Sal.xls.exe, encore et toujours..

salut

c'est une infection de supports amovibles ..

* Telecharge UsbFix (de C_XX & el desaparecido) sur ton bureau

* Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptibles d'avoir été infectées sans les ouvrir
* Double clic (clic droit en tant qu'admin sous 7 et vista)sur le raccourci UsbFix présent sur ton bureau
* choisi l'option Suppression

* Ensuite post le rapport UsbFix.txt qui apparaîtra avec le bureau .

c'est idiot, il suffit de le configurer correctement, c'est l'outil de base a avoir, les infections que tu as ne sont pas dangereuses mais ca aurait pu être pire, certaines plantent completement ton pc, tu peux perdre toutes tes données ... ca coute pas grand chose.

j'attends ton rapport pour la suite ;)

############################## | UsbFix 7.035 | [Suppression]

Mis à jour le 05/12/10 par El Desaparecido / C_XX
Lancé à 10:48:57 | 19/12/2010
Site Web: http://www.teamxscript.org
Contact: eldesaparecido@teamxscript.org

CPU: Intel(R) Core(TM)2 Duo CPU T7250 @ 2.00GHz
CPU 2: Intel(R) Core(TM)2 Duo CPU T7250 @ 2.00GHz
Microsoft Windows XP Professionnel (5.1.2600 32-Bit) # Service Pack 3
Internet Explorer 8.0.6001.18702

Pare-feu Windows: Activé
RAM -> 3582 Mo
C:\ (%systemdrive%) -> Disque fixe # 49 Go (16 Go libre(s) - 33%) [] # NTFS
D:\ -> Disque fixe # 249 Go (2 Go libre(s) - 1%) [] # NTFS
E:\ -> CD-ROM
F:\ -> CD-ROM

################## | Éléments infectieux |

Supprimé! C:\sal.xls.exe
Supprimé! D:\sal.xls.exe
Supprimé! C:\WINDOWS\system32\algssl.exe
Supprimé! C:\WINDOWS\system32\msfir80.exe
Supprimé! C:\WINDOWS\system32\msime80.exe
Supprimé! C:\Recycler\S-1-5-21-1202660629-1960408961-725345543-1003
Supprimé! D:\Recycler\S-1-5-21-1202660629-1960408961-725345543-1003

################## | Registre |

Supprimé! HKLM\Software\Microsoft\Windows\CurrentVersion\Run|IMJPMIG8.2
Supprimé! HKCU\Software\Microsoft\Windows\CurrentVersion\Run|MsServer

################## | Mountpoints2 |

Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{2529d104-4cff-11de-9b40-001d09da79fc}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{363371e2-3c90-11dd-98ae-001d09da79fc}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{5b89b3d1-568e-11dd-98d3-001fe1f04581}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{6da94b51-d2c3-11dd-9a09-001fe1f04581}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{a70ae767-3bd7-11dd-98a2-001d09da79fc}

