Autorun infecté sur DD [Resolu]

Télécharge et installe UsbFix par El Desaparecido , C_XX & Chimay8
http://pagesperso-orange.fr/NosTools/Chiquitine29/UsbFix.exe

(!) Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d'avoir été infectées sans les ouvrir.

* Double clic sur le raccourci UsbFix présent sur ton bureau .

* Au menu principal choisis l'option " F " pour français et tape sur [entrée] .

* Au second menu Choisis l'option " 1 " (recherche) et tape sur [entrée]

* Laisse travailler l'outil.

* Ensuite poste le rapport UsbFix.txt qui apparaitra.

Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque. ( C:\UsbFix.txt )

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

Note2 : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

* Tuto : http://pagesperso-orange.fr/NosTools/usbfix.html

Voila :

############################## | UsbFix V6.100 |

User : Kévin (Administrateurs) # PC-DE-KÉVIN
Update on 18/03/2010 by El Desaparecido , C_XX & Chimay8
Start at: 22:55:25 | 25/03/2010
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

Intel(R) Core(TM)2 Duo CPU T6500 @ 2.10GHz
Microsoft Windows 7 Édition Familiale Premium (6.1.7600 32-bit) #
Internet Explorer 8.0.7600.16385
Windows Firewall Status : Enabled

C:\ -> Disque fixe local # 452,75 Go (48,21 Go free) [OS] # NTFS
D:\ -> Disque CD-ROM
E:\ -> Disque fixe local # 931,51 Go (86,95 Go free) [LaCie] # NTFS
F:\ -> Disque CD-ROM
G:\ -> Disque CD-ROM

################## | Elements infectieux |

C:\Windows\Temp\TS_733C.tmp
C:\Windows\Temp\TS_73D9.tmp
C:\Windows\Temp\TS_74B5.tmp
C:\Windows\Temp\TS_79C5.tmp
C:\Windows\Temp\TS_7C74.tmp
C:\Windows\Temp\TS_7D01.tmp
C:\Windows\Temp\TS_825F.tmp
C:\Windows\Temp\TS_834A.tmp
E:\autorun.inf
E:\._autorun.inf

################## | Registre |

################## | Mountpoints2 |

HKCU\..\..\Explorer\MountPoints2\F
shell\AutoRun\command =F:\autorun.exe

HKCU\..\..\Explorer\MountPoints2\G
shell\AutoRun\command =G:\autorun.exe

################## | Vaccin |

################## | ! Fin du rapport # UsbFix V6.100 ! |

/!\ Utilisateur de vista et windows 7 : ne pas oublier de désactiver Le contrôle des comptes utilisateurs
https://www.commentcamarche.net/faq/8343-vista-desactiver-l-uac

Suppression

Branche tes sources de données externes à ton PC, (clé USB, disque dur externe......) susceptibles d'avoir été infectés sans les ouvrir

(1) Double clic sur le raccourci UsbFix présent sur ton bureau

(2) Choisi l option 2 ( Suppression )

Ton bureau disparaitra et le pc redémarrera .

Au redémarrage , UsbFix scannera ton pc , laisse travailler l outil.

Ensuite poste le rapport UsbFix.txt qui apparaitra avec le bureau .

Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque.( C:\UsbFix.txt )

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

PUIS pour vérifier ton PC

Télécharge ici : http://images.malwareremoval.com/random/RSIT.exe
random's system information tool (RSIT) par random/random et sauvegarde-le sur le Bureau.
* Double-clique sur RSIT.exe afin de lancer RSIT.(Avec VISTA/7 > clic-droit et > Exécuter en tant qu'administrateur.
* Lis le contenu de l'écran Disclaimer puis clique sur Continue (si tu acceptes les conditions).
* Si l'outil HijackThis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera (autorise l'accès dans ton pare-feu, si demandé) et tu devras accepter la licence.
* Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront.
* Poste le contenu de log.txt ainsi que info.txt
( tu peux héberger les rapports ici http://www.cijoint.fr/ et me joindre dans ton prochain message le lien )

Voici le rapport de UsbFix :

############################## | UsbFix V6.100 |

User : Kévin (Administrateurs) # PC-DE-KÉVIN
Update on 18/03/2010 by El Desaparecido , C_XX & Chimay8
Start at: 23:12:54 | 25/03/2010
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

Intel(R) Core(TM)2 Duo CPU T6500 @ 2.10GHz
Microsoft Windows 7 Édition Familiale Premium (6.1.7600 32-bit) #
Internet Explorer 8.0.7600.16385
Windows Firewall Status : Enabled

C:\ -> Disque fixe local # 452,75 Go (48,16 Go free) [OS] # NTFS
D:\ -> Disque CD-ROM
E:\ -> Disque fixe local # 931,51 Go (86,95 Go free) [LaCie] # NTFS

