Menu

Virus de clée usb a ordi [Résolu/Fermé]

- - Dernière réponse : Malekal_morte-
Messages postés
167250
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
19 juin 2019
- 9 août 2016 à 22:19
Bonjour,
alors voilà, j'ai passé une clée à quelqu'un pour lui passé un doc, et cet abruti n'avait pas d'antivirus, sur son ordi.
Je me retrouve donc avec un virus, mais bien sur il est coriace!!! j'ai essayée différents logiciels de forums, mais rien ne fonctionnent!!!!

quand j'ouvre la clée, il y a des dossiers qu'il m'est impossible de supprimer, et si je connecte une nouvelle clée elle se retrouve elle aussi infectée.
ces dossiers sont les suivants:
-VIDEO
-PHOTO FAMILY
-DCIM
nouveau dossier

si ce virus parle à quelqu'un....
merci en tout par avance d'une réponse!!!

Afficher la suite 

18 réponses

Messages postés
167250
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
19 juin 2019
15876
0
Merci
Salut,


Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).

Télécharge et lance le scan FRST, 3 rapports FRST seront générés :
  • FRST.txt
  • Shortcut.txt
  • Additionnal.txt


Envoie ces 3 rapports sur le site http://pjjoint.malekal.com/ et en retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

0
Merci
merci!
voilà les liens
http://pjjoint.malekal.com/files.php?id=FRST_20160803_s15e12z11t15r6
http://pjjoint.malekal.com/files.php?id=20160803_c11q9k9v13i8
http://pjjoint.malekal.com/files.php?id=20160803_n14g12p13z14r13
j’espère que cette fois cela fonctionnera!!
dans tout les cas merci de votre aide!!
Messages postés
167250
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
19 juin 2019
15876
0
Merci
Ton ordinateur est infecté,

Pour te protéger des infections amovibles type Wscript (Windows Script Host)
Télécharger et installer Marmiton
Clic sur Désactiver au niveau de Windows Script Host.
Marmiton va bloquer les scripts malicieux (VBS, VBE, JavaScript etc).


puis :

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

Ouvre le bloc-notes : Touche Windows + R,
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit :

CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-3342651913-2562215486-469465099-1000\...\Run: [Format Factory] => Cmd.exe /c start WScript.exe /e:VBScript.Encode C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp
2016-04-28 11:57 - 2015-10-12 10:59 - 0121030 ___SH () C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp
EmptyTemp:



Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",

A gauche, place toi sur le Bureau,

Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.


Redémarre l'ordinateur.


et enfin pour nettoyer tes clefs USB :

1°) Brancher toutes les clefs USB et autres périphériques amovibles.
  • Télécharger Remediate VBS Worm
  • Lancer l'option B
  • Taper la lettre de la clef USB, par exemple, E et entrée

[color=red]ATTENTION: NE PAS INDIQUER LE LECTEUR DE TON DISQUE DUR !/color
  • Va dans "Mon ordinateur" puis disque "C", un rapport "Rem-VBS.log" doit s'y trouver.

Ouvre ce rapport avec le bloc-notes et copie/colle le contenu ici dans une prochaine réponse.


Veuillez appuyer sur une touche pour continuer la désinfection...
0
Merci
merci pour tout,
mais j'ai pas pu suivre les instructions pour marmiton:
Clic sur Désactiver au niveau de Windows Script Host
je sais pas ce c'est et il n'y a pas de "bouton" désactiver
il y a désinstaller mettre a jour sauvegarder et modifier
est ce que je fais quand même toutes les autres consignes?
Malekal_morte-
Messages postés
167250
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
19 juin 2019
15876 -
Positionnes Windows Script Host sur désactiver puis sauvegarder
0
Merci
voici le texte après redémarrage FRST


Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 03-08-2016
Exécuté par PC-ALEXY (2016-08-04 21:06:30) Run:2
Exécuté depuis C:\Users\PC-ALEXY\Desktop
Profils chargés: PC-ALEXY (Profils disponibles: PC-ALEXY)
Mode d'amorçage: Normal
==============================================

fixlist contenu:

CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-3342651913-2562215486-469465099-1000\...\Run: [Format Factory] => Cmd.exe /c start WScript.exe /e:VBScript.Encode C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp
2016-04-28 11:57 - 2015-10-12 10:59 - 0121030 ___SH () C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp
EmptyTemp:


Le Point de restauration a été créé avec succès.
Processus fermé avec succès.
HKU\S-1-5-21-3342651913-2562215486-469465099-1000\Software\Microsoft\Windows\CurrentVersion\Run\\Format Factory => valeur non trouvé(e).
"C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp" => non trouvé(e).

=========== EmptyTemp: ==========

BITS transfer queue => 8388608 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 6081988 B
Java, Flash, Steam htmlcache => 620 B
Windows/system/drivers => 9414 B
Edge => 0 B
Chrome => 0 B
Firefox => 90837104 B
Opera => 0 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
Public => 0 B
ProgramData => 0 B
systemprofile => 0 B
systemprofile32 => 0 B
LocalService => 0 B
NetworkService => 0 B
PC-ALEXY => 518683 B

RecycleBin => 0 B
EmptyTemp: => 100.9 MB données temporaires supprimées.

