Smart HDD

[KS_Croc]

Bonjour,

Je viens de me faire infecter par SMART HDD...

Je n'ai plus de programmes ou d’icônes affichées et une fenêtre m'indique que mon disque dur est endommagé.

 

Je suis actuellement en mode sans échec avec prise en charge réseau.

J'ai mis RogueKiller et OTL sur mon bureau.

Je n'ai pas encore tenté la restauration système.

 

Merci de votre aide!

 

___

Vous trouverez le rapport RogueKiller ci-dessous:

 

RogueKiller V7.3.2 [20/03/2012] par Tigzy

mail: tigzyRK<at>gmail<dot>com

Remontees: [RogueKiller] Remontées (1/49)

Blog: tigzy-RK

 

Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version

Demarrage : Mode sans echec avec prise en charge reseau

Utilisateur: Nicolas [Droits d'admin]

Mode: Recherche -- Date: 06/04/2012 15:53:10

 

¤¤¤ Processus malicieux: 1 ¤¤¤

[sUSP PATH] HelpPane.exe -- C:\Windows\helppane.exe -> KILLED [TermProc]

 

¤¤¤ Entrees de registre: 20 ¤¤¤

[sUSP PATH] HKCU\[...]\Run : OfJBmXXIQE.exe (C:\ProgramData\OfJBmXXIQE.exe) -> FOUND

[sUSP PATH] HKUS\S-1-5-21-1299786818-1104447746-2078153817-1000[...]\Run : OfJBmXXIQE.exe (C:\ProgramData\OfJBmXXIQE.exe) -> FOUND

[HJ] HKCU\[...]\Advanced : Start_ShowMyComputer (0) -> FOUND

[HJ] HKCU\[...]\Advanced : Start_ShowSearch (0) -> FOUND

[HJ] HKCU\[...]\Advanced : Start_ShowMyDocs (0) -> FOUND

[HJ] HKCU\[...]\Advanced : Start_ShowRecentDocs (0) -> FOUND

[HJ] HKCU\[...]\Advanced : Start_ShowUser (0) -> FOUND

[HJ] HKCU\[...]\Advanced : Start_ShowMyPics (0) -> FOUND

[HJ] HKCU\[...]\Advanced : Start_ShowMyGames (0) -> FOUND

[HJ] HKCU\[...]\Advanced : Start_ShowMyMusic (0) -> FOUND

[HJ] HKCU\[...]\Advanced : Start_ShowControlPanel (0) -> FOUND

[HJ] HKCU\[...]\Advanced : Start_ShowHelp (0) -> FOUND

[HJ] HKCU\[...]\Advanced : Start_ShowPrinters (0) -> FOUND

[HJ] HKCU\[...]\Advanced : Start_ShowRun (0) -> FOUND

[HJ] HKCU\[...]\Advanced : Start_ShowSetProgramAccessAndDefaults (0) -> FOUND

[HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> FOUND

[HJ] HKCU\[...]\ClassicStartMenu : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> FOUND

[HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> FOUND

[HJ] HKCU\[...]\ClassicStartMenu : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> FOUND

[HJ] HKCU\[...]\ClassicStartMenu : {645FF040-5081-101B-9F08-00AA002F954E} (1) -> FOUND

 

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

 

¤¤¤ Driver: [NON CHARGE] ¤¤¤

 

¤¤¤ Infection : ¤¤¤

 

¤¤¤ Fichier HOSTS: ¤¤¤

127.0.0.1 localhost

::1 localhost

 

 

¤¤¤ MBR Verif: ¤¤¤

 

+++++ PhysicalDrive0: SAMSUNG HD753LJ ATA Device +++++

--- User ---

[MBR] 543eddd88723e5055d99eae4726b031a

[bSP] 3e80a08129b9a0cf79bf47e5057c27e5 : Windows Vista MBR Code

Partition table:

0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 2048 | Size: 363573 Mo

1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 744601600 | Size: 351827 Mo

User = LL1 ... OK!

User = LL2 ... OK!

 

+++++ PhysicalDrive1: WD 5000AAC External USB Device +++++

--- User ---

[MBR] 2cad1879d3ecde5c7399cdd5593b0c2f

[bSP] 1343860dbef73a961735f1522ff55311 : Windows XP MBR Code

Partition table:

0 - [XXXXXX] FAT32-LBA (0x0c) [VISIBLE] Offset (sectors): 63 | Size: 476937 Mo

User = LL1 ... OK!

Error reading LL2 MBR!

 

Termine : << RKreport[1].txt >>

RKreport[1].txt

Modifié le 6 avril 2012 par KS_Croc

[Apollo]

Bonjour,

 

Google Traduction

 

Relance Rogue killer et clique sur supprimer: poste le rapport stp.

