Sujet Précédent Sujet Suivant

Réparer dossiers infectés par trojan

vero78 -  
jlpjlp Messages postés 52399 Statut Contributeur sécurité -
Bonjour,

Un virus, win32: trojan-gen, a infesté deux dossiers sur une clé USB. Il les a transformés en exécutable.
Comment faire pour nettoyer les dossiers et récupérer les données (hyper important et pas de sauvegarde bien sûr !).
Merci de votre aide.
A voir également:

9 réponses

Réponse 1 / 9
jlpjlp Messages postés 52399 Statut Contributeur sécurité 5 040
 
slt

• Télécharge et installe
http://pagesperso-orange.fr/NosTools/Chiquitine29/UsbFix.exe
https://www.androidworld.fr/

par El Desaparecido

(!) Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d'avoir été infectées sans les ouvrir

• Fais un clic droit sur le raccourci UsbFix présent sur ton bureau et choisis "éxécuter en tant qu'administrateur" .

• Au menu principal choisis l'option " F " pour français et tape sur [entrée] .

• Au second menu Choisis l'option " 1 " (recherche) et tape sur [entrée]

• Laisse travailler l'outil.

• Ensuite poste le rapport UsbFix.txt qui apparaitra.

• Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque. ( C:\UsbFix.txt )

( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller )

• Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

• Tuto : http://pagesperso-orange.fr/NosTools/usbfix.html
0
vero78
 
J'ai téléchargé usbfix et j'ai laissé le logiciel travailler. Mais il est resté coincé sur le fichier G:\zzqcfg.exe.
J'ai essayé de t'écrire mais impossible mozilla ramait. J'ai donc fermé mozilla et là impossible de l'ouvrir ni aucune autre application, ni aucun fichier. J'ai aussi ensuite fermé usb fix mais plus rien ne fonctionne.
Qu'est ce que je dois faire ??
Merci de ton aide
0
vero78
 
J'ai réussi en redémarrant l'ordi et en recommançant avec usbfix.
Voici le rapport :
############################# | UsbFix V6.071 |

User : Rourou (Administrateurs) # PC-DE-ROUROU
Update on 06/01/2010 by El Desaparecido , C_XX & Chimay8
Start at: 20:52:21 | 07/01/2010
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

Genuine Intel(R) CPU 585 @ 2.16GHz
Microsoft® Windows Vista™ Édition Familiale Basique (6.0.6002 32-bit) # Service Pack 2
Internet Explorer 7.0.6002.18005
Windows Firewall Status : Enabled

C:\ -> Disque fixe local # 74,37 Go (28,24 Go free) [Vista] # NTFS
D:\ -> Disque amovible # 245,73 Mo (201,27 Mo free) [KINGSTON] # FAT
E:\ -> Disque fixe local # 73,21 Go (68,51 Go free) [Data] # NTFS
F:\ -> Disque CD-ROM # 6,59 Go (0 Mo free) [BURN_AFTER_READING] # UDF
G:\ -> Disque fixe local # 232,82 Go (226,09 Go free) [SAMSUNG] # FAT32

