Démarrage de session avec un profil temporaire : infection ?

[Zafon]

Bonjour à tous,

 

Fin janvier, j'ai posté un sujet dans la section Windows8 concernant mon PC qui démarre avec une section temporaire et sur lequel je perds des documents. Après une première analyse, Wullfk m'avait conseillé de passer le PC en désinfection avant de poursuivre l'analyse. C'est là : http://forum.zebulon.fr/demarrage-de-session-avec-un-profil-temporaire-t210810.html

 

Je ne reprends le fil de ce problème qu'aujourd'hui, après 2 mois assez chargés.

Le rapport ZHPDIAG est ici : http://cjoint.com/?ECCrzFWYto7

 

Merci d'avance pour votre aide.

Zafon

[Apollo]

Bonjour,

 

1) ZHPFix :

• Ferme toutes les applications ouvertes
• Double-clique sur ZHPFix, raccourci installé par ZHPDiag sur le Bureau

  Important:

  Sous Vista et Windows 7/8 : il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur.

• Copie les lignes ci-dessous dans la fenêtre

sauf le mot citation.

 

Script ZhpFix

O4 - GS\Desktop [JosselinF]: Sync Folder.lnk . (...) -- C:\Program Files (x86)\MyPC Backup\MyPC Backup.exe (.not file.)

O4 - GS\Startup [JosselinF]: MyPC Backup.lnk . (...) -- C:\Program Files (x86)\MyPC Backup\MyPC Backup.exe (.not file.)

[MD5.A0522031149B5A9908C65E3CB5F5FBED] [APT] [PC Speed Maximizer Schedule] (.Avanquest Software.) -- C:\Program Files (x86)\PC Speed Maximizer\SPMSchedule.exe [989664]

O42 - Logiciel: PC Speed Maximizer v4 - (.Avanquest Software.) [HKLM][64Bits] -- PC Speed Maximizer_is1

O42 - Logiciel: WSE_Vosteran - (.WSE_Vosteran.) [HKLM][64Bits] -- WSE_Vosteran

[HKLM\Software\Wow6432Node\InstallCore]

C:\Program Files (x86)\MyPC Backup

C:\Program Files (x86)\PC Speed Maximizer

C:\Program Files (x86)\WSE_Vosteran

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\PC Speed Maximizer

O45 - LFCP:[MD5.4B8E99F78C68579DDD2FA89B98B12C43] - 20/05/2013 - 14:26:33 ---A- - C:\windows\Prefetch\SOFTWAREUPDATER.EXE-0DF77BDE.pf

[HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\PC Speed Maximizer_is1]

[HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\WSE_Vosteran]

C:\Program Files (x86)\PC Speed Maximizer\SPMSchedule.exe

 

 

EmptyClsid

Ifeofix

Proxyfix

FirewallRaz

ShortcutFix

EmptyPrefetch

emptytemp

emptyflash

Cliquer sur IMPORTER., cela devrait coller le contenu du presse papier dans la fenêtre ZHPFix.

• Le script doit automatiquement apparaitre dans ZHPFix.

   

  Clique sur le bouton GO pour lancer le nettoyage

• Valide par Oui la désinstallation des programmes si demandé.
• Laisse l'outil travailler. Si un redémarrage est demandé, accepte et redémarre le PC
• Le rapport ZHPFixReport.txt s'affiche. Copie-colle le contenu de ce rapport dans ta réponse.

  Le rapport ZHPFixReport.txt est enregistré sous C:\ZHP\ZHPFix.txt

Si le Bureau ne réapparaît pas presse Ctrl + Alt + Suppr , Onglet Fichier , Nouvelle tâche , tape explorer.exe et valide.

 

--------------------------------

2) Créer un point de restauration "en un clic": : http://www.vista-xp.fr/forum/topic13660.html#p114706

 

 

Télécharger ZHPcleaner de Nicolas Coolman: http://www.nicolascoolman.fr/download/zhpcleaner/ sur le bureau.

 

Il ne nécessite aucune installation.

 

 

Le lancer par double-clic sous XP et par clic droit/exécuter en temps qu'administrateur sous Windows Vista/7/8.

 

Cliquer sur Recherche puis sur Réparation

 

Le rapport de réparation sera généré sur le bureau: poste-le dans ta réponse stp.

