[Réglé] Mon PC rame • page 2

[guugues]

Certains ADS font de la résistance et certaines commandes ne passent toujours pas. Il va falloir faire autrement :


1- GrantPerms64 :

• Télécharge GrantPerms64 sur ton bureau.
• Le téléchargement se lance automatiquement, tu n'as donc pas besoin de cliquer sur un lien.
• Clique-droit sur le dossier GrantPerms64.zip et choisis Extraire tout.
• Un dossier GrantPerms64 apparaît sur ton bureau : ouvre-le.
• Lance alors l'application GrantPerms64.exe

Sous Windows Vista/Seven/8, clique-droit sur GrantPerms64.exe puis Exécuter en tant qu'administrateur

• Copie le contenu du cadre ci-dessous en cliquant sur Tout sélectionner, clique-droit sur la zone sélectionnée puis choisis Copier :

Code: Tout sélectionner

C:\ProgramData\Modèles:gs5sys
C:\ProgramData\Modèles
C:\ProgramData\Templates:gs5sys
C:\ProgramData\Templates
C:\Users\Grégoire\Cookies:gs5sys
C:\Users\Grégoire\Cookies
C:\Users\Grégoire\Modèles:gs5sys
C:\Users\Grégoire\Modèles
C:\Users\Grégoire\AppData\Local\Historique:gs5sys
C:\Users\Grégoire\AppData\Local\Historique

• Puis colle-le dans le cadre de GrantPerms.
• Clique ensuite sur le bouton Unlock :

• Le message Unlock operation completed doit apparaître : valide par OK.

2- OTM :

• Télécharge OTM sur ton bureau.
• Lance OTM.

Sous Windows Vista/Seven/8, clique droit sur OTM puis Exécuter en tant qu'administrateur

• Télécharge la pièce jointe suivante sur ton bureau :

Dratui.txt

• Ouvre le fichier Dratui.txt puis copie toutes les lignes qui sont dedans, de :Files à [emptytemp].

• Colle ensuite les lignes précédemment copiées dans la catégorie Paste Instructions for Items to be Moved d'OTM.

• Puis clique sur le bouton MoveIt!. Patiente.
• S'il t'est demandé de redémarrer le PC : accepte.
• Un rapport sera créé à cet endroit : C:\_OTM\MovedFiles\.
• Joins ce rapport dans ta prochaine réponse en suivant ce tutoriel.

----------------------------------------------------

Est donc attendu le rapport de OTM.

[Dratui]

Voilà le résultat !

D'après ce que je vois, on a "gs5sys" qui est un irréductible gaulois ?

[guugues]

D'après ce que je vois, on a "gs5sys" qui est un irréductible gaulois ?

C'est bien cet ADS qui résiste et même encore maintenant. Nous allons utiliser un autre outil de diagnostic :


OTL – Analyse :

• Télécharge OTL sur ton bureau.
• Ferme toutes les applications en cours, puis lance OTL.

Sous Windows Vista/Seven/8, clique droit sur OTL puis Exécuter en tant qu'administrateur

• Coche les cases Tous les utilisateurs, Recherche Lop et Recherche Purity.
• Si ton Windows est en 64 bit, la case Avec analyses 64 bit doit être cochée par défaut :

• Copie le contenu du cadre ci-dessous en cliquant sur Tout sélectionner, clique-droit sur la zone sélectionnée puis choisis Copier :

Code: Tout sélectionner

netsvcs
msconfig
safebootminimal
safebootnetwork
drivers32
activex
/md5start
afd.sys
atapi.sys
cdfs.sys
cdrom.sys
dfsc.sys
hdaudbus.sys
i8042prt.sys
ipnat.sys
ipsec.sys
mrxsmb.sys
netbt.sys
ntfs.sys
parport.sys
rasl2tp.sys
rdpdr.sys
smb.sys
sptd.sys
tcpip.sys
tdx.sys
volsnap.sys
cmd.exe
explorer.exe
services.exe
svchost.exe
userinit.exe
wininit.exe
winlogon.exe
kernel32.dll
rpcss.dll
user32.dll
/md5stop
%temp%\.exe /s
%SYSTEMDRIVE%\*.exe
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.*
%APPDATA%\*.exe /s
%systemroot%\*. /mp /s
%systemroot%\system32\consrv.dll
%SystemDrive%\$RECYCLE.BIN\* /s
%SystemDrive%\RECYCLER\* /s
%SystemRoot%\assembly\GAC\*.*
%SystemRoot%\assembly\GAC_32\*.*
%SystemRoot%\assembly\GAC_64\*.*
%LOCALAPPDATA%\*.
%LOCALAPPDATA%\*.*
%LOCALAPPDATA%\Google\Desktop\* /s
%ProgramFiles%\Google\Desktop\* /s
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
%WINDIR%\pss\*.* /s
%systemroot%\System32\config\*.sav
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\syswow64\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\syswow64\drivers\*.sys /lockedfiles
hklm\software
hkcu\software
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
HKLM\SOFTWARE\Microsoft\Internet Explorer\MAIN\FeatureControl|FEATURE_BROWSER_EMULATION /rs
HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\Main\FeatureControl|feature_enable_ie_compression /rs
HKEY_USERS\S-1-5-18\Software\Microsoft\Internet Explorer\Main\FeatureControl|feature_enable_ie_compression /rs
nslookup www.google.fr /c
SAVEMBR:0
CREATERESTOREPOINT