################## | Elements infectieux |

Supprimé ! C:\Windows\Temp\TS_733C.tmp
Supprimé ! C:\Windows\Temp\TS_73D9.tmp
Supprimé ! C:\Windows\Temp\TS_74B5.tmp
Supprimé ! C:\Windows\Temp\TS_79C5.tmp
Supprimé ! C:\Windows\Temp\TS_7C74.tmp
Supprimé ! C:\Windows\Temp\TS_7D01.tmp
Supprimé ! C:\Windows\Temp\TS_825F.tmp
Supprimé ! C:\Windows\Temp\TS_834A.tmp
Supprimé ! C:\Users\KVIN~1\AppData\Local\Temp\pyl5356.tmp.exe
Supprimé ! C:\Users\KVIN~1\AppData\Local\Temp\pyl9569.tmp.exe
Supprimé ! C:\Users\KVIN~1\AppData\Local\Temp\pylFE78.tmp.exe
Supprimé ! C:\Users\KVIN~1\AppData\Local\Temp\ubi3879.tmp.exe
Supprimé ! C:\Users\KVIN~1\AppData\Local\Temp\ubi6FFE.tmp.exe
Supprimé ! C:\$Recycle.Bin\S-1-5-20
Supprimé ! C:\$Recycle.Bin\S-1-5-21-2809661239-2106159687-1230491344-1000
Supprimé ! C:\$Recycle.Bin\S-1-5-21-2809661239-2106159687-1230491344-1010
Supprimé ! C:\$Recycle.Bin\S-1-5-21-2809661239-2106159687-1230491344-500
Supprimé ! C:\$Recycle.Bin\S-1-5-21-4033024513-1478960528-2380174147-500
Supprimé ! E:\autorun.inf
Supprimé ! E:\._autorun.inf
Supprimé ! E:\$Recycle.Bin\S-1-5-21-2483671408-1021364198-1601456034-1000
Supprimé ! E:\$Recycle.Bin\S-1-5-21-2809661239-2106159687-1230491344-1000
Supprimé ! E:\$Recycle.Bin\S-1-5-21-2809661239-2106159687-1230491344-1010
Supprimé ! E:\$Recycle.Bin\S-1-5-21-3000000504-334531244-485627060-1000
Supprimé ! E:\$Recycle.Bin\S-1-5-21-3961549423-180843205-3569421265-1000
Supprimé ! E:\$Recycle.Bin\S-1-5-21-3961549423-180843205-3569421265-1004
Supprimé ! E:\Recycler\S-1-5-21-494261498-2794980649-1142284233-1003

################## | Registre |

################## | Mountpoints2 |

Supprimé ! HKCU\...\Explorer\MountPoints2\F\Shell\AutoRun\Command
Supprimé ! HKCU\...\Explorer\MountPoints2\G\Shell\AutoRun\Command

################## | Listing des fichiers présent |

[09/01/2010 14:12|--a------|1024] C:\.rnd
[10/06/2009 22:42|--a------|24] C:\autoexec.bat
[25/11/2009 01:09|---h-----|1404] C:\BackupManager.list
[14/07/2009 02:38|-rahs----|383562] C:\bootmgr
[28/11/2009 12:38|-rahs----|8192] C:\BOOTSECT.BAK
[20/12/2009 14:49|-rahs----|10] C:\config.sys
[?|?|?] C:\hiberfil.sys
[10/12/2009 19:40|-rahs----|0] C:\IO.SYS
[10/12/2009 19:40|-rahs----|0] C:\MSDOS.SYS
[?|?|?] C:\pagefile.sys
[12/07/2009 22:28|--a------|2693] C:\RHDSetup.log
[25/03/2010 23:16|--a------|3015] C:\UsbFix.txt
[24/07/2009 09:16|---hs----|29018] E:\.VolumeIcon.icns
[24/07/2009 09:16|---hs----|25214] E:\.VolumeIcon.ico
[20/02/2010 17:32|--a------|44086458] E:\Pirate Informatique N2.pdf
[26/11/2009 16:42|--a------|9173] E:\VirtualDJ Local Database v5.xml
[05/12/2009 23:57|--a------|14196] E:\VirtualDJ Local Database v6.xml

################## | Vaccination |

# C:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido).
# E:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido).

################## | Upload |

Veuillez envoyer le fichier : C:\UsbFix_Upload_Me_PC-de-K'vin.zip : https://www.ionos.fr/?affiliate_id=77097
Merci pour votre contribution .

################## | ! Fin du rapport # UsbFix V6.100 ! |

Par contre petit problème au niveau de RSIT :
Aprés avoir accepter les condition de HijackThis j'ai l'erreur

Line -1:

Error: Variable used without being declared

Télécharge ZHPDiag (de Nicolas Coolman) sur ton bureau :

-> https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

!! déconnecte toi et ferme toutes tes applications en cours !!

> Clique droit / "executer en tant qu'admin..." sur "ZHPDiag.exe" pour lancer l'installation de l'outil et laisse toi guider ( ne modifie pas les paramètres d'installe et coche bien la case "créer une icone sur le bureau" afin d'avoir les raccourcis "ZHPDiag" et "ZHPFix" ) .

> Lance ZHPDiag ( "en tant qu'admin..." ) depuis le raccourci du bureau .

