New virus par clé usb = amva - désinfection

Résolu/Fermé

rixan Messages postés 413 Date d'inscription dimanche 27 mai 2007 Statut Membre Dernière intervention 1 mars 2019 - 16 janv. 2008 à 06:18
jlpjlp Messages postés 51580 Date d'inscription vendredi 18 mai 2007 Statut Contributeur sécurité Dernière intervention 3 mai 2022 - 24 mai 2008 à 22:39

Bonjour,

Je me suis une fois de plus infecté par un de ces fameux virus se propageant par flash disk en créant un autorun.inf + exe infecteur dans la clé usb. Avant, je réinstallais Windows XP mais maintenant j'en ai marre !
Son action est assez banale mais je sais pas du tout comment l'éradiquer de mon ordinateur
- on ne peut afficher les fichiers cachés et fichiers système
- il crée l'entrée dans le registre
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"amva"="C:\\WINDOWS\\system32\\amvo.exe"

On efface cette entrée mais le virus arrive toujours à se lancer au démarrage. Comment avez-vous fait pour les anciens virus comme CHIKIE, que doit-on changer dans le registre ?

http://www.virustotal.com/fr/analisis/ donne le résultat que c'est un tout nouveau trojan crée ce mois-ci (2008)

A voir également:

New virus par clé usb = amva - désinfection
Cle usb non reconnu - Guide
Clé windows 10 gratuit - Guide
Cle usb bootable - Guide
Formater clé usb mac - Guide
Medicat usb - Guide

8 réponses

Réponse 1 / 8

rixan Messages postés 413 Date d'inscription dimanche 27 mai 2007 Statut Membre Dernière intervention 1 mars 2019 43
4 mars 2008 à 06:32

Bonjour,

En fait, j'ai déja eu la solution : un kit de désinfection sur un site amateur qui m'a permis de toujours résoudre ces problèmes de virus par flash disk (au moment où j'ai créé ce forum, ils n'avaient pas encore fini le kit et je me demande s'ils n'ont pas qlq choses à avoir avec ces virus, je me trompe surement):
http://net-studio.org/application/autorun-av.php

Réponse 2 / 8

rixan Messages postés 413 Date d'inscription dimanche 27 mai 2007 Statut Membre Dernière intervention 1 mars 2019 43
16 janv. 2008 à 06:26

Le plus bizarre c'est que le virus arrive à se lancer alors que j'ai désactivé l'AUTORUN de tout disque amovible !!
Et le processus amvo.exe n'est pas dans le gestionnaire des tâches, comment ?

Rapport HijackThis:

Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe
C:\WINDOWS\system32\nvsvc32.exe
E:\Program Files\Sygate\SPF\Smc.exe
C:\Program Files\Fichiers communs\Ulead Systems\DVD\ULCDRSvr.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\wscntfy.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\SuperCopier2\SuperCopier2.exe
E:\Program Files\Microsoft Etudes\Microsoft Encarta 2007 - Études DVD\EDICT.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = https://www.google.fr/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.files-ftp.com/~unicorni/phpBB2/index.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O1 - Hosts: 192.100.1.1 ordi-p4
O1 - Hosts: 192.100.1.2 ordi-p2
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn0\yt.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - D:\Program Files\rpbrowserrecordplugin.dll
O2 - BHO: PBlockHelper Class - {4115122B-85FF-4DD3-9515-F075BEDE5EB5} - C:\Program Files\Wanadoo Booster\PBHelper.dll (file missing)
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll
O2 - BHO: BHO pour Compagnon Web Encarta - {955BE0B8-BC85-4CAF-856E-8E0D8B610560} - C:\Program Files\Fichiers communs\Microsoft Shared\Encarta Web Companion\2007\ENCWCBAR.DLL
O2 - BHO: Secure4U Iexplore Addon Class - {BF55256A-3B3B-11D2-B05B-000001145917} - C:\PROGRA~1\FICHIE~1\PFWSHA~1\addon.dll (file missing)
O2 - BHO: PDFCreator Toolbar Helper - {C451C08A-EC37-45DF-AAAD-18B51AB5E837} - C:\Program Files\PDFCreator Toolbar\v3.0.0.0\PDFCreator_Toolbar.dll
O3 - Toolbar: DAP Bar - {62999427-33FC-4baf-9C9C-BCE6BD127F08} - C:\Program Files\DAP\DAPIEBar.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn0\yt.dll
O3 - Toolbar: PDFCreator Toolbar - {31CF9EBE-5755-4A1D-AC25-2834D952D9B4} - C:\Program Files\PDFCreator Toolbar\v3.0.0.0\PDFCreator_Toolbar.dll
O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)
O3 - Toolbar: Wanadoo Booster - {8B79EE88-E62D-4AA8-B530-CC357BA112B7} - C:\Program Files\Wanadoo Booster\Toolband.dll (file missing)
O3 - Toolbar: Compagnon Web Encarta - {147D6308-0614-4112-89B1-31402F9B82C4} - C:\Program Files\Fichiers communs\Microsoft Shared\Encarta Web Companion\2007\ENCWCBAR.DLL
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [SmcService] E:\PROGRA~1\Sygate\SPF\Smc.exe -startgui
O4 - HKCU\..\Run: [SuperCopier2.exe] C:\Program Files\SuperCopier2\SuperCopier2.exe
O4 - HKCU\..\Run: [L07FXLRD_6403406] "E:\Program Files\Microsoft Etudes\Microsoft Encarta 2007 - Études DVD\EDICT.EXE" -m
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [amva] C:\WINDOWS\system32\amvo.exe
O8 - Extra context menu item: &Clean Traces - C:\Program Files\DAP\Privacy Package\dapcleanerie.htm
O8 - Extra context menu item: &Download with &DAP - C:\Program Files\DAP\dapextie.htm
O8 - Extra context menu item: Download &all with DAP - C:\Program Files\DAP\dapextie2.htm
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll
O9 - Extra button: Run WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dll
O9 - Extra 'Tools' menuitem: Launch WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Barre de recherche Encarta - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Program Files\Fichiers communs\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.files-ftp.com/~unicorni/phpBB2/index.php
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dll
O23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Program Files\Fichiers communs\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - E:\Program Files\Sygate\SPF\Smc.exe
O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Program Files\Fichiers communs\Ulead Systems\DVD\ULCDRSvr.exe

Réponse 3 / 8

just1xpa2 Messages postés 1603 Date d'inscription jeudi 26 juillet 2007 Statut Membre Dernière intervention 3 février 2013 196
16 janv. 2008 à 06:42

bonjour
Fixe ces lignes ( coche la case a gauche , puis clique sur ''fixchecked'' et répond oui) en mode sans echec

https://www.commentcamarche.net/list 5004 windows xp demarrage en mode sans echec

****************************************************************************************** *************

O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)
O3 - Toolbar: DAP Bar - {62999427-33FC-4baf-9C9C-BCE6BD127F08} - C:\Program Files\DAP\DAPIEBar.dll

Pour celle-ci , clique sur 'open the misc tool selection ' puis ,choisis 'open process manager' trouve " amvo.exe" selectionne la et clique sur kill process. Ensuite fixe la.

O4 - HKCU\..\Run: [amva] C:\WINDOWS\system32\amvo.exe

cordialement

Réponse 4 / 8

rixan Messages postés 413 Date d'inscription dimanche 27 mai 2007 Statut Membre Dernière intervention 1 mars 2019 43
16 janv. 2008 à 10:49

En fait, ma recherche m'a permis de savoir que c'est en fait une variante de CHIKIE créée très récemment 14-01-2008 !!

Tout est normal avec les DAP Bar !!

