Supprimer Service Color Media

[krono69]

Bonjour ,

J'ai pu supprimer une bonne partie de l 'infection Picolor / colormedia,
mais je n'arrive pas à supprimer le service local colormedia.exe dans la liste des services.
Impossible également de supprimer les fichiers associés :

C:\Windows\system32\Drivers\cmwr.sys
C:\Windows\system32\Drivers\cmwf.sys

Je suis sous windows 8.1 64 bits

Si quelqu 'un pouvait m 'aider ce serait vraiment très sympa.

Merci par avance .

Eric

[Malekal_morte]

Salut,


Note cette procédure : viewtopic.php?f=96&t=50466


Télécharge Combofix sUBs sur ton bureau : http://download.bleepingcomputer.com/sUBs/ComboFix.exe et sauvegarde le sur ton bureau et pas ailleurs!

DESACTIVE LA PROTECTION ANTIVIR DURANT LA PROCEDURE

Crée un nouveau document texte : clic droit de souris sur le bureau > Nouveau > Document Texte, et copie dedans les lignes suivantes :

driver::
cmwf
cmwr
file::
C:\Windows\system32\Drivers\cmwr.sys
C:\Windows\system32\Drivers\cmwf.sys
C:\Windows\system32\ColorMedia64.dll
C:\Windows\SysWOW64\ColorMedia.dll

Enregistre ce fichier sous le nom CFScript

[*]Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe

[*]Combofix se lance, laisse toi guider..

[*]Patiente le temps du scan. Le bureau va disparaître à plusieurs reprises: c'est normal!
Ne touche à rien tant que le scan n'est pas terminé.
[*]Une fois le scan achevé, un rapport va s'afficher: poste son contenu sur http://pjjoint.malekal.com/ et donne le lien ici dans un nouveau message.



Si internet ne fonctionne pas, suis la procédure pour reset le catalogue.

[krono69]

Merci ,

Combofix ne marche pas , il n'est pas supporté par windows 8.1 !

[Malekal_morte]

fais un nettoyage ZHPCleaner : http://forum.malekal.com/viewtopic.php?f=36&t=48954
Lance l'analyse puis fais Réparer.
Donne le rapport ici.
Peut-être que ZHPCleaner lep rend en charge, je ne sais pas =)


Si c'est pas le cas :

-> Télécharge ZHPDiag (de Nicolas Coolman).

--> Double-clique sur le fichier d'installation. Installe ZHPDiag avec les paramètres par défaut (laisse "Créer une icône sur le Bureau" coché).

--> Lance ZHPDiag en double-cliquant sur le raccourci présent sur ton Bureau.

--> Clique sur "Complet".

--> Une fois le scan terminé, un rapport est créé sur le Bureau.

--> Héberge-le sur pjjoint.malekal.com puis copie-colle le lien donné par le site dans ton prochain message.

[krono69]

Merci j'essaye

[krono69]

Re

Voici le lien ZHPDiag

http://pjjoint.malekal.com/files.php?id ... d13y9j12c9

Merci encore pour ton aide

[hackinginterdit]

Bonsoir,

Le rapport ZHPcleaner?

Script ZHPFix

Clique sur l'icône ZHPFix présente sur ton bureau. (Clique droit/Exécuter en tant qu'administrateur pour Vista/7)
Copie le texte en gras ci-dessous.

