Quel sont tes logiciels de sécurités?

Prend la 7.0 de kav

J'ai trouvé le virus en question, le fichier etait cradle of filth.vbe, apres decrytpion avec le srcdec18, voila une partie du code que je pense utile pour les qui veulent aider

Shells.Regdelete "HKLM\Software\Microsoft\Windows\CurrentVersion\Run\MS32DLL"

icone = Shells.RegRead ("HKCR\Directory\DefaultIcon\">
Shells.RegWrite "HKCR\VBEfile\DefaultIcon\",icone,"REG_EXPAND_SZ"
Shells.RegWrite "HKLM\SOFTWARE\Microsoft\Command Processor\EnableExtensions",1,"REG_DWORD" Shells.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoChangeStartMenu",1,"REG_DWORD"
Shells.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoClose",1,"REG_DWORD"
Shells.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoComputersNearMe",1,"REG_DWORD" Shells.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDesktop",1,"REG_DWORD"
Shells.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDrive",1,"REG_DWORD"
Shells.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDriveAutoRun",1,"REG_DWORD"
Shells.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDriveTypeAutoRun",1,"REG_DWORD"
Shells.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFileMenu",1,"REG_DWORD"
Shells.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoHardwareTab",1,"REG_DWORD"
Shells.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoRecentDocsHistory",1,"REG_DWORD"
Shells.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoRecentDocsMenu",1,"REG_DWORD"
Shells.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoResolveSearch",1,"REG_DWORD"
Shells.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoShellSearchButton",1,"REG_DWORD"
Shells.RegWrite "HKLM\Software\Microsoft\Command Processor\AutoRun","exit","REG_SZ"

Shells.RegWrite "HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore\DisableSR",1,"REG_DWORD"
Shells.RegWrite "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\HideFileExt\UncheckedValue",1,"REG_DWORD"
Shells.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr",1,"REG_DWORD"
Shells.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools",1,"REG_DWORD"
Shells.RegWrite "HKCU\Control Panel\Mouse\DoubleClickSpeed",4000,"REG_SZ"
Shells.RegWrite "HKCU\Control Panel\Mouse\MouseSpeed",10,"REG_SZ"

Set f = Fso.CreateTextFile("C:\Windows\Desktop.ini", True)

f.WriteLine "[.ShellClassInfo]"

f.WriteLine "Clsid={645FF040-5081-101B-9F08-00AA002F954E}"

f.Close
Set f1 = Fso.GetFolder("C:\Windows")

f1.Attributes = 4

f1.Close

Une proc pour « nettoyer » ce virus :

1) Insérer la clé USB « vérolée » (eh oui, vous ça se propage entre autres par les clés USB et périphériques du genre).
2) Faire CTRL+MAJ+ECHAP pour faire afficher le gestionnaire de tâches. Aller dans l’onglet « Processus » et tuer tous les processus s’appelant « WSCRIPT.EXE » (pour ça, trouver dans la colonne de gauche « WSCRIPT.EXE », faire un clic droit dessus et faire « Terminer le processus ».
3) Via l’Explorateur Windows (ou le Poste de Travail), aller dans la clé USB (E: par exemple), puis dans le menu « Outils », choisir « Options des dossiers », aller dans l’onglet « Affichage » et :
- Cocher « Afficher les fichiers et les dossiers cachés ».
- Décocher « Masquer les extensions des fichiers dont le type est connu ».
4) Deux fichiers sont apparus sur la clé USB : autorun.inf et cradle_of_filth.vbe. Supprimer ces deux fichiers.
5) Via l’explorateur, aller dans C:\WINDOWS\System32 (ou C:\WINNT\System32). Supprimer là aussi cradle_of_filth.vbe. S’il n’est pas là, vérifier, comme pour la clé USB que le fichier n’est pas caché ! (si nécessaire, refaire la manip « Outils », « Options des dossiers », …
6) Là ça se complique un peu… Dans le menu « Démarrer » de Windows, taper « regedit ». Dans la colonne de gauche de l’éditeur de base de registre, sélectionner « Poste de Travail », puis aller dans le menu « Edition » et choisir « Rechercher… ». Cocher « Clés », « Valeurs » et « Données » et rechercher le mot « cradle ».

Quand un résultat est trouvé :
- Soit la valeur trouvée s’appelle « (par défaut) » (dans la partie de droite). Dans ce cas, double-cliquer dessus et dans la petite fenêtre qui apparaît, supprimer tout le texte.
- Soit la valeur s’appelle « Userinit », et dans ce cas, supprimer uniquement la fin, c’est-à-dire :
« C:\Windows\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL wscript.exe cradle_of_filth.vbe ».
Il doit donc rester qqc comme :
« C:\Windows\system32\userinit.exe, » (la virgule à la fin est volontaire).
Ne surtout pas supprimer complètement les données, sous peine de ne plus pouvoir ouvrir de session !

7) Le virus est maintenant enlevé (attention, vous pouvez toujours être infecté à nouveau par exemple par une clé USB infectée !).
Il faut maintenant faire un copier-coller du script suivant dans un notepad :

Option Explicit
Dim WshShell
Set WshShell = WScript.CreateObject("WScript.Shell")
On Error Resume Next
WshShell.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDriveTypeAutoRun", 145, "REG_DWORD"
WshShell.RegWrite "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\HideFileExt\UncheckedValue",0,"REG_DWORD"
WshShell.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoChangeStartMenu"
WshShell.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoClose"
WshShell.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoComputersNearMe"
WshShell.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDesktop"
WshShell.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDrive"
WshShell.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDriveAutoRun"
WshShell.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFileMenu"
WshShell.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoHardwareTab"
WshShell.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoRecentDocsHistory"
WshShell.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoRecentDocsMenu"
WshShell.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoResolveSearch"
WshShell.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoShellSearchButton"
WshShell.RegDelete "HKLM\Software\Microsoft\Command Processor\AutoRun"
WshShell.RegDelete "HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore\DisableSR"
On Error Goto 0


... Enregistrer ce fichier avec un nom comme "repare.vbs" (n'oubliez pas les guillemets dans notepad, sinon il vous rajoutera une extension .txt !!!), et le lancer en double-cliquant dessus.
Fermer la session et la rouvrir. Le bureau doit être revenu avec ses icônes et il doit être à nouveau possible d’éteindre l’ordinateur depuis le menu « Démarrer ».

PS : éventuellement, vider la poubelle au cas où les fichiers supprimés dans les étapes 4 et 5 y seraient encore !!! ;o)
PPS : merci ileiry : sans ton aide, j'aurais galéré encore plus pour trouver les modifs (eh oui, il a frappé chez moi :( ).