Autorun invisible Résolu/Fermé

Question

Bonjour, 

Voici le problème que je rencontre actuellement, j'espère pouvoir vous l'exposer le plus clairement possible.
Ne parvenant plus à ouvrir mes disques, j'en ai déduit que je devais avoir un autorun quelque part. J'ai donc cherché à activer l'option "Afficher les dossiers et affichés cachés", mais cette dernière ne reste pas activée. Je ne parviens donc pas à trouver le fichier autorun...
Je crains que le problème ne soit plus profond... mais j'aimerais vraiment éviter de réinstaller windows !

Espérant que quelqu'un puisse venir à mon secours :-)

Merci d'avance !

H3RV3 · Answer

Salut,

On peut analyser ton PC pour vérifier une éventuelle infection.
Pour cela, suis cette procédure :

&#9679; Télécharge ZHPDiag de Nicolas Coolman sur ton bureau

&#9679; Double clique sur le fichier téléchargé pour lancer l'installation

&#9679; Laisse toi guider pendant l'installation. Coche la case pour créer un raccourci sur le bureau et exécute ZHPDiag à la fin de l'installation

&#9679; Clique sur l'icône représentant une loupe ("Lancer le diagnostic") et patiente pendant le scan

&#9679; Clique sur l'icône représentant une disquette ("Sauvegarder le fichier sous") et enregistre le rapport sur ton bureau

&#9679; Ferme ZHPDiag, héberge le rapport ZHPDiag.txt sur le site ci-joint puis copie/colle le lien fourni dans ta réponse

&#9658; Aide en images

Utilisateur anonyme · Answer

Salut Calisto_859 Prends l habitude si un jour tu reviens pour demander de l aide donne plus d infos au départ sur ton OS (systéme d exploitation) etc... * Télécharge Random's System Information Tool (RSIT) par random/random et sauvegarde-le sur ton Bureau. >> Random's System Information Tool (RSIT) par random/random * Double-clique sur RSIT.exe afin de lancer RSIT. * Sous ==> Windows7/ Vista. * Clic droit sur l'icône RSIT.exe , puis sur Exécuter en tant qu'administrateur dans le menu déroulant,afin de lancer RSIT. * Clique sur Continue à l'écran Disclaimer. * Si l'outil HijackThis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera et tu devras accepter la licence. * Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront. * Poste le contenu de log.txt (<==qui sera affiché) ainsi que de info.txt (<==qui sera réduit dans la Barre des Tâches). * Héberge les rapports un par un sur ce site, cijoint.fr * Copie/colle les liens générés ici * Note : Les deux rapports sont également sauvegardés %systemroot%\rsit Pour les rapports * rends toi sur http://www.cijoint.fr * clic sur Parcourir * trouve >> le rapport que tu viens d'enregistrer qui doit par exemple être sur ton bureau * et valide en cliquant sur >> Cliquez ici pour déposer le Fichier * un lien de ce genre http://www.cijoint.fr/cjlink.php?file=cj201004/cijecaEGX.txt te sera généré, * il te suffit de le poster Comme dis je n ai pas ces infos si tu as >> Windows7 > RSIT ne fonctionnera pas >> pas Compatible avec Windows7 donc dans ce cas * Désactive l'UAC Windows7 >> UAC Windows7 * Télécharge ZHPDiag (de Nicolas coolman) >> ZHPDiag (de Nicolas coolman) * Laisse toi guider lors de l'installation, il se lancera automatiquement à la fin. * Clique sur l'icône représentant une loupe (« Lancer le diagnostic ») * Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette * Héberge le rapport sur ce site, >> Cijoint.fr * puis copie/colle le lien fourni dans ta prochaine réponse sur le forum. * Réactive l'UAC Pour t aider ,pour heberger le rapport * rends toi sur Cijoint.fr * clic sur Parcourir * trouve >> le rapport que tu viens d'enregistrer qui doit par exemple être sur ton bureau * et valide en cliquant sur >> Cliquez ici pour déposer le Fichier * un lien de ce genre http://www.cijoint.fr/cjlink.php?file=cj201004/cijecaEGX.txt te sera généré, * il te suffit de le poster

Utilisateur anonyme · Answer

Salut 

H3RV3 te salue

Excuse j avais pas vu ton message

Je te laisse continuer avec Calisto_859 ,

@+

Calisto_859 · Answer

Désolée, c'est ma première fois ;-) 

Pour info, je suis sous XP.

Voici le lien :

http://www.cijoint.fr/cjlink.php?file=cj201006/cijxcTfivj.txt

En tout cas merci pour le coup de main !

H3RV3 · Answer

Note : tu as une infection qui se propage par les disques amovibles.

&#9679; Télécharge USBFix (de El Desaparecido et C_XX) sur ton Bureau

&#9679; Double clique sur UsbFix.exe

&#9679; Au menu principal choisis l'option "Recherche"

&#9679; Branche à ton PC tes disques amovibles (clé USB, disque dur externe, lecteur MP3, téléphone, etc...) susceptibles d'avoir été infectés sans les ouvrir quand l'outil te le demande et clique sur le bouton OK

&#9679; Patiente pendant que l'outil fait son travail

&#9679; Un rapport va s'ouvrir, copie/colle le dans ta réponse

&#9650; Le rapport est sauvegardé dans C:\UsbFix.txt

Tutoriel recherche en images

Calisto_859 · Answer

Voici le rapport :

############################## | Usbfix 7.009 | [Recherche]

