Virus Via port Usb Résolu

Question

Bonjour, 

J'ai un problème avec mon pc, lorsque je branche une clé usb ou un portable à mon pc, ils sont tout de suite infecté et il n'y a plus rien dans mes clés ou cartes mémoires...

Comment je pourrais régler ce problème svp ? Merci

Smart91 · Answer

Bonjour,

- Télécharge UsbFix (créé par El Desaparecido & C_XX) sur ton Bureau. 

Si ton antivirus affiche une alerte, ignore le et désactive le temporairement.

- Branche tes sources de données externes à ton PC (clé USB, disque dur externe, etc...) sans les ouvrir
-  Double clique sur le raccourci UsbFix sur ton Bureau, l'installation se fera automatiquement
-Clique sur "Recherche"
- Laisse travailler l'outil
- A la fin, le rapport va s'afficher : poste le dans ta prochaine réponse (il est aussi sauvegardé a la racine du disque dur)

Aide en images : Tutoriel "Recherche"

Smart

azn-tu · Answer

voila mon rapport : 

############################## | UsbFix 7.019 | [Recherche]

Utilisateur: PLAY (Administrateur) # UTILISA-63MY8XA [Gigabyte Technology Co., Ltd. GA-MA770T-UD3P]
Mis à jour le 03/08/10 par El Desaparecido / C_XX
Lancé à 18:50:52 | 07/08/2010
Site Web: http://pagesperso-orange.fr/NosTools/index.html
Contact: FindyKill.Contact@gmail.com

CPU: AMD Phenom(tm) II X2 550 Processor
CPU 2: AMD Phenom(tm) II X2 550 Processor
Microsoft Windows 7 Édition Intégrale  (6.1.7600 64-Bit) # 
Internet Explorer 8.0.7600.16385

Pare-feu Windows: Activé
RAM -> 4094 Mo 
C:\ (%systemdrive%) -> Disque fixe # 146 Go (85 Go libre(s) - 58%) [] # NTFS
D:\ -> Disque fixe # 319 Go (43 Go libre(s) - 13%) [Data2] # NTFS
E:\ -> CD-ROM
F:\ -> CD-ROM
G:\ -> Disque amovible # 7 Go (6 Go libre(s) - 82%) [Micro sd] # FAT32

################## | Éléments infectieux |

Présent! C:\Users\PLAY\puibug.exe  
Présent! G:\puibug.exe  
Présent! G:\puibug.scr  
Présent! C:\Windows\SysWOW64\autorun.inf
Présent! C:\Users\PLAY\AppData\Local\Temp\7z.exe
Présent! C:\Users\PLAY\AppData\Local\Temp\pv.exe
Présent! C:\Users\PLAY\AppData\Local\Temp\xmlUpdater.exe
Présent! C:\Users\PLAY\d.exe
Présent! E:\Autorun.inf
Présent! G:\Autorun.inf
Présent! E:\Run.exe
Présent! G:\Documents.lnk
Présent! G:\Music.lnk
Présent! G:\New Folder.lnk
Présent! G:\Passwords.lnk
Présent! G:\Pictures.lnk
Présent! G:\Video.lnk
Présent! G:\Videos.lnk

################## | Registre |

Présent! HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options	askmgr.exe
Présent! HKCU\Software\Microsoft\Windows\CurrentVersion\Run|puibug

################## | Mountpoints2 |


################## | Vaccin |

(!) Cet ordinateur n'est pas vacciné!

################## | E.O.F |

Smart91 · Answer

On va faire le nettoyage et la vaccination:
- Branche tes sources de données externes à ton PC (clé USB, disque dur externe, etc...) sans les ouvrir
-  Double clique sur le raccourci UsbFix sur ton Bureau
- Clique sur "Suppression"
- Laisse travailler l'outil
- Ton Bureau va disparaitre puis l'ordinateur va redémarrer : c'est normal
- A la fin, le rapport va s'afficher : poste le dans ta prochaine réponse (il est aussi sauvegardé a la racine du disque dur)

/!\UsbFix te proposera d'envoyer un dossier compressé à cette adresse. Ce dossier a été créé par UsbFix sur ton Bureau. Merci de l'envoyer à l'adresse indiquée afin d'aider l'auteur de UsbFix dans ses recherches. Une fois sur le site, il faut sélectionner "UsbFix" dans le menu déroulant. Merci d'avance pour ta contribution !

