Menu

Virus - Dossiers et fichiers en .exe [Résolu]

Messages postés
34
Date d'inscription
mardi 22 janvier 2019
Dernière intervention
15 février 2019
- - Dernière réponse : chachafab
Messages postés
34
Date d'inscription
mardi 22 janvier 2019
Dernière intervention
15 février 2019
- 15 févr. 2019 à 15:31
Bonjours,
comme vous pouvez le constater ce topic va être un peu le même que celui-ci : https://www.commentcamarche.net/forum/affich-29939040-un-virus-qui-cree-un-dossier-exe
mais là c'est que rien ne marche après avoir essayé toute les solutions.

Quand je branche une clé USB dans mon ordinateur, tout de suite un programme transforme mes fichiers et dossiers en .exe.

Je recherche donc une solution pour supprimer ce programme et réparer mes clés USB sans perte de donnés

Merci d'avance
Afficher la suite 

Votre réponse

14 réponses

Meilleure réponse
Messages postés
163052
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur
Dernière intervention
15 février 2019
21242
1
Merci
Salut,

Déjà pour voir si l'ordinateur est touché :

Pour vérifier ton ordinateur, pour d'éventuels infections et avoir un état général du système :

Suis le tutoriel FRST en cliquant sur ce lien bleu. ( prends le temps de lire attentivement - tout y est bien expliqué ).

Télécharge et lance le scan FRST,
Attendre la fin du scan, un message indique que l'analyse est terminée.

Trois rapports FRST seront générés :
  • FRST.txt
  • Shortcut.
  • Additionnal.txt


Envoie ces 3 rapports sur le site https://pjjoint.malekal.com/ et en retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

(Les liens bleus mènent à des tutoriels explicatifs pas à pas, clic dessus pour avoir les instructions plus précises à suivre).


Dire « Merci » 1

Heureux de vous avoir aidé ! Vous nous appréciez ? Donnez votre avis sur nous ! Evaluez CommentCaMarche

CCM 58233 internautes nous ont dit merci ce mois-ci

Commenter la réponse de Malekal_morte-
Messages postés
163052
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur
Dernière intervention
15 février 2019
21242
1
Merci
L''ordinateur est touché.
Donc pour le moment n'utilise pas de clé USB.

Tu as des programmes qui ont été installés à l'achat de l'ordinateur ou installés par la suite et qui sont pas forcément utiles.
Ils encombrent Windows et peuvent le ralentir.
Tu peux donc les désinstaller.
Vas dans le Panneau de configuration
puis programmes et fonctionnalités.
Désinstalle :

CCleaner
Java
McAfee WebAdvisor
Windscribe



PS : CCleaner n'est pas vraiment utile, même si on le recommande de partout.
Si tu veux le garder, désactive la surveillance de CCleaner, inutile, ça se met au démarrage de Windows et le ralentit avec ces nettoyages incessants, voir : https://www.malekal.com/supprimer-ccleaner-demarrage-windows/



Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.


Start
CloseProcesses:
CreateRestorePoint:
ShortcutTarget: Bonjours Fabien.vbs.lnk -> C:\Users\fabien\Documents\Bonjours Fabien.vbs ()
Startup: C:\Users\fabien\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\logs.lnk [2019-02-12]
ShortcutTarget: logs.lnk -> C:\Users\fabien\AppData\Roaming\UAC.exe (Pas de fichier)
GroupPolicy: Restriction ? <==== ATTENTION
2019-02-11 19:11 - 2019-02-11 19:11 - 000000000 ____D C:\Users\fabien\AppData\Local\ZHP
2019-02-11 18:30 - 2019-02-11 18:30 - 000000000 ____D C:\Users\fabien\AppData\Roaming\ADCU
2019-02-11 16:52 - 2019-02-11 16:52 - 000000000 ____D C:\Users\fabien\AppData\Local\PRAGMA
2019-02-11 16:33 - 2019-02-12 16:57 - 000000000 __SHD C:\ProgramData\SoftwareInformation
Hosts:
EmptyTemp:
RemoveProxy:
Reboot:
End


Enregistre le contenu par le menu fichier puis enregistrer.

