4 Worm.AutoRun après formatage c:\WINDOWS\SysRésolu/Fermé

Question

Bonjour, 
j'ai depuis quelques semaines 4 Worm.AutoRun detectés par malwarebytes
1 dans le processus mémoire 
2 dans le Registre 
et 1 fichier infecté, pas le moindre : c:\WINDOWS\System.exe

ne parvenant pas à éradiquer le mal (suppression, remplacement, reparation etc...) j'ai tenté un formatage via le gestionnaire de disque (pensant que celui ci equivalait du bas niveau).
A la reinstallation de windows aucun probleme, balayage malewarebytes sans detection mais dès le retour des applications et des logiciels retour des 4 mêmes wormautorun

Je suis partant pour toute nouvelle tentative d'éradication...

merci à vous




Configuration: Windows XP / Firefox  4.0

juju666 · Answer

salut c est que tu as une appli qui est infectée...

&#9654 Télécharge UsbFix (créé par El Desaparecido & C_XX) sur ton Bureau. Si ton antivirus affiche une alerte, ignore le et désactive le temporairement. 

&#9654  Branche tes sources de données externes à ton PC (clé USB, disque dur externe, etc...) sans les ouvrir 

&#9654 Vista/Seven : Clic droit sur UsbFix > Exécuter en tant qu'administrateur, l'installation se fera automatiquement 
              XP : double clic sur UsbFix

&#9654 Clique sur "Suppression" 

&#9654 Laisse travailler l'outil 

&#9654 Ton Bureau va disparaitre: c'est normal 

&#9654 A la fin, le rapport va s'afficher : poste le dans ta prochaine réponse (il est aussi sauvegardé a la racine du disque dur) 

&#9654 Aide en images : Tutoriel "Nettoyage"

cumular · Answer

merci pour la rapidité de la réponse, 
j'ai commencé par une recherche usbfix
voici le rapport

CPU:  Intel(R) Pentium(R) 4 CPU 3.00GHz
CPU 2:  Intel(R) Pentium(R) 4 CPU 3.00GHz
Microsoft Windows XP Édition familiale (5.1.2600 32-Bit) # Service Pack 2
Internet Explorer 6.0.2900.2180

Pare-feu Windows: Activé
RAM -> 1535 Mo 
C:\ (%systemdrive%) -> Disque fixe # 233 Go (183 Go libre(s) - 79%) [] # NTFS
D:\ -> Disque fixe # 76 Go (10 Go libre(s) - 13%) [] # NTFS
E:\ -> CD-ROM
F:\ -> Disque amovible # 4 Go (2 Go libre(s) - 48%) [KINGSTON] # FAT32

################## | Éléments infectieux |


Présent! C:\WINDOWS\config\svchost.exe
Présent! C:\WINDOWS\system.exe
Présent! C:\RECYCLED\INFO.exe
Présent! C:\.\recycled\info.exe
Présent! C:\Autorun.inf
Présent! D:\.\recycled\info.exe
Présent! D:\Autorun.inf
Présent! D:\Recycled\INFO.EXE
Présent! F:\.\recycled\info.exe
Présent! F:\Autorun.inf
Présent! F:\Recycled\INFO.EXE

################## | Registre |


################## | Mountpoints2 |

HKCU\.\.\.\.\Explorer\MountPoints2\{92cab108-633a-11e0-83da-000c6e89e0d6}
Shell\AutoRun\Command = F:\
Shell\explore\Command = F:\RECYCLED\INFO.exe
Shell\open\Command = F:\RECYCLED\INFO.exe


################## | Vaccin |

C:\Autorun.inf -> Vaccin créé par Panda USB Vaccine
D:\Autorun.inf -> Vaccin créé par Panda USB Vaccine
F:\Autorun.inf -> Vaccin créé par Panda USB Vaccine

################## | E.O.F |


je lance donc une suppression ?

cumular · Answer

re: 
en faisant une copie du contenu de ma clé usb sur mon bureau je me suis aperçu au cours d'un balayage malewarebytes que 2 des fichiers contenus étaient "trojan agent". A la suppression de ceux ci, maleware ne detecte plus rien ensuite...j'y comprend pas tout

juju666 · Answer

re,

j'ai du m'absenter.

SI tu fais d'autres manipulations que celles indiquées, tu risque de faire pire que mieux...

Commence par me poster le rapport de MBAM.
Tu peux faire une suppression avec usbfix et poster également son rapport.

cumular · Answer

pas de souci, j'ai cru qu'en activant "suppression" d'usbfix, j'allais perdre une partie du contenu, j'ai donc cru prudent d'en conserver une copie sur mon bureau.