############################## | Processus actifs |

C:\Windows\System32\smss.exe 452
C:\Windows\system32\csrss.exe 528
C:\Windows\system32\wininit.exe 572
C:\Windows\system32\csrss.exe 580
C:\Windows\system32\winlogon.exe 632
C:\Windows\system32\services.exe 660
C:\Windows\system32\lsass.exe 672
C:\Windows\system32\lsm.exe 680
C:\Windows\system32\svchost.exe 856
C:\Windows\Microsoft.Net\Framework\v3.0\WPF\PresentationFontCache.exe 928
C:\Windows\system32\svchost.exe 972
C:\Windows\System32\svchost.exe 1012
C:\Windows\System32\svchost.exe 1084
C:\Windows\System32\svchost.exe 1192
C:\Windows\system32\svchost.exe 1212
C:\Windows\system32\SLsvc.exe 1320
C:\Windows\system32\svchost.exe 1352
C:\Windows\system32\svchost.exe 1480
C:\Windows\system32\WLANExt.exe 1600
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe 1616
C:\Program Files\Alwil Software\Avast4\ashServ.exe 1632
C:\Windows\System32\spoolsv.exe 1980
C:\Windows\system32\svchost.exe 2008
C:\Program Files\a-squared Anti-Malware\a2service.exe 844
C:\Windows\system32\agrsmsvc.exe 960
C:\Program Files\TOSHIBA\ConfigFree\CFSvcs.exe 1208
C:\Windows\system32\svchost.exe 1500
C:\Windows\system32\svchost.exe 340
C:\Program Files\Toshiba TEMPRO\TempoSVC.exe 1104
C:\Windows\system32\taskeng.exe 1164
C:\Program Files\TOSHIBA\TOSHIBA DVD PLAYER\TNaviSrv.exe 2072
C:\Windows\system32\TODDSrv.exe 2096
C:\Program Files\TOSHIBA\Power Saver\TosCoSrv.exe 2116
C:\Program Files\TOSHIBA\SMARTLogService\TosIPCSrv.exe 2144
C:\Program Files\Common Files\Ulead Systems\DVD\ULCDRSvr.exe 2216
C:\Windows\System32\svchost.exe 2240
C:\Windows\system32\SearchIndexer.exe 2264
C:\Program Files\TOSHIBA\SmartFaceV\SmartFaceVWatchSrv.exe 3276
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe 3344
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe 3380
C:\Windows\system32\taskeng.exe 3896
C:\Windows\system32\Dwm.exe 3944
C:\Windows\Explorer.EXE 4008
C:\Program Files\Windows Defender\MSASCui.exe 2564
C:\Program Files\Java\jre6\bin\jusched.exe 2440
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe 532
C:\Program Files\TOSHIBA\ConfigFree\NDSTray.exe 12
C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe 2352
C:\Program Files\Google\Google EULA\GoogleEULALauncher.exe 2376
C:\Program Files\Toshiba TEMPRO\Toshiba.Tempo.UI.TrayApplication.exe 2652
C:\Program Files\TOSHIBA\Toshiba Online Product Information\TOPI.exe 2660
C:\Windows\System32\igfxtray.exe 2616
C:\Windows\System32\igfxpers.exe 2584
C:\Windows\system32\igfxsrvc.exe 2772
C:\Windows\RtHDVCpl.exe 2768
C:\Program Files\TOSHIBA\Power Saver\TPwrMain.exe 1376
C:\Program Files\TOSHIBA\SmoothView\SmoothView.exe 2720
C:\Program Files\TOSHIBA\FlashCards\TCrdMain.exe 2812
C:\Program Files\Camera Assistant Software for Toshiba\traybar.exe 2892
C:\Program Files\Alwil Software\Avast4\ashDisp.exe 2904
C:\Program Files\a-squared Anti-Malware\a2guard.exe 2932
C:\Program Files\TOSHIBA\TOSCDSPD\TOSCDSPD.exe 2996
C:\Program Files\Windows Live\Messenger\msnmsgr.exe 3004
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe 2656
C:\Program Files\Camera Assistant Software for Toshiba\CEC_MAIN.exe 1896
C:\Windows\system32\igfxext.exe 3000
C:\Program Files\TOSHIBA\ConfigFree\CFSwMgr.exe 2844
C:\Program Files\Synaptics\SynTP\SynTPHelper.exe 4908
C:\Program Files\Mozilla Firefox\firefox.exe 4668
C:\Windows\system32\wbem\wmiprvse.exe 4332
C:\Windows\system32\conime.exe 6108
C:\Windows\system32\WUDFHost.exe 5288

################## | Elements infectieux |

D:\Recycled.exe
G:\Recycled.exe

################## | Registre |


################## | Mountpoints2 |

HKCU\..\..\Explorer\MountPoints2\{027536c2-3347-11de-a2b8-001e339cdac4}
shell\1\Command =D:\Recycled.exe
shell\2\Command =D:\Recycled.exe
shell\AutoRun\command =C:\Windows\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL D:\Recycled.exe

################## | Cracks > Keygens > Serials |
0
Réponse 2 / 9
jlpjlp Messages postés 52399 Statut Contributeur sécurité 5 040
 
restaure le pc avant le souci
http://www.libellules.ch/restauration_system_vista.php

puis

Télécharge ici :

http://images.malwareremoval.com/random/RSIT.exe

random's system information tool (RSIT) par andom/random et sauvegarde-le sur le Bureau.

