[résolu]Problkème virus qui bloque le profil et cachent tous les fichiers

Bonjour à la communauté,



Voilà mon problème depuis ce matin mon profil (j'en ai 2) est bloqué un pseudo programme de scannage de disque dur se lance et je n'ai plus accès aux fichiers ni du disque dur ni de mes disques durs externes, j'ai vérifié et j'ai découvert que tous les fichiers étaient maintenant en mode caché. Je n'ai également plus accès à tous mes documents (my documents) donc plus non plus les favoris sur internet bref je suis un peu bloqué, quelqu'un pourrait-il avoir la gentillesse de m'aider? Merci d'avance.

Bonjour,
Tu as accès à la session bloquée en mode sans echec?
Tu peux me donner le nom du programme qui bloque tout?

Tout d'abord merci pour votre réponse.

En fait en ayant redémarrer une fois j'ai toujours accès à mon profil "infecté" mais plus de programme qui se lance le programme était "disk repair". Par contre n'atant pas trop doué avce l'infirormatique je ne sais pas comment on démarre avec le mode sans échec!!

J'ai oublié aussi de dire que je n'ai plus accès à la restauration du système plus aucune options n'apparait dans le menu programmes.

On va deja essayer en mode normal puisque le profil se lance toujours.
A partir de l'autre session ou d'un autre pc (selon ce que tu utilise pour venir sur le forum), télécharge RogueKiller :
pour windows 32 bits : http://www.sur-la-toile.com/RogueKiller/RogueKiller.exe
ou pour windows 64 bits : http://www.sur-la-toile.com/RogueKiller/RogueKillerX64.exe

Renomme le Winlogon et place le sur le bureau de la session infectée.
Pour le renommer facilement il te suffit de faire un clic droit sur les liens et choisir "Enregistrer la cible du lien sous..."
Execute le (en l'ayant nommé winlogon, l'infection ne le bloquera pas)
si tu est sur vista/7, clic droit/executer en tant qu'administrateur
Une fois le programme installé, clic sur Scan.
Si le rapport ne s'ouvre pas automatiquement, clic sur le bouton Rapport pour l'afficher.
Heberge le rapport sur www.cjoint.com et poste le lien

Si tu ne sais pas quelle version télécharger, il te suffit de faire un clic droit sur l'icone poste de travail/ordinateur et regarder les propriétés. Ca t'indiquera si tu utilise windows 32 ou 64 bits, prends la version de roguekiller qui correspond

Voil le scan est fait il me dit que ce devrait être Rootkit zero access voici le lien du rapport



http://cjoint.com/?CBolzSitmfP

Ce n'est pas le rootkit qui bloque ta session, tu as plusieurs infections

Relance roguekiller, refais un scan (sans poster de rapport)
Ca debloquera le bouton Suppression
Clic sur Suppression pour nettoyer tout ce bazar et poste le rapport.

Ensuite dit moi si tu as récupéré l'accès au pc.

Voici le lien http://cjoint.com/?CBolROvYLbV

Tes dossiers sont réapparus?
Si oui, relance Roguekiller et utilise l'option DNS RAZ puis poste le rapport

Si non, utilise aussi l'option Racc. RAZ et poste egalement le rapport.

Ensuite fais une analyse generale du pc pour voir si d'autres infections trainent :
Télécharger ZHPDiag (de Nicolas Coolman)
http://telechargement.zebulon.fr/zhpdiag.html
ou directement : ftp://zebulon.fr/ZHPDiag2.exe
Double-cliquer sur ZHPDiag.exe puis suivre les étapes de l'installation.
Cocher la case "Exécuter ZHPDiag" à la fin de l'installation puis cliquer sur "Terminer".
L'installation est terminée, 3 icônes sont créées sur le bureau.
Lancer ZHPDiag.exe (sous Vista ou 7, clic droit/executer en tant qu'admin)

Si ZHPDiag etait déja présent sur le pc, utiliser la flèche verte pour installer la dernière mise à jour.
Cliquer sur le tournevis (icône "options" à droite) et cliquer sur "tous"
Choisir l'option "Lancer le diagnostic" (1ère loupe en haut a gauche).
Pour ne pas ralentir l'analyse, éviter de se servir du pc pendant le scan (qui prend moins de 10 minutes sur un pc peu performant)
Sous XP¨il proposera d'utiliser SIGCHECK, accepter pour un rapport plus détaillé.
A la fin de l'analyse, un rapport est créé directement sur le bureau, il se nomme ZHPDiag.txt.
Héberger le rapport sur http://www.cjoint.com et poster le lien sur le forum.

Si ZHPDiag affiche une erreur, fermer le programme, et relancer un scan sans toucher au tournevis.