 

-------------------

Télécharge TDSSKiller de Kaspersky sur ton bureau.

 

Ou: http://support.kaspersky.com/fr/downloads/utils/tdsskiller.zip ; décompresse le zip.

 

Double-clique sur TDSSKiller.exe

L'écran de TDSSKiller s'affiche:

 

 

- Laisser cochées les 2 options par défaut -Visible via l'onglet "change parameter".

 

 

Et coche les 2 options supplémentaires:

 

 

Clique sur Start scan pour lancer l'analyse.

 

 

- Si une menace est détectée (Threats detected) vérifie que, suivant le cas:

 

En général, laisse les options proposées par défaut par l'outil

 

 

l'option "delete" (effacer) est bien cochée pour la famille TDL2

 

l'option "delete" (effacer) est bien cochée pour tout objet de la forme chiffre_aléatoire:chiffre_aléatoire.exe

 

l'option "delete" (effacer) est bien cochée pour tout service de la forme chiffre et/ou lettre aléatoire (hidden file)

 

 

l'option "cure" (réparer ) pour la famille TDL3.

 

l'option "cure" (réparer ) pour la famille tdl4(\HardDisk0\MBR).

 

l'option "cure" (réparer) pour la famille Rootkit.Win32.ZAccess

 

puis clique sur Continue.

 

- laisse l'action par défaut "skip" (sauter) pour les "suspicious objects. low risks", avant de savoir ce que c'est, puis clique sur Continue.

 

 

 

En fin d'analyse il peut être demandé de relancer la machine:

 

 

clique sur Reboot Now.

 

- Si aucun reboot n'est demandé, clique sur le bouton Report et poste le contenu du fichier qui s'affiche.

 

- Si un reboot est demandé, aprés redémarrage tu trouveras le contenu du rapport de TDSSKiller ici:

SystemDrive\TDSSKiller.Version_Date_Heure_log.txt)

[systemDrive représente la partition sur laquelle est installé le système, généralement C:]

 

Si le rapport est long, l'héberger sur cjoint.com stp.

 

@++

[KS_Croc]

Bonjour Appolo,

Merci pour ton aide...

 

Rapport RogueKiller : Lien CJoint.com BDgrayIRvPo

Entre temps, j'ai fait un MalwareBytes : Lien CJoint.com BDgrbYRXFba

Rapport TDSSKiller : Lien CJoint.com 3Dgq62adlsC

 

J'ai toujours une icône SMART HDD dans ma barre de tache, elle pointe vers C:\ProgramData\Esw77QG3yLx2uN.exe

Sinon, j'ai mes fichiers qui ont réapparu sur le bureau, mais on dirait qu'ils sont en fichier cachés (transparents)... :-/

Il manque toujours des éléments dans mon menu démarrer -> Par exemple, je n'ai plus le répertoire Accessoires dans mes programmes, ce qui est embêtant (notepad, système, calculatrice...)

[Apollo]

Télécharger Unhide de Grinler et l'enregistrer sur le bureau.

 

Double-clique, (Sous Vista/7, clic droit/exécuter en temps qu'administrateur) sur l'icône.

 

Le pc va redémarrer, sinon fais-le redémarrer toi-même.

 

Vérifie si les dossiers sont réapparus.

[KS_Croc]

Merci beaucoup, c'est nickel!

 

Juste une dernière petite chose, il me reste l'icone dans la barre des tache, qu'est ce que j'en fais?

[Apollo]

Passe CCleaner si tu l'as.

 

On va voir, faudrait pas qu'il se relance ce vilain pas beau-là.

 

ZHPDiag :

 

• Télécharge ZHPDiag de Nicolas Coolman. et enregistre-le sur le BUREAU.
   
  
• Double-clique sur ZHPDiag.exe pour lancer l'installation
  
  • Important:
    Sous Vista et Windows 7 : il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur

N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau.

 

[*]L'outil a créé 2 icônes ZHPDiag et ZHPFix sur le Bureau.

 

[*]Double-clique sur ZHPDiag pour lancer l'exécution

• Important:
  Sous Vista et Windows 7 : il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur

 

[*]Clique sur le tournevis.

[*]Clique sur la loupe pour lancer l'analyse. Tu patientes jusqu'à ce que le scan affiche 100%

Tu refermes ZHPDiag

 

[*]Le rapport ZHPDiag.txt se trouve sur le Bureau. (et sous c:\ZHP\ZHPDiag.txt)

Ce rapport étant trop long pour le forum, héberge le :

• soit directement sur le forum en pièce jointe dans ta réponse : Ajouter un fichier en pièce jointe sur le forum <<< Seulement pour le forum Vista-XP.fr!
  
• soit sur Cjoint et copie-colle le lien fourni dans ta réponse. OU >>
  
• Free large file hosting. Send big files the easy way! copier/coller le tout premier lien fourni.