 

 

 

@++

[Zafon]

Bonjour Apollo et merci de m'apporter ton aide,

 

Le rapport de ZHPfix est ci-dessous :

 

Rapport de ZHPFix 2015.3.18.4 par Nicolas Coolman, Update du 18/03/2015
Fichier d'export Registre :
Run by JosselinF at 28/03/2015 18:45:50
High Elevated Privileges : OK
Windows 8 Home Premium Edition, 64-bit (Build 9200)

Corbeille vidée (00mn 03s)
Dossier Prefetcher vidé
Réparation des raccourcis navigateur

========== Logiciels ==========
SUPPRIMÉ: PC Speed Maximizer v4
ABSENT Uninstall Process: c:\progra~2\wse_vo~1\uninstall.exe

========== Clés du Registre ==========
SUPPRIMÉ Logiciel Key: [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\WSE_Vosteran]
SUPPRIMÉ: HKLM\Software\Wow6432Node\InstallCore
Branche de Base de Registres IFEO non infectée !

========== Valeurs du Registre ==========
ProxyFix : Configuration proxy supprimée avec succès
SUPPRIMÉ ProxyServer Value
SUPPRIMÉ ProxyEnable Value
SUPPRIMÉ EnableHttp1_1 Value
SUPPRIMÉ ProxyHttp1.1 Value
SUPPRIMÉ ProxyOverride Value
Aucune Valeur Standard Profile: FirewallRaz :
Aucune Valeur Domain Profile: FirewallRaz :
SUPPRIMÉ: FirewallRaz (Domain) : {808F1451-4108-46FD-ADBB-F17324B5F0BD}
SUPPRIMÉ: FirewallRaz (Domain) : {E7985E1D-C36F-4787-80A8-6350D07E9266}

========== Dossiers ==========
Aucun dossiers CLSID Local utilisateur vide
SUPPRIMÉS Temporaires Windows (5)
SUPPRIMÉS Flash Cookies (0)

========== Fichiers ==========
SUPPRIMÉ: c:\windows\prefetch\softwareupdater.exe-0df77bde.pf
SUPPRIMÉS Temporaires Windows ( (1 824 210 octets)
SUPPRIMÉS Flash Cookies (0) (0 octets)

========== Tache planifiée ==========
SUPPRIMÉ: PC Speed Maximizer Schedule


========== Récapitulatif ==========
3 : Clés du Registre
10 : Valeurs du Registre
3 : Dossiers
3 : Fichiers
2 : Logiciels
1 : Tache planifiée


End of clean in 00mn 47s

========== Chemin de fichier rapport ==========
C:\Users\TEMP.josselin.001\AppData\Roaming\ZHP\ZHPFix[R1].txt - 28/03/2015 18:45:54 [1833]

 

Je crée le point de restauration.

 

Z

[Zafon]

J'ai créé le point de restauration et voici le rapport de ZHPCleaner :

 

~ ZHPCleaner v2015.3.28.141 by Nicolas Coolman (28/03/2015)
~ Run by JosselinF (Administrator) (28/03/2015 19:20:52)
~ Forum : http://forum.nicolascoolman.fr
~ Facebook : https://www.facebook.com/nicolascoolman1
~ State version : Version OK
~ Type : Réparer
~ Report : C:\Users\TEMP.josselin.001\Desktop\ZHPCleaner.txt
~ Quarantine : C:\Users\TEMP.josselin.001\AppData\Roaming\ZHP\ZHPCleaner_Quarantine.txt
~ UAC : Activate
~ Boot Mode : Normal (Normal boot)
~ Windows 8, 64-bit (Build 9200)


---\\ Service. (1)
SUPPRIMÉ : PCSUUCDRV (PUP.PCSpeedUp)


---\\ Navigateur internet. (0)
~ Aucun élément malicieux trouvé.


---\\ Fichier hôte. (2)
~ Le fichier hôte est légitime. (21)
~ Le fichier hôte est légitime. (21)


---\\ Tâche planifiée. (0)
~ Aucun élément malicieux trouvé.


