[Résolu] Malveillant baladeur avec processeur et disque dur à fond

[domdom63]

Bonjour à toutes et tous.

 

1 an ou quasi que j'ai réussi à ne pas vous embéter.

 

Mais là l'ordi de ma fille HP pavilion DM1 sous windows 8.1 se transforme en plancha et elle part à l'étranger vendredi à venir pour un long séjour.

Après recherche j'ai découvert planqué dans Windows Defendeur "L'additif" Antimalware Service Executable.

J'ai stoppé Windows Defendeur ( question annexe comment on le vire il n'apparait dans aucun menu de désinstallation?) pour avast.

Ensuite c'est passé à Tiworker.exe et deux trois autres services qui montent chacun leur tour à 44% d'utilisation.

Adwcleaner, RogueKiller, avast même en analyse ou démarrage et malwarebites pro n'ont rien trouvé.

 

Ce bon vieux spybot 162 fait par acquis de conscience si, et il m'a viré une cochonnerie du démarrage.

 

Ca irait un peu mieux hors connexion internet mais surtout au niveau processeur, le disque dur lui restant vers 90 voir 100 % d'utilisation alors que libre 354 Go sur 442.

 

Dés que connecté internet c'est plus délicat, sauf là fait exprès, et par contre le chargement des pages ou l'ouverture d'un nouvel onglet sont long avec souvent bref passage about blanck

 

Aussi là je sèche et vous transmet ce rapport ZhpDiag car c'est sur il y a quelque chose qui traine

 

http://www.cjoint.com/c/EHvrVK5CWxC

 

Merci par avance pour la prise en charge et à très bientôt

[pear]

1)Certains outils sont parfois détectés par votre Anti-virus ou votre Anti-Malware comme étant un "RiskTool", un virus ou un "Trojan"
Dans ce cas:
Autorisez l'outil dans les exceptions de votre antivirus ou antimalware.
ou
Comment désactiver les protections résidentes
Bien évidemment, vous les rétablirez ensuite.

De même,votre navigateur peut bloquer un programme parce qu'il le croit dangereux.
Il faut donc décocher le blocage provisoirement
Sous Firefox ,
Options->Sécurité
décocher : "Bloquer les sites signalés comme site d'attaque" .

Sous Chrome
Appuyer sur Ctrl+J (Downloads) -> "Récupérer le fichier malveillant" -> "Récupérer malgré tout"

Sous IE désactiver le filtre Smart Screen

Et si besoin,en cas de blocage:
Télécharger CTR.exe de Pierre 13 sur le bureau.
Sous Vista, Windows 7 et 8:
Faire un clic droit sur le fichier et choisir Exécuter en tant qu'administrateur.
Sous XP:
Double cliquer sur le fichier pour le lancer.
Après l'analyse, réparation, un rapport va s'ouvrir sur le bureau(CTR.txt)
Poster le contenu.


Vous devez trouver les 2 icônes Zhpdiag, Zhpfix,
Sur le bureau ou sinon dans le dossier où vous avez installé Zhpdiag (Program files ->Zhpdiag ->Zhpfix)

sinon,
il est là
Cliquer sur l'icône Zhpfix


Sous Vista et + clic-droit, "Exécuter En tant qu'Administrateur

Copiez/Collez les lignes vertes dans le cadre ci dessous:
pour cela;
Clic gauche maintenu enfoncé, Balayer l'ensemble du texte à copier avec la souris pour le mettre en surbrillance ,de gauche à droite et de haut en bas
Ctrl+c mettre le tout en mémoire
Cliquer sur Importer
pour inscrire le texte dans la fenêtre vide qui s'ouvre