Aide en images : "Nettoyage"

Ensuite on va faire un diagnostic de ton PC:
Télécharge ZHPDiag (de Nicolas Coolman) sur ton bureau 
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html 

Une fois le téléchargement achevé, double clique sur ZHPDiag.exe et suis les instructions.
 
/!\Utilisateurs de Vista et Windows 7 : Clique droit sur le logo de ZHPDiag.exe, « exécuter en tant qu'Administrateur »

N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau. 
-  Double clique sur le raccourci ZHPDiag sur ton Bureau pour le lancer. 
(/!\L'outil a créé 2 icônes ZHPDiag et ZHPFix)
-  Clique sur la loupe pour lancer l'analyse. 
-  Laisse l'outil travailler, il peut être assez long. 
-  Ferme ZHPDiag en fin d'analyse. 
-  Pour transmettre le rapport clique sur ce lien : http://www.cijoint.fr/ 
-  Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag). 
-  Sélectionne le fichier ZHPDiag.txt. 
-  Clique sur "Cliquez ici pour déposer le fichier". 
-  Un lien de cette forme : http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt est ajouté dans la page. 
-  Copie ce lien dans ta réponse.

Cela fait deux rapports à poster

Smart

azn-tu · Answer

Smart91 · Answer

Est-ce que tu peux supprimé G:\Autorun.inf (en connectant ton disque amovible) manuellement.

Sinon rien de particulier dans le rapport ZHPDiag
On va faire un peu d'optimisation:
Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag en cliquant sur l'écusson vert)
Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
Copie/colle les lignes en gras suivantes et place les dans ZHPFix :

----------------------------------------------------------
O4 - HKCU\..\Run: [qeioyi] C:\Users\PLAY\qeioyi.exe (.not file.)
O4 - HKUS\S-1-5-21-2295310354-3588679826-1206994921-1000\..\Run: [qeioyi] C:\Users\PLAY\qeioyi.exe (.not file.)

----------------------------------------------------------

-  Clique sur « Tous », puis sur « Nettoyer »
-  Copie/colle la totalité du rapport dans ta prochaine réponse

On va cependant vérifier ces fichiers:
- C:\curr_ver.tmp 
- C:\Windows\System32\migwiz.lnk

Pour cela tu vas sur https://www.virustotal.com/gui/
Tu fais parcourir et tu choisis dans l'arbrescence le premier fichier
Ensuite tu fais "Envoyer le fichier", celui-ci sera mis en file d'attente. Donc tu attends et ensuite tu postes le rapport du scan et tu fais la même chose pour le second fichier.

Smart

azn-tu · Answer

Alors pour ZHPFIX :

Rapport de ZHPFix v1.12.3133 par Nicolas Coolman, Update du 05/08/2010
Fichier d'export Registre : C:\ZHPExportRegistry-07-08-2010-23-31-50.txt
Run by PLAY at 07/08/2010 23:31:50
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Valeur(s) du Registre ==========
O4 - HKCU\..\Run: [qeioyi] C:\Users\PLAY\qeioyi.exe (.not file.) => Valeur absente
O4 - HKUS\S-1-5-21-2295310354-3588679826-1206994921-1000\..\Run: [qeioyi] C:\Users\PLAY\qeioyi.exe (.not file.) => Valeur absente

========== Récapitulatif ==========
2 : Valeur(s) du Registre

End of the scan

Pour les 2 autres fichier :

Fichier curr_ver.tmp reçu le 2010.08.07 21:35:34 (UTC)
Situation actuelle: en cours de chargement ... mis en file d'attente en attente en cours d'analyse terminé NON TROUVE ARRETE
Résultat: 0/42 (0%)
en train de charger les informations du serveur...
Votre fichier est dans la file d'attente, en position: 1.
L'heure estimée de démarrage est entre 46 et 66 secondes.
Ne fermez pas la fenêtre avant la fin de l'analyse.
L'analyseur qui traitait votre fichier est actuellement stoppé, nous allons attendre quelques secondes pour tenter de récupérer vos résultats.
Si vous attendez depuis plus de cinq minutes, vous devez renvoyer votre fichier.
Votre fichier est, en ce moment, en cours d'analyse par VirusTotal,
les résultats seront affichés au fur et à mesure de leur génération.
Formaté Formaté
Impression des résultats Impression des résultats
Votre fichier a expiré ou n'existe pas.
Le service est en ce moment, stoppé, votre fichier attend d'être analysé (position : ) depuis une durée indéfinie.

