Plus de centre de sécurité

[loorent]

bonjour,

 

sur mon portable, sous vista , j'ai choppé un rogue (system check), j'ai réussi a m'en debarrasser grace a roguekiller.

 

mais je n'arrive plus a activer le centre de securité: le service a disparu de la liste des services.

 

j'ai fait un sfc /scannow sans succés

 

help !

[pear]

Bonjour,

 

Essayez ceci:

 

Très souvent le service Centre de sécurité est désactivé voire même supprimé parce que son bavardage agace.

Dans le second cas le service wscsvc n'aparait plus dans le régistre:( HKLM\system\currentcontrolset\services).

Pour le rétablir , il faudra lancer sfc /scannow: le cd windows sera demandé.

 

Et si le Centre de sécurité ne fonctionne pas correctement

 

par exemple,après désinstallation d'un antivirus:

Il faut rafraîchir le Centre de sécurité, et réinstaller WMI

Cela consiste à effacer puis recréer le dossier "Repository" de WMI

Démarrer/Exécuter

Tapez successivement:

net stop winmgmt

net stop winmgmt

winmgmt /kill

cmd /c rmdir /s /q C:\WINDOWS\system32\wbem\repository

sc config winmgmt start= auto

sc config wscsvc start= auto

net start winmgmt

net start wscsvc

Les informations du centre de sécurité sont à jour en 1 minute.

[loorent]

bonjour,

 

merci pour la réponse.

 

après recherche, j'étais deja tombé sur cette réponse, et j'ai déjà essayé:

 

- sfc /scannow : ne me demande pas de CD

 

- listes des opérations: j'ai un message d'erreur qui me dit que le service n'est pas présent.

 

pour info: j'ai eu 2 rogues, 1 qui affichait un ecran plein de logo type gendarmerie, qui me disait que j'avais enfreint la loi et que je devais payer une amende; l'autre qui disait que mon disque dur etait en panne et qui checkait le systeme.

 

j'ai réussi a lancer roguekiller, puis lancé un scan MB.

 

toutefois je n'ai pas tout recupéré: mes icones dans le menu demarrer ne s'affichent pas correctement; le service centre de securité est introuvable (pas de parfeu, pas d'antivirus...), la barre de langues s'affiche bizarrement dans la barre de tache.

 

j'ai toutefois accés a tous mes programmes intallés, et a toutes mes données.

 

la restauration ne fonctionne pas: j'ai tenté de restaurer a -3 jours (point de svge par windows update) mais la restauration mouline puis m'affiche qu'une erreur inconnue a empêché la restauration.

 

 

Modifié le 24 janvier 2012 par loorent

[loorent]

j'ai trouvé des fichiers .reg pour restaurer les clefs du registre qui ont sautés ici :http://www.smartestcomputing.us.com/files/file/9-registry-network-keys/page__k__bb2fe024f8a71424996db6d9af08c1fc__settingNewSkin__129

 

grace a ça, j'ai retrouvé les services dans la console de services.msc,

 

le centre de sécurité se lance mais je n'arrive toujours pas a lancer le pare-feu, j'ai l'erreur "erreur 1068, le service ou le groupe de dependance n'a pas pu demarrer"

[pear]

Bonsoir,

 

La version française existe sous plusieurs formes – la procédure de désinfection est différente selon la variante :

 

Avant tout, tenter une restauration système à une date antérieure.

Lancer la restauration en ligne de commande

vous ne pouvez démarrer Windows en boot normal, ni en mode sans échec,

On peut tenter la Restauration du système, à partir de Invite de commandes en mode sans échec

Relancer Windows en tapotant la touche F8 pour choisir une option du Mode sans échec

Sélectionnez Invite de commande en mode sans échec

validez per la touche Entrée

 

Choisissez votre compte usuel, pas le compte Administrateur ou autre.

Tapez cmd puis dans la fenêtre qui s'ouvre:

%systemroot%\system32\restore\rstrui.exe

validez

La restauration devrait se lancer.