MABM balaye depuis tout à l'heure (plus d'une heure trente)
et il a detecté 28 nouvelles joyeusetés, voici son rapport
je lance "suppression" d'usbfix dans la foulée

Version de la base de données: 6318

Windows 5.1.2600 Service Pack 2
Internet Explorer 6.0.2900.2180

12/04/2011 11:09:29
mbam-log-2011-04-12 (11-09-27).txt

Type d'examen: Examen complet (C:\|D:\|F:\|)
Elément(s) analysé(s): 328125
Temps écoulé: 1 heure(s), 37 minute(s), 34 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 28

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\Recycled\INFO.EXE (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP11\A0007343.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP11\A0007344.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP11\A0007347.EXE (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP11\A0007355.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP11\A0007356.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP11\A0007359.EXE (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP11\A0007367.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP11\A0007368.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP11\A0007371.EXE (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP11\A0007387.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP11\A0007388.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP11\A0007391.EXE (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP12\A0007402.EXE (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP12\A0007405.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP12\A0007406.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP12\A0008075.exe (Worm.AutoRun) -> No action taken.
c:\WINDOWS\Config\Svchost.exe (Worm.AutoRun) -> No action taken.
c:\WINDOWS\Config\System.exe (Worm.AutoRun) -> No action taken.
d:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP11\A0007350.EXE (Worm.AutoRun) -> No action taken.
d:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP11\A0007362.EXE (Worm.AutoRun) -> No action taken.
d:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP11\A0007374.EXE (Worm.AutoRun) -> No action taken.
d:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP11\A0007394.EXE (Worm.AutoRun) -> No action taken.
d:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP12\A0012067.EXE (Worm.AutoRun) -> No action taken.
d:\Recycled\INFO.EXE (Worm.AutoRun) -> No action taken.
f:\keygen.exe (Trojan.Agent.CK) -> No action taken.
f:\Keygen2.exe (Trojan.Agent) -> No action taken.
f:\Recycled\INFO.EXE (Worm.AutoRun) -> No action taken.

juju666 · Answer

f:\keygen.exe (Trojan.Agent.CK) -> No action taken.
f:\Keygen2.exe (Trojan.Agent) -> No action taken. 
f:\Recycled\INFO.EXE (Worm.AutoRun) -> No action taken.

Il faut cliquer sur Tous, puis Supprimer la sélection.
Tu t'étonnes d'avoir des soucis avec des cracks/keygens ?!

A lire: https://forum.malekal.com/viewtopic.php?t=893&start=

En attente d'USBFix 

Par ailleurs, usbfix ne supprimera pas de données personnelles, il est basé sur une liste de fichiers néfastes, pas d'heuristique.

cumular · Answer

le balayage usbfix a planté le pc  
"arrêt du systeme" par autoritéNT/system
serveur DCOM s'est terminé de façon inattendue 

je repete la manip ?

les keygen trainent sur ma cléusb depuis un moment, une amie m'ayant refile la suite a****e 
Depuis mon formatage et la suppression des logiciels qui en dependaient je ne m'en suis pas servi...c'est quand même pas que le h5n1 ?

juju666 · Answer

C'est pire que ça \o/ lol

Démarre ton pc en mode sans échec avec prise en charge du réseau (tapote F5 ou F8 au démarrage, c est selon le pc)

Passe un coup de delfix : https://www.commentcamarche.net/telecharger/securite/7111-delfix/

Puis retélécharge USBFix, et lance le nettoyage (toujours en restant en mode sans échec)

Poste son rapport et reviens en mode normal.

cumular · Answer

j'ai plus de connexion depuis le mode sans échec, je telecharge delfix et usbfix depuis un autre pc et transite via cd-rw
je reviens dès les balayages et rapports etablis
merci encore

cumular · Answer

après plusieurs plantages, je suis parvenu à faire tourner jusqu'au bout usbfix (j'ai du passé par le compte administrateur)
voici ce qui me semble être le rapport (touvé dans le dossier "UsbFix_Upload_Me")

cumular · Answer

juju666 · Answer

OK.

j'aimerai ce rapport : D:\ComboFix.txt

cumular · Answer

ne sachant pas où le trouver, c'est l'outil recherche windows qui a fait le travail
apparemment ce doc daterait de mai 2009 ? est ce bien ce rapport qu'il te faut ?

juju666 · Answer

oublie s'il date de 2009.

Nous allons effectuer un diagnostic de ton PC:
&#9654 Télécharge ZHPDiag sur ton bureau :

https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html
ou :
http://www.premiumorange.com/zeb-help-process/zhpdiag.html
ou :
https://www.commentcamarche.net/telecharger/utilitaires/24803-zhpdiag/

&#9654 Laisse toi guider lors de l'installation,coche "Ajouter une icône sur le bureau" et décoche la case "Exécuter ZHPDiag"

 /!\Utilisateur de Vista et Seven : Clique droit sur le logo de ZHPdiag, « exécuter en tant qu'Administrateur » 

&#9654 Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
&#9654 Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
&#9654 Héberge le rapport ZHPDiag.txt sur un des sites ci dessous, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum :
http://pjjoint.malekal.com/

Si indispo:
http://www.cijoint.fr/
ou :
http://ww38.toofiles.com/fr/documents-upload.html
ou :
https://www.cjoint.com/
ou :
https://www.casimages.com/

&#9654 Tuto zhpdiag :
http://www.premiumorange.com/zeb-help-process/zhpdiag.html 


Hébergement de rapport sur pjjoint.malekal.com

&#9654 Rends toi sur pjjoint.malekal.com
&#9654 Clique sur le bouton Parcourir
&#9654 Sélectionne le fichier que tu veux heberger et clique sur Ouvrir
&#9654 Clique sur le bouton Envoyer
&#9654 Un message de confirmation s'affiche (L'upload a réussi ! - Le lien à transmettre à vos correspondant pour visualiser le fichier est : https://pjjoint.malekal.com/files.php?id=df5ea299241015 Copie le lien dans ta prochaine réponse.