Script ZHPFix

O4 - GS\Desktop [Public]: HP Quick Start.lnk . (.Hewlett-Packard - HP Quick Start.) -- C:\Program Files (x86)\Hewlett-Packard\HP Quick Start\HPQuickstart.exe
O42 - Logiciel: HP Quick Start - (.Hewlett-Packard.) [HKLM][64Bits] -- {B9494F9E-5EA9-4C70-9F38-659F5E6C0BF3}
O43 - CFD: 19/08/2013 - 23:04:41 - [0] ----D C:\Users\Lucile\AppData\Local\HP Quick Start
O90 - PUC: "E9F4949B9AE507C4F98356F9E5C6B03F" . (.HP Quick Start.) -- C:\Windows\Installer\{B9494F9E-5EA9-4C70-9F38-659F5E6C0BF3}\HPQuickLaunchIcon
[HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{B9494F9E-5EA9-4C70-9F38-659F5E6C0BF3}]
C:\Users\Lucile\AppData\Local\HP Quick Start
Spybot - Search & Destroy v1.6.2
O4 - GS\Program [Public]: Desktop.lnk - Clé orpheline
O4 - GS\TaskBar [Lucile]: File Explorer.lnk - Clé orpheline
O4 - GS\Desktop [Lucile]: Spybot - Search & Destroy.lnk . (.Safer Networking Limited - Spybot - Search & Destroy.) -- C:\Program Files (x86)\Spybot - Search & Destroy\SpybotSD.exe
O4 - HKCU\..\Run: [Power2GoExpress8] Clé orpheline
O4 - HKUS\S-1-5-21-1717545198-2844099798-3272349975-1002\..\Run: [Power2GoExpress8] Clé orpheline
O42 - Logiciel: Spybot - Search & Destroy - (.Safer Networking Limited.) [HKLM][64Bits] -- {B4092C6D-E886-4CB2-BA68-FE5A88D31DE6}_is1
[HKCU\Software\Safer Networking Limited]
[HKLM\Software\Wow6432Node\Safer Networking Limited]
O43 - CFD: 20/08/2015 - 23:03:01 - [53,136] ----D C:\Program Files (x86)\Spybot - Search & Destroy
O43 - CFD: 20/08/2015 - 23:25:17 - [0,058] ----D C:\ProgramData\Spybot - Search & Destroy
O45 - LFCP:[MD5.D41D8CD98F00B204E9800998ECF8427E] - 02/11/2125 - 08:46:49 ----D - C:\Windows\Prefetch\ReadyBoot
O61 - LFC: 19/08/2015 - 19:34:53 ---A- . (...) -- C:\Users\Lucile\AppData\Local\CrashDumps\SystemSettings.exe.2920.dmp [3595046]
O61 - LFC: 20/08/2015 - 19:35:05 ---A- . (...) -- C:\Users\Lucile\AppData\Local\Temp\appC6ED.tmp-shm [32768]
O61 - LFC: 20/08/2015 - 19:35:05 ---A- . (...) -- C:\Users\Lucile\AppData\Local\Temp\appC72C.tmp-shm [32768]
O61 - LFC: 21/08/2015 - 19:35:05 ---A- . (...) -- C:\Users\Lucile\AppData\Local\Temp\app8D9A.tmp-shm [32768]
O61 - LFC: 21/08/2015 - 19:35:05 ---A- . (...) -- C:\Users\Lucile\AppData\Local\Temp\app8DAB.tmp-shm [32768]
O61 - LFC: 20/08/2015 - 19:35:02 ---A- . (...) -- C:\Users\Lucile\AppData\Local\Packages\eBayInc.eBay_1618n3s9xq8tw\Settings\settings.dat [8192]
O69 - SBI: SearchScopes [HKCU] {D944BB61-2E34-4DBF-A683-47E505C587DC} - (eBay) - http://rover.ebay.com
EmptyClsid
EmptyFlash
EmptyPrefetch
FirewallRaz
Ifeofix
Proxyfix
ShortcutFix
Sysrestore



Cliquer sur "Go" en bas, à gauche

Redémarrer pour achever le nettoyage.

