Bonjour à tous

J'ai le pc d'un ami infecté par le virus police, d'habitude je sais l'enlever avec rogue killer, adw cleaner etc.. en passanrt par le mode sans echec mais cette fois pas possible de rentrer en mode sans echec quel qu'il soit, le pc s'allume et la page police apparait.

Il s'agit d'un windows vista pro, c'est un pc qu'ila racheté à sa sociéte.

Quelq'un peut m'aider, je suppose qu'il faudra créeer un cd ou une cle Usb pour démarrer???

Merci de votre aide

hello,

Voilà j'ai fait ce que tu as dit mais arrivé au niveau de firefox pas de conenction possibles... j'ai alors téléchargé l'exécutable de rogue killer sur une clé usb, et j'ai lancé le scan, il a trouvé 3 fichiers infectés "HJ", deux disparraissent après le delete dont un type PUM path HJDESK global HKEY LOCAL machine mais un reste et l'infection perdure : type SUSP PATH path HJBROWSR global HKEY LOCAL MACHINE.

Si je réssaie de démarrer en vista, police est tjs là...

manque un p'tit truc...

Bonjour,

Je crains pour toi que tu ne sois victime de la nouvelle mouture de ce ransomware.

Dans ce cas tes dossiers sont cryptés et tu ne pourras pas les récupérer.

J'espère que tu les as sauvegardés.

Fréquentes-tu des sites de streaming ?

Modifié par nardino le 23/01/2014 13:56

Merci mais je n'ai toujours pas accès au mode sans échec...

Voici le rapport de roguekiller à la 3 ème tentative

RogueKiller V8.8.2 [Jan 17 2014] by Tigzy
mail : tigzyRK<at>gmail<dot>com
Feedback : http://www.adlice.com/forum/
Website : http://www.adlice.com/softwares/roguekiller/
Blog : http://www.adlice.com

Operating System : Windows XP (5.1.2600 ) 32 bits version
Started in : Normal mode
User : SYSTEM [Admin rights]
Mode : Remove -- Date : 01/23/2014 14:08:05
| ARK || FAK || MBR |

¤¤¤ Bad processes : 0 ¤¤¤

¤¤¤ Registry Entries : 1 ¤¤¤
[HJ BROWSR][SUSP PATH] HKLM\[...]\command : (X:\i386\iexplore.exe [-]) -> FOLDER NOT FOUND

¤¤¤ Scheduled tasks : 0 ¤¤¤

¤¤¤ Startup Entries : 0 ¤¤¤

¤¤¤ Web browsers : 0 ¤¤¤

¤¤¤ Browser Addons : 0 ¤¤¤

¤¤¤ Particular Files / Folders: ¤¤¤

¤¤¤ Driver : [NOT LOADED 0x2] ¤¤¤

¤¤¤ External Hives: ¤¤¤
-> C:\windows\system32\config\SYSTEM | DRVINFO [Drv - C:] | SYSTEMINFO [Sys - C:] [Sys32 - FOUND] | USERINFO [Startup - FOUND]
-> C:\windows\system32\config\SOFTWARE | DRVINFO [Drv - C:] | SYSTEMINFO [Sys - C:] [Sys32 - FOUND] | USERINFO [Startup - FOUND]
-> C:\windows\system32\config\SECURITY | DRVINFO [Drv - C:] | SYSTEMINFO [Sys - C:] [Sys32 - FOUND] | USERINFO [Startup - FOUND]
-> C:\windows\system32\config\SAM | DRVINFO [Drv - C:] | SYSTEMINFO [Sys - C:] [Sys32 - FOUND] | USERINFO [Startup - FOUND]
-> C:\windows\system32\config\DEFAULT | DRVINFO [Drv - C:] | SYSTEMINFO [Sys - C:] [Sys32 - FOUND] | USERINFO [Startup - FOUND]
-> C:\Users\Administrateur\NTUSER.DAT | DRVINFO [Drv - C:] | SYSTEMINFO [Sys - C:] [Sys32 - FOUND] | USERINFO [Startup - FOUND]
-> C:\Users\administrator\NTUSER.DAT | DRVINFO [Drv - C:] | SYSTEMINFO [Sys - C:] [Sys32 - FOUND] | USERINFO [Startup - FOUND]
-> C:\Users\Default\NTUSER.DAT | DRVINFO [Drv - C:] | SYSTEMINFO [Sys - C:] [Sys32 - FOUND] | USERINFO [Startup - NOT_FOUND]
-> C:\Users\mib\NTUSER.DAT | DRVINFO [Drv - C:] | SYSTEMINFO [Sys - C:] [Sys32 - FOUND] | USERINFO [Startup - NOT_FOUND]

¤¤¤ Infection : ¤¤¤

¤¤¤ HOSTS File: ¤¤¤
--> %SystemRoot%\System32\drivers\etc\hosts

127.0.0.1 localhost

¤¤¤ MBR Check: ¤¤¤

+++++ PhysicalDrive0: ( @ ) +++++
--- User ---
[MBR] 3821cf0332f82a5274c36e753e3ec239
[BSP] 2186b8827668479314f21432e5579068 : Windows Vista MBR Code
Partition table:
0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 63 | Size: 76316 Mo
User = LL1 ... OK!
User = LL2 ... OK!