cumular · Answer

j'y vais à l'aveugle hein 
voici le lien http://pjjoint.malekal.com/files.php?id=c607fcd5767912

juju666 · Answer

commence par supprimer tes keygens de la clé F:\

&#9654 Rentre dans ton panneau de configuration....       
&#9654 Apparence et personnalisation...       
&#9654 Option des dossiers...(double cliquer dessus)       
&#9654 Dans l'onglet affichage un peu plus bas où il est indiqué "Afficher les dossiers et fichiers cachés": Coche cette option    
&#9654 Encore plus bas : Masquer les fichiers protégés du système d'exploitation (recommandé) : à décocher.    

&#9654 &#9654 ensuite rends toi sur ce lien:    
https://www.virustotal.com/gui/    

(si virustotal ne fonctionne pas: https://virusscan.jotti.org/fr   


&#9654 Là où il est indiqué "envoyer le fichier", Clique sur "parcourir"    
recherche les entrées suivante dans ton disque :    


D:\ejhjaw3o.sys 

&#9654 Si une fenêtre apparait disant, "Le fichier à déjà été Analysé", Alors clique sur Réanalyser le fichier maintenant    

&#9654 Copie et colle le lien de ta barre d'adresse ici, après que l'analyse soit terminée

cumular · Answer

j'ai viré les keygen
voici le lien virustotal :
http://www.virustotal.com/...

cumular · Answer

est ce que ça fonctionne, d'ici le lien est cliquable

juju666 · Answer

pour moi ton ordi est clean.
repasse un coup de mbam pour voir s'il détecte plus rien, normalement non :P

&#9654 télécharge Ccleaner et enregistre le sur le bureau 

&#9654 double-clique sur le fichier pour lancer l'installation 

/!\Utilisateur de Vista et windows 7 : Clique droit sur le logo de Ccleaner, « exécuter en tant qu'administrateur » 

&#9654 sur la fenêtre de l'installation langage bien choisir français et OK 
&#9654 clique sur suivant 
&#9654 lis la licence et j'accepte 
&#9654 cliques sur suivant 
&#9654 là tu ne gardes de coché que mettre un raccourci sur le bureau et puis contrôler automatiquement les mises à jour de Ccleaner 
&#9654 cliques sur installer 
&#9654 cliques sur fermer 
&#9654 double-cliques sur l'icône de Ccleaner pour l'ouvrir 
&#9654 &#9654 une fois ouvert tu cliques sur option et puis avancé 
&#9654 tu décoches effacer uniquement les fichiers, du dossier temp de windows plus vieux que 24 heures 
&#9654 &#9654 cliques sur nettoyeur 
&#9654cliques sur windows et dans la colonne avancé 
&#9654coches la première case vieilles données du perfetch que celle-la ce qui te donnes la case vielles données du perfetch et la case avancé qui c'est coché automatiquement mais que celle-la 
&#9654 cliques sur analyse une fois l'analyse terminé 
&#9654 cliques sur lancer le nettoyage et sur la demande de confirmation OK il vas falloir que tu le refasses une autre fois une fois fini vérifs en appuyant de nouveau sur analyse pour être sur qu'il n'y est plus rien 
&#9654 &#9654 cliques maintenant sur registre et puis sur rechercher les erreurs 
&#9654 laisses tout cochées et cliques sur réparer les erreurs sélectionnées 
&#9654 il te demande de sauvegarder OUI 
&#9654 tu lui donnes un nom pour pouvoir la retrouver et enregistre 
&#9654 cliques sur corriger toutes les erreurs sélectionnées et sur la demande de confirmation OK 
&#9654 il supprime et fermer tu vérifies en relançant rechercher les erreurs 
&#9654 tu retournes dans option et tu recoches la case effacer uniquement les fichiers, du dossier temp de windows plus vieux que 48 heures et sur nettoyeur, windows sous avancé tu décoches la première case vieilles données du perfetch 
&#9654 tu peux fermer Ccleaner 

------ 

&#9654 Désactivation, puis Réactivation de la restauration système après désinfection : 

Il est nécessaire de désactiver puis réactiver la restauration système pour la purger car les points de restauration peuvent être infectés : 

XP/Vista : http://www.forum-fec.net/t97-purger-la-restauration-du-systeme
Seven: http://www.forum-fec.net/faq-tutoriel-astuces-f10/purger-la-restauration-du-systeme-sous-windows-7-t142.htm

------ 

Mise à jour Windows : 

Windows Update XP (uniquement avec Internet Explorer): http://update.microsoft.com/windowsupdate/v6/thanks.aspx?ln=fr&&thankspage=5

Windows Update Vista/Seven : cliquer sur le logo windows, dans la rechercher taper "Windows Update", cliquer sur le résultat.

-----

&#9654 Mets à jour Java : https://www.java.com/fr/download/uninstalltool.jsp  

&#9654 Désinstaller les anciennes versions de Java :  

&#9654 Télécharge JavaRa.zip  

&#9654 Décompresse le fichier sur ton bureau (clique droit > Extraire tout.)  

&#9654 Double-clique sur le répertoire JavaRa obtenu.  