Utilisateur: Utilisateur (Administrateur) # NETBOOK [ ]
Mis à jour le 12/06/10 par El Desaparecido / C_XX
Lancé à 11:22:16 | 14/06/2010
Site Web: http://pagesperso-orange.fr/NosTools/index.html
Contact: FindyKill.Contact@gmail.com

CPU:  Intel(R) Atom(TM) CPU N280 @ 1.66GHz
CPU 2:  Intel(R) Atom(TM) CPU N280 @ 1.66GHz
Microsoft Windows XP Édition familiale (5.1.2600 32-Bit) # Service Pack 3
Internet Explorer 8.0.6001.18702

Pare-feu Windows: Activé
Antivirus: AVG Anti-Virus Free 9.0 [Enabled | Updated]
RAM -> 1015 Mo 
C:\ (%systemdrive%) -> Disque fixe # 72 Go (42 Go libre(s) - 59%) [] # NTFS
D:\ -> Disque fixe # 72 Go (20 Go libre(s) - 28%) [] # NTFS
F:\ -> Disque amovible # 8 Go (2 Go libre(s) - 23%) [] # FAT32

################## | Éléments infectieux |

Présent! C:\Autorun.inf
Présent! D:\Autorun.inf
Présent! C:\Recycler\S-1-5-21-1587366337-2621620293-932596963-1005
Présent! C:\Restore\S-1-5-21-1482476501-1644491937-682003330-1013
Présent! D:\Recycler\S-1-5-21-1587366337-2621620293-932596963-1005

################## | Registre |


################## | Mountpoints2 |

HKCU\.\.\.\.\Explorer\MountPoints2\{180f8027-684d-11df-85e8-0025d3370ec6}
Shell\AutoRun\Command = E:\RESTORE\S-1-5-21-1482476501-1644491937-682003330-1013\ise32.exe
Shell\open\Command = E:\RESTORE\S-1-5-21-1482476501-1644491937-682003330-1013\ise32.exe

HKCU\.\.\.\.\Explorer\MountPoints2\{29228ffc-aee9-11de-8318-806d6172696f}
Shell\AutoRun\Command = 12gn6id2.exe
Shell\open\Command = 12gn6id2.exe

HKCU\.\.\.\.\Explorer\MountPoints2\{29228ffd-aee9-11de-8318-806d6172696f}
Shell\AutoRun\Command = 12gn6id2.exe
Shell\open\Command = 12gn6id2.exe

HKCU\.\.\.\.\Explorer\MountPoints2\{3ece6fbf-c2f4-11de-8344-0025d3370ec6}
Shell\AutoRun\Command = E:\SamsungSoftware\APPInst.exe

HKCU\.\.\.\.\Explorer\MountPoints2\{44cec9fe-f797-11de-83e4-0025d3370ec6}
Shell\AutoRun\Command = E:\RESTORE\S-1-5-21-1482476501-1644491937-682003330-1013\ise32.exe
Shell\open\Command = E:\RESTORE\S-1-5-21-1482476501-1644491937-682003330-1013\ise32.exe

HKCU\.\.\.\.\Explorer\MountPoints2\{d1c73bda-02d6-11df-8430-0025d3370ec6}
Shell\AutoRun\Command = E:\RESTORE\S-1-5-21-1482476501-1644491937-682003330-1013\ise32.exe
Shell\open\Command = E:\RESTORE\S-1-5-21-1482476501-1644491937-682003330-1013\ise32.exe

HKCU\.\.\.\.\Explorer\MountPoints2\{e5b53565-3212-11df-8502-0025d3370ec6}
Shell\AutoRun\Command = E:\RECYCLER\S-1-6-21-2434476501-1644491937-600003330-1213\RemovableDriveHelper.exe
Shell\open\Command = E:\RECYCLER\S-1-6-21-2434476501-1644491937-600003330-1213\RemovableDriveHelper.exe


################## | Vaccin |

(!) Cet ordinateur n'est pas vacciné!

################## | E.O.F |

H3RV3 · Answer

Bien, tu es sûr d'avoir bien branché tous tes disque amovibles ?

Si c'est le cas, on continue avec la suppression :

&#9679; Relance UsbFix.exe

&#9679; Au menu principal choisis l'option "Suppression"

&#9679; Branche à ton PC tes disques amovibles (clé USB, disque dur externe, lecteur MP3, téléphone, etc...) susceptibles d'avoir été infectés sans les ouvrir quand l'outil te le demande et clique sur le bouton OK

&#9679; Patiente pendant que l'outil travaille

&#9679; A la fin de la suppression un rapport va s'ouvrir, copie/colle le dans ta réponse

&#9650; Le rapport est sauvegardé dans C:\UsbFix.txt

Tutoriel suppression en images

Calisto_859 · Answer

De nouveau : 


############################## | Usbfix 7.009 | [Suppression]

Utilisateur: Utilisateur (Administrateur) # NETBOOK [ ]
Mis à jour le 12/06/10 par El Desaparecido / C_XX
Lancé à 11:45:30 | 14/06/2010
Site Web: http://pagesperso-orange.fr/NosTools/index.html
Contact: FindyKill.Contact@gmail.com

CPU:  Intel(R) Atom(TM) CPU N280 @ 1.66GHz
CPU 2:  Intel(R) Atom(TM) CPU N280 @ 1.66GHz
Microsoft Windows XP Édition familiale (5.1.2600 32-Bit) # Service Pack 3
Internet Explorer 8.0.6001.18702