################## | Listing |

[11/01/2010 - 23:52:06 | | 1024] C:\.rnd
[16/06/2008 - 20:03:40 | | 0] C:\AUTOEXEC.BAT
[02/09/2009 - 22:48:43 | SHD ] C:\autorun.inf
[09/08/2009 - 10:24:16 | D ] C:\b39aaee69ada7ef99ec1ba75
[17/11/2010 - 20:37:16 | | 212] C:\boot.ini
[17/09/2002 - 21:52:17 | | 4952] C:\Bootfont.bin
[16/06/2008 - 20:03:40 | | 0] C:\CONFIG.SYS
[23/04/2009 - 22:48:38 | D ] C:\DELL
[12/01/2010 - 13:37:28 | D ] C:\Documents and Settings
[01/11/2008 - 14:36:02 | D ] C:\HSF
[16/06/2008 - 20:03:40 | | 0] C:\IO.SYS
[18/12/2010 - 18:39:19 | D ] C:\Logiciels
[18/12/2010 - 16:56:56 | D ] C:\Mes Sites Web
[16/06/2008 - 20:03:40 | | 0] C:\MSDOS.SYS
[16/06/2008 - 22:29:46 | RHD ] C:\MSOCache
[03/08/2004 - 21:38:34 | N | 47564] C:\NTDETECT.COM
[16/06/2008 - 21:21:33 | N | 252240] C:\ntldr
[19/12/2010 - 09:56:10 | ASH | 2145386496] C:\pagefile.sys
[02/11/2010 - 23:00:22 | D ] C:\Program Files
[19/12/2010 - 10:50:56 | SHD ] C:\RECYCLER
[27/09/2010 - 21:15:36 | SHD ] C:\System Volume Information
[02/01/2009 - 23:14:06 | | 7] C:\tw0001.dat
[19/12/2010 - 10:50:56 | D ] C:\UsbFix
[19/12/2010 - 10:50:57 | A | 1113] C:\UsbFix.txt
[03/11/2008 - 23:11:06 | | 25] C:\Velogiciel.ini
[19/12/2010 - 09:56:17 | D ] C:\WINDOWS
[02/09/2009 - 22:48:43 | SHD ] D:\autorun.inf
[06/12/2009 - 15:35:29 | D ] D:\eBooks
[29/10/2008 - 21:46:56 | D ] D:\Emule
[07/11/2010 - 11:37:26 | D ] D:\Films
[05/10/2009 - 18:59:56 | D ] D:\Logiciels
[18/12/2010 - 19:25:20 | D ] D:\Mes Documents
[11/07/2010 - 19:04:25 | D ] D:\Musique
[01/11/2010 - 14:48:43 | D ] D:\Photos
[19/12/2010 - 10:50:56 | SHD ] D:\RECYCLER
[27/09/2010 - 21:15:40 | SHD ] D:\System Volume Information
[31/12/2009 - 17:55:42 | D ] D:\Séries

################## | Vaccin |

C:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
D:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)

################## | Upload |

Veuillez envoyer le fichier: C:\UsbFix_Upload_Me_PORTABLE_NICOLA.zip
http://www.teamxscript.org/Upload.php
Merci de votre contribution.

################## | E.O.F |

ok

Pour analyser ton pc si tu le souhaites pour voir s'il y a autre chose :

* Télécharge ZHPDiag (de Nicolas Coolman)
* Laisse toi guider lors de l'installation
* Il se lancera automatiquement à la fin de l'installation
* Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
* Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
* Héberge le rapport ZHPDiag.txt sur cijoint, puis copie/colle le lien crée dans ta prochaine réponse stp

http://www.cijoint.fr/cjlink.php?file=cj201012/cijJiTDQtI.txt

merci

!!! question idiote, tu trouves qu'un antivirus est superflu ???

dès qu'on a fini, je te conseillerai vivement den installer un, je te donnerai quelques conseils ^^

Télécharge Malwarebytes' Anti-Malware

(tu pourras garder ce logiciel en complément de ton antivirus, c'est un antimalware généraliste très performant à passer de temps en temps (une fois par mois par exemple)

- Sur la page cliques sur Télécharger Malwarebyte's Anti-Malware
- Enregistres le sur le bureau
- Double cliques (clic droit en tant qu'administrateur sous vista/seven) sur le fichier téléchargé pour lancer le processus d'installation
- Mets le a jour /!\
- Double-cliques sur l'icône de malwarebytes pour le relancer
- Dans l'onglet, Recherche, probablement ouvert par défaut,
- Sélectionne Exécuter un examen complet et Rechercher
- Si des malwares ont été détectés, cliques sur Afficher les résultats
- Sélectionnes tout (ou laisses cochés) et cliques sur Supprimer la sélection Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
- Colle le rapport ici, il se trouve dans l'onglet rapport/log

Si tu as besoin d'aide regarde ce tutoriel
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/

ps: s'il te demande de redemarrer : fais le !