&#9654 Puis double-clique sur le fichier JavaRa.exe (le .exe peut ne pas s'afficher)  

&#9654 Clique sur Remove Older Versions.  

&#9654 Clique sur Oui pour confirmer. L'outil va travailler, clique ensuite sur Ok, puis une deuxième fois sur Ok.  

&#9654 Un rapport va s'ouvrir, copie-colle le dans ta prochaine réponse.  

&#9654 Note : le rapport se trouve aussi là : ( C:\JavaRa.log )  

&#9654 Tu peux fermer l'application   

&#9654 &#9654 Met à jour Adobe : 

&#9654 Reader : https://get2.adobe.com/fr/reader/otherversions/
&#9654 &#9654 Décocher le scan Macàfric

&#9654 Flash Player: https://get.adobe.com/flashplayer/?loc=fr

-----

&#9654 &#9654 pour supprimer les outils de désinfection :

&#9654 Télécharge Delfix sur ton bureau : 

&#9654 Clique sur le bouton « Suppression » et poste son rapport sur ton prochain message 
&#9654 &#9654 Pour le désinstaller, il suffit de le relancer et cliquer sur le bouton de désinstallation. 

------ 

Tu peux garder Malwarebytes pour un scan de temps à autres 

----- 

Tu peux lire ce sujet sur les logiciels recommandés, et les attitudes responsables sur le web 
Et celui ci, sur les logiciels gratuits à éviter 

------ 

&#9654 &#9654 Pense à marquer le fil comme résolu  

------ 

Si tu as d'autres questions, je t'écoute avec plaisir :)

@+

cumular · Answer

"décoches effacer uniquement les fichiers, du dossier temp de windows plus vieux que 24 heures " les autres doivent toutes rester cochées ? parce que par défaut elles sont decochées
merci

cumular · Answer

mbam tourne encore il est à 23 fichiers infectés
j'ai terminé la manip ccleaner
Mon formatage de c: datant d'il y a 2 jours je ne vois aucune objection à tout reformater après tout ça. J'ai besoin de savoir si un formatage via le gestionnaire de disques equivaut à un formatage physique bas niveau ?

cumular · Answer

Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Version de la base de données: 6318

Windows 5.1.2600 Service Pack 2
Internet Explorer 6.0.2900.2180

12/04/2011 17:38:52
mbam-log-2011-04-12 (17-38-48).txt

Type d'examen: Examen complet (C:\|D:\|F:\|)
Elément(s) analysé(s): 341393
Temps écoulé: 1 heure(s), 20 minute(s), 30 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 23

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP11\A0007343.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP11\A0007344.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP11\A0007347.EXE (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP11\A0007355.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP11\A0007356.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP11\A0007359.EXE (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP11\A0007367.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP11\A0007368.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP11\A0007371.EXE (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP11\A0007387.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP11\A0007388.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP11\A0007391.EXE (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP12\A0007402.EXE (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP12\A0007405.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP12\A0007406.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP12\A0008075.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP15\A0012813.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP15\A0012814.EXE (Worm.AutoRun) -> No action taken.
c:\UsbFix\quarantine\D\recycled\info.exe.vir (Worm.AutoRun) -> No action taken.
c:\UsbFix\quarantine\F\recycled\info.exe.vir (Worm.AutoRun) -> No action taken.
c:\usbfix_upload_me\D\recycled\info.exe.vir (Worm.AutoRun) -> No action taken.
c:\usbfix_upload_me\F\recycled\info.exe.vir (Worm.AutoRun) -> No action taken.
c:\WINDOWS\Config\System.exe (Worm.AutoRun) -> No action taken.

juju666 · Answer

clique sur tous, puis supprimer la sélection.

rien de grave, c est la restauration système qui est atteinte, mais si tu suis mes procédure, elle sera purgée.
le reste concerne la quarantaine d'usbfix.

cumular · Answer

je suis passé au pack3 de windows, supprimé delfix.
malwarebytes rebalaye un coup et ne semble rien detecté

quant à ma question concernant le formatage bas niveau, où pourrais je trouver l'info ? à savoir si un formatage via le gestionnaire de disque (en passant donc sur un second disque dur) était bas niveau (physique)

merci énormement pour l'aide et le soutien tout au long de cette journée...je dois trouver une solution pour remplacer ou reinstaller proprement certains logiciels qui me sont indispensables (du a du reconnaitre lesquels au cours des differents rapports)...

très bonne soirée

david

juju666 · Answer

lesquels je sais pas lol

pour supprimer tout ce qu'il y a sur un disque dur, de A à Z, voir killdisk

cumular · Answer

malewarebyte me trouve encore des trucs 
Fichier(s) infecté(s):
c:\system volume information\_restore{8f392c4a-bd2b-4d5c-ad63-8d02a7c40589}\RP2\A0000009.exe (Trojan.Agent) -> Quarantined and deleted successfully.

cumular · Answer

il me semble que si 
cocher
"desactiver la restauration du systeme"
au rallumage du pc je decoche ?