1) Si vous n'avez pas accès à internet

Démarrer en Mode sans échec avec prise en charge du réseau

 

Télécharger Rogue Killer par Tigzy sur le bureau

Sous Vista/Seven , clic droit -> lancer en tant qu'administrateur

Si le programme bloque, cliquez droit sur le lien ci-dessus->Enregistrer sous..

Dans la fenêtre qui s'ouvre renommez Roguekiller ->Winlogon.exe

Quittez tous tes programmes en cours et lancez le

Quand on vous le demande, tapez 1 et valider

Un rapport (RKreport.txt) apparait sur le bureau

montrant les processus infectieux

Copier/Coller le contenu dans la réponse

 

 

Relancez Rogue Killer

Nettoyage du registre Passer en Mode 2

 

Téléchargez MBAM

ICI

ou LA

Avant de lancer Mbam

Vous devez d'abord désactiver vos protections mais vous ne savez pas comment faire

Cliquer ici

Branchez tous les supports amovibles avant de faire ce scan (clé usb/disque dur externe etc)

Exécuter avec droits d'administrateur.

Sous Vista , désactiver l'Uac

 

Double cliquez sur l'icône Download_mbam-setup.exe pour lancer le processus d'installation.

Enregistrez le sur le bureau .

Fermer toutes les fenêtres et programmes

Suivez les indications (en particulier le choix de la langue et l'autorisation d'accession à Internet)

N'apportez aucune modification aux réglages par défaut et, en fin d'installation,

Vérifiez que les options Update et Launch soient cochées

MBAM démarrera automatiquement et enverra un message demandant de mettre à jour le programme avant de lancer une analyse.

cliquer sur OK pour fermer la boîte de dialogue..

Dans l'onglet "mise à jour", cliquez sur le bouton Recherche de mise à jour:

Si le pare-feu demande l'autorisation de connecter MBAM, acceptez.

Une fois la mise à jour terminée, allez dans l'onglet Recherche.

Sélectionnez "Exécuter un examen complet"

Cliquez sur "Rechercher"

.L' analyse prendra un certain temps, soyez patient !

A la fin , un message affichera :

L'examen s'est terminé normalement.

Et un fichier Mbam.log apparaitra

 

 

 

Nettoyage

Relancez Mbam(Malewares'Bytes)

Sélectionnez "Exécuter un examen complet"

Cliquez sur "Rechercher"

L' analyse prendra un certain temps, soyez patient !

A la fin , un message affichera :

L'examen s'est terminé normalement.

Sélectionnez tout et cliquez sur Supprimer la sélection ,

MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.

puis ouvrir le Bloc-notes et y copier le rapport d'analyse qui peut être retrouvé sous l'onglet Rapports/logs.

Copiez-collez ce rapport dans la prochaine réponse.

 

 

2) Si l'infection persiste:

Démarrer en Mode sans échec avec Invite de commande.

 

Première option,si vous avez le cd Windows:

Lancer Démarrer->Exécuter

SFC /scannow

Le scan devrait pouvoir restaurer le fichier explorer.exe

 

Sinon, seconde option:

Rechercer c:\Windows \twexx32.dll

et si vous le trouvez

Démarrer->Exécuter->Regedit

Aller à

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

Aller à shell dans la colonne de droite

Vous y voyez, comme donnée quelque chose comme C:\Documents and settings\xxxx\Desktop\machin.exe

ou “%Appdata%\mahmud.exe

Ce machin est variable .Notez le

clic droit shell -> Modifier

dans Données remplacer C:\Documents and settings\xxxx\Desktop\machin.exe par c:\Windows \twexx32.dll

 

Remontez à la barre de Regedit->Edition->Rechercher tapez le machin trouvé précédemment

 

Vous devriez le trouver là:

HKEY_CURRENT_USER\Software\Microsoft\Search Assistant\ACMru\5603

et là

HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache

 