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur


Pour te protéger des infections amovibles type Wscript (Windows Script Host)
Télécharger et installer Marmiton
Clic sur Désactiver au niveau de Windows Script Host.
Marmiton va bloquer les scripts malicieux (VBS, VBE, JavaScript etc) notamment qui sont utilisés pour propager des ransomwares comme Locky.


Enfin refais un scan FRST et donne à nouveau les rapports.

Dire « Merci » 1

Heureux de vous avoir aidé ! Vous nous appréciez ? Donnez votre avis sur nous ! Evaluez CommentCaMarche

CCM 58233 internautes nous ont dit merci ce mois-ci

Commenter la réponse de Malekal_morte-
Messages postés
163052
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur
Dernière intervention
15 février 2019
21242
1
Merci
Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.


Start
CloseProcesses:
CreateRestorePoint:
Startup: C:\Users\fabien\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Bonjours Fabien.vbs.lnk [2018-11-21]
ShortcutTarget: Bonjours Fabien.vbs.lnk -> C:\Users\fabien\Documents\Bonjours Fabien.vbs (Pas de fichier)
Hosts:
EmptyTemp:
RemoveProxy:
Reboot:
End


Enregistre le contenu par le menu fichier puis enregistrer.

~~


Pour nettoyer les disques amovibles des virus USB, suivre dans l'ordre les étapes du tutoriel : insère un à un tes clefs USB et disques durs externes que tu as pour les nettoyer. Envoie ensuite les rapports sur https://pjjoint.malekal.com/ et donne les liens menant à ces rapports pour que l'on puisse les consulter.

Brancher toutes les clefs USB et autres périphériques amovibles.
  • Télécharger Remediate VBS Worm
  • Lancer l'option B
  • Taper la lettre de la clef USB, par exemple, E et entrée

[color=red]ATTENTION: NE PAS INDIQUER LE LECTEUR DE TON DISQUE DUR ![/color]
  • Va dans "Mon ordinateur" puis disque "C", un rapport "Rem-VBS.log" doit s'y trouver.

Ouvre ce rapport avec le bloc-notes et copie/colle le contenu ici dans une prochaine réponse.

Dire « Merci » 1

Heureux de vous avoir aidé ! Vous nous appréciez ? Donnez votre avis sur nous ! Evaluez CommentCaMarche

CCM 58233 internautes nous ont dit merci ce mois-ci

Malekal_morte-
Messages postés
163052
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur
Dernière intervention
15 février 2019
21242 > chachafab
Messages postés
34
Date d'inscription
mardi 22 janvier 2019
Dernière intervention
15 février 2019
-
Là tu en as plus, vu que tu as des exécutables
il faut voir si le malware les a laissé.
chachafab
Messages postés
34
Date d'inscription
mardi 22 janvier 2019
Dernière intervention
15 février 2019
-
Dans la 1ère photo le dossier "SoftwareInformation" contient tout le contenu de la clé sans être affecté par le virus
Malekal_morte-
Messages postés
163052
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur
Dernière intervention
15 février 2019
21242 > chachafab
Messages postés
34
Date d'inscription
mardi 22 janvier 2019
Dernière intervention
15 février 2019
-
alors sauvegarde les et après formate la clé ou nettoie la.
chachafab
Messages postés
34
Date d'inscription
mardi 22 janvier 2019
Dernière intervention
15 février 2019
-
je vais essayer mais j'ai peur que ça me renvoie le virus (A moins que MARMITON le bloque + mon anti-virus)
chachafab
Messages postés
34
Date d'inscription
mardi 22 janvier 2019
Dernière intervention
15 février 2019
-
Salut, j'ai réussi à restaurer mes données. J'ai utiliser USBFix et Analyser les disques USB
Commenter la réponse de Malekal_morte-
Messages postés
34
Date d'inscription
mardi 22 janvier 2019
Dernière intervention
15 février 2019
Commenter la réponse de chachafab
Messages postés
34
Date d'inscription
mardi 22 janvier 2019
Dernière intervention
15 février 2019
0
Merci
Résultats de correction de Farbar Recovery Scan Tool (x86) Version: 12-02-2019
Exécuté par Chachafab (13-02-2019 11:22:39) Run:1
Exécuté depuis C:\Users\fabien\Desktop
Profils chargés: Chachafab (Profils disponibles: Chachafab)
Mode d'amorçage: Normal