cumular · Answer

tout semble rentré dans l'ordre  
merci encore 
sauf que je ne trouve pas comment indiqué le fil comme résolu
j'ai le lien "Ne plus suivre" mais pas "marquer comme résolu"

cumular · Answer

rien ce matin non

cumular · Answer

rebonjour
mon précedent disque dur montrait quelques difficultés suite au formatage et netetoyage, la semaine suivant notre nettoyage j'ai reperé des secteurs defectueux, et j'ai opté pour son changement.
Depuis maintenant 8 jours je suis sur un nouveau disque dur tout neuf, et j'ai uniquement procédé à l'installation de windows xp et quelques applic (i tunes, filezilla et navigateurs) je viens de proceder à un balayage de malewarebytes...et j'y crois à peine, les 4 mêmes worm.autorun sont présents et  aux mêmes endroits
1 c:\WINDOWS\System.exe
2 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\Current\Version\Winlogon\Userinit
3 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\Current\Version\Winlogon\Load
4 c:\WINDOWS\System.exe

Que dois je y comprendre ?
merci

juju666 · Answer

Hello,

&#9654 Télécharge sur le bureau RogueKiller  (par tigzy)   

&#9654 &#9654 Sous Windows XP, double clic gauche   

&#9654 &#9654  Sous Vista/Seven, clique droit, lancer en tant qu'administrateur   

&#9654 Quitte tous tes programmes en cours   
&#9654 Lance RogueKiller.exe.   
&#9654 Un scan se lance, puis tu verra d'indiqué dans la fenêtre  
&#9654 &#9654 1. Scan (écrit en vert) 
&#9654 &#9654 2. Delete (écrit en rouge)  
&#9654 &#9654 3. Hosts RAZ (écrit en rouge)  
&#9654 &#9654 4. Proxy RAZ (écrit en rouge) 
&#9654 &#9654 5. DNS RAZ (écrit en rouge) 
&#9654 &#9654 6. Raccourcis RAZ (écrit en rouge) 
&#9654  A ce moment tape 2 et valide   
Note: s'il te demande de supprimer le proxy, tape 4   
&#9654 Un rapport (RKreport1.txt) a du se créer à côté de l'exécutable, colle son contenu dans la réponse 
&#9654 Si le programme a été bloqué, ne pas hésiter à essayer plusieurs fois ou a changer son nom en winlogon.exe 

=========================================================

&#9654 Télécharge UsbFix (TeamXScript) sur ton Bureau. Si ton antivirus affiche une alerte, ignore le et désactive le temporairement. 

&#9654  Branche tes sources de données externes à ton PC (clé USB, disque dur externe, etc...)  sans les ouvrir  

&#9654 Vista/Seven : Clic droit sur UsbFix > Exécuter en tant qu'administrateur, l'installation se fera automatiquement 
              XP : double clic sur UsbFix

&#9654 Clique sur "Recherche" 

&#9654 Laisse travailler l'outil 

&#9654 A la fin, le rapport va s'afficher : poste le dans ta prochaine réponse (il est aussi sauvegardé a la racine du disque dur) 

&#9654 Aide en images : Tutoriel "Recherche"

cumular · Answer

j'essaie ça demain matin, mais je me demande si ces wormautorun ne seraient pas tout simplement de faux ennemis et que malewarebytes trop sensible les qualifierait de la sorte. Le disque dur était vierge et je n'ai rien installé de suspect ou d'illicite. Ne serait ce pas des autorun windows tout con que malewarebytes aurait dans le nez mais sans danger ?

juju666 · Answer

bonne question ... si t as un rapport que je vois ça; ça serait mieux \o

cumular · Answer

le rapport roguekiller (l'execution de celui ne se presentant pas comme indiqué plus, j'ai du activé le scan, dois je lancer une suppression ? RogueKiller V4.3.11 [25/04/2011] par Tigzy contact sur https://www.luanagames.com/index.fr.html mail: tigzyRKgmailcom Remontees: https://www.luanagames.com/index.fr.html Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 2) 32 bits version Demarrage : Mode normal Utilisateur: david [Droits d'admin] Mode: Recherche -- Date : 26/04/2011 08:47:28 Processus malicieux: 0 Entrees de registre: 0 Fichier HOSTS: 127.0.0.1 localhost Termine : << RKreport[1].txt >> RKreport[1].txt

cumular · Answer

le rapport usbfix (là aussi je doute d'une contamination par ma seule clé usb, celle ayant été nettoyée il y a 2 semaines et jamais branchée depuis l'installation du nouveau disque dur)

############################## | UsbFix 7.044 | [Recherche]

Utilisateur: david (Administrateur) # SHADOKO [ ]
Mis à jour le 25/04/2011 par TeamXscript
Lancé à 08:52:56 | 26/04/2011
Site Web: http://www.teamxscript.org
Submit your sample: http://www.teamxscript.org/Upload.php
Contact: TeamXscript.ElDesaparecido@gmail.com

CPU:  Intel(R) Pentium(R) 4 CPU 3.00GHz
CPU 2:  Intel(R) Pentium(R) 4 CPU 3.00GHz
Microsoft Windows XP Édition familiale (5.1.2600 32-Bit) # Service Pack 2
Internet Explorer 6.0.2900.2180

Pare-feu Windows: Activé
RAM -> 1535 Mo 
C:\ (%systemdrive%) -> Disque fixe # 233 Go (183 Go libre(s) - 78%) [] # NTFS
D:\ -> Disque fixe # 76 Go (14 Go libre(s) - 19%) [] # NTFS
E:\ -> CD-ROM
F:\ -> Disque amovible # 4 Go (2 Go libre(s) - 48%) [KINGSTON] # FAT32