Pare-feu Windows: Activé
Antivirus: AVG Anti-Virus Free 9.0 [Enabled | Updated]
RAM -> 1015 Mo 
C:\ (%systemdrive%) -> Disque fixe # 72 Go (42 Go libre(s) - 59%) [] # NTFS
D:\ -> Disque fixe # 72 Go (20 Go libre(s) - 28%) [] # NTFS
F:\ -> Disque amovible # 8 Go (2 Go libre(s) - 23%) [] # FAT32

################## | Éléments infectieux |

Supprimé! C:\Autorun.inf
Supprimé! D:\Autorun.inf
Supprimé! F:\Autorun.inf
Supprimé! C:\Recycler\S-1-5-21-1587366337-2621620293-932596963-1005
Supprimé! C:\Restore\S-1-5-21-1482476501-1644491937-682003330-1013
Supprimé! D:\Recycler\S-1-5-21-1587366337-2621620293-932596963-1005
Supprimé! F:\Restore\S-1-5-21-1482476501-1644491937-682003330-1013
Non supprimé ! F:\12gn6id2.exe
Non supprimé ! F:\33r.exe
Non supprimé ! F:\6mxvohs.exe
Non supprimé ! F:\awb3ryk.exe
Non supprimé ! F:\bu8.exe
Non supprimé ! F:\ca.exe
Non supprimé ! F:\cgaqyi.exe
Non supprimé ! F:\chxnxyx.exe
Non supprimé ! F:\cobn8w3.exe
Non supprimé ! F:\eer6ril9.exe
Non supprimé ! F:\f662sjd.exe
Non supprimé ! F:\hc3hvi0.exe
Non supprimé ! F:
6eyw.exe
Non supprimé ! F:\p6xebrnt.exe
Non supprimé ! F:\p9rs.exe
Non supprimé ! F:\q0wfr.exe
Non supprimé ! F:\qhbfqx.exe
Non supprimé ! F:hwhin.exe
Non supprimé ! F:pw.exe
Non supprimé ! F:\wa.exe
Non supprimé ! F:\wkimt.exe

################## | Registre |


################## | Mountpoints2 |

Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{180f8027-684d-11df-85e8-0025d3370ec6}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{3ece6fbf-c2f4-11de-8344-0025d3370ec6}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{d1c73bda-02d6-11df-8430-0025d3370ec6}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{e5b53565-3212-11df-8502-0025d3370ec6}

################## | Listing |

[14/06/2010 - 10:24:10 | HD ] 	C:\$AVG
[23/02/2010 - 17:24:48 | A | 0] 	C:\AUTOEXEC.BAT
[02/10/2009 - 02:29:37 | RASH | 216] 	C:\boot.ini
[14/04/2008 - 14:00:00 | RASH | 4952] 	C:\Bootfont.bin
[23/02/2010 - 17:24:48 | A | 0] 	C:\CONFIG.SYS
[13/06/2010 - 23:25:56 | D ] 	C:\Documents and Settings
[12/05/2010 - 23:24:01 | D ] 	C:\Intel
[23/02/2010 - 17:24:48 | RASH | 0] 	C:\IO.SYS
[23/02/2010 - 17:24:48 | RASH | 0] 	C:\MSDOS.SYS
[12/05/2010 - 23:44:56 | RHD ] 	C:\MSOCache
[14/04/2008 - 14:00:00 | RASH | 47564] 	C:\NTDETECT.COM
[14/04/2008 - 14:00:00 | RASH | 252240] 	C:
tldr
[14/06/2010 - 08:57:09 | ASH | 1598029824] 	C:\pagefile.sys
[14/06/2010 - 10:49:26 | RD ] 	C:\Program Files
[14/06/2010 - 11:53:52 | SHD ] 	C:\RECYCLER
[31/05/2010 - 10:58:10 | RSHD ] 	C:\RESTORE
[14/06/2010 - 10:47:24 | D ] 	C:sit
[02/10/2009 - 02:22:47 | SHD ] 	C:\System Volume Information
[14/06/2010 - 11:53:52 | D ] 	C:\UsbFix
[14/06/2010 - 11:53:53 | A | 1862] 	C:\Usbfix.txt
[14/06/2010 - 09:35:02 | D ] 	C:\WINDOWS
[18/11/2009 - 11:14:24 | D ] 	D:\b11a364b2ae9b6972715
[08/06/2010 - 18:35:06 | D ] 	D:\Films
[14/06/2010 - 11:53:52 | SHD ] 	D:\RECYCLER
[02/10/2009 - 02:21:39 | SHD ] 	D:\System Volume Information
[13/06/2010 - 23:38:57 | D ] 	D:\Séries
[24/04/2010 - 18:32:22 | A | 576606208] 	F:\Torchwood.S03E02.VOSTFR.HDTV.XviD-DRAGONS.avi
[12/04/2010 - 16:51:18 | N | 118784] 	F:\chxnxyx.exe
[25/04/2010 - 12:12:22 | N | 128512] 	F:\hc3hvi0.exe
[05/04/2010 - 18:13:34 | D ] 	F:\Guadeloupe
[18/03/2010 - 12:24:38 | SHD ] 	F:\Recycled
[05/04/2010 - 15:34:22 | D ] 	F:\Mémoire
[10/05/2010 - 20:03:34 | N | 112640] 	F:\qhbfqx.exe
[13/05/2010 - 15:22:02 | A | 3268608] 	F:\EBAUCHE2.doc
[13/05/2010 - 13:00:50 | N | 112640] 	F:
6eyw.exe
[27/04/2010 - 18:24:34 | N | 110592] 	F:\wkimt.exe
[01/05/2010 - 11:19:38 | N | 110592] 	F:\ca.exe
[01/05/2010 - 20:50:12 | N | 110080] 	F:pw.exe
[12/05/2010 - 18:01:40 | N | 113152] 	F:\12gn6id2.exe
[15/05/2010 - 13:40:00 | N | 112640] 	F:\p9rs.exe
[17/05/2010 - 22:44:14 | N | 112640] 	F:\p6xebrnt.exe
[19/05/2010 - 17:49:56 | N | 114176] 	F:hwhin.exe
[19/05/2010 - 18:25:00 | N | 114176] 	F:\cobn8w3.exe
[21/05/2010 - 11:33:46 | N | 115712] 	F:\eer6ril9.exe
[22/05/2010 - 15:07:06 | N | 114688] 	F:\q0wfr.exe
[24/05/2010 - 14:23:20 | N | 114688] 	F:\33r.exe
[26/05/2010 - 08:30:58 | N | 113152] 	F:\f662sjd.exe
[26/05/2010 - 18:08:44 | N | 114176] 	F:\wa.exe
[29/05/2010 - 10:43:46 | N | 114688] 	F:\bu8.exe
[31/05/2010 - 18:56:12 | N | 113664] 	F:\cgaqyi.exe
[02/06/2010 - 17:31:40 | N | 115200] 	F:\6mxvohs.exe
[04/06/2010 - 09:07:12 | N | 116736] 	F:\awb3ryk.exe
[07/06/2010 - 23:32:08 | RSH | 115200] 	F:\yqq8eqil.exe
[07/06/2010 - 23:30:18 | RSHD ] 	F:\RESTORE