 

 

@++

Modifié le 6 avril 2012 par Apollo

[KS_Croc]

Rapport ZHPDiag : Lien CJoint.com BDgrTO8M6d9

 

L'icone de la barre des taches pointe vers C:\ProgramData\Esw77QG3yLx2uN.exe

 

Dans le dossier ProgramData, voici ce qui s'affiche:

[Apollo]

Analyse-les un peu sur virus total pour voir?

 

Tu donnes juste le lien de la barre navigateur quand c'est fait pour les deux de 1Ko, le 0 octect, liquide -le déjà

 

Je regarde ton log.

 

@++

[Apollo]

1) ZHPFix :

 

• Ferme toutes les applications ouvertes
   
  
• Double-clique sur ZHPFix, raccourci installé par ZHPDiag sur le Bureau
  Important:
  Sous Vista et Windows 7 : il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur.
   
  
• Clique sur H .
   
  
• Copie-colle les lignes ci-dessous dans la fenêtre

 

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Associations] Application: Modified    
[MD5.00000000000000000000000000000000] [APT] [AutoKMS] (...) -- C:\Windows\AutoKMS.exe (.not file.)    
[HKCU\Software\AppDataLow\Software\PriceGong]     
O43 - CFD: 06/04/2012 - 14:34:56 - [0,002] ----D C:\Users\Nicolas\AppData\Roaming\pdfforge    
[HKLM\Software\Classes\Interface\{79FB5FC8-44B9-4AF5-BADD-CCE547F953E5}]   
[HKLM\Software\Canneverbe Limited\OpenCandy]     
C:\Users\Nicolas\AppData\Roaming\pdfforge    
C:\Users\Nicolas\AppData\LocalLow\PriceGong    
firewallraz
emptytemp
emptyflash

 

• Clique sur l'icône représentant la lettre H (« coller les lignes Helper »). Le script doit automatiquement apparaitre dans ZHPFix, sinon, colle-le.
   
  Clique sur le bouton GO pour lancer le nettoyage

 

• Valide par Oui la désinstallation des programmes si demandé
   
  
• Laisse l'outil travailler. Si un redémarrage est demandé, accepte et redémarre le PC
   
  
• Le rapport ZHPFixReport.txt s'affiche. Copie-colle le contenu de ce rapport dans ta réponse.
  Le rapport ZHPFixReport.txt est enregistré sous C:\ZHP\ZHPFixReport.txt

 

Si le Bureau ne réapparaît pas presse Ctrl + Alt + Suppr , Onglet Fichier , Nouvelle tâche , tape explorer.exe et valide.

 

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

2) Télécharge AdwCleaner par Xplode: Téléchargements - Outils de Xplode - AdwCleaner

 

Enregistre-le sur le bureau (et pas ailleurs).

 

Si tu es sous XP double clique sur AdwCleaner pour lancer l'outil.

Si tu es sous Vista/Seven, clique droit sur AdwCleaner et choisis exécuter en temps qu'administrateur.

 

Clique sur Suppression et laisse travailler l'outil.

 

Le rapport va s'ouvrir en fichier texte; copie la totalité de son contenu et colle-le dans ta réponse.

 

Le rapport est en outre sauvegardé sous C:\AdwCleaner[s1]

 

-------------------------

 

+++

[KS_Croc]

Rapport ZHPFix:

 

Rapport de ZHPFix 1.12.3372 par Nicolas Coolman, Update du 22/11/2011

Fichier d'export Registre :

Run by Nicolas at 06/04/2012 18:09:23

Windows Vista Home Premium Edition, 32-bit Service Pack 2 (Build 6002)

Web site : ZHPFix Fix de rapport

 

========== Clé(s) du Registre ==========

SUPPRIME Key: HKCU\Software\AppDataLow\Software\PriceGong

SUPPRIME Key: HKLM\Software\Classes\Interface\{79FB5FC8-44B9-4AF5-BADD-CCE547F953E5}

SUPPRIME Key: HKLM\Software\Canneverbe Limited\OpenCandy

 

========== Valeur(s) du Registre ==========

ABSENT Valeur Standard Profile: FirewallRaz :

ABSENT Valeur Domain Profile: FirewallRaz :

SUPPRIME FirewallRaz (Private) : {66D0178A-A5DC-4FEA-B392-862178B63419}

SUPPRIME FirewallRaz (Private) : {8B57975A-710B-49F7-8909-2AA7DD4E3B1B}

SUPPRIME FirewallRaz (Private) : {B9E67332-AA05-4913-B665-F0F66F81FB5A}

SUPPRIME FirewallRaz (Private) : {BA1AB040-438C-4ACC-BA0F-400B97EFE3D1}

SUPPRIME FirewallRaz (Private) : {59F396CE-7789-4780-888A-C77F2A4BE268}

SUPPRIME FirewallRaz (Private) : {2966817D-A4ED-4B0D-BFF0-3AA747A4A55F}

SUPPRIME FirewallRaz (Private) : TCP Query User{3C3F4DF3-4C96-495E-B66B-CF31CD82D7BA}C:\sandbox\nicolas\defaultbox\drive\c\windows\keygen.exe