Double-clique sur RSIT.exe afin de lancer RSIT.

Clique Continue à l'écran Disclaimer.

Si l'outil HijackThis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera (autorise l'accès dans ton pare-feu, si demandé) et tu devras accepter la licence.

Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront.

Poste le contenu de log.txt (<<qui sera affiché)
ainsi que de info.txt (<<qui sera réduit dans la Barre des Tâches).

NB : Les rapports sont sauvegardés dans le dossier C:\rsit
0
vero78
 
Je n'ai pas vu ton message et j'ai réussi.
Voir message envoyé juste avant.
Merci tout de même de ton aide
0
Réponse 3 / 9
jlpjlp Messages postés 52399 Statut Contributeur sécurité 5 040
 
ok parfait fais l'option 2 de usbfix en laissant tes supports

puis dis si encore des soucis
0
vero78
 
si je fais option 2, c'est suppression. Est ce que cela veut dire que je vais perdre mes données dans les dossiers infectés ? Parce que je dois absolument les garder.
0
Réponse 4 / 9
jlpjlp Messages postés 52399 Statut Contributeur sécurité 5 040
 
non seules les infections partiront

sinon pour info après désinfection si besoin
https://forums.commentcamarche.net/forum/affich-37640569-recuperer-des-donnees-sur-disque-dur-et-cle-usb
0
vero78
 
Voici le rapport. Qu'en penses-tu ?
J'ai bien peur que les deux dossiers que je voulais absolument gardés soient supprimés. Je vais voir sur la clé.
Sinon j'irai voir sur le lien que tu m'as donné. Mais est ce possible lorsque les dossiers étaient sur une clé USB ?


############################# | UsbFix V6.071 |

User : Rourou (Administrateurs) # PC-DE-ROUROU
Update on 06/01/2010 by El Desaparecido , C_XX & Chimay8
Start at: 22:01:13 | 07/01/2010
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

Genuine Intel(R) CPU 585 @ 2.16GHz
Microsoft® Windows Vista™ Édition Familiale Basique (6.0.6002 32-bit) # Service Pack 2
Internet Explorer 7.0.6002.18005
Windows Firewall Status : Enabled

C:\ -> Disque fixe local # 74,37 Go (28,15 Go free) [Vista] # NTFS
D:\ -> Disque amovible # 245,73 Mo (201,27 Mo free) [KINGSTON] # FAT
E:\ -> Disque fixe local # 73,21 Go (68,51 Go free) [Data] # NTFS
F:\ -> Disque CD-ROM # 6,59 Go (0 Mo free) [BURN_AFTER_READING] # UDF
G:\ -> Disque fixe local # 232,82 Go (226,09 Go free) [SAMSUNG] # FAT32

############################## | Processus actifs |

C:\Windows\System32\smss.exe 452
C:\Windows\system32\csrss.exe 528
C:\Windows\system32\wininit.exe 572
C:\Windows\system32\csrss.exe 580
C:\Windows\system32\winlogon.exe 632
C:\Windows\system32\services.exe 664
C:\Windows\system32\lsass.exe 680
C:\Windows\system32\lsm.exe 688
C:\Windows\system32\svchost.exe 856
C:\Windows\Microsoft.Net\Framework\v3.0\WPF\PresentationFontCache.exe 932
C:\Windows\system32\svchost.exe 980
C:\Windows\System32\svchost.exe 1016
C:\Windows\System32\svchost.exe 1088
C:\Windows\System32\svchost.exe 1188
C:\Windows\system32\svchost.exe 1208
C:\Windows\system32\SLsvc.exe 1316
C:\Windows\system32\svchost.exe 1352
C:\Windows\system32\svchost.exe 1496
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe 1608
C:\Windows\system32\WLANExt.exe 1616
C:\Program Files\Alwil Software\Avast4\ashServ.exe 1632
C:\Windows\System32\spoolsv.exe 1980
C:\Windows\system32\svchost.exe 2008
C:\Program Files\a-squared Anti-Malware\a2service.exe 704
C:\Windows\system32\agrsmsvc.exe 844
C:\Program Files\TOSHIBA\ConfigFree\CFSvcs.exe 1028
C:\Windows\system32\svchost.exe 1444
C:\Windows\system32\svchost.exe 840
C:\Program Files\Toshiba TEMPRO\TempoSVC.exe 340
C:\Windows\system32\taskeng.exe 824
C:\Program Files\TOSHIBA\TOSHIBA DVD PLAYER\TNaviSrv.exe 1332
C:\Windows\system32\TODDSrv.exe 2072
C:\Program Files\TOSHIBA\Power Saver\TosCoSrv.exe 2108
C:\Program Files\TOSHIBA\SMARTLogService\TosIPCSrv.exe 2132
C:\Program Files\Common Files\Ulead Systems\DVD\ULCDRSvr.exe 2176
C:\Windows\System32\svchost.exe 2232
C:\Windows\system32\SearchIndexer.exe 2252
C:\Windows\system32\WUDFHost.exe 2396
C:\Program Files\TOSHIBA\SmartFaceV\SmartFaceVWatchSrv.exe 3284
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe 3364
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe 3536
C:\Windows\system32\taskeng.exe 3852
C:\Windows\system32\Dwm.exe 4040
C:\Windows\Explorer.EXE 4080
C:\Windows\system32\wbem\wmiprvse.exe 2052
C:\Windows\System32\rundll32.exe 2500
C:\Windows\system32\runonce.exe 2380
C:\Windows\system32\conime.exe 2312