################## | Vaccin |

C:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
D:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
F:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)

################## | Upload |

Veuillez envoyer le fichier: C:\UsbFix_Upload_Me_NETBOOK.zip
https://www.ionos.fr/?affiliate_id=77097
Merci de votre contribution.

################## | E.O.F |

Calisto_859 · Answer

Je peux de nouveau ouvrir mes disques ! Le problème me semble donc réglé :)
Je te remercie pour l'aide que tu m'as accordée !

Encore merci et bonne journée !

H3RV3 · Answer

Le problème est malheureusement loin d'être réglé, de nombreux fichiers infectés n'ont pas pu être supprimés de ta clé USB et le problème risque de vite se représenter.

Essaie comme çà :
&#9679; Désinstalle d'abord Spybot S&D à partir du panneau de configuration. Ce programme ne sert pas à grand chose, à part ralentir ton PC.
&#9679; Redémarre ton PC
&#9679; Essaie de repasser l'option "Suppression" de UsbFix après avoir branché ta clé USB.

Calisto_859 · Answer

Je me suis donc réjouie trop vite...
Voici le nouveau rapport :


############################## | Usbfix 7.009 | [Suppression]

Utilisateur: Utilisateur (Administrateur) # NETBOOK [ ]
Mis à jour le 12/06/10 par El Desaparecido / C_XX
Lancé à 13:27:24 | 14/06/2010
Site Web: http://pagesperso-orange.fr/NosTools/index.html
Contact: FindyKill.Contact@gmail.com

CPU:  Intel(R) Atom(TM) CPU N280 @ 1.66GHz
CPU 2:  Intel(R) Atom(TM) CPU N280 @ 1.66GHz
Microsoft Windows XP Édition familiale (5.1.2600 32-Bit) # Service Pack 3
Internet Explorer 8.0.6001.18702

Pare-feu Windows: Activé
Antivirus: AVG Anti-Virus Free 9.0 [Enabled | Updated]
RAM -> 1015 Mo 
C:\ (%systemdrive%) -> Disque fixe # 72 Go (42 Go libre(s) - 59%) [] # NTFS
D:\ -> Disque fixe # 72 Go (20 Go libre(s) - 28%) [] # NTFS
F:\ -> Disque amovible # 8 Go (2 Go libre(s) - 23%) [] # FAT32

################## | Éléments infectieux |

Supprimé! C:\Recycler\S-1-5-21-1587366337-2621620293-932596963-1005
Supprimé! D:\Recycler\S-1-5-21-1587366337-2621620293-932596963-1005
Non supprimé ! F:\12gn6id2.exe
Non supprimé ! F:\33r.exe
Non supprimé ! F:\6mxvohs.exe
Non supprimé ! F:\awb3ryk.exe
Non supprimé ! F:\bu8.exe
Non supprimé ! F:\ca.exe
Non supprimé ! F:\cgaqyi.exe
Non supprimé ! F:\chxnxyx.exe
Non supprimé ! F:\cobn8w3.exe
Non supprimé ! F:\eer6ril9.exe
Non supprimé ! F:\f662sjd.exe
Non supprimé ! F:\hc3hvi0.exe
Non supprimé ! F:
6eyw.exe
Non supprimé ! F:\p6xebrnt.exe
Non supprimé ! F:\p9rs.exe
Non supprimé ! F:\q0wfr.exe
Non supprimé ! F:\qhbfqx.exe
Non supprimé ! F:hwhin.exe
Non supprimé ! F:pw.exe
Non supprimé ! F:\wa.exe
Non supprimé ! F:\wkimt.exe

################## | Registre |


################## | Mountpoints2 |

Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{44cec9fe-f797-11de-83e4-0025d3370ec6}

