Antimalware Doctor et conséquences...

pear · le 1 septembre 2010

Bonsoir,

Bureau vide: pas d'icônes:

Copier/coller ce qui suiten vertdans le bloc notes,

sans ligne blanche au début.mais une à la fin

Fichier ->Enregistrez sous..

Clic sur bureau à gauche

Dans type de fichier->Tous les fichiers

Dans Nom-> regis.reg.

Allez sur le bureau

Cliquez droit sur le fichier ->fusionner

Acceptez la modification du Régistre:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

"Shell"="Explorer.exe"

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]

"NoActiveDesktop"=dword:00000001

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]

"NoDispBackgroundPage"=dword:00000000

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]

"NoSaveSettings"=dword:00000000

Si vous ne pouvez pas fusionner ou que vous avez un message du genre "n'est pas un fichier de régistre valide",

C'est parce que vous avez fait une erreur.

Les plus courantes:

Il faut une ligne blanche après Windows Registry Editor mais pas avant

Le fichier doit s'appeler regis.reg et non regis.reg.txt

Il faut une ligne blanche après le texte en vert

Dans la case Type vous devez choisir "Tous les Fichiers

Les applications ouvertes ne sont plus visibles dans la barre des tâches :

1) En appuyant simultanément sur les touches Ctrl+Alt+Suppr, accédez au Gestionnaire de tâches.

2) Sélectionnez le processus explorer.exe, puis cliquez sur le bouton Terminer le processus.

3) Cliquez sur Fichier/Nouvelle tâche (Exécuter…).

4) Dans la zone de texte Ouvrir, saisissez regedit et validez par OK.

5) Dans le Registre, supprimez ces quatre clés :

- HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\StuckRects2

- HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\StreamMRU

- HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Streams\Desktop

- HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Explorer Bars\{32683183-48a0-441b-a342-7c2a440a9478}\BarSize

6) Ouvrez HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer.

7) Vérifiez qu'aucune de ces valeurs DWORD ne contient le chiffre 1 comme données de la valeur : NoBandCustomize - NoMovingBands - NoCloseDragDropBands - NoSetTaskbar - NoToolbarsOnTaskbar - NoSaveSettings - NoToolbarsOnTaskbar - NoSetTaskbar - NoActiveDesktop - ClassicShell

Ouvrez HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects\LocalUser\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer.

9) Vérifiez qu'une valeur DWORD nommée NoCloseDragDropBands contient bien comme données de la valeur le chiffre 0.

10) Dans la même arborescence, supprimez une valeur DWORD nommée NoMovingBands.

11) Ouvrez HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon.

12) Vérifiez que la valeur chaîne Shell ne contient dans la zone de texte Données de la valeur que ceci : explorer.exe.

13) Accédez à nouveau au Gestionnaire de tâches, puis cliquez sur Fichier/Nouvelle tâche (Exécuter…).

14) Dans la zone de texte Ouvrir, saisissez explorer, puis validez par OK.

- Impossible d'ouvrir un lien à partir de la Barre des tâches :

Ce problème se pose quand vous voulez exécuter un raccourci à partir de la barre d'outils Liens.

Cliquez sur Démarrer/Exécuter puis saisissez cette commande : regsvr32 /i shdocvw.dll

LeMecQuiABesoinD'Aide · le 1 septembre 2010

Bonsoir Pear,

pour faire dans l'ordre:

1)Je n'ai pas pu terminer le processus explorer.exe puisque il est absent de la liste.

1)Je n'ai pas trouver à l'emplacement que tu a indiqué :

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\StuckRects2

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\StreamMRU

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Streams\Desktop

J'ai supprimé le quatrième

2)Je n'ai pas trouver:

NoBandCustomize - NoMovingBands - NoCloseDragDropBands - NoSetTaskbar - NoToolbarsOnTaskbar - NoToolbarsOnTaskbar - NoSetTaskbar - ClassicShell

Par contre j'ai trouver: NoSaveSettings (valeur de données 0) et NoActiveDesktop (valeur de données 1)

Dans le registre Explorer j'ai que 4 fichier: les deux ci-dessus et NoDipsBackgroundPage (valeur de données 0) ainsi que NoDriveTypeAutoRun (valeur de données 145)

3)Pour finir lorsque je tape explorer dans exécuter, il ne le trouve pas... :cry:

Tout le reste semble s'être bien passer... Mais ça fait beaucoup d'échec je trouve dans ma manoeuvre... :cry: :cry: :cry: :cry:

Pitié, il faut que ça marche...

capillotracte · le 1 septembre 2010

Bonsoir Pear,

Capillotracte au rapport :

1)Comme LeMecQuiABesoinD'Aide : explorer.exe n'appraissait pas dans les processus actifs.