Clic droit sur la ligne où il apparait->Supprimer

Nettoyer:

C:\Documents and settings\xxxx\Desktop\machin.exe

C:\Users\xxxx\AppData\Roaming\mahmud.exe

%Temp%\JhrIdKrdhd8LhgDi8yt.tmp

 

Redémarrer en mode normal

 

Rechercer c:\Windows \twexx32.dll

et si vous le trouvez

Renommez le explorer.exe

Démarrer->Exécuter->Regedit

Aller à

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

Aller à shell dans la colonne de droite

clic droit shell -> Modifier

dans Données remplacer twexx32.dll par explorer.exe

 

Sinon,si vous ne trouvez pas twexx32.dll

Téléchargez le explorer.exe correspondant à votre système :

 

]http://www.malekal.com/download/explorer_XP_SP2.exe] Windows XP SP2/SP3 [/url]

]http://www.malekal.com/download/explorer_Vista_SP2.exe] Windows Vista [/url]

Windows Seven SP1

 

Aller dans le dossier C:Windows

Renommer explorer.exe explorer.old

Copier le explorer.exe que vous avez téléchargé

Démarrer->Exécuter->Regedit

Aller à

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

Aller à shell.

clic droit shell -> Modifier

dans Données remplacer C:\Documents and settings\xxxx\Desktop\machin.exe par Explorer.exe

 

Redémarrez, vous devriez avoir accès à votre système.

 

4)Si le mode sans échec n'est pas accessible

Lancer Otlpe

 

Dans le nettoyage:

:reg

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

"shell"="c:\Windows \twexx32.dll"

 

ou

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

"shell"="explorer.exe"

[loorent]

euh...comme indiqué dans mon post initial, j'ai deja effectué un scan et une reparation par roguekiller, ainsi qu'un scan et fix sous malwarebyte.

 

c'esdt apres que ça se complique: plus de centre de securité -> resolu; et la , plus de firewall ni de windows defender

[loorent]

donc j'ai trouvé que c'est le service " moteur de filtrage de base" qui n'etait pas demarré.

 

en cherchant sur le net, j'ai trouvé qu'il fallait que je modifie les autorisations pour les accés aux sous clefs pour ce service (clef bfe dans le resitre).

aprés avoir ajouté "tout le monde" en r/w, le service de filtrage de base se lance desormais.

 

lorsque je tente de lancer le service pare feu windows, j'ai desormais le message "windows n'a pas pu demarrer le pare-feu windows sur ordinateur local. veuillez consulter..."

 

la , je seche: je n'arrive pas a trouver quoi faire.

 

j'ai l'impression que le rogue a modifié quelque chose au niveau de la stratégie de compte et/ou des accés a la base de registre: comment recuperer les droits de bases ?

 

par ex: quand je tente de renommer le rep "C:\Windows\System32\config\TxR", j'obtiens le message "vous devez disposez d'une autorisation pour effectuer cette opération"

[pear]

Windows n'a pas pu démarrer le Pare-feu windows sur Ordinateur local

Ouvrez une invite de commandes en tant qu'administrateur,

Démarrer->Tous les programmes->Accessoires->Invite de commandes

Clic droit->Exécuter en tant qu'Administrateur

 

Tapez successivement et validez:

%systemdrive%

cd %systemroot%\system32\config

ren TxR TxR.old

 

Si vous rencontrez un message "Accès refusé", verifiez la présence de la mention "Administrateur" dans le titre de la fenêtre de commandes. Le cas échéant reéssayez en mode sans echec ou encore depuis un LiveCD.

 

Redémarrez

le parefeu devrait redémarrer

 

Sinon, autres pistes:

 

http://forum.pcinpact.com/topic/157567-resolu-w7-impossible-de-redemarrer-le-service-pare-feu/

 

http://support.microsoft.com/kb/2271812/fr

 

 

Modifié le 25 janvier 2012 par pear