################## | Listing |

[14/06/2010 - 10:24:10 | HD ] 	C:\$AVG
[23/02/2010 - 17:24:48 | A | 0] 	C:\AUTOEXEC.BAT
[14/06/2010 - 11:54:02 | RASHD ] 	C:\Autorun.inf
[02/10/2009 - 02:29:37 | RASH | 216] 	C:\boot.ini
[14/04/2008 - 14:00:00 | RASH | 4952] 	C:\Bootfont.bin
[23/02/2010 - 17:24:48 | A | 0] 	C:\CONFIG.SYS
[13/06/2010 - 23:25:56 | D ] 	C:\Documents and Settings
[12/05/2010 - 23:24:01 | D ] 	C:\Intel
[23/02/2010 - 17:24:48 | RASH | 0] 	C:\IO.SYS
[23/02/2010 - 17:24:48 | RASH | 0] 	C:\MSDOS.SYS
[12/05/2010 - 23:44:56 | RHD ] 	C:\MSOCache
[14/04/2008 - 14:00:00 | RASH | 47564] 	C:\NTDETECT.COM
[14/04/2008 - 14:00:00 | RASH | 252240] 	C:
tldr
[14/06/2010 - 13:25:05 | ASH | 1598029824] 	C:\pagefile.sys
[14/06/2010 - 13:23:16 | RD ] 	C:\Program Files
[14/06/2010 - 13:36:38 | SHD ] 	C:\RECYCLER
[14/06/2010 - 11:48:08 | RSHD ] 	C:\RESTORE
[14/06/2010 - 10:47:24 | D ] 	C:sit
[02/10/2009 - 02:22:47 | SHD ] 	C:\System Volume Information
[14/06/2010 - 13:36:38 | D ] 	C:\UsbFix
[14/06/2010 - 13:36:39 | A | 1648] 	C:\Usbfix.txt
[14/06/2010 - 11:54:04 | A | 23380] 	C:\UsbFix_Upload_Me_NETBOOK.zip
[14/06/2010 - 12:00:41 | D ] 	C:\WINDOWS
[14/06/2010 - 11:54:02 | RASHD ] 	D:\Autorun.inf
[18/11/2009 - 11:14:24 | D ] 	D:\b11a364b2ae9b6972715
[08/06/2010 - 18:35:06 | D ] 	D:\Films
[14/06/2010 - 13:36:38 | SHD ] 	D:\RECYCLER
[02/10/2009 - 02:21:39 | SHD ] 	D:\System Volume Information
[13/06/2010 - 23:38:57 | D ] 	D:\Séries
[24/04/2010 - 18:32:22 | A | 576606208] 	F:\Torchwood.S03E02.VOSTFR.HDTV.XviD-DRAGONS.avi
[12/04/2010 - 16:51:18 | N | 118784] 	F:\chxnxyx.exe
[25/04/2010 - 12:12:22 | N | 128512] 	F:\hc3hvi0.exe
[05/04/2010 - 18:13:34 | D ] 	F:\Guadeloupe
[18/03/2010 - 12:24:38 | SHD ] 	F:\Recycled
[05/04/2010 - 15:34:22 | D ] 	F:\Mémoire
[10/05/2010 - 20:03:34 | N | 112640] 	F:\qhbfqx.exe
[13/05/2010 - 15:22:02 | A | 3268608] 	F:\EBAUCHE2.doc
[13/05/2010 - 13:00:50 | N | 112640] 	F:
6eyw.exe
[27/04/2010 - 18:24:34 | N | 110592] 	F:\wkimt.exe
[01/05/2010 - 11:19:38 | N | 110592] 	F:\ca.exe
[01/05/2010 - 20:50:12 | N | 110080] 	F:pw.exe
[12/05/2010 - 18:01:40 | N | 113152] 	F:\12gn6id2.exe
[15/05/2010 - 13:40:00 | N | 112640] 	F:\p9rs.exe
[17/05/2010 - 22:44:14 | N | 112640] 	F:\p6xebrnt.exe
[19/05/2010 - 17:49:56 | N | 114176] 	F:hwhin.exe
[19/05/2010 - 18:25:00 | N | 114176] 	F:\cobn8w3.exe
[21/05/2010 - 11:33:46 | N | 115712] 	F:\eer6ril9.exe
[22/05/2010 - 15:07:06 | N | 114688] 	F:\q0wfr.exe
[24/05/2010 - 14:23:20 | N | 114688] 	F:\33r.exe
[26/05/2010 - 08:30:58 | N | 113152] 	F:\f662sjd.exe
[26/05/2010 - 18:08:44 | N | 114176] 	F:\wa.exe
[29/05/2010 - 10:43:46 | N | 114688] 	F:\bu8.exe
[31/05/2010 - 18:56:12 | N | 113664] 	F:\cgaqyi.exe
[02/06/2010 - 17:31:40 | N | 115200] 	F:\6mxvohs.exe
[04/06/2010 - 09:07:12 | N | 116736] 	F:\awb3ryk.exe
[07/06/2010 - 23:32:08 | RSH | 115200] 	F:\yqq8eqil.exe
[07/06/2010 - 23:30:18 | RSHD ] 	F:\RESTORE
[14/06/2010 - 11:54:04 | RASHD ] 	F:\Autorun.inf

################## | Vaccin |

C:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
D:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
F:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)

################## | Upload |

Veuillez envoyer le fichier: C:\UsbFix_Upload_Me_NETBOOK.zip
https://www.ionos.fr/?affiliate_id=77097
Merci de votre contribution.