Vous pouvez attendre une réponse du Web (re-chargement automatique) ou taper votre e-mail dans le formulaire ci-dessous et cliquer "Demande" pour que le système vous envoie une notification quand l'analyse sera terminée.
Email:

Antivirus Version Dernière mise à jour Résultat
AhnLab-V3 2010.08.08.00 2010.08.07 -
AntiVir 8.2.4.34 2010.08.06 -
Antiy-AVL 2.0.3.7 2010.08.06 -
Authentium 5.2.0.5 2010.08.07 -
Avast 4.8.1351.0 2010.08.07 -
Avast5 5.0.332.0 2010.08.07 -
AVG 9.0.0.851 2010.08.07 -
BitDefender 7.2 2010.08.07 -
CAT-QuickHeal 11.00 2010.08.07 -
ClamAV 0.96.0.3-git 2010.08.07 -
Comodo 5672 2010.08.07 -
DrWeb 5.0.2.03300 2010.08.07 -
Emsisoft 5.0.0.36 2010.08.07 -
eSafe 7.0.17.0 2010.08.05 -
eTrust-Vet 36.1.7773 2010.08.07 -
F-Prot 4.6.1.107 2010.08.07 -
F-Secure 9.0.15370.0 2010.08.07 -
Fortinet 4.1.143.0 2010.08.07 -
GData 21 2010.08.07 -
Ikarus T3.1.1.84.0 2010.08.07 -
Jiangmin 13.0.900 2010.08.07 -
Kaspersky 7.0.0.125 2010.08.07 -
McAfee 5.400.0.1158 2010.08.07 -
McAfee-GW-Edition 2010.1 2010.08.07 -
Microsoft 1.6004 2010.08.07 -
NOD32 5349 2010.08.07 -
Norman 6.05.11 2010.08.07 -
nProtect 2010-08-07.01 2010.08.07 -
Panda 10.0.2.7 2010.08.07 -
PCTools 7.0.3.5 2010.08.07 -
Prevx 3.0 2010.08.07 -
Rising 22.59.05.04 2010.08.07 -
Sophos 4.56.0 2010.08.07 -
Sunbelt 6700 2010.08.07 -
SUPERAntiSpyware 4.40.0.1006 2010.08.07 -
Symantec 20101.1.1.7 2010.08.07 -
TheHacker 6.5.2.1.336 2010.08.07 -
TrendMicro 9.120.0.1004 2010.08.07 -
TrendMicro-HouseCall 9.120.0.1004 2010.08.07 -
VBA32 3.12.12.8 2010.08.04 -
ViRobot 2010.7.29.3961 2010.08.07 -
VirusBuster 5.0.27.0 2010.08.07 -
Information additionnelle
File size: 213 bytes
MD5...: add73867a7b49523f73190a3f8b080a3
SHA1..: a7b817c5a9b80d2b35f668e01a0f7ed297f98744
SHA256: 57c79dd8ab2a2a00090395a19dc1e20bc6bc3e5161d93a8b26c0a5dc0cbffddb
ssdeep: 6:5cRdRX4h84JAGQg8QsUaEoD4h8iEPJTQAV6:5cyJjQV5EzETd6
PEiD..: -
PEInfo: -
RDS...: NSRL Reference Data Set
-
pdfid.: -
trid..: Generic INI configuration (100.0%)
sigcheck:
publisher....: n/a
copyright....: n/a
product......: n/a
description..: n/a
original name: n/a
internal name: n/a
file version.: n/a
comments.....: n/a
signers......: -
signing date.: -
verified.....: Unsigned

2 eme :

Fichier puibug.scr reçu le 2010.08.07 21:41:04 (UTC)
Situation actuelle: en cours de chargement ... mis en file d'attente en attente en cours d'analyse terminé NON TROUVE ARRETE
Résultat: 32/42 (76.2%)
en train de charger les informations du serveur...
Votre fichier est dans la file d'attente, en position: 1.
L'heure estimée de démarrage est entre 46 et 66 secondes.
Ne fermez pas la fenêtre avant la fin de l'analyse.
L'analyseur qui traitait votre fichier est actuellement stoppé, nous allons attendre quelques secondes pour tenter de récupérer vos résultats.
Si vous attendez depuis plus de cinq minutes, vous devez renvoyer votre fichier.
Votre fichier est, en ce moment, en cours d'analyse par VirusTotal,
les résultats seront affichés au fur et à mesure de leur génération.
Formaté Formaté
Impression des résultats Impression des résultats
Votre fichier a expiré ou n'existe pas.
Le service est en ce moment, stoppé, votre fichier attend d'être analysé (position : ) depuis une durée indéfinie.