================================


Le système a dû redémarrer.

Fin de Fixlog 21:07:06

0
Merci
voilà pour la partie clée usb

Rem-VBSworm v8.0

=========== - General info:

Running under: PC-ALEXY on profile: C:\Users\PC-ALEXY
Computer name: PC-ALEXY-PC

Operating System:
Microsoft Windowsÿ7 dition Familiale Premium

Boot Mode:
Normal boot

Antivirus software installed:
AVG AntiVirus Free Edition


Executed on: 04/08/2016 @ 21:18:36,99

=========== - Drive info:

Listing currently attached drives:
Caption Description VolumeName

C: Disque fixe local

D: Disque fixe local RECOVERY

E: Disque CD-ROM




Physical drives information:
C: \Device\HarddiskVolume2 NTFS
D: \Device\HarddiskVolume3 NTFS

=========== - Disinfection info:


=========== - USB drive info:

a: selected

USB Device ID:
IDE\DISKST9500420AS_____________________________0006HPM1\5&13A68E9F&0&0.0.0




Listing root contents of a:

USB drive disinfected and files unhidden!!



Merci d'avance!!!
Malekal_morte-
Messages postés
167250
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
19 juin 2019
15876 -
Tu as bien mis ta clef USB et donné la lettre de celle-ci ?
Cela a nettoyé les raccourcis malveillant ?
0
Merci
oups!!! c'est une liseuse elle s'était éteinte désolé
erreur réparée!!

Rem-VBSworm v8.0

=========== - General info:

Running under: PC-ALEXY on profile: C:\Users\PC-ALEXY
Computer name: PC-ALEXY-PC

Operating System:
Microsoft Windowsÿ7 dition Familiale Premium

Boot Mode:
Normal boot

Antivirus software installed:
AVG AntiVirus Free Edition


Executed on: 05/08/2016 @ 11:35:17,86

=========== - Drive info:

Listing currently attached drives:
Caption Description VolumeName

C: Disque fixe local

D: Disque fixe local RECOVERY

E: Disque CD-ROM

F: Disque amovible




Physical drives information:
C: \Device\HarddiskVolume2 NTFS
D: \Device\HarddiskVolume3 NTFS
F: \Device\HarddiskVolume4 FAT

=========== - Disinfection info:


=========== - USB drive info:

a: selected

USB Device ID:
IDE\DISKST9500420AS_____________________________0006HPM1\5&13A68E9F&0&0.0.0

USBSTOR\DISK&VEN_SAMSUNG&PROD_E65&REV_0323\3230204E6F76&0




Listing root contents of a:

USB drive disinfected and files unhidden!!



encore une foois merci!!!
Malekal_morte-
Messages postés
167250
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
19 juin 2019
15876 -
cela donne quoi ?
0
Merci
ben j'ai toujours ces dossiers et si je demande leur suppression, ils reviennent.
je crois bien que je n’arriverais jamais à m'en défaire!!!

en tout cas merci de m'avoir aider!!
Malekal_morte-
Messages postés
167250
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
19 juin 2019
15876 -
Fais un nettoyage tutoriel USBFix
donne le rapport via http://pjjoint.malekal.com
0
Merci
petit problème usbfix ne se lance pas
a parti de 80% la fenêtre se ferme et une autre s’ouvre me demandant si je veux la nouvelle version télécharger les mises a jour ou continuer
quand je ferme cette fenêtre ça m'ouvre une page internet qui emmène sur le site de sos virus qui me demande de télécharger unsbfix
je suis donc coincé

j'ai tout fermé et demandé un redémarrage, maintenant j'ai un bloc note vide du nom de errorlog qui s'ouvre.

j'ai due faire une grosse con....rie
désolé!!! un vrai boulet!!!
Messages postés
167250
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
19 juin 2019
15876
0
Merci
humm ok, refais un scan FRST et donne les rapports via pjjoint.
0
Merci
cette fois il n'y en a que deux, le shortcut n'y est pas (j'ai relancer deux fois pour voir si se serais toujours pareille)

http://pjjoint.malekal.com/files.php?id=20160805_r13m13d9c5t6
http://pjjoint.malekal.com/files.php?id=FRST_20160805_t13x9h10i6d14
Messages postés
167250
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
19 juin 2019
15876
0
Merci
ok le virus est encore actif.
Dans ta correction précédente, il ne l'était plus, donc je pense que tu as dû réinfecter l'ordinateur ce matin à 11:15 :

2016-08-05 11:55 - 2015-10-12 10:59 - 00121030 ___SH C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp

Ca veut aussi dire que tu n'as pas désactivé Windows Script Host.


Retire toutes les clefs et n'en utilise plus pour le moment.