################## | Elements infectieux |

Supprimé ! C:\$Recycle.Bin\S-1-5-21-1955481035-3129960235-2384039938-1000
Supprimé ! D:\Recycled.exe
Supprimé ! E:\$Recycle.Bin\S-1-5-21-1955481035-3129960235-2384039938-1000
Supprimé ! G:\Recycled.exe

################## | MD5 |

Supprimé ! D:\ACRC usb felix MAZZONI.exe
Supprimé ! D:\JULIA MUC.exe
Supprimé ! G:\System Volume Information\_restore{A51C5CDE-3710-45ED-AEAF-4DBEE7E77752}\RP555\A0136139.exe
Supprimé ! G:\System Volume Information\_restore{71098F3C-A1EB-4A91-B548-B2C12F310422}\RP952\A0090347.exe
Supprimé ! G:\System Volume Information\_restore{71098F3C-A1EB-4A91-B548-B2C12F310422}\RP952\A0090348.exe
Supprimé ! G:\System Volume Information\_restore{71098F3C-A1EB-4A91-B548-B2C12F310422}\RP952\A0090349.EXE

################## | Registre |


################## | Mountpoints2 |

Supprimé ! HKCU\...\Explorer\MountPoints2\{027536c2-3347-11de-a2b8-001e339cdac4}\Shell\1\Command

################## | Listing des fichiers présent |

[18/09/2006 22:43|--a------|24] C:\autoexec.bat
[11/04/2009 07:36|-rahs----|333257] C:\bootmgr
[13/08/2008 07:17|-ra-s----|8192] C:\BOOTSECT.BAK
[18/09/2006 22:43|--a------|10] C:\config.sys
[?|?|?] C:\hiberfil.sys
[29/02/2004 16:44|--a------|52576] C:\orange.bmp
[?|?|?] C:\pagefile.sys
[31/03/2009 17:23|--a------|651] C:\RHDSetup.log
[19/11/2008 08:38|--ah-----|123] C:\SWSTAMP.TXT
[07/01/2010 22:06|--a------|4421] C:\UsbFix.txt
[04/11/2008 14:40|--a------|143360] D:\Document pr‚sentation club CE.doc
[23/11/2009 14:38|--a------|126464] D:\ADIA.doc
[03/06/2008 00:15|--ahs----|462336] D:\ehthumbs_vista.db
[08/09/2009 11:37|--a------|111104] D:\annexes acrc.doc
[06/07/2009 10:57|---h-----|30208] D:\~WRL0001.tmp
[06/07/2009 11:41|---h-----|30208] D:\~WRL0003.tmp
[10/11/2009 11:25|--a------|60416] D:\DOSSIER PDUC TRAME SEFOUDINE.doc
[06/07/2009 11:43|---h-----|30208] D:\~WRL2206.tmp
[06/07/2009 11:52|---h-----|30720] D:\~WRL3619.tmp
[25/11/2008 22:32|--a------|11] E:\R10274FR.tag
[30/10/2009 12:53|--a------|184565] G:\formulaire devis bouquet travaux.pdf
[30/10/2009 12:55|--a------|185408] G:\formulaire-factures prˆt taux 0.pdf
[06/12/2009 19:14|--a------|93296] G:\Demande ecosubvention.pdf
[06/12/2009 19:15|--a------|72897] G:\Plan_Financement ecosubvention.pdf
[06/12/2009 19:16|--a------|76084] G:\Demande_Avance ecosubvention.pdf
[30/12/2009 15:12|--a------|287110] G:\formulaire chŠques vacances.pdf
[02/01/2010 22:58|--ahs----|27136] G:\Thumbs.db