J'avais de nouveau accès à tout mais après j'ai redémarré une fois et là je suis bloqué" dès le redémarrage du pc un tiret clignotant s'affiche avant même le logo xp et plus rien pc bloqué!!!

je ne sais donc pas faire la procédure énumérée ci-dessus!

Laisse quelques minutes le pc pour voir si il démarre, sous XP il arrive parfois qu'après un nettoyage, le système ai du mal a demarrer (mon cas personnel, j'ai eu ce tiret environ 10 minutes ensuite tout allait bien).

Si vraiment rien ne se passe et que le tiret reste à l'ecran plus de 10 minutes, redémarre le pc, et juste après le BIP (avant le lancement habituel de windows), pianote sur la touche F8 jusqu'a l'affichage des options de démarrage, et choisis le mode sans echec avec prise en charge réseau pour pouvoir acceder a internet.

une fois en mode sans echec, fais simplement zhpdiag.

Le tiret continue à rester même après plus de 10 minutes et en appuyant sur F8 rien ne se passe j'ai accès à F2 pour le setup et F11 pour le boot menu.

Pas à ce moment là, c'est pour entrer dans le Bios ca, juste apres la disparition de cet ecran, F8 devrait faire apparaitre les options de démarrage (mode sans echec, mode deboguage etc...)

Sur certains pc c'est F5, tu peux essayer aussi

Désolé mais F8, F5 ou même tous les autres F ne fonctionnent pas (à part ceux que j'ai mentionné dans mon précédent message) dès que l'écran m'indiquant les F que je peux utiliser part directelment un bip se fait entendre et le tiret apparaît!!

Débranche le pc quelques minutes et resseaye de démarrer normalement.

Si ca ne marche pas on pourra toujours utiliser une clé usb ou un cd pour démarrer sur le pc en question. Ou encore mettre le disque dur sur un autre pc si tu peux, ca permettra d'analyser le disque et reparer les erreur qui peuvent empecher le démarrage de windows.

C'est un pc portable ou un pc fixe?
Tu es connecté au forum grace a un second pc ou par telephone portable?
Tu as le cd d'installation de xp ?
Si tu as une carte SD ou une clé usb/manette/camera etc... de branché, débranche tout, il est possible qu'un periiphérique empeche le démarrage (même si il n'empechait pas avant)

Voilà je l'ai débranché pendant 10 minutes et....toujours le même!
Si cela peut aider j'ai le cd original de xp... par contre s'il y avait moyen de faire cela sans démonter le disque dur car je ne suis vraiement pas expert en cela!!

Je me connecte via un autre pc et je n'ai rien de connecter d'autres sur le pc à part les disques durs externes j'azi déjà essayé de lancer le pc sans ceux-ci connectés mais rien du tout!

On va déja verifier une chose, sur le premier ecran qui indique les touches permettant l'accès au bios, appuye sur celle qui indique SETUP

Le bios va s'ouvrir, il s'agit d'un programme qui permet à la carte mère de comprendre et gerer tout ce qui est connecté. Tu peux naviguer dans le menu a l'aide des flèches du clavier et la touche Echap pour revenir en arrière.

Cherche le menu Boot si tu trouve, et une fois dans ce menu, il devrait t'afficher les periphériques qui sont selectionnés pour le démarrage. Verifie que ton disque dur est bien reglé sur le 1st boot (first boot).

Si ca n'est pas le cas, regle manuellement. Ensuite regarde sur l'ecran, il doit t'indiquer une touche pour "save & exit", il s'agit souvent de F10 ou F4. Ca permettra d'enregistrer les changements et relancer le pc. Si le disque dur n'etait plus selectionné dans les démarrage, ca peut expliquer qu'il ne démarre plus.

Tente ensuite de redémarrer si tu as changé les options du bios.

Si tu as le cd de XP, tu peux l'utiliser pour réparer le démarrage (sans reinstaller). Pour acceder a cette option, lors du chargement du cd, il t'affichera : appuyez sur R pour reparer", appuies donc sur R et il te demandera quel systeme reparer.

Si tu n'as qu'un windows d'installé, tape 1 et valide pour acceder a la fenetre qui permettra de taper les commandes de reparation.

Tu as quelques images et explications ici pour t'aider : http://www.malekal.com/2010/11/12/reparer-windows-xp-2/#mozTocId433397

Dans notre cas, la commande a utiliser c'est FIXBOOT c: pour reecrire le secteur de démarrage de windows (c: correspond a la partition du disque contenant windows, c'est la lettre C par défaut mais si tu as changé ou installé xp sur une autre partition, utilise la lettre correspondante). Tu peux aussi utiliser la commande chkdsk c: /r pour reparer les erreurs du disque dur mais celle ci peut être longue si le disque a réparer est volumineux.