################## | Éléments infectieux |


Présent! C:\WINDOWS\config\svchost.exe
Présent! C:\WINDOWS\system.exe
Présent! C:\RECYCLED\INFO.exe
Présent! C:\.\recycled\info.exe
Présent! C:\Autorun.inf
Présent! D:\.\recycled\info.exe
Présent! D:\Recycled\INFO.EXE
Présent! F:\.\recycled\info.exe
Présent! F:\Recycled\INFO.EXE

################## | Registre |


################## | Mountpoints2 |

HKCU\.\.\.\.\Explorer\MountPoints2\{1dab5903-6861-11e0-8e39-806d6172696f}
Shell\AutoRun\Command = C:\
Shell\explore\Command = C:\RECYCLED\INFO.exe
Shell\open\Command = C:\RECYCLED\INFO.exe


################## | Vaccin |

C:\Autorun.inf -> Vaccin créé par Panda USB Vaccine
D:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)
F:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)

################## | E.O.F |

Utilisateur anonyme · Answer

Hello cumular ,

Je te cite : 

mais je me demande si ces wormautorun ne seraient pas tout simplement de faux ennemis et que malewarebytes trop sensible les qualifierait de la sorte. Le disque dur était vierge et je n'ai rien installé de suspect ou d'illicite. Ne serait ce pas des autorun windows tout con que malewarebytes aurait dans le nez mais sans danger ?

Non , c'est bel et bien une infection , par contre c'est étrange qu'elle se relance comme ça :( 

peux tu me faire parvenir un ou deux fichiers pour tests & mises à jours de UsbFix stp ?

Pour cela Affiche les fichiers et dossiers cachés puis fait moi parvenir :

C:\WINDOWS\config\svchost.exe 
C:\WINDOWS\system.exe 

Via ce formulaire : http://www.teamxscript.org/Upload.php

Par avance merci .

cumular · Answer

rescan malewarebytes, hier 4 elements infectés
ce matin 30 !
Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Version de la base de données: 6440

Windows 5.1.2600 Service Pack 2
Internet Explorer 6.0.2900.2180

26/04/2011 11:12:37
mbam-log-2011-04-26 (11-12-33).txt

Type d'examen: Examen complet (C:\|D:\|)
Elément(s) analysé(s): 351636
Temps écoulé: 59 minute(s), 44 seconde(s)

Processus mémoire infecté(s): 1
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 2
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 27

Processus mémoire infecté(s):
c:\WINDOWS\System.exe (Worm.AutoRun) -> 244 -> No action taken.

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Worm.AutoRun) -> Bad: (System) Good: () -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\Load (Worm.AutoRun) -> Bad: (System) Good: () -> No action taken.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\WINDOWS\System.exe (Worm.AutoRun) -> No action taken.
c:\Recycled\INFO.EXE (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP18\A0005120.EXE (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP18\A0005116.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP18\A0005117.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP19\A0005137.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP19\A0005138.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP19\A0005145.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP19\A0005146.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP19\A0005149.EXE (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP19\A0005157.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP19\A0005158.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP19\A0005161.EXE (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP19\A0005168.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP19\A0005169.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP19\A0005172.EXE (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP19\A0005180.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP19\A0005181.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP19\A0005184.EXE (Worm.AutoRun) -> No action taken.
c:\WINDOWS\Config\Svchost.exe (Worm.AutoRun) -> No action taken.
c:\WINDOWS\Config\System.exe (Worm.AutoRun) -> No action taken.
d:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP18\A0005122.EXE (Worm.AutoRun) -> No action taken.
d:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP19\A0005151.EXE (Worm.AutoRun) -> No action taken.
d:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP19\A0005163.EXE (Worm.AutoRun) -> No action taken.
d:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP19\A0005174.EXE (Worm.AutoRun) -> No action taken.
d:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP19\A0005186.EXE (Worm.AutoRun) -> No action taken.
d:\Recycled\INFO.EXE (Worm.AutoRun) -> No action taken.

juju666 · Answer

no action taken -> tu as bien tout supprimé ?

 /!\ Ne pas utiliser ce logiciel en dehors du cadre de cette désinfection : DANGEREUX /!\  

Si tu utilises AVG, IL FAUT IMPÉRATIVEMENT LE DÉSINSTALLER avant d'utiliser Combofix car il peut causer des dégâts en interaction avec l'outil pouvant mener à la réinstallation totale du système.
La simple désactivation du résident n'est pas suffisante. 
Télécharge le désinstalleur d'AVG sur ce lien : https://www.avg.com/fr-fr/avg-remover
Choisis la version adéquate (32 ou 64 bits)/!\
_______________________________________________________________

Les logiciels d'émulation de CD comme Daemon Tools peuvent gêner les outils de désinfection. Utilise Defogger pour les désactiver temporairement :

&#9654 Télécharge Defogger (de jpshortstuff) sur ton Bureau
&#9654 Lance le
&#9654 Une fenêtre apparait : clique sur "Disable"
&#9654 Fais redémarrer l'ordinateur si l'outil te le demande

