Gros probleme avec un virus inconnu
Bonjour,
mon flash disk a été infecté par un virus que je connai pas, j'ai utilisé google et aucune information sur lui.
ce virus est nomé "qiuahibx.exe" il a changé tout mes dossier et fichier sur les flash disk en des racourcis et je peut les utiliser.
svp aider moi vite j'ai beaucoup de document sur ce flash
mon flash disk a été infecté par un virus que je connai pas, j'ai utilisé google et aucune information sur lui.
ce virus est nomé "qiuahibx.exe" il a changé tout mes dossier et fichier sur les flash disk en des racourcis et je peut les utiliser.
svp aider moi vite j'ai beaucoup de document sur ce flash
13 réponses
Résumé de la discussion
Une clé USB est infectée par un virus qui transforme les dossiers en raccourcis et opère sous Windows XP, le fichier suspect dénommé qiuahibx.exe et les documents restent inutilisables. Plusieurs outils ont été recommandés: Malwarebytes pour le rapport et la détection, puis ZHPFix pour supprimer les clés et valeurs indésirables du registre associées, et la désinfection a inclus des fichiers comme keygen.exe et ieframe.dll. D'autres approches comme USBFix ont été employées pour nettoyer les résidus, supprimer des fichiers malveillants et des entrées Run associées, et stabiliser les paramètres système. En cas de persistance, il peut être nécessaire de vérifier les processus mémoire et les services comme mDNSResponder et RealPlayer, puis de répéter les nettoyages et les redémarrages.
-
Salut,
Il faut être loggé sur une session ADMIN Pour désinfecter !!
Si tu utilise vista ou windows 7 et SEULEMENT pour vista et 7 !!!, désactive l'UAC :
VISTA :https://www.commentcamarche.net/faq/8343-vista-desactiver-l-uac
7 : https://www.commentcamarche.net/informatique/windows/261-desactiver-le-controle-de-compte-d-utilisateur-uac-de-windows/
Laisse désactivé durant toute la désinfection, je te dirai quand réactiver
LIS BIEN LES INSTRUCTIONS :) et tant que je ne t'ai PAS confirmé la fin de la désinfection il FAUT revenir consulter REGULIEREMENT le forum même si les symptômes ont disparu :)
===============ZHPDIAG====================
On va faire un diagnostic du PC :
* Télécharge ZHPDiag sur ton bureau :
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html
* Laisse toi guider lors de l'installation, il se lancera automatiquement à la fin.
/!\Utilisateur de Vista et Seven : Clique droit sur le logo de ZHPdiag, « exécuter en tant qu'Administrateur »
* Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
* Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
* Héberge le rapport ZHPDiag.txt sur Cijoint, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum :
http://www.cijoint.fr/
tuto zhpdiag :
http://www.premiumorange.com/zeb-help-process/zhpdiag.html -
Contributeur sécuritébonjour
et bonne suite à vous
=> USBfix
@+
CONTRIBUTEUR SECURITE
Désinfection = diagnostic + traitement + finalisation
"Restez" jusqu'au bout...merci -
voila le rapport de ZHPDiag
http://www.cijoint.fr/cjlink.php?file=cj201012/cij48T70k2.txt
avant de poster mon probleme j'ai utiliser usbfix mais il n'a pas fixer mon probleme -
Ton système est sur-infecté, mais ne t'inquiètes pas on va voir ça ensemble :
* Télécharge AD-Remover ici
ferme toutes les applications en cours !!!
Note : Utilisateurs de vista/seven -> Clic droit sur "Ad-R.exe" puis " Exécuter en tant qu'administrateur "
* Double-clique sur l'icône AD-Remover
* Au menu principal, clique sur "Nettoyer"
* Confirme le lancement de l'analyse et laisse l'outil travailler
* Poste le rapport qui apparait à la fin (il est aussi sauvegardé sous C:\Ad-report-CLEAN.txt )
(CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )
Post aussi le rapport USBFix stp-
-
-
-
Oui problème de version :)
-+-+-+-+-> USBFix <-+-+-+-+-
Note : Ton PC est victime d'une infection par médias amovibles. Tu trouveras plus d'informations sur cette infection ici.
[x] Télécharge USBfix ( d'El desaparecido et C_XX ) sur ton bureau.
[x] Si ton anvirus affiche une alerte, ignore le et désactive le momentanément.
[x] Branche tout tes médias amovibles à ton PC ( Clé USB, disque dur externe, carte SD etc.. ) sans les ouvrir.
[x] Double clic sur le raccourci UsbFix présent sur le bureau .