==============================================

fixlist contenu:

Start
CloseProcesses:
CreateRestorePoint:
ShortcutTarget: Bonjours Fabien.vbs.lnk -> C:\Users\fabien\Documents\Bonjours Fabien.vbs ()
Startup: C:\Users\fabien\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\logs.lnk [2019-02-12]
ShortcutTarget: logs.lnk -> C:\Users\fabien\AppData\Roaming\UAC.exe (Pas de fichier)
GroupPolicy: Restriction ? <==== ATTENTION
2019-02-11 19:11 - 2019-02-11 19:11 - 000000000 ____D C:\Users\fabien\AppData\Local\ZHP
2019-02-11 18:30 - 2019-02-11 18:30 - 000000000 ____D C:\Users\fabien\AppData\Roaming\ADCU
2019-02-11 16:52 - 2019-02-11 16:52 - 000000000 ____D C:\Users\fabien\AppData\Local\PRAGMA
2019-02-11 16:33 - 2019-02-12 16:57 - 000000000 __SHD C:\ProgramData\SoftwareInformation
Hosts:
EmptyTemp:
RemoveProxy:
Reboot:
End


Processus fermé avec succès.
Le Point de restauration a été créé avec succès.
C:\Users\fabien\Documents\Bonjours Fabien.vbs => déplacé(es) avec succès
C:\Users\fabien\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\logs.lnk => déplacé(es) avec succès
"C:\Users\fabien\AppData\Roaming\UAC.exe" => non trouvé(e)
C:\WINDOWS\system32\GroupPolicy\Machine => déplacé(es) avec succès
C:\WINDOWS\system32\GroupPolicy\GPT.ini => déplacé(es) avec succès
C:\Users\fabien\AppData\Local\ZHP => déplacé(es) avec succès
C:\Users\fabien\AppData\Roaming\ADCU => déplacé(es) avec succès
C:\Users\fabien\AppData\Local\PRAGMA => déplacé(es) avec succès
C:\ProgramData\SoftwareInformation => déplacé(es) avec succès
C:\Windows\System32\Drivers\etc\hosts => déplacé(es) avec succès
Hosts restauré(es) avec succès.

========= RemoveProxy: =========

"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès
"HKU\S-1-5-21-2036882412-1662957536-962249123-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\S-1-5-21-2036882412-1662957536-962249123-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès


========= Fin de RemoveProxy: =========


=========== EmptyTemp: ==========

BITS transfer queue => 8388608 B
DOMStoree, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 12123040 B
Java, Flash, Steam htmlcache => 196579003 B
Windows/system/drivers => 458118 B
Edge => 0 B
Chrome => 0 B
Firefox => 253564425 B
Opera => 0 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
Users => 0 B
ProgramData => 0 B
Public => 0 B
systemprofile => 501359 B
LocalService => 4192 B
NetworkService => 5840 B
fabien => 220122485 B

RecycleBin => 188751034 B
EmptyTemp: => 839.7 MB données temporaires supprimées.

================================


Le système a dû redémarrer.