################## | E.O.F |

H3RV3 · Answer

Les fichiers sont toujours présents, on va essayer de les supprimer avec un autre outil. Branche ta clé USB puis : 

&#9679;  Télécharge OTM (de Old_Timer) sur ton Bureau

&#9679; Sous XP : Double clique sur OTM.exe
&#9679; Sous Vista : Fais un clic droit sur OTM.exe et sélectionne "Exécuter en tant qu'administrateur"

&#9679; Copie la liste ci-dessous et colle-la dans le cadre jaune (celui de gauche) de OTM sous Paste Instructions for Items to be Moved





:Services

:files
F:\12gn6id2.exe
F:\33r.exe
F:\6mxvohs.exe
F:\awb3ryk.exe
F:\bu8.exe
F:\ca.exe
F:\cgaqyi.exe
F:\chxnxyx.exe
F:\cobn8w3.exe
F:\eer6ril9.exe
F:\f662sjd.exe
F:\hc3hvi0.exe
F:
6eyw.exe
F:\p6xebrnt.exe
F:\p9rs.exe
F:\q0wfr.exe
F:\qhbfqx.exe
F:hwhin.exe
F:pw.exe
F:\wa.exe
F:\wkimt.exe 

:reg

:commands
[emptytemp]




&#9679; Clique sur le bouton MoveIt! pour lancer la suppression.

&#9679; Clique sur le bouton YES pour redémarrer le PC

&#9679; Un rapport s'ouvre au redémarrage du PC, copie/colle le dans ta réponse

&#9650; Le rapport est sauvegardé dans C:\_OTM\MovedFiles

Calisto_859 · Answer

Le voici :


All processes killed
========== SERVICES/DRIVERS ==========
========== FILES ==========
F:\12gn6id2.exe moved successfully.
F:\33r.exe moved successfully.
F:\6mxvohs.exe moved successfully.
F:\awb3ryk.exe moved successfully.
F:\bu8.exe moved successfully.
F:\ca.exe moved successfully.
F:\cgaqyi.exe moved successfully.
F:\chxnxyx.exe moved successfully.
F:\cobn8w3.exe moved successfully.
F:\eer6ril9.exe moved successfully.
F:\f662sjd.exe moved successfully.
F:\hc3hvi0.exe moved successfully.
F:
6eyw.exe moved successfully.
F:\p6xebrnt.exe moved successfully.
F:\p9rs.exe moved successfully.
F:\q0wfr.exe moved successfully.
F:\qhbfqx.exe moved successfully.
F:hwhin.exe moved successfully.
F:pw.exe moved successfully.
F:\wa.exe moved successfully.
F:\wkimt.exe moved successfully.
========== REGISTRY ==========
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: Administrateur
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 32902 bytes
 
User: All Users
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 32902 bytes
 
User: LocalService
->Temp folder emptied: 66016 bytes
->Temporary Internet Files folder emptied: 33458 bytes
 
User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
 
User: Utilisateur
->Temp folder emptied: 1175442 bytes
->Temporary Internet Files folder emptied: 5869582 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 26924919 bytes
->Google Chrome cache emptied: 41264322 bytes
->Flash cache emptied: 1969317 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 3072 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 16867 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temp folder emptied: 49482614 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temporary Internet Files folder emptied: 33170 bytes
RecycleBin emptied: 0 bytes
 
Total Files Cleaned = 121,00 mb
 
 
OTM by OldTimer - Version 3.1.12.2 log created on 06142010_135837

H3RV3 · Answer

Ok, çà a l'air mieux cette fois, refais un rapport ZHPDiag comme ceci :

&#9679; Lance ZHPDiag en cliquant sur le raccourci présent sur ton bureau

&#9679; Clique sur l'icône représentant une loupe ("Lancer le diagnostic") et patiente pendant le scan

&#9679; Clique sur l'icône représentant une disquette ("Sauvegarder le fichier sous") et enregistre le rapport sur ton bureau

&#9679; Ferme ZHPDiag, héberge le rapport ZHPDiag.txt sur le site ci-joint puis copie/colle le lien fourni dans ta réponse

Calisto_859 · Answer

Voilà le lien :

http://www.cijoint.fr/cjlink.php?file=cj201006/cijodULPtI.txt

H3RV3 · Answer

Ok, on va maintenant vérifier qu'il n'y ait pas d'autres infections :

&#9679; Télécharge Malwarebytes' Anti-Malware (MBAM)

&#9679; Double clique sur mbam-setup.exe pour lancer l'installation

&#9679; Laisse les options par défaut lors de l'installation

&#9679; Lance MBAM et laisse les Mises à jour se télécharger

&#9679; Va dans l'onglet Recherche, choisis "Exécuter un examen complet" puis clique sur Rechercher
Note : le scan peut durer plusieurs heures en fonction de la quantité de données présente sur ton PC

&#9679; A la fin du scan, clique sur Afficher les résultats

&#9679; Coche tous les éléments détectés puis clique sur Supprimer la sélection

&#9679; S'il t'est demandé de redémarrer, clique sur Yes

&#9679; Un rapport va s'ouvrir, copie/colle le dans ta réponse

&#9650; Le rapport se trouve dans l'onglet Rapports/Logs de MBAM

Calisto_859 · Answer

Voici le dernier rapport : 


Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4196

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

14/06/2010 15:52:49
mbam-log-2010-06-14 (15-52-49).txt

Type d'examen: Examen complet (C:\|D:\|F:\|)
Elément(s) analysé(s): 188352
Temps écoulé: 1 heure(s), 23 minute(s), 42 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 2
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 1
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 15