Copier-coller,dans la réponse, le contenu du rapport ZHPFixReport.txt qui s'affiche .
Si besoin; il est enregistré sous C:\ZHP\ZHPFixReport.txt

2) Téléchargez sur le bureau ZhpCleaner
Désactivez vos protections: antivirus, ...
Fermez toutes les applications en cours (notamment votre navigateur)

Double cliquer sur Scanner pour lancer l'application
Sous Windows Vista / 7 / 8 clic droit > Exécuter en tant qu'administrateur
Accepter "les conditions d'utilisation"

Cliquer sur Nettoyer
En cas de présence d'un proxy, un message apparaît avec cette question suivie de l'adresse IP du proxy.:
Avez-vous installé ce proxy ?
Si vous n'avez pas installé de Proxy, cliquer sur Non pour en accepter la réparation.



3)Il faut Réinitialiser votre Navigateur
en cliquant ici

Cela désinstallera plugins et extensions que vous pourrez réinstaller avec la prudence nécessaire,après redémarrage

4)Si besoin Mises à jour Java

JavaUpdate

Java peut mettre en péril la sécurité de votre ordinateur.
Il vous est fortement conseillé de le désactiver de vos navigateurs WEB, si vous en avez pas l'utilité.
Lorsqu'une application Java se présentera, un message d'avertissement vous demandera d'installer Java ou d'activer le plug-in.
Vous le désactiverez dès que vous aurez fini d'utiliser l'application écrite en Java.


5)Télécharger SFTGC.exe Ici
ou Là
sur le Bureau, impérativement sous peine de risquer un plantage

Sous XP, double cliquer sur le fichier.
Sous Vista/7/8, clic droit sur le fichier pour Exécuter en tant qu'administrateur.

Après l'initialisation, cliquer sur Gopour lancer le nettoyage.
Un rapport apparait sur le bureau
Les fichiers supprimés sont dans la corbeille.
Cela donne la possibilité de replacer les fichiers supprimés par erreur dans leur dossier original.
Il suffit de faire un clic droit sur le fichier concerné => Restaurer.
Pour les supprimer, clic droit sur la corbeille => Vider la corbeille.


Comment poster les rapports
Aller sur le site Cijoint
Appuyer sur Parcourir et chercher les rapports sur le disque,
Cliquer sur Ouvrir
Cliquer sur Créer le lien CJoint,
>> dans la page suivante --> ,,
une adresse http//.. sera créée
Copier /coller cette adresse dans votre prochain message.
Sous Firefox, clic droit sur l'URL et, dans le menu contextuel qui s'ouvre, choisir « Copier l'adresse du lien »

Avec le navigateur Internet Explorer pour copier/coller sur le forum:
Cliquer sur le bouton, à gauche,en jaune sur la capture

Puis coller votre lien.

[domdom63]

Bonjour Pear,

merci d'être à nouveau sur le pont .

Dis c'est normal que le Zhpfix dure plus de 20 min en restant "figé?" vers 60 % du curseur vert ?

Est ce là que je dois redémarrer ?

 

Merci par avance

[pear]

Non, ce n'est pas normal.

 

Désactiver antivirus et anti-spyware par un clic droit sur l'icône de la Zone de notification. Sinon, elles risquent d'interférer avec cet outil.

Télécharger Rkill de Grinler sur le bureau,
Les fichiers peuvent être téléchargés avec plusieurs extensions différentes:
rkill.exe
rkill.scr
ou Rkill.pif


double clic pour le lancer.
clic droit sur le fichier rkill téléchargé puis choisir "Exécuter en tant qu'Administrateur"
Une fenêtre (très rapide) indiquera que tout s'est bien déroulé.
il y aura 'un rapport là: %SystemDrive%\rkill.log
donnant la liste des processus arrêtés.