• Puis colle-le sous la catégorie Personnalisation d’OTL.
• Clique sur le bouton Analyse en haut à gauche puis patiente quelques instants.
• A la fin du scan, deux rapports s'ouvriront : OTL.txt et Extras.txt. Ceux-ci sont présents sur ton bureau.
• Joins ces 2 rapports dans ta prochaine réponse en suivant ce tutoriel.

------------------------------------------------------

Sont donc attendus les 2 rapports de OTL.

[Dratui]

Les voilà !

Le fichier OTL était trop gros, j'ai dû le diviser en deux, en espérant que ça marche quand-même pour toi !

[guugues]

Re !

Drive C: | 97,65 Gb Total Space | 13,65 Gb Free Space | 13,98% Space Free | Partition Type: NTFS

Il y a très peu d'espace disque de libre sur la partition sur laquelle est installé Windows : il faut que tu désinstalles les programmes dont tu ne te sers pas, supprimer les éléments inutiles afin d'avoir au moins 20 % d'espace libre.

Il y a des traces de Backdoor sur ce PC ... :


1- OTL – Correction :

• Relance OTL.

Sous Windows Vista/Seven/8, clique droit sur OTL puis Exécuter en tant qu'administrateur

• Télécharge la pièce jointe suivante sur ton bureau :

Dratui.txt

• Ouvre le fichier Dratui.txt puis copie toutes les lignes qui sont dedans, de :OTL à [emptytemp].

• Colle ensuite les lignes précédemment copiées dans la catégorie Personnalisation d'OTL.

• Ferme toutes les applications en cours, y compris Internet.
• Puis clique sur le bouton Correction. Patiente.
• S'il t'est demandé de redémarrer le PC : accepte.
• Le rapport est sauvegardé ici : C:\_OTL\MovedFiles\ sous la forme date_heure.log.
• Joins ce rapport dans ta prochaine réponse en suivant ce tutoriel.

2- RogueKiller – Recherche :

• Télécharge RogueKiller-x64 sur ton bureau.
• Ferme toutes les applications en cours, y compris Internet.
• Lance RogueKiller.

Sous Windows Vista/Seven/8, clique droit sur RogueKiller puis Exécuter en tant qu'administrateur

• Patiente pendant le pre-scan. Cela peut prendre un peu de temps.
• Une fois le pre-scan fini, clique sur le bouton Scan :

• Patiente pendant le scan. Cela peut prendre un peu de temps.
• Une fois le scan terminé, un rapport est généré.
• Celui-ci se trouve ici : C:\Users\All Users\RogueKiller\Logs\RKreport_SCN_Date_Heure.txt.
• Joins ce rapport dans ta prochaine réponse en suivant ce tutoriel.

3- Malwarebytes Anti-Rootkit :

• Télécharge Malwarebytes Anti-Rootkit sur ton bureau.
• Lance le fichier exécutable mbar-xxx.exe.

Sous Windows Vista/Seven/8, clique droit sur mbar-xxx.exe puis Exécuter en tant qu'administrateur

• Une fenêtre apparaît. Clique sur le bouton Ok.
• Un dossier mbar est créé sur le bureau et l'application se lance automatiquement.
• Dans la fenêtre, clique sur le bouton Next.
• Clique sur le bouton Update pour mettre à jour le logiciel.
• Puis clique sur le bouton Next.

• Clique ensuite sur le bouton Scan pour démarrer l'analyse.
• Patiente sans toucher au PC.
• Si des infections sont trouvées, clique sur le bouton Cleanup.
• Redémarre le PC si demandé :

• Sinon, clique sur le bouton Exit.
• 2 rapports sont créés dans le dossier mbar : mbar-log-date (heure).txt et system-log.txt.
• Joins ces 2 rapports dans ta prochaine réponse en suivant ce tutoriel.

----------------------------------------------------------------

Sont attendus les rapports de OTL, RogueKiller et MBAR.