################## | Vaccination |

# C:\autorun.inf -> Dossier créé par UsbFix.
# D:\autorun.inf -> Dossier créé par UsbFix.
# E:\autorun.inf -> Dossier créé par UsbFix.
# G:\autorun.inf -> Dossier créé par UsbFix.

################## | Crack > Keygen > Serial |


################## | ! Fin du rapport # UsbFix V6.071 ! |
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 5 / 9
jlpjlp Messages postés 52399 Statut Contributeur sécurité 5 040
 
c'est ceci que tu voulais?

D:\ACRC usb felix MAZZONI.exe
D:\JULIA MUC.exe

passe restoration ou pc inspector files il devrait les trouver
0
vero78
 
J'ai retrouvé les deux dossiers avec restoration mais malgré tous nos efforts ces dossiers sont restés en .exe donc je n'arrive pas à las ouvrir.
As tu une encore idée à me donner ?
Merci
0
Réponse 6 / 9
jlpjlp Messages postés 52399 Statut Contributeur sécurité 5 040
 
Clique dessus avec le bouton droit et renomme le fichier en .doc . Et dis si cela et ok . Puis colle un scan en ligne de chez secuser
0
vero78
 
Bonsoir,

J'ai essayé de renommer les dossiers mais cela ne marche pas. Dans le dossier restoration j'ai retrouvé des docs de ces dossiers mais la plupart sont abimés et beaucoup ne s'ouvrent plus. Est ce qu'il y a encore quelque chose à faire ou c'est foutu.
0
Réponse 7 / 9
jlpjlp Messages postés 52399 Statut Contributeur sécurité 5 040
 
passe rav et flash disinfector comme indiqué ici:

https://forums.commentcamarche.net/forum/affich-37636394-desinfecter-une-cle-usb-ou-un-disque-amovible

_______________________

puis colle un scan en ligne de secuser en demandant de désinfecter:
http://www.secuser.com/outils/antivirus.htm
0
vero78
 
J'ai passé rav. Flash desinfector n'a pas marché et je n'arrive pas à faire un scan en ligne de securiser, ça rame et cela ne s'ouvre pas. J'essaierai plus tard.
En tous les cas merci beaucoup pour ton aide
0
Réponse 8 / 9
jlpjlp Messages postés 52399 Statut Contributeur sécurité 5 040
 
ok sinon un scan en ligne de chez bitdefender

http://www.bitdefender.fr/scan_fr/scan8/ie.html

pour vérifier sinon ton pc:

Télécharge ici :

http://images.malwareremoval.com/random/RSIT.exe

random's system information tool (RSIT) par andom/random et sauvegarde-le sur le Bureau.

Double-clique sur RSIT.exe afin de lancer RSIT.

Clique Continue à l'écran Disclaimer.

Si l'outil HijackThis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera (autorise l'accès dans ton pare-feu, si demandé) et tu devras accepter la licence.

Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront.

Poste le contenu de log.txt (<<qui sera affiché)
ainsi que de info.txt (<<qui sera réduit dans la Barre des Tâches).

NB : Les rapports sont sauvegardés dans le dossier C:\rsit
0
vero78
 
D"après le scan de bitdefender aucune infection détectée.
Est ce que je dois quand même faire le reste ?
0
Réponse 9 / 9
jlpjlp Messages postés 52399 Statut Contributeur sécurité 5 040
 
oui
0

Discussions similaires

Menace détectée TrojanSMS-PA sur Google Huawei/Android
Outmost -
bazfile -

6 réponses
REPARER OUTLOOK 2007
belioffa -
Claude-Paul -

11 réponses