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{28abc5c0-4fcb-11cf-aax5-81cx1c635612} (Generic.Bot.H) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Active Setup\Installed Components\{28abc5c0-4fcb-11cf-aax5-81cx1c635612} (Trojan.Agent) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\System Volume Information\_restore{A98A3BAD-A175-4B0C-8961-C8189C0EDD33}\RP78\A0026512.exe (Worm.AutoRun) -> Quarantined and deleted successfully.
C:\_OTM\MovedFiles\06142010_135837\F_\12gn6id2.exe (Worm.Taterf) -> Quarantined and deleted successfully.
C:\_OTM\MovedFiles\06142010_135837\F_\33r.exe (Spyware.OnlineGames) -> Quarantined and deleted successfully.
C:\_OTM\MovedFiles\06142010_135837\F_\bu8.exe (Worm.Tarterf) -> Quarantined and deleted successfully.
C:\_OTM\MovedFiles\06142010_135837\F_\ca.exe (Worm.AutoRun) -> Quarantined and deleted successfully.
C:\_OTM\MovedFiles\06142010_135837\F_\chxnxyx.exe (Spyware.OnlineGames) -> Quarantined and deleted successfully.
C:\_OTM\MovedFiles\06142010_135837\F_\cobn8w3.exe (Spyware.OnlineGames) -> Quarantined and deleted successfully.
C:\_OTM\MovedFiles\06142010_135837\F_\eer6ril9.exe (Spyware.OnlineGames) -> Quarantined and deleted successfully.
C:\_OTM\MovedFiles\06142010_135837\F_\hc3hvi0.exe (Spyware.OnlineGames) -> Quarantined and deleted successfully.
C:\_OTM\MovedFiles\06142010_135837\F_
6eyw.exe (Worm.Taterf) -> Quarantined and deleted successfully.
C:\_OTM\MovedFiles\06142010_135837\F_\q0wfr.exe (Spyware.OnlineGames) -> Quarantined and deleted successfully.
C:\_OTM\MovedFiles\06142010_135837\F_\qhbfqx.exe (Spyware.OnlineGames) -> Quarantined and deleted successfully.
C:\_OTM\MovedFiles\06142010_135837\F_hwhin.exe (Spyware.OnlineGames) -> Quarantined and deleted successfully.
C:\_OTM\MovedFiles\06142010_135837\F_\wa.exe (Spyware.OnlineGames) -> Quarantined and deleted successfully.
C:\_OTM\MovedFiles\06142010_135837\F_\wkimt.exe (Spyware.OnlineGames) -> Quarantined and deleted successfully.

H3RV3 · Answer

Bien, les fichiers trouvés sont ceux supprimés précédemment.
Comment va ton PC ?

Si c'est ok pour toi, voila la suite :

&#9679; Double clique sur ZHPFix qui présent sur ton bureau

&#9679; Clique sur l'icône représentant un A rouge

&#9679; Clique sur le bouton Nettoyer

&#9679; Copie/colle le rapport qui apparaîtra à la fin

Calisto_859 · Answer

Mon PC semble tenir le choc :-) 
Voici le rapport :

Processus mémoire :
(Néant)

Module mémoire :
(Néant)

Clé du Registre :
(Néant)

Valeur du Registre :
(Néant)

Elément de données du Registre :
(Néant)

Préférences navigateur :
(Néant)

Dossier :
(Néant)

Fichier :
(Néant)

Logiciel :
O63 - Logiciel: ZHPDiag 1.25  => Logiciel supprimé avec succès

Script Registre :
(Néant)

Master Boot Record :
(Néant)

Autre :
(Néant)


Récapitulatif :
Processus mémoire : 0
Module mémoire : 0
Clé du Registre : 0
Valeur du Registre : 0
Elément de données du Registre : 0
Dossier : 0
Fichier : 0
Logiciel : 1
Master Boot Record : 0
Préférences navigateur : 0
Autre : 0


End of the scan

H3RV3 · Answer

Parfait, on peut donc continuer.

Tu peux supprimer le dossier C:\_OTM

Ensuite :

&#9679; Télécharge HijackThis sur ton bureau

&#9679; Sous XP : Double clique sur HijackThis.exe
&#9679; Sous Vista/7 : Fais un clic droit sur HijackThis.exe et choisis exécuter en tant qu'administrateur

&#9679; Clique sur Do a system Scan only

&#9679; Coche les cases suivantes (si elles sont présentes) :




O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} . (.Pas de propriétaire - Pas de description.) -- (.not file.)
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] . (.Adobe Systems Incorporated - Adobe Acrobat SpeedLauncher.) -- C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe 
O4 - HKCU\..\Run: [Google Update] . (.Google Inc. - Programme d'installation de Google.) -- C:\Documents and Settings\Utilisateur\Local Settings\Application Data\Google\Update\GoogleUpdate.exe 
O4 - Global Startup: OneNote 2007 - Capture d'écran et lancement.lnk . (.Microsoft Corporation - Microsoft Office OneNote Quick Launcher.)  -- C:\Program Files\Microsoft Office\Office12\ONENOTEM.EXE
O4 - Global Startup: OpenOffice.org 3.2.lnk . (.Pas de propriétaire - Pas de description.)  -- C:\Program Files\OpenOffice.org 3\program\quickstart.exe
O9 - Extra 'Tools' menuitem: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} . (.not file.) - C:\PROGRA~1\Skype\Toolbars\INTERN~1\favicon.ico
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} . (.not file.) - (.not file.)




