mais d'abord, c'est l'heure de déjeuner!

A tout à l'heure.
Gingko

[gingko2]

Bonjour à nouveau!

J'ai effectué l'examen complet par malewarebytes et voici donc le rapport final:
http://www.cijoint.fr/cjlink.php?file=c ... qyGSxn.txt

Cela étant, j'ai une autre question. Entre le moment où j'ai fait les analyses par OTL et le moment où j'ai lancé l'examen complet par malwarebytes, mon ordinateur s'est éteint (je suppose que la batterie était à plat et que je n'avais pas réagi assez rapidement pour le rebrancher..). Du coup, il a redémarré entièrement et les fichiers de rapport OTL avaient par conséquent disparu du bureau où je les avais enregistrés. Est-ce que je dois recommencer la procédure OTL également??

Merci à nouveau (je ne sais pas combien de fois je vais vous remercier.. )
Gingko

[gingko2]

Ah et je viens de constater que Malwarebytes a indiqué qu'il n'avait pas pu supprimer tous les fichiers infectés...

ça doit être inscrit dans le fichier de rapport, non?
Gingko

[bernard53]

OK pour Malwaresbytes cae tu as ceci.

Code: Tout sélectionner

[color=#0000FF]Quarantined and deleted successfully[/color].

par contre tu as fait une petite erreur avec OTL regarde bien la manip de suppression s.t.p

[gingko2]

Pour OTL, je dois donc recommencer le scan (analyse) en remettant ce que vous avez indiqué dans votre première réponse?

En fait, OTL s'est automatiquement installé en allemand sur mon ordinateur.. probablement parce qu'il a reconnu un environnement allemand puisque je vis en Allemagne.. mais du coup, je dois traduire les termes du logiciel et j'ai probablement cliqué sur autre chose que ce qu'il fallait.. mais du coup, je suis perdue.. dois-je tout recommencer avec OTL??

Merci par avance
Gingko

[bernard53]

relance OTL et correction en allemand doit être Korrektur

[gingko2]

Bonjour,

J'ai donc relancé OTL en suivant la première manipulation que vous aviez indiquée. Après l'analyse, voici le rapport OTL que j'obtiens:

http://www.cijoint.fr/cjlink.php?file=c ... r4TqTW.txt

[gingko2]

Que dois-je faire à présent?

Relancer OTL avec le texte à copier que vous aviez indiqué par la suite?

Merci par avance
Gingko

[bernard53]

Dis moi tu as bien fait comme ceci