[x] Choisir l'option suppression
[x] USBFix va rechercher les infections possibles, ne t'inquiète pas si le menu démarrer et les incônes de ton bureau disparaissent, c'est normal
[x] Il est possible que USBFix te demande de redémarrer ton PC, fais le.
[x] Au redémarrage, USBFix va se lancer pour appliquer les fix, laisse le faire
[x] Le bloc note s'ouvre avec un rapport, envoies le dans la prochaine réponse, pour info : le rapport UsbFix.txt est sauvegardé a la racine du disque ( C:\UsbFix.txt ).
( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller ) -
-
-
Ok refais un ZHPdiag
et passe à ceci, on reviendra sur USBFix
############### Malwarebytes' Anti-Malware ###############
[x] Télécharge Malwarebytes' Anti-malware sur ton bureau.
http://www.malwarebytes.org/mbam.php
[x] Désactive ton Antivirus pour éviter les conflits
[x] Installe le en laissant les options par défaut ( Cocher seulement " Créer une icône sur le bureau " )
[x] A la fin de l'installation, laisse les 2 cases pour l"éxécution et la mise à jour cochées.
[x] Une fois lancé, clique sur " Exécuter un examen complet" (choisi tout tes disques dur) puis sur " Rechercher "
[x] Clique ensuite sur " Afficher les résultats " puis sur " Supprimer la sélection ". Valide ensuite par " Ok ".
[x] MBAM ouvrira un rapport, copie/colle son contenu dans ta prochaine réponse.
[x] Note : Tu devra peut être redémarrer ton PC, accepte. Le rapport se trouve dans la partie " Rapports/Logs " du logiciel.
Et ça prend du temps :)-
-
-
-
oui le rapport indique ceci :
Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org
Version de la base de données: 4052
hors on est à la version 1.5 du logiciel et 5344 pour la base de données, allez courage ! Relance malwarebytes' et va dans l'onglet mise à jour, clic sur rechercher des mises à jour, quand ce sera fait, lance un nouveau scan complet, il va détecter de nombreuses infections ;) -
-
-
ok tu peux refaire un zhpdiag stp ?
-
* Lance ZHPFix il se trouve dans le même répertoire que zhpdiag (si tu es sous Windows Vista ou Windows 7, lance le par un clic-droit dessus --> exécuter en temps qu'administrateur).
* Copie les lignes suivantes :
---------------------------------------------------
[MD5.D41D8CD98F00B204E9800998ECF8427E] - (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\install\keygen.exe
R3 - URLSearchHook: Microsoft Url Search Hook - {CFBFAE00-17A6-11D0-99CB-00C04FD64497} . (.Microsoft Corporation - Internet Explorer.) (8.00.6001.18928 (longhorn_ie8_gdr.100503-1700)) -- C:\WINDOWS\system32\ieframe.dll
O4 - HKLM\..\policies\Explorer\Run: [Policies] . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\install\keygen.exe
O4 - HKCU\..\policies\Explorer\Run: [Policies] . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\install\keygen.exe
O4 - HKCU\..\Run: [HKCU] . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\install\keygen.exe
O4 - HKLM\..\Run: [HKLM] . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\install\keygen.exe
O44 - LFC:[MD5.D41D8CD98F00B204E9800998ECF8427E] - 18/12/2010 - 12:02:16 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\UsbFix.txt => El Desaparecido UsbFix Log
O44 - LFC:[MD5.15F9A4554980B9CFC5FC7A29355D9817] - 18/12/2010 - 11:33:01 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\Ad-Report-CLEAN[1].txt => C_XX AdRemover Report
O44 - LFC:[MD5.778FCA1A21F7C78EDB6DCF6671BC3AEC] - 26/11/2010 - 18:22:30 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\FilterLog.log
O47 - AAKE:Key Export SP - "D:\Metacafe\Metacafe.exe" [Enabled] .(.Metacafe - Pas de description.) (.not file.) -- D:\Metacafe\Metacafe.exe
O47 - AAKE:Key Export SP - "D:\imp\pes2010.exe" [Enabled] .(.Pas de propriétaire - Pas de description.) (.not file.) -- D:\imp\pes2010.exe
O47 - AAKE:Key Export SP - "D:\Corel Graphics 12\PROGRAMS\CORELDRW.EXE" [Enabled] .(.Pas de propriétaire - Pas de description.) (.not file.) -- D:\