---\\ Explorateur ( Dossiers, Fichiers ). (48)
DEPLACÉ fichier: C:\Users\JosselinF\Documents\Mobogenie\Fiche auteur numeros 3 bac français.odt [josselin flocon - ] (PUP.Mobogenie)
DEPLACÉ dossier: C:\Users\JosselinF\Documents\Mobogenie (PUP.Mobogenie)
DEPLACÉ fichier: C:\Users\JosselinF\AppData\Roaming\newnext.me\nengine.cookie (PUP.NextLive)
DEPLACÉ dossier: C:\Users\JosselinF\AppData\Roaming\newnext.me\cache (PUP.NextLive)
DEPLACÉ dossier: C:\Users\JosselinF\AppData\Roaming\SaveSense\UpdateProc (PUP.SaveSense)
DEPLACÉ dossier: C:\Users\JosselinF\AppData\Roaming\Uniblue\Offers (PUP.UniblueSystem)
DEPLACÉ dossier: C:\Users\JosselinF\AppData\Roaming\Iminent (Adware.IMBooster)
DEPLACÉ dossier: C:\Users\JosselinF\AppData\Roaming\newnext.me (PUP.NextLive)
DEPLACÉ dossier: C:\Users\JosselinF\AppData\Roaming\SaveSense (PUP.SaveSense)
DEPLACÉ dossier: C:\Users\JosselinF\AppData\Roaming\Uniblue (PUP.UniblueSystem)
DEPLACÉ fichier: C:\Users\JosselinF\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\MyPC Backup\MyPC Backup.lnk (PUP.MyPCBackup)
DEPLACÉ fichier: C:\Users\JosselinF\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\MyPC Backup\Uninstall.lnk (PUP.MyPCBackup)
DEPLACÉ dossier: C:\Users\JosselinF\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\MyPC Backup (PUP.MyPCBackup)
DEPLACÉ fichier: C:\Users\JosselinF\AppData\LocalLow\Inbox Toolbar\buttons.xml (PUP.InboxEmail)
DEPLACÉ fichier: C:\Users\JosselinF\AppData\LocalLow\Inbox Toolbar\config.ini (PUP.InboxEmail)
DEPLACÉ fichier: C:\Users\JosselinF\AppData\LocalLow\Inbox Toolbar\skin.xml (PUP.InboxEmail)
DEPLACÉ fichier: C:\Users\JosselinF\AppData\LocalLow\Inbox Toolbar\skins.xml (PUP.InboxEmail)
DEPLACÉ fichier: C:\Users\JosselinF\AppData\LocalLow\Inbox Toolbar\translate.ini (PUP.InboxEmail)
DEPLACÉ dossier: C:\Users\JosselinF\AppData\LocalLow\Inbox Toolbar (PUP.InboxEmail)
DEPLACÉ dossier: C:\Users\JosselinF\AppData\LocalLow\The weDownload Manager (PUP.weDownloadManager)
DEPLACÉ fichier: C:\Users\JosselinF\AppData\Local\genienext\nengine.dll (PUP.NextLive)
DEPLACÉ fichier: C:\Users\JosselinF\AppData\Local\Mobogenie\activities (PUP.Mobogenie)
DEPLACÉ fichier: C:\Users\JosselinF\AppData\Local\Mobogenie\adb.black_devices (PUP.Mobogenie)
DEPLACÉ fichier: C:\Users\JosselinF\AppData\Local\Mobogenie\adb.write_devices (PUP.Mobogenie)
DEPLACÉ fichier: C:\Users\JosselinF\AppData\Local\Mobogenie\client.time (PUP.Mobogenie)
DEPLACÉ fichier: C:\Users\JosselinF\AppData\Local\Mobogenie\damo.time (PUP.Mobogenie)
DEPLACÉ fichier: C:\Users\JosselinF\AppData\Local\Mobogenie\mobo.uuid (PUP.Mobogenie)
DEPLACÉ fichier: C:\Users\JosselinF\AppData\Local\Mobogenie\Source.mu (PUP.Mobogenie)
DEPLACÉ fichier: C:\Users\JosselinF\AppData\Local\Mobogenie\updatepop.time (PUP.Mobogenie)
DEPLACÉ dossier: C:\Users\JosselinF\AppData\Local\AskPartnerNetwork\Toolbar (Toolbar.Ask)
DEPLACÉ dossier: C:\Users\JosselinF\AppData\Local\Mobogenie\backup (PUP.Mobogenie)
DEPLACÉ dossier: C:\Users\JosselinF\AppData\Local\Mobogenie\Data (PUP.Mobogenie)
DEPLACÉ dossier: C:\Users\JosselinF\AppData\Local\Mobogenie\device (PUP.Mobogenie)
DEPLACÉ dossier: C:\Users\JosselinF\AppData\Local\Mobogenie\Download (PUP.Mobogenie)
DEPLACÉ dossier: C:\Users\JosselinF\AppData\Local\Mobogenie\driver (PUP.Mobogenie)
DEPLACÉ dossier: C:\Users\JosselinF\AppData\Local\Mobogenie\Version (PUP.Mobogenie)
DEPLACÉ dossier: C:\Users\JosselinF\AppData\Local\SaveSenseLive\CrashReports (PUP.SaveSense)
DEPLACÉ dossier: C:\Users\JosselinF\AppData\Local\SearchProtect\Logs (Adware.Sambreel)
DEPLACÉ dossier: C:\Users\JosselinF\AppData\Local\SearchProtect\SearchProtect (Adware.Sambreel)
DEPLACÉ dossier: C:\Users\JosselinF\AppData\Local\SearchProtect\UI (Adware.Sambreel)
DEPLACÉ dossier: C:\Users\JosselinF\AppData\Local\AskPartnerNetwork (Toolbar.Ask)
DEPLACÉ dossier: C:\Users\JosselinF\AppData\Local\genienext (PUP.NextLive)
DEPLACÉ dossier: C:\Users\JosselinF\AppData\Local\Mobogenie (PUP.Mobogenie)
DEPLACÉ dossier: C:\Users\JosselinF\AppData\Local\SaveSenseLive (PUP.SaveSense)
DEPLACÉ dossier: C:\Users\JosselinF\AppData\Local\SearchProtect (Adware.Sambreel)
DEPLACÉ fichier: C:\windows\Installer\3e0a9a00.msi [APN, LLC - Ask.com ® - Install Builder] (Adware.Bandoo)
DEPLACÉ fichier: C:\Documents and Settings\JosselinF\Downloads\speedupmypc(1).exe [uniblue Systems Limited - SpeedUpMyPC Setup] (PUP.SpeedUpMyPC)
DEPLACÉ fichier: C:\Documents and Settings\JosselinF\Downloads\speedupmypc.exe [uniblue Systems Limited - SpeedUpMyPC Setup] (PUP.SpeedUpMyPC)