Relancez ensuite Zhpfix

[domdom63]

Bon ça a réactivé la connexion wifi internet qui avait été stoppé

j'ai relancé ZHPFIX en repartant depuis le début et il est revenu se planter au même endroit avec par dessus la fenêtre normale une petite fenêtre blanche ZHPFix en noir sur la barre et l’intérieur bleu uniformément vide

 

Le rapport rkill

http://www.cjoint.com/c/EHxkU17a6Dq

 

toujours planté malgré redémarrage PC reprocedure rkill et relance ZHPFix qui cale au même endroit.

Par moment l'utilisation du Disque dur monte à 100% mais plus le processeur

 

Que fais je ?

Modifié le 23 août 2015 par domdom63

[pear]

On va utiliser un autre outil de nettoyage.

 

Télécharger
Farbar Recovery Scanner(FRST)
Choisissez la version 32 ou 64 bits en fonction de votre système

Installez FRST sur le Bureau et pas ailleurs
Fermez toutes les applications, y compris le navigateur
Double-clic sur FRST.exe et sur Oui pour accepter le Disclaimer]
Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
Sur le menu principal,
Cochez tous les options et cliquez sur le bouton Scan

A la fin du scan, un rapport FRST.txt s'ouvre.
Au premier lancement, un fichier nommé Addition.txt sera créé

Il y aura 2 rapports à poster.

Comment poster les rapports

Aller sur le site Cijoint

Appuyez sur Parcourir et chercher les rapports sur le disque,
Cliquer sur Ouvrir
Cliquer sur Créer le lien CJoint,
>> dans la page suivante --> ,,
une adresse http//.. sera créée
Copier /coller cette adresse dans votre prochain message.
Sous Firefox, clic droit sur l'URL et, dans le menu contextuel qui s'ouvre, choisir « Copier l'adresse du lien »
Avec le navigateur Internet Explorer pour copier/coller sur le forum:
Cliquer sur le bouton, à gauche,en jaune sur la capture

Puis coller votre lien.

[domdom63]

Bonsoir Pear,

Premier lien FRST txt http://www.cjoint.com/c/EHxre0qpMyq

L'addition http://www.cjoint.com/c/EHxrgdRyk4q

 

il y en a un troisième shortcut http://www.cjoint.com/c/EHxrhkwlQTq

 

Pour info je me souviens avoir vu passer au démarrage de ZHPFix la désinstallation de windows installer et rien de HP comme nommés dans les phrases vertes à fixer alors que spybot oui si cette information peut te servir pour une autre fois ou corriger le tir en plus de ce que nous faisons.

A te lire bientôt

[pear]

Erreurs de m‚moire RAM
----------------------
identificateur {badmemory}

 

Tuto ici

Téléchargement Memtest86+ 4.10:
Iso bootable 4.10
Il faut en graver l'image.
Key usb 4.10

Si vous avez plusieurs barrettes, il faut les tester ensemble et séparément.

Si une barrette est défectueuse, il faudra la changer.

Error: (08/23/2015 06:55:33 PM) (Source: Service Control Manager) (EventID: 7034) (User: )
Description: Le service BlueSoleilCS s’est terminé de façon inattendue pour la 8ème fois.

http://www.fixerrorkit.com/fix-error/fix-BlueSoleilCS.exe-error.html

[domdom63]

Tiens tu t'es mis au chinois

Bon trêve de plaisanterie je teste tout ça mais surement demain à tète reposée et je reviens vers toi.

Merci encore et Bonne soirée

[domdom63]

Bonsoir Pear,

Bon écoutes je pensais m'y connaitre mais franchement depuis windows 7 et encore pire 8 et 8.1 j'arrives plus à rien.

Rien à faire je n'ai pu booter sur cd ou sur clé usb

Ca me propose boot os ou boot efi et ?????

 

J'ai ouvert et je n'ai qu'une seule barrette de ram.

Ne vaut il pas mieux que je la remplace en profitant pour mettre une seconde et puis tu me refais faire un test de ton choix et les nettoyages ci-dessus qu'on a pas pu finir?

qu'en penses tu ma fille part vendredi matin donc il faut que jeudi soir le PC tourne propre