[Dratui]

Bonjour !

Voici le rapport OTL, que j'ai du diviser en 5 (la 5ème partie arrive ensuite) car il était vraiment gros.

Par contre je suis bloqué à RogueKiller, il fait son scan et au bout d'un moment m'ouvre cette page : http://www.adlice.com/kernelmode-rootki ... l-filters/ sans plus d'explication, et il n'y a pas de rapport.

Merci

[Dratui]

Voilà la 5ème partie

[guugues]

Hello !

Pour RogueKiller, une fois qu'il a fini son scan (ferme la page internet qui s'ouvre entre temps), clique sur le bouton Rapport puis :

• Clique sur Fichier puis sur Enregistrer sous.
• Enregistre le rapport sur le bureau.
• Puis transmets-le moi en pièce jointe.

J'attends également le rapport de MBAR.

[Dratui]

Les voici !

[guugues]

Re !

Ok, à priori cela devrait être bon, juste une dernière vérification :


1- TDSSKiller :

• Télécharge TDSSKiller sur ton bureau.
• Lance TDSSKiller.

Sous Windows Vista/Seven/8, clique droit sur TDSSKiller puis Exécuter en tant qu'administrateur

• Une fois le logiciel ouvert, clique sur Change parameters.

• Coche la case Loaded modules : un redémarrage est demandé, accepte en cliquant sur Reboot now.

• L’ordinateur redémarre. Au redémarrage, TDSSKiller se relance automatiquement.
• Clique de nouveau sur Change parameters.
• Coche les cases Verify file digital signatures et Detect TDLFS file system.
• Assure-toi que la case Use KSN to scan objects soit cochée.
• Valider par OK.

• Clique sur Start scan pour lancer l'analyse. Laisse l’outil travailler sans l'interrompre.

• Si l'outil a trouvé des éléments suspects ou malicieux, laisse les options indiquées par l'outil pour l'action à effectuer et vérifie bien ceci :

Si TDSS.tdl2 est détecté, assure toi que Delete est sélectionné.
Si TDSS.tdl3 est détecté, assure toi que Cure est sélectionné.
Si TDSS.tdl4 est détecté, assure toi que Cure est sélectionné.
Si Suspicious objects est indiqué, assure toi que Skip est sélectionné.
Si un fichier du type C:\Windows\123456789:987654321.exe (C:\Windows\chiffres_aléatoires:chiffres_aléatoires.exe) est détecté, assure toi que Delete est sélectionné.
Si un fichier TDSS File System est détecté, assure toi que Delete est sélectionné.

• Clique sur Continue puis sur Reboot computer si l‘outil te le demande.
• Un rapport sera créé ici : C:\TDSSKillerVersion_Date_Heure_log.txt.
• Joins ce rapport dans ta prochaine réponse en suivant ce tutoriel.

2- OTL – Réanalyse :

• Ferme toutes les applications en cours, puis lance OTL.

Sous Windows Vista/Seven/8, clique droit sur OTL puis Exécuter en tant qu'administrateur

• Coche les cases Tous les utilisateurs, Recherche Lop et Recherche Purity.
• Coche également la case Avec liste blanche dans la catégorie Registre: approfondi.
• Si ton Windows est en 64 bit, la case Avec analyses 64 bit doit être cochée par défaut :

• Copie le contenu du cadre ci-dessous en cliquant sur Tout sélectionner, clique-droit sur la zone sélectionnée puis choisis Copier :

Code: Tout sélectionner

netsvcs
msconfig
safebootminimal
safebootnetwork
drivers32
activex
/md5start
afd.sys
atapi.sys
cdfs.sys
cdrom.sys
dfsc.sys
hdaudbus.sys
i8042prt.sys
ipnat.sys
ipsec.sys
mrxsmb.sys
netbt.sys
ntfs.sys
parport.sys
rasl2tp.sys
rdpdr.sys
smb.sys
sptd.sys
tcpip.sys
tdx.sys
volsnap.sys
cmd.exe
explorer.exe
services.exe
svchost.exe
userinit.exe
wininit.exe
winlogon.exe
kernel32.dll
rpcss.dll
user32.dll
/md5stop
%temp%\.exe /s
%SYSTEMDRIVE%\*.exe
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.*
%APPDATA%\*.exe /s
%systemroot%\*. /mp /s
%systemroot%\system32\consrv.dll
%SystemDrive%\$RECYCLE.BIN\* /s
%SystemDrive%\RECYCLER\* /s
%SystemRoot%\assembly\GAC\*.*
%SystemRoot%\assembly\GAC_32\*.*
%SystemRoot%\assembly\GAC_64\*.*
%LOCALAPPDATA%\*.
%LOCALAPPDATA%\*.*
%LOCALAPPDATA%\Google\Desktop\* /s
%ProgramFiles%\Google\Desktop\* /s
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
%WINDIR%\pss\*.* /s
%systemroot%\System32\config\*.sav
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\syswow64\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\syswow64\drivers\*.sys /lockedfiles
hklm\software
hkcu\software
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
HKLM\SOFTWARE\Microsoft\Internet Explorer\MAIN\FeatureControl|FEATURE_BROWSER_EMULATION /rs
HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\Main\FeatureControl|feature_enable_ie_compression /rs
HKEY_USERS\S-1-5-18\Software\Microsoft\Internet Explorer\Main\FeatureControl|feature_enable_ie_compression /rs
nslookup www.google.fr /c
SAVEMBR:0
CREATERESTOREPOINT