+++++ PhysicalDrive1: ( @ ) +++++
--- User ---
[MBR] 4317a3b8856347fea1f462887f1f4a26
[BSP] ec038f3ca5091360f60d743d6f1c7fdb : MBR Code unknown
Partition table:
0 - [XXXXXX] FAT32-LBA (0x0c) [VISIBLE] Offset (sectors): 3288 | Size: 7390 Mo
User = LL1 ... OK!
Error reading LL2 MBR! ([0x32] The request is not supported. )

Finished : << RKreport[0]_D_01232014_140805.txt >>
RKreport[0]_D_01232014_140709.txt;RKreport[0]_H_01232014_140728.txt;RKreport[0]_S_01232014_140653.txt
RKreport[0]_S_01232014_140800.txt

Bonjour Nardino,

c'est le pc d'un copain à un de mes collègues alors te dire les sites qu'il fréquente , c'est une bonne question...

Par contre je peux lui demander si ça a de l'importance pour le remettre en état mais ce ne sera pas avant demain.

C'est une version récente à mon avis car c'est une page de la police fédérale belge mais avec la photo du roi Philippe qui n'est sur le trône que depuis 4 mois !!!

Y a pas un autre logiciel pour l'éradiquer ?

Sunny

Bonsoir,

Toujours avec OTLPEnet et une clé USB, essaie d'établir un rapport avec ZHPDiag.

ZHPDiag de Nicolas Coolman sur ton bureau en cliquant sur ZHPDiag (Outil de diagnostic).

Une fois téléchargé, clique sur le fichier ZHPDiag2.exe pour installer l'outil et suis la routine.
Laisse coché Installer une icône sur le bureau quand cela te sera proposé.

Lance ZHPDiag en cliquant sur l'icône ZHPDiag affichée sur le bureau

1 - Dans l'interface, clique sur le bouton Configurer pour afficher la rangée d'icône en bas.
2 - Clique sur la loupe avec le signe + Pour lancer l'analyse.



Laisse faire le scan jusqu'à ce que la barre de progression en bas soit à 100%.

Tu refermes ZHPDiag en cliquant sur la croix rouge en haut à droite.
Un fichier ZHPDiag.txt sera enregistré sur le bureau.



Tu l'héberges sur Cjoint en cochant 21 jours dans la ligne Et pour quelle durée ?
Tu communiques le lien obtenu dans ta réponse.
Explications pour Cjoint

En attendant une réponse, tu peux consulter les liens en toute fin du rapport, pour savoir comment les intrus éventuels sont arrivés sur ton pc.

@+

bonjour,

En essayant plusieurs fois avec rogue killer, adw cleaner, combofix, j'ai réussi si pas à l'éradiquer du moins à le mettre en veilleuse car le pc se connecte maintenant normlement, j'en ai profité pour remettre adobe à jour et les windows update qui datait de 2012...

Voici le rapport zhp

http://cjoint.com/?0AykRF3anKS

Merci beaucoup...

et voici le dernier rogue killer qui ne détecte plus rien

RogueKiller V8.8.2 [Jan 17 2014] par Tigzy

mail : tigzyRK<at>gmail<dot>com

Remontees : http://www.adlice.com/forum/

Site Web : http://www.sur-la-toile.com/RogueKiller/

Blog : http://www.adlice.com

Systeme d'exploitation : Windows Vista (6.0.6002 Service Pack 2) 32 bits version

Demarrage : Mode normal

Utilisateur : Administrateur [Droits d'admin]

Mode : Recherche -- Date : 01/24/2014 10:49:12

| ARK || FAK || MBR |

¤¤¤ Processus malicieux : 0 ¤¤¤

¤¤¤ Entrees de registre : 0 ¤¤¤

¤¤¤ Tâches planifiées : 0 ¤¤¤

¤¤¤ Entrées Startup : 0 ¤¤¤

¤¤¤ Navigateurs web : 0 ¤¤¤

¤¤¤ Addons navigateur : 0 ¤¤¤

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver : [CHARGE] ¤¤¤

[Inline] EAT @explorer.exe (RegCreateKeyExW) : pkmws.dll -> HOOKED (C:\Windows\system32\ADVAPI32.dll @ 0x76EE41F1)

[Inline] EAT @explorer.exe (RegEnumKeyW) : pkmws.dll -> HOOKED (C:\Windows\system32\ADVAPI32.dll @ 0x76EF80C3)

[Inline] EAT @explorer.exe (RegOpenKeyExW) : pkmws.dll -> HOOKED (C:\Windows\system32\ADVAPI32.dll @ 0x76EF7BA1)