Vous pouvez attendre une réponse du Web (re-chargement automatique) ou taper votre e-mail dans le formulaire ci-dessous et cliquer "Demande" pour que le système vous envoie une notification quand l'analyse sera terminée.
Email:

Antivirus Version Dernière mise à jour Résultat
AhnLab-V3 2010.08.08.00 2010.08.07 -
AntiVir 8.2.4.34 2010.08.06 TR/Spy.VB.iog
Antiy-AVL 2.0.3.7 2010.08.06 -
Authentium 5.2.0.5 2010.08.07 W32/Vobfus.E.gen!Eldorado
Avast 4.8.1351.0 2010.08.07 Win32:VB-PRF
Avast5 5.0.332.0 2010.08.07 Win32:VB-PRF
AVG 9.0.0.851 2010.08.07 Worm/VB.12.Q
BitDefender 7.2 2010.08.07 Win32.Worm.VB.NZG
CAT-QuickHeal 11.00 2010.08.07 Worm.VBNA.gen
ClamAV 0.96.0.3-git 2010.08.07 -
Comodo 5672 2010.08.07 -
DrWeb 5.0.2.03300 2010.08.07 Win32.HLLW.Autoruner.25080
Emsisoft 5.0.0.36 2010.08.07 Worm.Win32.Vobfus!IK
eSafe 7.0.17.0 2010.08.05 -
eTrust-Vet 36.1.7773 2010.08.07 Win32/Vobfus.EP
F-Prot 4.6.1.107 2010.08.07 W32/Vobfus.E.gen!Eldorado
F-Secure 9.0.15370.0 2010.08.07 Worm:W32/Vobfus.BB
Fortinet 4.1.143.0 2010.08.07 -
GData 21 2010.08.07 Win32.Worm.VB.NZG
Ikarus T3.1.1.84.0 2010.08.07 Worm.Win32.Vobfus
Jiangmin 13.0.900 2010.08.07 Worm/VBNA.vjl
Kaspersky 7.0.0.125 2010.08.07 Worm.Win32.VBNA.algn
McAfee 5.400.0.1158 2010.08.07 Downloader-CJX.gen.c
McAfee-GW-Edition 2010.1 2010.08.07 Heuristic.LooksLike.Win32.Suspicious.J
Microsoft 1.6004 2010.08.07 Worm:Win32/Vobfus.gen!A
NOD32 5349 2010.08.07 Win32/AutoRun.VB.RI
Norman 6.05.11 2010.08.07 W32/VBNA.BM
nProtect 2010-08-07.01 2010.08.07 Worm/W32.Agent.76800.D
Panda 10.0.2.7 2010.08.07 W32/Vobfus.EQ
PCTools 7.0.3.5 2010.08.07 Malware.Changeup
Prevx 3.0 2010.08.07 High Risk Cloaked Malware
Rising 22.59.05.04 2010.08.07 -
Sophos 4.56.0 2010.08.07 Troj/Agent-NYY
Sunbelt 6700 2010.08.07 Trojan.Win32.Vobfus.a (v)
SUPERAntiSpyware 4.40.0.1006 2010.08.07 Trojan.Agent/Gen-FakeAlert
Symantec 20101.1.1.7 2010.08.07 W32.Changeup
TheHacker 6.5.2.1.336 2010.08.07 Trojan/Generic.nodef
TrendMicro 9.120.0.1004 2010.08.07 WORM_VBNA.SMN
TrendMicro-HouseCall 9.120.0.1004 2010.08.07 WORM_VBNA.SMN
VBA32 3.12.12.8 2010.08.04 -
ViRobot 2010.7.29.3961 2010.08.07 -
VirusBuster 5.0.27.0 2010.08.07 -
Information additionnelle
File size: 76800 bytes
MD5...: 94722c28bf7c81fd06770e5eedaacb4d
SHA1..: 70dde4f2ec34329e357e1a047ebd7abb9a13e7fd
SHA256: 626771ad5ac2dc2fe5fb0e93a08dabaef6efc60136a30ab33e98d936e3057e2d
ssdeep: 1536:uXHQc0PEutHwHiHoHV/NBbgzrqNldFCnDNlN1t7gM:CHQtc/NBbgzrqNldF
CnDNlN19
PEiD..: -
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x11d0
timedatestamp.....: 0x4c3ea911 (Thu Jul 15 06:22:09 2010)
machinetype.......: 0x14c (I386)