Désolé pour la réponse tardive mais en plus du pc en panne je n'ai plus de connexion internet et info prise auprès de mon forunisseur c'est eux (ouf pour moi!!) donc ici je vous répond du travail!! j'ai fait toute la procédure décrite plus haut d'abord en tapant fixboot il a dit qu'il avait créé un nouveau secteur de démarrage et puis plus rien j'ai donc redémarré et toujours le même problème. Alors ensuite j'ai fait la fonction chkdsk là il a travaillé plusieurs heures et puis de nouveau il demandait une inite de commande j'ai donc redémarré aussi et encore une fois le même problème.

Donc là pour le moment le pc est toujours bloqué et j'espère avoir retrouvé l'internet ce soir en rentrant pour que je puisse suivre vos précieux conseils!!

Bonjour,
Si le pc ne démarre plus, ca peut être un soucis au niveau du bios, Tu as changé un réglage dedans?
Si tu est allé voir (avec la touche F2), il te donne normalement une touche pour remettre les réglages par défaut, appuies dessus et confirme les modifications, sauvegardes et quitte le bios pour voir si il redémarre.

La touche F11 permet l'affichage de tout les périphériques sur lesquels il est possible de démarrer, donne moi la liste.
A verifier aussi, peut-être simplement une touche du clavier qui est coincée.

Je laisse casper gerer mais je reste là au cas où il manquerait d'idées

Pour F8 ou F5, tu peux essayer de pianoter juste après la disparition de l'ecran donnant l'accès au bios, chaque pc etant différent, il est possible que dans ton cas, F8 (ou F5) doive être utilisé sur l'ecran avec le tiret clignotant, ou juste après le BIP, ou juste apres la disparition de l'ecran du Bios. C'est un peu enervant mais c'est comme pour acceder au bios, chaque marque à ses propres réglages.

La commande fixmbr c: peut réparer le problème mais attention elle peut être dangereuse si tu as plusieurs partitions sur le disque dur et rendre les partitions inaccessibles.

Personnellement je pense que RogueKiller a un peu merdé et n'a pas nettoyé tout zeroaccess, et donc il faudrait demarrer sur clé usb/cd pour finir le nettoyage et reparer xp d'ailleurs je pense que Zeroaccess n'est pas le seul intrus sur le systeme vu les rapports

Pour préparer la clé usb c'est ici : https://morbak-home.forumgratuit.org/t301-yumi-multiboot-usb-creator
A voir en bas du tuto pour verifier si le pc peut demarrer sur clé, sinon, utiliser DeepBurner pour graver un cd
Pour l'iso a utiliser je pencherais pour Win7Rescue (rien a voir avec le système installé sur ton pc) qui contient Pre_Scan, il est automatique (en partie) et fera surement un grand nettoyage pour completer ce que RogueKiller a deja fait.

Voilà j'ai effectué le fixmbr et miracle ca marche j'ai de nouveau accès à mon pc et mon bureau je présume que maintenant vous allez me donner tel ou tel programme pour désinfecter le pc?

Casper n'est pas là ce soir donc je reprends le sujet.

Si tu as encore Roguekiller sur le bureau, fais un scan et poste le rapport. Ne fais pas tout de suite DNS RAZ ni Racc. RAZ

ensuite fait aussi un scan avec zhpdiag comme demandé ici : https://morbak-home.forumgratuit.org/t568-problkeme-virus-qui-bloque-le-profil-et-cachent-tous-les-fichiers#7561

Poste les deux rapports pour voir ce qu'il reste a faire sur le pc.

Voici le rapport de RogueKiller http://cjoint.com/?CBsubfs62bI et le rapport de Zhpdiag http://cjoint.com/?CBsucfkZmQS
merci d'avance pour votre aide.

Il y a du mieux, mais on a pas encore fini... Tu as été infecté par le Rogue SystemRepair, l'infection Zeroaccess est peut-être venu avec lui.
Avec roguekiller, fais un scan et ensuite suppression puis DNS RAZ.
Poste le rapport apres DNS RAZ.
Ta connexion sera peut-être coupée, si c'est le cas, débranche ton câble Ethernet et reconnecte le (ou coupe ton wifi).
Si ca ne revient pas, enregistre le rapport et redémarre le pc pour relancer la connexion.

C:\Documents and Settings\Moonen\Bureau\Winlogon.exe
Ce fichier tu connais ? Il s'agit soit d'un programme de nettoyage renommé, soit d'une copie de l'original, soit d'une infection.