---\\ Base de Registres ( Clés, Valeurs, Données ). (4)
SUPPRIMÉ clé: [X64] HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{0A61F51A-19F4-4684-80FC-C55CA1032DE4} [http://Vosteran.com/results.php?f=4&q={searchTerms}&a=vst_ggbg_14_47_ff&cd=2XzuyEtN2Y1L1QzuyE0CyBtB0[...]] [Vosteran] (PUP.Vosteran)
SUPPRIMÉ clé*: [X64] HKLM\SYSTEM\CurrentControlSet\Services\PCSUUCDRV [ (Not File) ] (PUP.PCSpeedUp)
REMPLACÉ donnée: [X64] HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{D44E6837-0627-4078-9886-A21A61967C88}\\NameServer [185.37.37.37,185.37.37.185 (Not File)][] (Hijacker.Browser)
SUPPRIMÉ clé*: [X64] HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{41564952-412D-5637-00A7-A758B70C1300} [APN, LLC] (Adware.Bandoo)



---\\ Bilan de la réparation
~ Réparation réalisée avec succès.
~ Ce navigateur est absent (Opera Software)


---\\ Statistiques
~ Items scannés : 65036
~ Items trouvés : 0
~ Items réparés : 53


End of clean at 19:34:00
===================
ZHPCleaner-[R]-28032015-19_34_00.txt
ZHPCleaner--28032015-19_17_39.txt

[Apollo]

Tout les trucs "miracle" qui sont censés optimiser les pc ou les nettoyeurs de registre sont parfaitement inutiles et posent souvent plus de problèmes qu'autre-chose: à éviter donc.

 

1) Télécharge Junkware Removal Tool sur le bureau: http://www.bleepingcomputer.com/download/junkware-removal-tool/

 

 

Site éditeur: http://thisisudax.org/

 

Sous XP, double-clique sur l'icône et presse une touche lorsque cela sera demandé.

 

Sous Vista/7/8, clic droit/exécuter en temps qu'administrateur.

 

L'outil peut demander si on souhaite vérifier la présence d'une nouvelle version Y/N >> taper Y.

S'il découvre une version obsolète, il le dira et devrez presser une touche. L'outil se fermera.

 

JRT_New sera créé sur le bureau;

 

Jette l'ancien JRT et renomme JRT_New en JRT .

 

Si c'est déjà la bonne version , il commencera sa recherche de malwares normalement. Patience svp.

 

Afin de ne pas fausser le rapport, ne passer l'outil qu'une seule fois svp!

 

 

Si l'antivirus fait des siennes: désactive-le provisoirement. Si tu ne sais pas comment faire, reporte-toi à cet article.

 

Poste le rapport généré à la fin de l'analyse.

 

NB: Le bureau disparaitra un instant, c'est normal.

 

>>>Si le rapport est long, l'héberger ici: http://cjoint.com ou http://dl.free.fr/

 

 

 

 

------------------------------

*** Si tu as une ancienne version d'AdwCleaner, lance-le et clique sur désinstaller.***

 

2) Télécharge AdwCleaner par Xplode.