( 3 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x11ce4 0x11e00 5.52 b402fa415a05f371c2793fcf0439a30e
.data 0x13000 0x1da8 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
.rsrc 0x15000 0x898 0xa00 2.71 74d2bbf58ecf1b7c136e9ff560d23a17

( 1 imports )
> MSVBVM60.DLL: -, -, -, -, MethCallEngine, -, -, -, -, -, -, -, -, -, -, -, EVENT_SINK_AddRef, -, -, EVENT_SINK_Release, -, EVENT_SINK_QueryInterface, __vbaExceptHandler, -, -, -, -, -, -, ProcCallEngine, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -

( 0 exports )
RDS...: NSRL Reference Data Set
-
pdfid.: -
trid..: Win32 Executable Generic (68.0%)
Generic Win/DOS Executable (15.9%)
DOS Executable Generic (15.9%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%)
sigcheck:
publisher....: n/a
copyright....: n/a
product......: a2
description..: n/a
original name: wwNumSYx.exe
internal name: wwNumSYx
file version.: 3.52
comments.....: n/a
signers......: -
signing date.: -
verified.....: Unsigned
<a href='http://info.prevx.com/aboutprogramtext.asp?PX5=0660A19B00C34D102C9501E3DF67EB00FF22CFEA' target='_blank'>http://info.prevx.com/aboutprogramtext.asp?PX5=0660A19B00C34D102C9501E3DF67EB00FF22CFEA</a>

Smart91 · Answer

OK
/!\ Utilisateurs de Vista et Windows 7 : Ne pas oublier de désactiver l'UAC juste le temps de désinfection de ton pc, il sera à réactiver plus tard :
Pour Vista : https://www.commentcamarche.net/faq/8343-vista-desactiver-l-uac
Pour Windows 7: https://www.androidworld.fr/

-  Télécharge Malwarebytes
-  Tu auras un tutoriel à ta disposition pour l'installer et l'utiliser correctement.
-  Fais la mise à jour du logiciel, c'est très important (elle se fait normalement à l'installation) 
-  Lance une analyse complète en cliquant sur "Exécuter un examen complet"
-  Sélectionne les disques que tu veux analyser et clique sur "Lancer l'examen"
-  L'analyse peut durer un bon moment.....
-  Une fois l'analyse terminée, clique sur "OK" puis sur "Afficher les résultats"
-  Vérifie que tout est bien coché et clique sur "Supprimer la sélection" => et ensuite sur "OK"
-  Un rapport va s'ouvrir dans le bloc note... Fais un copié/collé du rapport dans ta prochaine réponse sur le forum

* Il se pourrait que certains fichiers devront être supprimés au redémarrage du PC... Fais le en cliquant sur "oui" à la question posée

Smart

azn-tu · Answer

Voila le rapport :


Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4407

Windows 6.1.7600
Internet Explorer 8.0.7600.16385

08/08/2010 21:37:58
mbam-log-2010-08-08 (21-37-58).txt

Type d'examen: Examen complet (G:\|)
Elément(s) analysé(s): 137244
Temps écoulé: 3 minute(s), 34 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 1
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
C:\Users\PLAY\AppData\Local\spfA70.dll (Trojan.Agent) -> Delete on reboot.

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\emafiqatar (Trojan.Agent) -> Delete on reboot.

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Users\PLAY\AppData\Local\spfA70.dll (Trojan.Agent) -> Delete on reboot.

azn-tu · Answer

C'est bon, ça à marcher =), Merci ;) mais par contre pour la prochaine fois, si je le rebranche, y'aura un autre virus? Comment j'fais pour évité ça?

azn-tu · Answer

Ah nan, enft j'ai reussi à récuperer les photos sur le pc, mais sur le portable je peut pas les voirs, ça affiche le nombre de photos qui ya mais quand j'veux en regarder une, il me montre une icone de musique.

Smart91 · Answer

Relance MBAM, vide la quarantaine et redémarre le PC.
Pour ton portable je n'ai pas vu qu'il atété vacciné dans le rapport USBFix. Est-ce que la bien branché quand tu fais "suppression avec USBFix
.
Je suis en vacances jusqu'à jeudi et je ne peux me connecter à Internet  que de temp en temps, donc je ne peux répondre rapidement

Smart

Virus Via port Usb

11 réponses

Discussions similaires

Newsletters