&#9679; Clique sur Fix checked puis sur "Oui" dans la fenêtre d'avertissement

&#9679; Ferme HijackThis

Calisto_859 · Answer

HijackThis Fermé !

Est-ce terminé ? Je n'ose pas me réjouir ?

H3RV3 · Answer

Pas encore tout à fait, mais c'est en bonne voie :).  
Je te préviendrai quand çà le sera. 

La suite :  

Suppression des points de restauration :  
&#9679; Clique sur Démarrer  
&#9679; Clique droit sur Poste de travail  
&#9679; Clique sur Propriétés  
&#9679; Clique sur l'onglet Restauration du système  
&#9679; Clique sur Restauration système  
&#9679; Coche la case Désactiver la Restauration du système sur tous les lecteurs  
&#9679; Clique sur Appliquer  
&#9679; Clique sur Oui au message "Voulez-vous vraiment désactiver la restauration système ?"  
&#9679; Décoche la case Désactiver la Restauration du système sur tous les lecteurs  
&#9679; Clique sur Appliquer  
&#9679; Clique sur OK  

Création d'un nouveau point de restauration :  
&#9679; Clique sur Démarrer  
&#9679; Clique sur Programmes  
&#9679; Clique sur Accessoires  
&#9679; Clique sur Outils système  
&#9679; Clique sur Restauration système  
&#9679; Active la restauration si un message le demande  
&#9679; Sélectionne Créer un point de restauration  
&#9679; Clique sur Suivant  
&#9679; Entre une Description  
&#9679; Clique sur Créer  
&#9679; Clique sur Fermer  


Nettoyage des fichiers temporaires et de la base de registre :  

&#9679; Télécharge Ccleaner  

&#9679; Lance l'installation en double cliquant sur le fichier téléchargé  

&#9679; Laisse les options par défaut lors de l'installation  

&#9679; Lance Ccleaner  

&#9679; Clique sur le bouton Nettoyer et clique sur OK dans la fenêtre d'avertissement  

&#9679; Clique sur l'onglet Registre  

&#9679; Clique sur le bouton Chercher les erreurs  

&#9679; Clique sur le bouton Corriger les erreurs sélectionnées  

&#9679; Refais la recherche d'erreurs jusqu'à ce qu'il n'en trouve plus

Calisto_859 · Answer

C'est fait !

H3RV3 · Answer

Ok, on continue avec les mises à jour importantes à effectuer :


Acrobat Reader :

&#9679; Désinstalle la version 8 en te rendant dans le menu démarrer, le panneau de configuration puis ajout/suppression de programmes

&#9679; Télécharge sur ton bureau la version 9.30 à partir de ce lien

&#9679; Lance AdbeRdr930_fr_FR.exe et suis les instructions


Firefox :

&#9679; Lance Firefox

&#9679; Va dans le menu ? (à droite du menu Outils) puis clique sur Rechercher les mises à jour

&#9679; Installe la mise à jour trouvée

Calisto_859 · Answer

Les mises à jour sont effectuées !
Quelle est la suite du programme :-) ?

H3RV3 · Answer

Je te donne la suite et fin un peu plus tard dans la soirée ;), je dois m'absenter.

Calisto_859 · Answer

Aucun problème ! 

Je te remercie déjà énormément !

H3RV3 · Answer

Me revoilà, pour terminer :

Pour garder tes logiciels à jour, tu peux utiliser régulièrement Update Checker comme ceci :

&#9679; Télécharge Update Checker de FileHippo.com sur ton bureau

&#9679; Exécute UpdateChecker.exe et patiente pendant qu'il vérifie les versions de tes logiciels installés

&#9679; Une page internet va s'ouvrir avec les mises à jour disponible

&#9679; Clique sur les flèches vertes pour accéder aux nouvelles mises à jour que tu souhaites installer (n'installe pas les programmes betas)


Tu peux garder Malwarebytes et Ccleaner afin de faire un scan de temps en temps avec.


Je te conseille aussi ces extensions pour améliorer la sécurité de la navigation avec Firefox :

&#9679; WOT (Web Of Trust) : cette extension permettra de savoir, quand tu accèdes à un site ou en faisant une recherche sur Google, s'il s'agit d'un site de confiance ou au contraire à éviter.
Lien de l'extension : https://addons.mozilla.org/fr/firefox/addon/wot-safe-browsing-tool/

&#9679; Adblock Plus : cette extension permet de bloquer les pages ou bannières publicitaires. Cela permet de ne pas être envahit par toutes les publicités et accélère l'accès aux pages web.
Lien de l'extension : https://addons.mozilla.org/fr/firefox/addon/adblock-plus/


A savoir :

Le plus grand risque d'infection, c'est toi.

Réfléchi avant d'ouvrir un mail, de télécharger un fichier, de cliquer sur un lien ou d'aller sur un réseau P2P.

Garde ton système d'exploitation ainsi que tous tes logiciels à jour.

Un peu de lecture : Sécuriser son ordinateur (merci à Malekal)


Si après tout çà tu n'as plus de question, merci de mettre le sujet en résolu.

Calisto_859 · Answer

Bonjour, 

Je te remercie encore une fois pour ton aide ;-)

H3RV3 · Answer

Aucun problème, j'en ai profité pour mettre le sujet en résolu :)

Autorun invisible

30 réponses

Discussions similaires