Note : Quand nous aurons terminé la désinfection, tu pourras réactiver ces logiciels en relançant Defogger et en cliquant sur "Re-enable" 
_______________________________________________________________

&#9654 /!\ IMPORTANT /!\  
Désactive ton Antivirus, antispyware et Pare feu avant le scan avec Combofix :
https://forum.pcastuces.com/default.asp
https://www.bleepingcomputer.com/forums/t/114351/how-to-temporarily-disable-your-anti-virus-firewall-and-anti-malware-programs/ 
_______________________________________________________________

&#9654 Fais un clic droit sur le lien ci dessous, choisi "Enregistrer la cible du lien sous", comme destination : ton Bureau, change son nom (ton_pseudo.exe par exemple) :  

http://download.bleepingcomputer.com/sUBs/ComboFix.exe  

&#9654 Double-clique sur ComboFix.exe  
Un "pop-up" va apparaître qui dit que ComboFix est utilisé à vos risques et avec aucune garantie... Clique sur oui pour accepter  

&#9654 &#9654 SI TU ES SOUS WINDOWS XP, SURTOUT INSTALLES LA CONSOLE DE RÉCUPÉRATION
&#9654 &#9654 Ne touche à rien (souris, clavier) tant que le scan n'est pas terminé, car tu risques de planter ton PC  

&#9654 En fin de scan, il est possible que ComboFix ait besoin de redémarrer le PC pour finaliser la désinfection, laisse-le faire.  
&#9654 Une fois le scan achevé, un rapport va s'afficher : Poste son contenu  
&#9654 &#9654 /!\ Réactive la protection en temps réel de ton antivirus avant de te reconnecter à Internet. /!\  

Notes: 
-> Le rapport se trouve également là : C:\ComboFix.txt   
-> tutoriel combofix

cumular · Answer

au temps pour moi, je n'ai exécuté des balayages mbam que pour voir ce qu'il decelait, voilà le rapport après suppression
ce qui n'empeche pas de m'interroger quant à l'origine et la versatilité de l'infection...


Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Version de la base de données: 6440

Windows 5.1.2600 Service Pack 2
Internet Explorer 6.0.2900.2180

26/04/2011 22:09:14
mbam-log-2011-04-26 (22-09-14).txt

Type d'examen: Examen complet (C:\|D:\|)
Elément(s) analysé(s): 351962
Temps écoulé: 1 heure(s), 3 minute(s), 41 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)


merci encore

cumular · Answer

sauf que depuis ce matin, je ne parviens plus à acceder à mon disque c:
en cliquant dessus (histoire de vérifier si des trucs genre
C:\WINDOWS\config\svchost.exe
C:\WINDOWS\system.exe 
s'y trouvaient
j'ai une petite fenetre qui s'ouvre au clic qui me propose de choisir un programme pour ouvrir c: (et donc la liste de programmes installés qui s'ensuit)

juju666 · Answer

Fais ça :

&#9654 Télécharge RstAssociations 

&#9654 Lance le, attends qu'il ai chargé. 

&#9654 Clique sur Tous, puis Restaurer. 

&#9654 Poste le rapport qui apparaît

===========

Passe combofix stp

cumular · Answer

je ne parviens pas à trouver un lien pour telecharger rstassociations 
celui au dessus ne fonctionne pas non plus

juju666 · Answer

les liens sont dead en effet fais ça :

Avertissement: Il y aura une courte extinction du bureau pendant que l'outil travaillera --> pas de panique. 

Télécharge Pre_scan (de gen-hackman)

&#9830 Enregistre le sur ton bureau  
Renomme Pre_Scan.exe en Pre_Scan.pif
&#9654 Exécute Pre_scan. Si l'outil détecte un proxy  et que tu n'en as pas installé  clique sur "supprimer le proxy"

&#9830 Colle le contenu du rapport "Pre_Scan.txt" qui apparaîtra; à terme, sur ton bureau.

cumular · Answer

j'y pige rien mais c'est magique ce truc
mon clic c: refonctionne
merci !!!


Mis à jour le 25/04/2011 | 13.20 par g3n-h@ckm@n
Utilisateur : david (Administrateurs)
Ordinateur : SHADOKO

Système d'exploitation : Microsoft Windows XP (32 bits)
Internet Explorer : 6.0.2900.2180
Mozilla Firefox : 4.0 (fr)

Scan : 15:32:43 | 27/04/2011

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

[HKCU\..\..\Winlogon] | Shell -> Modification apportée :  -> explorer.exe

¤

[HKLM\..\..\Winlogon] | Shell -> Aucune modification : Explorer.exe -> Explorer.exe
[HKLM\..\..\Winlogon] | AutoRestartShell -> Aucune modification : 1 -> 1
[HKLM\..\..\Winlogon] | userinit -> Aucune modification : C:\WINDOWS\system32\userinit.exe, -> C:\WINDOWS\system32\userinit.exe,
[HKLM\..\..\Winlogon] | PowerDownAfterShutdown -> Modification apportée : 0 -> 1