Je me demande comment ces virus font pour pouvoir se lancer même si on efface l'entrée HKCU\...\Run

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question

Réponse 5 / 8

nono
16 janv. 2008 à 11:27

salut,

"Avant, je réinstallais Windows XP mais maintenant j'en ai marre !"
et si tu changer d'antivirus au lieu d'utiliser avast qui a des signature des années de pierres ?

mopr
3 mars 2008 à 09:21

je ne sais pastrop parlez en français, mais j'ai un conseil à te donner

dans Gestionnaire des tache, termine hkcmd
utilise winrar pour effacer les fichiers suivantes:
C:autorun.inf et u.exe(ou autre nom)
C:Windows\System32\amvo(ou a).exe et amvo.dl

Réponse 6 / 8

rixan Messages postés 413 Date d'inscription dimanche 27 mai 2007 Statut Membre Dernière intervention 1 mars 2019 43
17 janv. 2008 à 06:09

Comme j'ai dit c'est un tout nouveau frais virus !!!

Comment arrive-t-il à se lancer alors que j'ai supprimé l'entrée RUN puis immédiatement coupé l'alim de mon PC ?

Réponse 7 / 8

guelan38
24 mai 2008 à 21:15

J'ai eu le pb aujourd'hui et voici comment je m'en suis débarrassé sur 2 pC sans outils spécifiques

J'ai lancé le "invite de commande"

sous la racine de C j'ai tapé dir /ah
j'ai vu deux fichiers un autorun.inf et un fichier .bat

Ensuite j'ai tapé attrib -r -s -h autorun.inf et puis del autorun.inf
J'ai fait pareil avec le fichier .bat

ensuite je suis allé dans la base de registre dans HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

et j'ai supprimé le amva de la liste.

Idem sur les autres disques.... vérifications... et tout est ok !

Réponse 8 / 8

jlpjlp Messages postés 51580 Date d'inscription vendredi 18 mai 2007 Statut Contributeur sécurité Dernière intervention 3 mai 2022 5 040
24 mai 2008 à 22:39

slt
pour virer l'infection fais tout ceci en branchant ta clé

1/ # Télécharge RavAntivirus d'Evosla :
http://ww25.evosla.com/compteur.php?soft=rav_antivirus

# Si tu as une clé USB, disque dur externe, etc, branche-les sans les ouvrir avant de lancer ce FIX
# Fais un clic droit sur le fichier .ZIP > Extraire sur > le Bureau
# Doucle-clique sur >> RAV.exe << afin de lancer l'outil.
# Une fois RAV ANTIVIRUS lancé, laisse-le réagir , il scanne automatiquement tout les lecteurs (disques fixes et amovibles)
# Si infection > un log s'établira, sinon le soft affichera (très rapide) ==>Votre Ordinateur est sain .
# Retire tes disques amovibles et redémarrez votre ordinateur.
# Poste le rapport, si infection!

2/ Télécharge sur le bureau Flash Disinfector (de SUBS) à cette adresse : http://www.techsupportforum.com/sectools/sUBs/Flash_Disinfector.exe

Double-clique sur l’icône.
Les icônes vont disparaître. C’est normal.
Si un rapport est généré en cas d'infection, sauvegarde-le sur le bureau, et poste le ensuite
Redémarre ensuite le PC.

3/
télécharge combofix (par sUBs) ici :

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

et enregistre le sur le bureau.

déconnecte toi d'internet et ferme toutes tes applications.

désactive tes protections (antivirus, parefeu, garde en temps réel de l'antispyware)

double-clique sur combofix.exe et suis les instructions

à la fin, il va produire un rapport C:\ComboFix.txt

réactive ton parefeu, ton antivirus, la garde de ton antispyware

copie/colle le rapport C:\ComboFix.txt dans ta prochaine réponse.

Attention, n'utilise pas ta souris ni ton clavier (ni un autre système de pointage) pendant que le programme tourne. Cela pourrait figer l'ordi.

Tu as un tutoriel complet ici :

https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

4/ recolle un hijakchits et dis tes soucis

Discussions similaires

Est ce que le site tlauncher est dangereux ?

Discussions similaires

Newsletters