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

Ouvre le bloc-notes : Touche Windows + R,
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit :

CreateRestorePoint:
CloseProcesses:
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\errorlog.txt [2016-08-05] ()
HKU\S-1-5-21-3342651913-2562215486-469465099-1000\...\Run: [Format Factory] => Cmd.exe /c start WScript.exe /e:VBScript.Encode C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp
C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp
reg: reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f
reg: reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f
Task: {D640301E-C317-4DCB-9139-7520AF3EBBC4} - System32\Tasks\{DA11261A-BC5F-4784-B0AE-C1B0EDFE7E65} => C:\Users\PC-ALEXY\Downloads\UsbFix_2016_8.248.exe [2016-08-05] (El Desaparecido - SosVirus.net - UsbFix.net)
Reboot:



Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",

A gauche, place toi sur le Bureau,

Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.


Redémarre l'ordinateur.


Peux-tu vérifier que sur Marmiton, Windows Script Host est bien désactivé ?
Si c'est le cas, tu mets sur désactiver et clic sur Sauvegarder.

Refais un scan FRST et donne les nouveaux rapports.

0
Merci
voici le bloc note après redemarage
Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 03-08-2016
Exécuté par PC-ALEXY (2016-08-05 17:05:01) Run:3
Exécuté depuis C:\Users\PC-ALEXY\Desktop
Profils chargés: PC-ALEXY (Profils disponibles: PC-ALEXY)
Mode d'amorçage: Normal
==============================================

fixlist contenu:

CreateRestorePoint:
CloseProcesses:
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\errorlog.txt [2016-08-05] ()
HKU\S-1-5-21-3342651913-2562215486-469465099-1000\...\Run: [Format Factory] => Cmd.exe /c start WScript.exe /e:VBScript.Encode C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp
C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp
reg: reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f
reg: reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f
Task: {D640301E-C317-4DCB-9139-7520AF3EBBC4} - System32\Tasks\{DA11261A-BC5F-4784-B0AE-C1B0EDFE7E65} => C:\Users\PC-ALEXY\Downloads\UsbFix_2016_8.248.exe [2016-08-05] (El Desaparecido - SosVirus.net - UsbFix.net)
Reboot:


Le Point de restauration a été créé avec succès.
Processus fermé avec succès.
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\errorlog.txt => déplacé(es) avec succès
HKU\S-1-5-21-3342651913-2562215486-469465099-1000\Software\Microsoft\Windows\CurrentVersion\Run\\Format Factory => valeur supprimé(es) avec succès
C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp => déplacé(es) avec succès

========= reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f =========

L'op‚ration a r‚ussi.



========= Fin de Reg: =========


========= reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f =========

L'op‚ration a r‚ussi.



========= Fin de Reg: =========

"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{D640301E-C317-4DCB-9139-7520AF3EBBC4}" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{D640301E-C317-4DCB-9139-7520AF3EBBC4}" => clé supprimé(es) avec succès
C:\Windows\System32\Tasks\{DA11261A-BC5F-4784-B0AE-C1B0EDFE7E65} => déplacé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\{DA11261A-BC5F-4784-B0AE-C1B0EDFE7E65}" => clé supprimé(es) avec succès


Le système a dû redémarrer.

Fin de Fixlog 17:05:26

WSH est bien désactivé
0
Merci
nouveau rapport

http://pjjoint.malekal.com/files.php?id=FRST_20160805_y11q15g6i15b10
http://pjjoint.malekal.com/files.php?id=20160805_1315e9p7j9

tjrs pas de sortcurt par contre
Messages postés
167250
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
19 juin 2019
15876
0
Merci
ok là il est plus actif.

Si WSH n'est plus actif, tu devrais plus infecté ton ordinateur.
Tu as des données à récupérer sur tes clefs USB ou rien ?
non pas du tout je veux juste me débarrasser une bonne fois pour toute de ce truc
0
Merci
je sais que je fais ch..er mais je fais quoi maintenant?
je relance usbfix?
Malekal_morte-
Messages postés
167250
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
19 juin 2019
15876 -
Formates tes clefs, ce sera plus simple.
Tu ne les ouvres pas.
Tu insères, n'ouvre rien
Mon ordinateur, sur ta clef, clic droit et formater.
0
Merci
Merci pour tout!!!
je suis enfin débarrasser de cette cochonnerie!!!
Messages postés
167250
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
19 juin 2019
15876
0
Merci
Super :)

Renforce la sécurité de ton Windows : Comment sécuriser mon Windows

green day
Messages postés
26509
Date d'inscription
vendredi 30 septembre 2005
Statut
Modérateur, Contributeur sécurité
Dernière intervention
17 juin 2019
1213 -
Il est trop fort ce Malekal :))
Malekal_morte-
Messages postés
167250
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
19 juin 2019
15876 > green day
Messages postés
26509
Date d'inscription
vendredi 30 septembre 2005
Statut
Modérateur, Contributeur sécurité
Dernière intervention
17 juin 2019
-
gnagnagna =)