> Une fois ZHPDiag ouvert, clique sur le bouton "option" en haut sur la droite .
( celui avec le tournevis )

Une liste apparait dans l'encadré principal > vérifie que toutes les lignes soient bien cochées sauf les 045 et 061 ( important ! ) .

> Puis clique sur le bouton de "la loupe" ( en haut à gauche ) pour lancer le scan .

Laisses travailler l'outil ...

> Une fois terminé , le rapport s'affiche : clique sur bouton "disquette" pour sauvegarder le rapport obtenu ...

Enregistre bien ZHPDiag.txt de façon à le retrouver facilement ( sur le bureau par exemple ).

( Sinon le rapport sera en outre sauvegardé dans ce dossier > C:\Program files\ZHPDiag )

Puis ferme le programme ...

> rends toi ensuite sur ce site : http://www.cijoint.fr/

Clique sur "parcourir" et va jusqu'au rapport que tu as sauvegardé .
Clique ensuite sur "cliquer ici pour déposer le fichier" et patiente ...
Une fois l'upload finit , un lien apparait > copie/colle le dans ta prochaine réponse stp ....

Voila : http://www.cijoint.fr/cjlink.php?file=cj201003/cijQShoKZp.txt

tu utilise toujours norton ?

Téléchargez MalwareByte's Anti-Malware

http://www.malwarebytes.org/mbam/program/mbam-setup.exe

. Enregistres le sur le bureau
. Double cliques sur le fichier téléchargé pour lancer le processus d'installation.
. Dans l'onglet "mise à jour", cliques sur le bouton Recherche de mise à jour
. Si le pare-feu demande l'autorisation de se connecter pour malwarebytes, accepte
. Une fois la mise à jour terminé
. Rend-toi dans l'onglet, Recherche
. Sélectionnes Exécuter un examen complet (examen assez long)
. Cliques sur Rechercher
. Le scan démarre.
. A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. Cliquez sur 'Afficher les résultats' pour afficher tous les objets trouvés.
. Cliques sur Ok pour poursuivre.
. Si des malwares ont été détectés, clique sur Afficher les résultats
. Sélectionnes tout (ou laisses cochés) et cliques sur Supprimer la sélection Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
. Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse.
. Rends toi dans l'onglet rapport/log
. Tu cliques dessus pour l'afficher, une fois affiché
. Tu cliques sur edition en haut du boc notes, et puis sur sélectionner tous
. Tu recliques sur edition et puis sur copier et tu reviens sur le forum et dans ta réponse
. tu cliques droit dans le cadre de la reponse et coller

Si tu as besoin d'aide regarde ces tutoriels :
Aide: https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
http://www.infos-du-net.com/forum/278396-11-tuto-malwarebytes-anti-malware-mbam

Malwarebytes' Anti-Malware 1.44
Version de la base de données: 3914
Windows 6.1.7600
Internet Explorer 8.0.7600.16385

26/03/2010 07:04:43
mbam-log-2010-03-26 (07-04-43).txt

Type de recherche: Examen complet (C:\|E:\|)
Eléments examinés: 610088
Temps écoulé: 2 hour(s), 14 minute(s), 18 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 4

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Users\Kévin\Desktop\keygen.exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Program Files\Left 4 Dead 2\Razor1911.exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Program Files\Supreme Commander 2\bin\steam_api.dll (Trojan.Agent) -> Quarantined and deleted successfully.
E:\utorrent\Fini\vmware workstation 7 full - Windows 32bit and 64bit\keygen.exe (Trojan.Agent.CK) -> Quarantined and deleted successfully.

Ps: Non je n'utilise plus Norton et je crois que les "virus" détecter sont des faux positifs ,je les ai supprimer quand même au cas ou.

tu a des reste de norton sur ton PC pour les supprimer fais ceci

http://service1.symantec.com/SUPPORT/INTER/tsgeninfointl.nsf/fr_docid/20050414110429924

Ok ,merci pour ton aide .

/!\ ATTENTION SUIVRE SCRUPULEUSEMENT A LA LETTRE CES INDICATIONS/!\

? Surtout , pense à l'enregistrement à renommer Combofix en "ton prenom.exe" avant qu'il soit enregistré sur ton disque dur

_______________________________________________________________
>Ce logiciel n'est à utiliser que prescrit par un helper qualifié et formé à l'outil.<
>>>>>>>Ne pas utiliser en dehors de ce cas de figure : dangereux!<<<<<<<<
======================================================

? On va utiliser ComboFix.exe. Rends toi sur cette page web pour obtenir les liens de téléchargement, ainsi que des instructions pour exécuter l'outil:

https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

Avant d'utiliser ComboFix :
______________________________________________________________________
>> referme les fenêtres de tous les programmes en cours.
>> Désactive provisoirement et seulement le temps de l'utilisation de ComboFix,
>>la protection en temps réel de ton Antivirus et de tes Antispywares,
>>qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil.
°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°

? !!!!!NE TOUCHE A RIEN PENDANT LE TRAVAIL DE COMBOFIX (SOURIS/CLAVIER.....)!!!!!

? n'oublie pas de reactiver la garde de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet.

>> Reviens sur le forum, et

? copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.