O47 - AAKE:Key Export SP - "..." [Disabled] .(.Pas de propriétaire - Pas de description.) (.not file.) -- C:\Program Files\Goiceasoft Studios\Counter Strike 1.8 Goiceasoft\cstrike.exe
O64 - Services: - (.not file.) - abp470n5 (abp470n5) .(.Pas de propriétaire - Pas de description.) - LEGACY_ABP470N5
O64 - Services: - C:\Program Files\Bonjour\mDNSResponder.exe - ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) .(.Apple Inc. - Bonjour Service.) - LEGACY_BONJOUR_SERVICE
O64 - Services: - (.not file.) - is-4PKQ5drv (is-4PKQ5drv) .(.Pas de propriétaire - Pas de description.) - LEGACY_IS-4PKQ5DRV
O64 - Services: - (.not file.) - S12345 (S12345) .(.Pas de propriétaire - Pas de description.) - LEGACY_S12345
O4 - HKLM\..\Run: [TkBellExe] . (.RealNetworks, Inc. - RealNetworks Scheduler.) -- C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
O4 - HKLM\..\Run: [QuickTime Task] . (.Apple Inc. - QuickTime Task.) -- C:\Program Files\QuickTime\qttask.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] . (.Adobe Systems Incorporated - Adobe Acrobat SpeedLauncher.) -- C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe
O4 - HKCU\..\Run: [ctfmon.exe] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\ctfmon.exe
O23 - Service: (Bonjour Service) . (.Apple Inc. - Bonjour Service.) - C:\Program Files\Bonjour\mDNSResponder.exe
---------------------------------------------------
* Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
* Les lignes se collent automatiquement dans ZHPFix.
* Clique sur « Ok » puis sur « Tous », puis sur « Nettoyer »
post le rapport
Ensuite supprime ta version de USBFix et télécharge celle là :
-+-+-+-+-> USBFix <-+-+-+-+-
Note : Ton PC est victime d'une infection par médias amovibles. Tu trouveras plus d'informations sur cette infection ici.
[x] Télécharge USBfix ( d'El desaparecido et C_XX ) sur ton bureau.
[x] Si ton anvirus affiche une alerte, ignore le et désactive le momentanément.
[x] Branche tout tes médias amovibles à ton PC ( Clé USB, disque dur externe, carte SD etc.. ) sans les ouvrir.
[x] Double clic sur le raccourci UsbFix présent sur le bureau .
[x] Choisir l'option suppression
[x] USBFix va rechercher les infections possibles, ne t'inquiète pas si le menu démarrer et les incônes de ton bureau disparaissent, c'est normal
[x] Il est possible que USBFix te demande de redémarrer ton PC, fais le.
[x] Au redémarrage, USBFix va se lancer pour appliquer les fix, laisse le faire
[x] Le bloc note s'ouvre avec un rapport, envoies le dans la prochaine réponse, pour info : le rapport UsbFix.txt est sauvegardé a la racine du disque ( C:\UsbFix.txt ).
( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller )-
ZHPFix v1.12.302 by Nicolas Coolman - Rapport de suppression du 18/12/2010 16:46:27
Fichier d'export Registre : C:\ZHPExportRegistry-18-12-2010-16-46-27.txt
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Processus mémoire :
C:\WINDOWS\system32\install\keygen.exe => Supprimé et mis en quarantaine
Module mémoire :
(Néant)
Clé du Registre :
[HKEY_CURRENT_USER\SOFTWARE\Classes\CLSID\{CFBFAE00-17A6-11D0-99CB-00C04FD64497}] => Clé supprimée avec succès
[HKCR\CLSID\{CFBFAE00-17A6-11D0-99CB-00C04FD64497}] => Clé supprimée avec succès
O23 - Service: (Bonjour Service) . (.Apple Inc. - Bonjour Service.) - C:\Program Files\Bonjour\mDNSResponder.exe => Clé supprimée avec succès
Valeur du Registre :
R3 - URLSearchHook: Microsoft Url Search Hook - {CFBFAE00-17A6-11D0-99CB-00C04FD64497} . (.Microsoft Corporation - Internet Explorer.) (8.00.6001.18928 (longhorn_ie8_gdr.100503-1700)) -- C:\WINDOWS\system32\ieframe.dll => Valeur supprimée avec succès
O4 - HKLM\..\policies\Explorer\Run: [Policies] . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\install\keygen.exe => Valeur supprimée avec succès
O4 - HKCU\..\policies\Explorer\Run: [Policies] . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\install\keygen.exe => Valeur supprimée avec succès
O4 - HKCU\..\Run: [HKCU] . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\install\keygen.exe => Valeur supprimée avec succès