 

https://toolslib.net/downloads/viewdownload/1-adwcleaner/

 

Enregistre-le sur le bureau (et pas ailleurs).

 

Afin de ne pas fausser le rapport, ne passer l'outil qu'une seule fois svp!

 

 

Si tu es sous XP double clique sur AdwCleaner pour lancer l'outil.

Si tu es sous Vista/Seven, clique droit sur AdwCleaner et choisis exécuter en temps qu'administrateur.

 

Clique sur Scanner et laisse travailler l'outil.

 

Cliquer sur Nettoyer, le bouton sera accessible.

 

Le rapport va s'ouvrir en fichier texte; copie la totalité de son contenu et colle-le dans ta réponse.

 

Le rapport est en outre sauvegardé sous C:\AdwCleaner[s0]

 

NB: Si l'outil "cale" en mode normal, le lancer en mode sans échec: http://www.vista-xp.fr/forum/topic93.html

 

A lire absolument: http://www.vista-xp.fr/forum/topic5482.html

http://www.vista-xp.fr/forum/topic10389.html

 

-------------------------

 

@++

[Zafon]

Voici le rapport de JRT :

 

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Junkware Removal Tool (JRT) by Thisisu
Version: 6.4.7 (03.28.2015:1)
OS: Windows 8 x64
Ran by JosselinF on 28/03/2015 at 19:55:42,29
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~




~~~ Services



~~~ Registry Values



~~~ Registry Keys



~~~ Files



~~~ Folders



~~~ Event Viewer Logs were cleared





~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Scan was completed on 28/03/2015 at 20:38:57,19
End of JRT log
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

[Zafon]

et voici le rapport de AdwCleaner :

# AdwCleaner v4.113 - Rapport créé le 28/03/2015 à 23:09:37
# Mis à jour le 22/03/2015 par Xplode
# Base de données : 2015-03-28.1 [serveur]
# Système d'exploitation : Windows 8 (x64)
# Nom d'utilisateur : JosselinF - JOSSELIN
# Exécuté depuis : C:\Users\TEMP.josselin.001\Desktop\adwcleaner_4.113.exe
# Option : Nettoyer

***** [ Services ] *****


***** [ Fichiers / Dossiers ] *****


***** [ Tâches planifiées ] *****


***** [ Raccourcis ] *****


***** [ Registre ] *****

Clé Supprimée : [x64] HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UpgradeCodes\7AB5857A57A0687786597A857BFFFFFF

***** [ Navigateurs ] *****

-\\ Internet Explorer v10.0.9200.17183


-\\ Mozilla Firefox v32.0.3 (x86 fr)


-\\ Google Chrome v41.0.2272.101


*************************

AdwCleaner[R0].txt - [26134 octets] - [16/11/2014 17:31:03]
AdwCleaner[R1].txt - [1069 octets] - [28/03/2015 23:03:00]
AdwCleaner[s0].txt - [26418 octets] - [16/11/2014 17:33:42]
AdwCleaner[s1].txt - [992 octets] - [28/03/2015 23:09:37]

########## EOF - C:\AdwCleaner\AdwCleaner[s1].txt - [1051 octets] ##########

 

Le redémarrage du PC a créé un nouveau profil temporaire : j'ai donc perdu tout ce qu'il y avait sur le bureau de mon ancienne session windows... Galère !

Bien noté pour les "trucs miracle", mais comme indiqué dans le topic "lisez d'abord, cliquez après", les pièges sont partout !

 

Bonne soirée ou bonne nuit. A demain.

 

Zafon

[Apollo]

Je ne pense pas que ton problème soit dû à une infection.

 

Je te suggère d'aller voir les gens du forum Hardware ou software.

 

refais toujours un scan ZhpDiag.

 

Bonne soirée ou nuit.

[Zafon]

Bonjour Apollo, bonjour à tous,

 

J'ai posté le rapport ZHPDiag là : http://cjoint.com/?ECDkVtlC0Gy

Je continue sur le sujet que j'avais ouvert dans la rubrique Win8 : http://forum.zebulon.fr/demarrage-de-session-avec-un-profil-temporaire-t210810.html

 

A suivre...

Merci Apollo our ton aide et tes analyses.

 

Zafon

[Apollo]

Bonjour,

 

Fais les mises à jour nécessaires: http://theknitter-apollo.xooit.com/t2957-A-verifier-de-tempes-en-temps-important.htm

 

ZhpDiag ne montre plus d'infections.

 

@++