Télécharger AdwCleaner (d'Xplode) sur le bureau.
http://general-changelog-team.fr/fr/downloads/finish/20-outils-de-xplode/2-adwcleaner
Sous XP double-clic sur le fichier d'execution.
Sous Vista et Seven, clic droit/exécuter en tant qu'admin.
Si Antivir est utilisé comme antivirus, une fois le programme lancé, appuyer simultanément sur les touches ALT et A afin de pas supprimer ask qui est liée à la protection web d'antivir
Cliquer sur Suppression
Les programmes non vitaux seront fermés et un redémarrage peut être demandé par le programme. Si c'est le cas, un message d'avertissement apparaitra et le redémarrage se fera après la fermeture du message.
Poster le rapport de suppression (enregistré sous : C:\AdwCleaner[S1].txt)

Attention avec les crack c'est comme ca que zeroaccess s'infiltre.

Fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.
Brancher tous les supports amovibles avant de faire ce scan (clé usb/disque dur externe etc)
Télécharger et installer : Malwarebyte's Anti-Malware
http://www.malwarebytes.org/mbam/program/mbam-setup.exe
ou http://fr.malwarebytes.org/
A la fin de l'installation, veiller à ce que l'option « mettre à jour Malwarebyte's Anti-Malware » soit cochée
Lancer MBAM et laisser les Mises à jour se télécharger
/!\ Uniquement en cas de problèmes de mises à jour, télécharge et execute ce fichier : http://data-cdn.mbamupdates.com/tools/mbam-rules.exe
Puis aller dans l'onglet "Recherche", cocher "Exécuter un examen complet" puis "Rechercher"
Sélectionner les disques durs" puis cliquer sur "Lancer l'examen"
ATTENTION : Le scan complet peut prendre plusieurs heures.
A la fin du scan, si des infections sont détectées, cliquer sur Afficher les résultats
Cocher tous les éléments détectés puis clique sur Supprimer la sélection
Enregistrer le rapport
S'il t'est demandé de redémarrer, clique sur Yes
Poster le rapport après la suppression.(poster le rapport, même si rien n'est détecté.)
Si il est long, l'héberger sur http://www.cjoint.com et poster le lien.

Note : Quelques jours après la désinfection, il faudra vider la quarantaine en supprimant tout ce qui s'y trouve.

Voici le rapport de Roguekiller http://cjoint.com/?CBtsBlt2lju
le rapport d'ADWCleaner http://cjoint.com/?CBtsCVbkeZ8

et le rapport de Malware http://cjoint.com/?CBtsDYnFZFY

pour le C:\Documents and Settings\Moonen\Bureau\Winlogon.exe ben en fait c'est le fichier Roguekiller que vopus m'avez demandé de renommé en Winlogon!

ok, donc roguekiller indique encore zeroaccess mais pas de traces du fichiers responsable sur son rapport, c'est peut-être juste parce que la modification DNS etait faite par l'infection.
Supprime tous ses rapports et refait juste un scan pour voir si il l'a supprimé ou si il le détecte toujours.

Pour la detection de malwarebytes c'est un faux positif comme tu t('en doute, tu as bien fait de ne pas le supprimer pour le moment.

Donc, prochaine étape :
Lancer RogueKiller
Faire un scan et poster le rapport

Si le rapport indique : ¤¤¤ Infection : ZeroAccess ¤¤¤
On passera un outils plus puissant

Si le rapport n'indique pas ZeroAccess, faire une analyse ZHPDiag :
Télécharger ZHPDiag (de Nicolas Coolman)
http://telechargement.zebulon.fr/zhpdiag.html
ou directement : ftp://zebulon.fr/ZHPDiag2.exe
Double-cliquer sur ZHPDiag.exe puis suivre les étapes de l'installation.
Cocher la case "Exécuter ZHPDiag" à la fin de l'installation puis cliquer sur "Terminer".
L'installation est terminée, 3 icônes sont créées sur le bureau.
Lancer ZHPDiag.exe (sous Vista ou 7, clic droit/exécuter en tant qu'admin)
Cliquer sur le tournevis (icône "options" à droite) et cliquer sur "tous"
Choisir l'option "Lancer le diagnostic" (1ère loupe en haut a gauche).
Sous Vista et Windows 7, zhpdiag se relancera, sélectionner à nouveau toutes les options et relancer le scan une seconde fois.
Pour ne pas ralentir l'analyse, évite de te servir du pc pendant le scan.
Sous XP¨il proposera d'utiliser SIGCHECK, accepter pour un rapport plus détaillé.
Sur Vista/7, Sigcheck sera installé automatiquement et un message confirmera l'installation.
A la fin de l'analyse, un rapport est créé directement sur le bureau, il se nomme ZHPDiag.txt.
Héberger le rapport sur http://www.cjoint.com et poster le lien sur le forum.

Si ZHPDiag affiche une erreur, fermer le programme, et relancer un scan sans toucher au tournevis.

voici le rapport roguekiller http://cjoint.com/?CBtuk70MfjA
et le rapport de Zhpdiag http://cjoint.com/?CBtulCtk2J3