O4 - HKLM\..\Run: [HKLM] . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\install\keygen.exe => Valeur supprimée avec succès
O47 - AAKE:Key Export SP - "D:\Metacafe\Metacafe.exe" [Enabled] .(.Metacafe - Pas de description.) (.not file.) -- D:\Metacafe\Metacafe.exe => Valeur supprimée avec succès
O47 - AAKE:Key Export SP - "D:\imp\pes2010.exe" [Enabled] .(.Pas de propriétaire - Pas de description.) (.not file.) -- D:\imp\pes2010.exe => Valeur supprimée avec succès
O47 - AAKE:Key Export SP - "D:\Corel Graphics 12\PROGRAMS\CORELDRW.EXE" [Enabled] .(.Pas de propriétaire - Pas de description.) (.not file.) -- D:\ => Valeur supprimée avec succès
O47 - AAKE:Key Export SP - "..." [Disabled] .(.Pas de propriétaire - Pas de description.) (.not file.) -- C:\Program Files\Goiceasoft Studios\Counter Strike 1.8 Goiceasoft\cstrike.exe => Valeur absente
O4 - HKLM\..\Run: [TkBellExe] . (.RealNetworks, Inc. - RealNetworks Scheduler.) -- C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe => Valeur supprimée avec succès
O4 - HKLM\..\Run: [QuickTime Task] . (.Apple Inc. - QuickTime Task.) -- C:\Program Files\QuickTime\qttask.exe => Valeur supprimée avec succès
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] . (.Adobe Systems Incorporated - Adobe Acrobat SpeedLauncher.) -- C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe => Valeur supprimée avec succès
O4 - HKCU\..\Run: [ctfmon.exe] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\ctfmon.exe => Valeur supprimée avec succès
Elément de données du Registre :
(Néant)
Dossier :
(Néant)
Fichier :
c:\windows\system32\ieframe.dll => Supprimé et mis en quarantaine
c:\windows\system32\ieframe.dll => Fichier absent
c:\windows\system32\install\keygen.exe => Fichier absent
c:\usbfix.txt => Supprimé et mis en quarantaine
c:\ad-report-clean[1].txt => Supprimé et mis en quarantaine
c:\filterlog.log => Supprimé et mis en quarantaine
d:\metacafe\metacafe.exe => Supprimé et mis en quarantaine
d:\imp\pes2010.exe => Fichier absent
d:\ => Fichier absent
c:\program files\fichiers communs\real\update_ob\realsched.exe => Supprimé et mis en quarantaine
c:\program files\quicktime\qttask.exe => Supprimé et mis en quarantaine
c:\program files\adobe\reader 9.0\reader\reader_sl.exe => Supprimé et mis en quarantaine
c:\windows\system32\ctfmon.exe => Supprimé et mis en quarantaine
c:\program files\bonjour\mdnsresponder.exe => Supprimé et mis en quarantaine
Logiciel :
(Néant)
Script Registre :
(Néant)
Autre :
(Néant)
Récapitulatif :
Processus mémoire : 1
Module mémoire : 0
Clé du Registre : 3
Valeur du Registre : 13
Elément de données du Registre : 0
Dossier : 0
Fichier : 14
Logiciel : 0
Autre : 0
End of the scan -
-
-
USBFix maintenant :)
-
Redémarre ton PC,
Télécharge le ici
http://www.commentcamarche.net/download/telecharger-34079838-usbfix
en suis les instructions décrites plus haut pour USBFix -
ok il reste ceci tout de même :
* Lance ZHPFix il se trouve dans le même répertoire que zhpdiag (si tu es sous Windows Vista ou Windows 7, lance le par un clic-droit dessus --> exécuter en temps qu'administrateur).
* Copie les lignes suivantes :
---------------------------------------------------
R3 - URLSearchHook: SHOUTcast Toolbar Search Class - {14f0d511-36a2-41ca-ae01-ba4f87282c97} . (.Pas de propriétaire - Pas de description.) (No version) -- C:\Program Files\SHOUTcast Radio Toolbar\shoutcasttb.dll
R3 - URLSearchHook: Microsoft Url Search Hook - {14f0d511-36a2-41ca-ae01-ba4f87282c97} . (.Pas de propriétaire - Pas de description.) (No version) -- C:\Program Files\SHOUTcast Radio Toolbar\shoutcasttb.dll
O2 - BHO: Hotspot Shield Class - {F9E4A054-E9B1-4BC3-83A3-76A1AE736170} . (.AnchorFree Inc. - Pas de description.) -- C:\Program Files\Hotspot Shield\hssie\HssIE.dll
O23 - Service: (HssSrv) . (.AnchorFree Inc. - Hotspot Shield Helper Service.) - C:\Program Files\Hotspot Shield\HssWPR\hsssrv.exe
O42 - Logiciel: DAEMON Tools Toolbar - (.DT Soft Ltd.)