SUPPRIME FirewallRaz (Private) : UDP Query User{784C5C86-28F1-4406-AA6B-2A4442E9CC83}C:\sandbox\nicolas\defaultbox\drive\c\windows\keygen.exe

SUPPRIME FirewallRaz (Private) : TCP Query User{7EEAB1C0-FD70-49FF-890A-8EC3D06732CF}C:\windows\keygen.exe

SUPPRIME FirewallRaz (Private) : UDP Query User{F5F94C09-F6E0-4A4B-8A69-A94D6430A202}C:\windows\keygen.exe

SUPPRIME FirewallRaz (Private) : TCP Query User{139B4537-9AD1-48C8-A1C3-F352B7F2C76C}C:\users\nicolas\dropbox\shared\wrestling leader\wrestlingleaders\wrestling leaders unity\wrestlingleaders\wswindowsdraft.exe

SUPPRIME FirewallRaz (Private) : UDP Query User{17DB055D-84BA-49C8-96DE-520888597F90}C:\users\nicolas\dropbox\shared\wrestling leader\wrestlingleaders\wrestling leaders unity\wrestlingleaders\wswindowsdraft.exe

 

========== Elément(s) de donnée du Registre ==========

SUPPRIME Explorer Association Data Application: File extension redirect

 

========== Dossier(s) ==========

SUPPRIME Folder: C:\Users\Nicolas\AppData\Roaming\pdfforge

SUPPRIME Folder: c:\users\nicolas\appdata\locallow\pricegong

SUPPRIME Temporaires Windows: : 82

SUPPRIME Flash Cookies: 1

 

========== Fichier(s) ==========

ABSENT Folder/File: c:\users\nicolas\appdata\roaming\pdfforge

SUPPRIME Temporaires Windows: : 204

SUPPRIME Flash Cookies: 0

 

========== Tache planifiée ==========

SUPPRIME Task: AutoKMS

 

 

========== Récapitulatif ==========

3 : Clé(s) du Registre

14 : Valeur(s) du Registre

1 : Elément(s) de donnée du Registre

4 : Dossier(s)

3 : Fichier(s)

1 : Tache planifiée

 

 

End of clean in 00mn 04s

 

========== Chemin de fichier rapport ==========

C:\ZHP\ZHPFix[R1].txt - 06/04/2012 18:09:23 [2905]

 

 

 

 

 

 

 

 

Rapport AdwCleaner:

 

# AdwCleaner v1.504 - Rapport créé le 06/04/2012 à 18:11:57

# Mis à jour le 01/04/2012 par Xplode

# Système d'exploitation : Windows Vista Home Premium Service Pack 2 (32 bits)

# Nom d'utilisateur : Nicolas - HERMES

# Exécuté depuis : C:\Users\Nicolas\Desktop\adwcleaner.exe

# Option [suppression]

 

 

***** [services] *****

 

 

***** [Fichiers / Dossiers] *****

 

Dossier Supprimé : C:\Users\Nicolas\AppData\LocalLow\Conduit

Dossier Supprimé : C:\Program Files\Conduit

 

***** [H. Navipromo] *****

 

 

***** [Registre] *****

 

Clé Supprimée : HKCU\Software\AppDataLow\Software\Conduit

Clé Supprimée : HKLM\SOFTWARE\Conduit

Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{3c471948-f874-49f5-b338-4f214a2ee0b1}

Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\conduitEngine

Valeur Supprimée : HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks [{05eeb91a-aef7-4f8a-978f-fb83e7b03f8e}]

Valeur Supprimée : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser [{05EEB91A-AEF7-4F8A-978F-FB83E7B03F8E}]

 

***** [Navigateurs] *****

 

-\\ Internet Explorer v9.0.8112.16421

 

[OK] Le registre ne contient aucune entrée illégitime.

 

-\\ Mozilla Firefox v4.0b11 (fr)

 

Nom du profil : default

Fichier : C:\Users\Nicolas\AppData\Roaming\Mozilla\FireFox\Profiles\vh23vx8v.default\prefs.js

 

[OK] Le fichier ne contient aucune entrée illégitime.

 

*************************

 

AdwCleaner[s1].txt - [1443 octets] - [06/04/2012 18:11:57]

 

########## EOF - C:\AdwCleaner[s1].txt - [1571 octets] ##########