Fin de Fixlog 11:23:22

chachafab
Messages postés
34
Date d'inscription
mardi 22 janvier 2019
Dernière intervention
15 février 2019
-
/\ "Shortcut.txt" n'était pas coché, est-ce sans importance ?
Commenter la réponse de chachafab
Messages postés
163052
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur
Dernière intervention
15 février 2019
21242
0
Merci
ok passe à la dernière partie marmiton + FRST à nouveau.
chachafab
Messages postés
34
Date d'inscription
mardi 22 janvier 2019
Dernière intervention
15 février 2019
-
\/
Commenter la réponse de Malekal_morte-
Commenter la réponse de chachafab
Messages postés
163052
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur
Dernière intervention
15 février 2019
21242
0
Merci
ok je pense que l'on a terminé =)

Supprime le dossier C:\FRST

chachafab
Messages postés
34
Date d'inscription
mardi 22 janvier 2019
Dernière intervention
15 février 2019
-
Je vous envoie les rapports des fois que
Commenter la réponse de Malekal_morte-
Messages postés
34
Date d'inscription
mardi 22 janvier 2019
Dernière intervention
15 février 2019
0
Merci
1ère Clé :

Rem-VBSworm v8.0

=========== - General info:

Running under: Chachafab on profile: C:\Users\fabien
Computer name: LENOVO-PC

Operating System:
Microsoft Windows 8.1

Boot Mode:
Normal boot

Antivirus software installed:
Windows Defender

McAfee VirusScan


Executed on: 13/02/2019 @ 14:31:24,87

=========== - Drive info:

Listing currently attached drives:
Caption Description VolumeName

C: Local Fixed Disk

E: Removable Disk




Physical drives information:
C: \Device\HarddiskVolume4 NTFS
E: \Device\HarddiskVolume10 NTFS

=========== - Disinfection info:


=========== - USB drive info:

E: selected

USB Device ID:
SD\DISK&SAMSUNG&MCG8GC&0.3\4&32E06974&0&3177BCC6

USBSTOR\DISK&VEN_SANDISK&PROD_ULTRA_USB_3.0&REV_1.00\4C530001170417117400&0




WARNING... Possible Andromeda/Gamarue infection...
Listing root contents of E:
Le volume dans le lecteur E n'a pas de nom.
Le num‚ro de s‚rie du volume est BA80-757C

R‚pertoire de E:\

12/02/2019 16:55 <DIR> SoftwareInformation
12/02/2019 19:56 67ÿ072 ldlinux.sys
1 fichier(s) 67ÿ072 octets
1 R‚p(s) 47ÿ692ÿ787ÿ712 octets libres

USB drive disinfected and files unhidden!!


=====================================================
Scan finished at: 14:33:38,54
Send this log only if requested by a helper.
=====================================================

Made by @bartblaze
Tool to delete VBS autorun worm and unhide files
Quarantine folder on: C:\Rem-VBSqt
Info: https://bartblaze.blogspot.com/2014/02/remediate-vbs-malware.html
Commenter la réponse de chachafab
Messages postés
34
Date d'inscription
mardi 22 janvier 2019
Dernière intervention
15 février 2019
0
Merci
2ème clé :

Rem-VBSworm v8.0

=========== - General info:

Running under: Chachafab on profile: C:\Users\fabien
Computer name: LENOVO-PC

Operating System:
Microsoft Windows 8.1

Boot Mode:
Normal boot

Antivirus software installed:
Windows Defender

McAfee VirusScan


Executed on: 13/02/2019 @ 16:28:13,45

=========== - Drive info:

Listing currently attached drives:
Caption Description VolumeName

C: Local Fixed Disk

D: Removable Disk E




Physical drives information:
C: \Device\HarddiskVolume4 NTFS
D: \Device\HarddiskVolume13 FAT

=========== - Disinfection info:


=========== - USB drive info:

D:: selected

USB Device ID:
USBSTOR\DISK&VEN_VERBATIM&PROD_STORE_N_GO&REV_5.00\070B48602C99D076&0

SD\DISK&SAMSUNG&MCG8GC&0.3\4&32E06974&0&3177BCC6




Listing root contents of D::
Le volume dans le lecteur D s'appelle E
Le num‚ro de s‚rie du volume est 0497-458F