¤¤¤¤¤¤¤¤¤¤ Associations

[.exe] : exefile
[exefile | command] : "%1" %*
[.com] : comfile
[comfile | command] : "%1" %*
[.reg] : regfile
[regfile | command] : regedit.exe "%1"
[.scr] : scrfile
[scrfile | command] : "%1" /S
[.bat] : batfile
[batfile | command] : "%1" %*
[.cmd] : cmdfile
[cmdfile | command] : "%1" %*
[.pif] : piffile
[piffile | command] : "%1" %*

¤

[Firefox | Command] | @ -> Modification apportée : C:\Program Files\Mozilla Firefox\firefox.exe -> "C:\Program Files\Mozilla Firefox\Firefox.exe"
[Firefox - Safemode | Command] | @ -> Aucune modification : "C:\Program Files\Mozilla Firefox\firefox.exe" -safe-mode -> "C:\Program Files\Mozilla Firefox\firefox.exe" -safe-mode
[IE | Command] | @ -> Modification apportée : "%programfiles%\Internet Explorer\iexplore.exe" -> "C:\Program Files\Internet Explorer\iexplore.exe"
[Applications | IE | Command] | @ -> Aucune modification : "C:\Program Files\Internet Explorer\iexplore.exe" %1 -> "C:\Program Files\Internet Explorer\iexplore.exe" %1

¤

[Assoc | Applications] | @ -> Aucune modification : http://shell.windows.com/fileassoc/%04x/xml/redir.asp?Ext=%s -> http://shell.windows.com/fileassoc/%04x/xml/redir.asp?Ext=%s

¤


¤


¤¤¤¤¤¤¤¤¤¤ Services

[Ndisuio] | Start -> Aucune modification : 3 -> 3
[lmhosts] | Start -> Aucune modification : 2 -> 2 : Service Actif
[LanmanWorkstation] | Start -> Aucune modification : 2 -> 2 : Service Actif
[LanmanServer] | Start -> Aucune modification : 2 -> 2 : Service Actif
[agp440] | Start -> Modification apportée : 0 -> 2 : Service Actif
[Audiosrv] | Start -> Aucune modification : 2 -> 2 : Service Actif
[ERSvc] | Start -> Aucune modification : 2 -> 2 : Service Actif
[Bits] | Start -> Modification apportée : 3 -> 2 : Service Redemarré
[CryptSvc] | Start -> Aucune modification : 2 -> 2 : Service Actif
[SharedAccess] | Start -> Aucune modification : 2 -> 2 : Service Actif
[wuauserv] | Start -> Aucune modification : 2 -> 2 : Service Actif
[wscsvc] | Start -> Aucune modification : 2 -> 2 : Service Actif
[wzcsvc] | Start -> Aucune modification : 2 -> 2 : Service Actif

¤¤¤¤¤¤¤¤¤¤ Internet Explorer

[HKCU | Main] | Start Page -> Modification apportée : https://www.google.fr/?gws_rd=ssl -> https://www.google.com/?gws_rd=ssl
[HKCU | Main] | Local Page -> Aucune Modification : C:\WINDOWS\system32\blank.htm -> C:\WINDOWS\system32\blank.htm
[HKCU | Main] | Search Page -> Aucune Modification : http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch -> http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

[HKLM | Main] | Start Page -> Modification apportée : http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home -> https://www.msn.com/fr-fr/?ocid=iehp
[HKLM | Main] | Local Page -> Modification apportée : %SystemRoot%\system32\blank.htm -> C:\WINDOWS\system32\blank.htm
[HKLM | Main] | Default_Search_URL -> Modification apportée : http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch -> https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
[HKLM | Main] | Default_Page_URL -> Modification apportée : http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome -> https://www.msn.com/fr-fr/?ocid=iehp
[HKLM | Main] | Search Page -> Modification apportée : http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch -> https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF

¤¤¤¤¤¤¤¤¤¤ Processus

C:\WINDOWS\explorer.exe -> Processus stoppé 
\WINDOWS\explorer.exe -> Processus stoppé 

¤¤¤¤¤¤¤¤¤¤ Clés supprimées et Fichier mis en quarantaine


¤¤¤¤¤¤¤¤¤¤ IFEO


¤¤¤¤¤¤¤¤¤¤ Mountpoints2

Supprimé : [HKCU\..\..\Mountpoints2\{1dab5903-6861-11e0-8e39-806d6172696f}] -> command : C:\


¤¤¤¤¤¤¤¤¤¤ MBR

MBRCheck, version 1.2.3
(c) 2010, AD

Command-line:			-za C:\MBR\MBR.bin 
Windows Version:		Windows XP Home Edition
Windows Information:		Service Pack 2 (build 2600)
Logical Drives Mask:		0x0000001d

Analysis of file "C:\MBR\MBR.bin":
Windows XP MBR code detected


Done!

¤¤¤

explorer.exe -> Processus redémarré

Fin : 15:33:30

¤¤¤¤¤¤¤¤¤¤( EOF )¤¤¤¤¤¤¤¤¤¤

juju666 · Answer

ok en attente de combofix

cumular · Answer

j'ai raté le coche ?
que dois je faire avec combofix ?

juju666 · Answer

hello

eh bien, suivre cette procédure : https://forums.commentcamarche.net/forum/affich-21800930-4-worm-autorun-apres-formatage-c-windows-sys?page=2#56

4 Worm.AutoRun après formatage c:\WINDOWS\Sys

47 réponses

Discussions similaires

Newsletters