• Puis colle-le sous la catégorie Personnalisation d’OTL.
• Clique sur le bouton Analyse en haut à gauche puis patiente quelques instants.
• A la fin du scan, deux rapports s'ouvriront : OTL.txt et Extras.txt. Ceux-ci sont présents sur ton bureau.
• Joins ces 2 rapports dans ta prochaine réponse en suivant ce tutoriel.

----------------------------------------------------------------------------

Sont donc attendus les rapports de TDSSKiller et OTL.

[Dratui]

Voilà !

[guugues]

C'est OK pour les rapports, un dernier petit correctif et on finalisera :


OTL – Correction :

• Relance OTL.

Sous Windows Vista/Seven/8, clique droit sur OTL puis Exécuter en tant qu'administrateur

• Télécharge la pièce jointe suivante sur ton bureau :

fix.txt

• Ouvre le fichier fix.txt puis copie toutes les lignes qui sont dedans, de :Files à [emptytemp].

• Colle ensuite les lignes précédemment copiées dans la catégorie Personnalisation d'OTL.

• Ferme toutes les applications en cours, y compris Internet.
• Puis clique sur le bouton Correction. Patiente.
• S'il t'est demandé de redémarrer le PC : accepte.
• Le rapport est sauvegardé ici : C:\_OTL\MovedFiles\ sous la forme date_heure.log.
• Joins ce rapport dans ta prochaine réponse en suivant ce tutoriel.

[Dratui]

Voilà ! J'espère que c'est bientôt fini :p

[guugues]

Impeccable ! On peut finaliser :


Purge de la restauration système / Suppression des outils de désinfection :

• Télécharge DelFix sur ton bureau.
• Lance Delfix.

Sous Windows Vista/Seven/8, clique droit sur DelFix puis Exécuter en tant qu'administrateur

• Coche la case Réactiver l'UAC (grisée sous Windows XP).
• Coche la case Supprimer les outils de désinfection.
• Coche la case Purger la restauration système.
• Coche la case Réinitialisation des paramètres système.
• Enfin, clique sur Exécuter :

• Le rapport est ici : C:\Delfix.txt.
• Joins ce rapport dans ta prochaine réponse en suivant ce tutoriel.

------------------------------------------

Est attendu le rapport de DelFix.


=====================================================================================================


La procédure de désinfection est désormais terminée. Je te remercie de l'avoir suivie jusqu'au bout.
Je t'invite maintenant à prendre connaissance des conseils de sécurité ci-dessous.


=====================================================================================================


¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Sécurisation du PC ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤



Tenir à jour Windows, les navigateurs et les programmes installés

• Prendre connaissance de ce tutoriel

Analyser régulièrement l'ordinateur

• Avec Malwarebytes Anti-Malware
• Avec ton Antivirus

Bloquer les publicités, potentiellement dangereuses

• AdBlockPlus pour Google Chrome
• AdBlockPlus pour Mozilla Firefox
• AdBlockPlus pour Internet Explorer
• AdBlockPlus pour Opera

Savoir si un site web possède une bonne ou mauvaise réputation

• Pour tous les navigateurs : Web Of Trust (WOT)

Éviter d'être de nouveau infecté

• Pourquoi et comment je me fais infecter
• Sécuriser son ordinateur et connaître les menaces
• Les toolbars, c'est pas obligatoire
• Dossier Prévention et Sécurité
• Comment éviter les Ransomware
• Module interactif : Principes essentiels de la sécurité informatique

Les pratiques à éviter

• Les dangers du Peer-to-Peer
• Le danger des cracks

Si tu as des questions, n'hésite pas !

[guugues]

Et aussi, par mesure de précaution, sachant qu'il y avait des traces d'une backdoor (non active) :


Tu changeras par mesure de précaution tes mots de passe : banque, réseaux sociaux, jeux en ligne, sites de musique etc.