R‚pertoire de D:\


USB drive disinfected and files unhidden!!
Commenter la réponse de chachafab
Messages postés
34
Date d'inscription
mardi 22 janvier 2019
Dernière intervention
15 février 2019
0
Merci
3ème clé (avant dernière)

Rem-VBSworm v8.0

=========== - General info:

Running under: Chachafab on profile: C:\Users\fabien
Computer name: LENOVO-PC

Operating System:
Microsoft Windows 8.1

Boot Mode:
Normal boot

Antivirus software installed:
Windows Defender

McAfee VirusScan


Executed on: 13/02/2019 @ 16:40:20,83

=========== - Drive info:

Listing currently attached drives:
Caption Description VolumeName

C: Local Fixed Disk

D: Removable Disk




Physical drives information:
C: \Device\HarddiskVolume4 NTFS
D: \Device\HarddiskVolume16 FAT

=========== - Disinfection info:


=========== - USB drive info:

D:: selected

USB Device ID:
SD\DISK&SAMSUNG&MCG8GC&0.3\4&32E06974&0&3177BCC6

USBSTOR\DISK&VEN_JETFLASH&PROD_TRANSCEND_8GB&REV_1100\028B6G68QL9M0RRM&0




Listing root contents of D::
Le volume dans le lecteur D n'a pas de nom.
Le num‚ro de s‚rie du volume est 228D-DED8

R‚pertoire de D:\


USB drive disinfected and files unhidden!!


=====================================================
Scan finished at: 16:41:04,28
Send this log only if requested by a helper.
=====================================================

Made by @bartblaze
Tool to delete VBS autorun worm and unhide files
Quarantine folder on: C:\Rem-VBSqt
Info: https://bartblaze.blogspot.com/2014/02/remediate-vbs-malware.html
Commenter la réponse de chachafab
Messages postés
163052
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur
Dernière intervention
15 février 2019
21242
0
Merci
ouaip ça semble bon =)
chachafab
Messages postés
34
Date d'inscription
mardi 22 janvier 2019
Dernière intervention
15 février 2019
-
D'ici 13H-13H30 je t'envoie le dernier rapport, après cela je ferais un test sur un autre ordinateur pour clôturer ce post
Commenter la réponse de Malekal_morte-
Messages postés
34
Date d'inscription
mardi 22 janvier 2019
Dernière intervention
15 février 2019
0
Merci
4ème clé : (avec bcp de retard)

Rem-VBSworm v8.0

=========== - General info:

Running under: Chachafab on profile: C:\Users\fabien
Computer name: LENOVO-PC

Operating System:
Microsoft Windows 8.1

Boot Mode:
Normal boot

Antivirus software installed:
Windows Defender

McAfee VirusScan


Executed on: 14/02/2019 @ 19:52:36,88

=========== - Drive info:

Listing currently attached drives:
Caption Description VolumeName

C: Local Fixed Disk

D: Removable Disk




Physical drives information:
C: \Device\HarddiskVolume4 NTFS
D: \Device\HarddiskVolume6 NTFS

=========== - Disinfection info:


=========== - USB drive info:

D:: selected

USB Device ID:
SD\DISK&SAMSUNG&MCG8GC&0.3\4&32E06974&0&3177BCC6

USBSTOR\DISK&VEN_SANDISK&PROD_ULTRA&REV_1.00\4C531000471114108405&0




Listing root contents of D::
Le volume dans le lecteur D n'a pas de nom.
Le num‚ro de s‚rie du volume est BAEE-82DF

R‚pertoire de D:\


USB drive disinfected and files unhidden!!
Commenter la réponse de chachafab
Messages postés
34
Date d'inscription
mardi 22 janvier 2019
Dernière intervention
15 février 2019
0
Merci
C'est tout bon, je ferme donc le post. Merci Malekal_morte-
Commenter la réponse de chachafab