O43 - CFD:Common File Directory ----D- C:\Program Files\DAEMON Tools Toolbar
O43 - CFD:Common File Directory ----D- C:\Program Files\ICQ6Toolbar
O64 - Services: - C:\Program Files\Hotspot Shield\HssWPR\hsssrv.exe - Hotspot Shield Routing Service (HssSrv) .(.AnchorFree Inc. - Hotspot Shield Helper Service.) - LEGACY_HSSSRV
---------------------------------------------------
* Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
* Les lignes se collent automatiquement dans ZHPFix.
* Clique sur « Ok » puis sur « Tous », puis sur « Nettoyer »
post le rapport-
ZHPFix v1.12.302 by Nicolas Coolman - Rapport de suppression du 18/12/2010 17:01:45
Fichier d'export Registre : C:\ZHPExportRegistry-18-12-2010-17-01-45.txt
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Processus mémoire :
(Néant)
Module mémoire :
(Néant)
Clé du Registre :
[HKEY_CURRENT_USER\SOFTWARE\Classes\CLSID\{14f0d511-36a2-41ca-ae01-ba4f87282c97}] => Clé supprimée avec succès
[HKCR\CLSID\{14f0d511-36a2-41ca-ae01-ba4f87282c97}] => Clé supprimée avec succès
O2 - BHO: Hotspot Shield Class - {F9E4A054-E9B1-4BC3-83A3-76A1AE736170} . (.AnchorFree Inc. - Pas de description.) -- C:\Program Files\Hotspot Shield\hssie\HssIE.dll => Clé supprimée avec succès
O23 - Service: (HssSrv) . (.AnchorFree Inc. - Hotspot Shield Helper Service.) - C:\Program Files\Hotspot Shield\HssWPR\hsssrv.exe => Clé supprimée avec succès
Valeur du Registre :
R3 - URLSearchHook: SHOUTcast Toolbar Search Class - {14f0d511-36a2-41ca-ae01-ba4f87282c97} . (.Pas de propriétaire - Pas de description.) (No version) -- C:\Program Files\SHOUTcast Radio Toolbar\shoutcasttb.dll => Valeur supprimée avec succès
Elément de données du Registre :
(Néant)
Dossier :
C:\Program Files\DAEMON Tools Toolbar => Dossier absent
C:\Program Files\ICQ6Toolbar => Supprimé et mis en quarantaine
Fichier :
c:\program files\shoutcast radio toolbar\shoutcasttb.dll => Fichier absent
c:\program files\hotspot shield\hssie\hssie.dll => Supprimé et mis en quarantaine
c:\program files\hotspot shield\hsswpr\hsssrv.exe => Supprimé et mis en quarantaine
Logiciel :
O42 - Logiciel: DAEMON Tools Toolbar - (.DT Soft Ltd.) => Logiciel absent
Script Registre :
(Néant)
Autre :
(Néant)
Récapitulatif :
Processus mémoire : 0
Module mémoire : 0
Clé du Registre : 4
Valeur du Registre : 1
Elément de données du Registre : 0
Dossier : 2
Fichier : 3
Logiciel : 1
Autre : 0
End of the scan -
-
-
-
-
Ok tu as combien de support amovibles posant problèmes ?
-
-
ok
Télécharge Flash desinsfector :
https://download.bleepingcomputer.com/sUBs/Flash_Disinfector.exe
* Note : Ce programme risque de déclencher une alerte de l'antivirus : si c'est le cas, il faut le désactiver temporairement, c'est une fausse alerte.
* Double-cliquer sur Flash_Disinfector.exe pour le lancer.
* Si la clé ou disque dur externe n'est pas introduite, il sera demandé de la connecter.
* Quand le message : "Plug in your flash drive & clic Ok to begin disinfection" apparaîtra :
* connecter les clés USB et/ou périphériques USB externes susceptibles d'avoir été infectés.
* Puis cliquer sur OK
* Les icônes sur le bureau vont disparaître jusqu'à l'apparition du message: "Finish"
* Appuyer ensuite sur "OK", pour faire réapparaître le bureau.
-
-
Quand ce sera fais, met à jour Avast! si ce n'est pas déjà fait et va dans le poste de travail, clic droit sur le disque dur externe, analyser avec Avast!
-
télécharge :
http://download.microsoft.com/download/access95/util5/1/win98/en-us/regsv32a.exe
et met le dans C:\Windows\System32
Ensuite met à jour Avast! si ce n'est pas déjà fait et va dans le poste de travail, clic droit sur le disque dur externe, analyser avec Avast!