2)Je n'ai trouvé aucune des clefs à supprimer que tu as indiquées. (La quatrième ne contenait pas \BarSize). Donc je n'ai rien fait.

3)dans l'arborescence que tu as indiquée en 7 : HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

il y avait une valeur (1) dans les données DWORD que j'ai transformée en (0), fallait-il ou non ?

4) HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects\LocalUser\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer a bien une valeur (0)

5)Dans la même arborescence, NoMovingBands n'apparait pas, je n'ai donc pas eu à le supprimer.

6) dans HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon

la valeur chaîne Shell ne contient dans la zone de texte Données de la valeur qu'explorer.exe

7)enfin lorsque je donne la commande exécuter "explorer", il s'affiche : "windows ne trouve pas 'explorer'...

par principe j'ai fait la dernière commande concernant la barre de tâche qui n'a rien changé...

Voilà, voilà, toujours pas de bureau ni barre.

J'attends patiemment les nouvelles directives.

pear · le 2 septembre 2010

Pas d'explorer!

Avez vous un cd windows et accès à la console de récupération ?

Sinon, je ne vois d'autre solution qu'un remise en condition de sortie d'usine.

Dans ce cas , il faut pouvoir sauvegarder les données.

Si vous avez un cd de windows:

Vous ne voyez pas la console de récupération.

Losqu'elle est installée sur votre machine , elle apparait dans votre boot.ini.

Pour le lire:

Poste de travail->Outils ->Options des dossiers ->Affichage

Cocher "Afficher les dossiers cachés"

Décocher" Masquer les extension des fichiers dont le type est connus "ainsi que "Masquer les fichiers protégés du système d exploitation"

--> un message dit que cela peut endommager le système, ne pas en tenir compte, valider par oui.

Aller à la racine de la partion système (généralement C:)

Il ressemble à ceci:

[boot loader]

timeout=5

default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS

[operating systems]

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professionnel" /noexecute=optin /fastdetect

C:\CMDCONS\BOOTSECT.DAT="Console de récupération Microsoft Windows XP" /cmdcons

Lorsque vous démarrez, vous avez quelques secondes(indiquées par Time out qui est modifiable) pour choisir de démarrer sur Windows ou la console de récupération.

Par contre si vous êtes sous Vista ou Seven, Combofix n'installe rien puisque ces logiciels ont nativement la Recovery Console.

[/color]

Avant d'utiliser la console de récupération:

Installer la commande Set et Désactiver la demande de mot de passe .

Copier/coller ce qui suit dans le bloc notes,

sans ligne blanche au début.

Enregistrez sur le bureau sous regis.reg.

Cliquez droit sur le fichier ->fusionner

Acceptez la modification du Régistre:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Setup\RecoveryConsole]

"SetCommand"=dword:00000001

"SecurityLevel"=dword:00000001

Dans le cas où la console n'est pas installée, munissez-vous de votre CD d'installation ou du cd que vous avez fait.

Assurez-vous que les options du Boot soient bien paramétrées pour démarrer sur le lecteur de CD en premier dans votre BIOS

- Insérez le CD dans le lecteur de CD, puis redémarrez l'ordinateur

- Lorsque l'écran de bienvenue du programme d'installation s'affiche,

Appuyez sur la touche R pour démarrer la console de récupération.

Si on vous le demande, parce que vous n'avez pas installé la commande Set:

Tapez votre mot de passe Administrateur si vous en avez un, sinon, ne tapez rien et cliquez sur ENTRÉE.

Utilisation de la console

Lorsque l'invite pour %SystemRoot% (généralement C:\Windows) apparaît, vous pouvez commencer à taper les commandes appropriées pour diagnostiquer et réparer votre installation.

Windows vous demande quel système démarrer.

Appuyez la touche Verr Num pour activer le clavier numérique

Généralement , vous tapez 1 pour accéder au prompt C:\Windows>

Vous arrivez là:

C:\WINDOWS>

Saisissez tout d'abord dans la console la commande Set.