Script ZHPFix
FirewallRaz
EmptyPrefetch
EmptyTemp
EmptyFlash
[MD5.00000000000000000000000000000000] [APT] [AutoPico Daily Restart] (...) -- C:\Users\Eric C\NiouzeFire_Plus\Destination\ecirb-KMSpico_v9.1.3_final_heldigard_PORTABLE_edit\ecirb-KMSpico_v9.1.3_final_heldigard_PORTABLE_edition\AutoPico.exe (.not file.) [0]
[MD5.00000000000000000000000000000000] [APT] [RVHKCSW] (...) -- C:\ProgramData\489f1cd218ec4591b081a334a119122f\489f1cd218ec4591b081a334a119122f.exe (.not file.) [0]
C:\ProgramData\{01BD4FC9-2F86-4706-A62E-774BB7E9D308}
C:\Users\eric\AppData\Roaming\dclogs
O61 - LFC: 29/01/2015 - 17:32:50 ---A- . (.Enigma Software Group USA, LLC..) -- C:\Users\eric\Downloads\SpyHunter-Installer.exe [3044736]
O43 - CFD: 30/12/2014 - 22:26:10 - [] ----D C:\Users\eric\AppData\Roaming\Mapi2Xml
O58 - SDL:02/01/1601 - 23:00:00 ---A- . (...) -- C:\Windows\System32\Drivers\cmwf.sys [33952]
O58 - SDL:02/01/1601 - 23:00:00 ---A- . (...) -- C:\Windows\System32\Drivers\cmwr.sys [45216]
SS - | Auto 22/07/1658 0 | (ColorMedia) . (...) - C:\ProgramData\PicColor Utility\ColorMedia.exe
O23 - Service: instance1 (ADAM_instance1) . (...) - C:\Windows\System32\dsamain.exe (.not file.)
O23 - Service: ColorMedia (ColorMedia) . (...) - C:\ProgramData\PicColor Utility\ColorMedia.exe (.not file.)
O49 - CSB:Control Safe Boot HKLM\...\CCS\Minimal\cmwf.sys . (...) -- C:\Windows\System32\Drivers\cmwf.sys (.not file.)
O49 - CSB:Control Safe Boot HKLM\...\CCS\Minimal\cmwr.sys . (...) -- C:\Windows\System32\Drivers\cmwr.sys (.not file.)
O49 - CSB:Control Safe Boot HKLM\...\CCS\Network\cmwf.sys . (...) -- C:\Windows\System32\Drivers\cmwf.sys (.not file.)
O49 - CSB:Control Safe Boot HKLM\...\CCS\Network\cmwr.sys . (...) -- C:\Windows\System32\Drivers\cmwr.sys (.not file.)

Si les lignes copiées ne sont pas présentes, clique sur l'icône Importer.
Clique sur Go.
Accepte le nettoyage des données et celui de la Corbeille en cliquant sur Oui.
Poste le rapport qui s'affiche.

AIDE


TéléchargeTFC par OldTimer http://oldtimer.geekstogo.com/TFC.exe impérativement sur ton Bureau:

• Faire un double clic sur TFC.exe pour le lancer.
• L'outil va fermer tous les programmes lors de son exécution, donc vérifiez que vous avez sauvegardé tout votre travail en cours avant de commencer.
• Cliquez sur le bouton Start pour lancer le processus. Selon la fréquence à laquelle vous supprimez vos fichiers temporaires, cela peut durer de quelques secondes à une minute ou deux. Laissez le programme s'exécuter sans l'interrompre.
• Lorsqu'il a terminé, l'outil devrait faire redémarrer votre système.

[krono69]

Merci voilà le rapport

http://pjjoint.malekal.com/files.php?id ... t15f7r14n8

[krono69]

Oupss j ai oublié le rapprt ZPHcleaner mille excuses

Voilà le rapport :

http://pjjoint.malekal.com/files.php?id ... c14m5u13m8

[hackinginterdit]

ZHPcleaner tu n'avais pas fait réparer tu l'avais passer en scanner!

Ca devrait être bon maintenant?

[krono69]

Merci pour ton aide ,

En fait , cela n 'avait rien enlevé , j ai pu supprimer le service par

sc delete ColorMedia

En revanche les drivers liés à ce truc sont toujours présents :

C:\Windows\System32\drivers\cmwf.sys et cmwr.sys , les prog ne les ont pas virés .

Si j'essaye de les supprimer manuellement en normal ou mode sans echec , message
Le fichier """ est trop grand pour le systeme de fichiers de destination
Si je les supprime en maintenant shift au refresh ils reviennent il doivent etre en cache quelque part !

[Malekal_morte]

et si tu charges http://www.gmer.net
onglet files, tu fais kill sur les .sys
et tu redémarres l'ordinateur.

[krono69]

Bonsoir ,

J'ai pu supprimer les 2 fichiers avec hitmanpro en version d'essai.
Je ne connaissais pas le site indiqué , merci pour l 'info.

Un grand merci à vous deux pour votre aide .

Eric

[Malekal_morte]

ok

Voila, c'est terminé, tu peux supprimer les programmes utilisés.

Quelques conseils :



Pour prévenir les sites malicieux, tu peux installer Blockulicious : http://forum.malekal.com/blockulicious- ... 46656.html


Pour ne plus te faire avoir.
A lire - Programmes parasites / PUPs : https://www.malekal.com/adwares-pup-protection/


Le reste de la sécurité : http://forum.malekal.com/comment-securi ... ateur.html