[Inline] EAT @explorer.exe (RegQueryValueExW) : pkmws.dll -> HOOKED (C:\Windows\system32\ADVAPI32.dll @ 0x76EF765E)

[Inline] EAT @explorer.exe (RegisterClipboardFormatW) : pkmws.dll -> HOOKED (C:\Windows\system32\USER32.dll @ 0x7769D6AC)

¤¤¤ Ruches Externes: ¤¤¤

¤¤¤ Infection : ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤

--> %SystemRoot%\System32\drivers\etc\hosts

127.0.0.1 localhost

¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: (\\.\PHYSICALDRIVE0 @ IDE) SAMSUNG HD080HJ ATA Device +++++

--- User ---

[MBR] 3821cf0332f82a5274c36e753e3ec239

[BSP] 2186b8827668479314f21432e5579068 : Windows Vista MBR Code

Partition table:

0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 63 | Size: 76316 Mo

User = LL1 ... OK!

User = LL2 ... OK!

+++++ PhysicalDrive1: (\\.\PHYSICALDRIVE1 @ USB) kingston DataTraveler G3 USB Device +++++

--- User ---

[MBR] 4317a3b8856347fea1f462887f1f4a26

[BSP] ec038f3ca5091360f60d743d6f1c7fdb : MBR Code unknown

Partition table:

0 - [XXXXXX] FAT32-LBA (0x0c) [VISIBLE] Offset (sectors): 3288 | Size: 7390 Mo

User = LL1 ... OK!

Error reading LL2 MBR! ([0x32] Cette demande n'est pas prise en charge. )

Termine : << RKreport[0]_S_01242014_104912.txt >>

Bonjour,

Super, il ne reste que la barre d'outils Google à désinstaller.

Par acquit de conscience, fais quand même un scan Malwarebytes.

Pour terminer, nous allons supprimer tout ce qui n'est plus nécessaire et qui nous a servi à mener à bien cette désinfection.

Relance AdwCleaner par le bouton Désinstaller.

Vide la quarantaine de Malwarebytes.
Ouvre l'onglet Quarantaine et clique sur le bouton Tout supprimer
Referme le programme.

TFC de OldTimer
Sous Vista et Windows 7, il faut être sous un compte administrateur

Ferme toutes applications en sauvegardant le travail en cours sinon l'outil le fera.
Clique sur l'icône en forme de poubelle et sur le bouton Start.
Quand le nettoyage sera terminé, clique sur le bouton Exit pour quitter l'outil.


delfix sur ton bureau en cliquant sur Télécharger.
Il ne nécessite pas d'installation
Il va supprimer les outils utilisés pour cette désinfection.

Clique sur le fichier delfix.exe pour lancer l'outil.

Icône du fichier


Coche la case Supprimer les outils
Puis clique sur le bouton Exécuter



Passe la question en résolu
Clique sur Marquer comme résolu en dessous du dernier message du topic.

Maintenant que nous avons remis le pc au clair, il serait judicieux de ne pas avoir à recommencer.
Je t'invite à lire ces pages; clique dessus pour les ouvrir.

Conseils à lire

Bloquer les publicités inacceptables sur le Web

Barres d'outils (Toolbars)

Guerre des nettoyeurs et défragmenteurs du registre Windows

@+

Modifié par nardino le 24/01/2014 12:19

Bonjour,

Merci pour le signalement.

C'est rectifié.

nardino a écrit :

Bonjour,

Merci pour le signalement.

C'est rectifié.

non pas rectifié!

Modifié par Br_Fr le 24/01/2014 11:51

Merci Nardino,

Tout est ok, j'ai installé Avira car il n'avait pas d antivirus.

J'ai juste encore un petit truc qui m'emm...

A l'allumage j'ai une fen^tre RUN DLL erreur de chargement c:\\users\admin-2\appdata\local\temp\nbcledooq.cpp module spécifié introuvable qui s'affiche, je clique sur la crois et hop tranquille, sait-on l'enlever ou réparer ?

Merci

Anonyme a écrit :

Br_Fr a écrit :

non pas rectifié!

Salut

Si ! le texte pointe bien vers

~> http://assiste.free.fr/Assiste/Guerre_des_nettoyeurs_et_defragmenteurs_du_registre_Windows.html

Anonyme

Anonyme

Quand j'ai posté,il ne l'était pas comme le montre la flèche sur ma capture d'écran...

plus tard il l'a été et je ne suis pas passée pour le dire pour ne pas polluer le sujet

ouh ouh !!!

Quelqu' un aurait il une solution pour retirer cette fenêtre à chaque mise en route du pc ???

"RUN DLL erreur de chargement c:\\users\admin-2\appdata\local\temp\nbcledooq.cpp module spécifié introuvable

Merci d'avance

Bon bin c'est pas grave, je l'ai décoché dans démarrage de msconfig et voilà il ne m'emm.. plus.

Sujet résolu .

Encore merci Nardino et Jeanphil...