Ces commandes vont apparaître :

* AllowWildCards = FALSE

* AllowAllPaths = FALSE

* AllowRemovableMedia = FALSE

* NoCopyPrompt = FALSE

* Vous ne pouvez donc pas utiliser les extensions de commande (par exemple Del pour Delete) : "Le paramètre n'est pas valide. Essayez le commutateur /? Pour obtenir de l'aide."

* Vous ne pouvez pas parcourir les arborescences de votre disque dur : "Accès refusé".

* Vous ne pouvez pas accéder à des lecteurs amovibles comme un lecteur de disquettes.

* Vous ne pouvez pas copier des fichiers ou des dossiers.

Saisissez alors, en validant chaque commande par la touche Entrée :

* set allowwildcards = true

* Set allowallpaths = true

* Set allowremovablemedia = true

* Set NoCopyPrompt = true

Réparer un fichier système endommagé

cd c:\

cd windows

ren explorer.exe explorer.old

expand e:\i386\explorer.ex_ c:\windows\explorer.exe

cd system32

ren taskmgr.exe taskmgr.old

expand e:\i386\taskmgr.ex_ c:\windows\system32\taskmgr.exe

capillotracte · le 3 septembre 2010

Bonsoir Pear,

J'ai procédé à une réparation de Windows XP Familiale et mon bureau est enfin réapparu ainsi que la barre. Tout semble fonctionner correctement. Des doutes subsistent : un message s'affiche à chaque démarrage concernant AdobeARM.exe "L'ordinal 281 est introuvable dans la bibliothèque de liaisons dynamique msi.dll.". De plus je ne suis pas certaine que le virus n'ait pas laissé quelques rejetons. Comment être sûr que l'ordinateur est complètement désinfecté (d'autant qu'un ami m'a tout récemment parlé d'Hijack).

Merci encore pour votre temps passé à nous secourir !

capillotracte · le 3 septembre 2010

Tout n'est pas si rose finalement : des programmes ont disparu (google chrome entre autre)MBAM a encore retrouvé des fichiers infectés...Je suis perplexe.

pear · le 4 septembre 2010

Bonjour,

Postez les rapports de Mbam

Lancez cet outil de diagnostic:

Téléchargez ZhpDiag de Coolman

Cliquez sur le tournevis

Dans la fenêtre qui s'ouvre, cochez tout.

Clic sur la Loupe pour lancer le scan

Au bout d'un moment ,vous pouvez avoir à Accepter Sysinternal->I agree

Postez en le rapport qui apparait en cliquant l'appareil photo.

Comment poster les rapports

Vous copiez/collez tout ou partie des rapports dans un ou plusieurs messages.

Autre solution:

Aller sur le site :Ci-Joint

Appuyez sur Parcourir et chercher les rapports sur le disque,

Ensuite appuyez sur Créer le lien CJoint,

>> dans la page suivante --> ,,

une adresse http//.. sera créée

Copier /coller cette adresse dans votre prochain message.

Modifié le 4 septembre 2010 par pear

capillotracte · le 4 septembre 2010

Bonsoir Pear,

Je ne peux pour le moment poster que le rapport MBam ainsi que celui de HijackThis (on ne sait jamais !) pour ZhpDiag ça parait plus compliqué :

en cours de scan une fenêtre d'erreur s'affiche "Erreur d'insertion de ligne RichEdit" puis tout semble se bloquer. Que faire ?

Voici le rapport MBam :

Malwarebytes' Anti-Malware 1.46

www.malwarebytes.org

Version de la base de données: 4539

Windows 5.1.2600 Service Pack 3

Internet Explorer 6.0.2900.5512

04/09/2010 01:43:12

mbam-log-2010-09-04 (01-43-12).txt

Type d'examen: Examen complet (C:\|D:\|G:\|)

Elément(s) analysé(s): 345960

Temps écoulé: 2 heure(s), 47 minute(s), 14 seconde(s)

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 0

Clé(s) du Registre infectée(s): 2

Valeur(s) du Registre infectée(s): 0

Elément(s) de données du Registre infecté(s): 0

Dossier(s) infecté(s): 0

Fichier(s) infecté(s): 0

Processus mémoire infecté(s):