oui je trouve pour l'utilisation du PC que je fais

dès que j'ai un soucis je viens ici, j'en suis très reconnaissant

un ATV me ralentit le PC, s'offusque dès que je surfe sur un site qu'il ne lui plait pas....

je peux virer le dossier : C:\UsbFix ?? et les sous dossiers etc.. ?

avec Un-UsbFix.exe

sinon

Malwarebytes' Anti-Malware 1.50
www.malwarebytes.org

Version de la base de données: 5354

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

19/12/2010 13:08:01
mbam-log-2010-12-19 (13-08-01).txt

Type d'examen: Examen complet (C:\|D:\|)
Elément(s) analysé(s): 333606
Temps écoulé: 53 minute(s), 19 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 1
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 14

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
HKEY_CLASSES_ROOT\Drive\shell\(default) (Hijack.Drives) -> Bad: (open) Good: (none) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\system volume information\_restore{e3ba8851-fcac-44fe-a5c4-2e465bf29b18}\RP69\A0015964.exe (Worm.SillyShare) -> Quarantined and deleted successfully.
c:\system volume information\_restore{e3ba8851-fcac-44fe-a5c4-2e465bf29b18}\RP69\A0015965.exe (Worm.SillyShare) -> Quarantined and deleted successfully.
c:\system volume information\_restore{e3ba8851-fcac-44fe-a5c4-2e465bf29b18}\RP69\A0015966.exe (Worm.SillyShare) -> Quarantined and deleted successfully.
c:\system volume information\_restore{e3ba8851-fcac-44fe-a5c4-2e465bf29b18}\RP69\A0015967.exe (Worm.SillyShare) -> Quarantined and deleted successfully.
c:\UsbFix\quarantine\C\sal.xls.exe .vir (Worm.SillyShare) -> Quarantined and deleted successfully.
c:\UsbFix\quarantine\C\WINDOWS\system32\algssl.exe.vir (Worm.SillyShare) -> Quarantined and deleted successfully.
c:\UsbFix\quarantine\C\WINDOWS\system32\msfir80.exe.vir (Worm.SillyShare) -> Quarantined and deleted successfully.
c:\UsbFix\quarantine\C\WINDOWS\system32\msime80.exe.vir (Worm.SillyShare) -> Quarantined and deleted successfully.
c:\UsbFix\quarantine\D\sal.xls.exe .vir (Worm.SillyShare) -> Quarantined and deleted successfully.
c:\WINDOWS\system\Update.exe (Trojan.Agent) -> Quarantined and deleted successfully.
d:\system volume information\_restore{e3ba8851-fcac-44fe-a5c4-2e465bf29b18}\RP69\A0015960.exe (Worm.SillyShare) -> Quarantined and deleted successfully.
d:\system volume information\_restore{e3ba8851-fcac-44fe-a5c4-2e465bf29b18}\RP69\A0015962.exe (Worm.SillyShare) -> Quarantined and deleted successfully.
c:\WINDOWS\ufdata2000.log (Malware.Trace) -> Quarantined and deleted successfully.
c:\WINDOWS\wkernel32.sys (Malware.Trace) -> Quarantined and deleted successfully.

t'inquiètes, on vire tout ca a la fin,

penses a vider la quarantaine de Mbam

tu peux reposter un nouveau rapport zhpdiag pour vérifier stp comme t'as fais ici

http://www.cijoint.fr/cjlink.php?file=cj201012/cijcJrsi4K.txt

* Ouvre ce lien et copie tout ce qui dedans
* Fais un clic-droit sur le raccourci de ZHPFix et choisis "Exécuter en temps qu'administrateur" (double clic sous Xp)
* Clique sur l'icone représentant la lettre H (« coller les lignes Helper »). Les lignes copiées doivent apparaitre dans ZHPFix.
* Clique sur « Tous », puis sur « Nettoyer »
* Copie/colle la totalité du rapport dans ta prochaine réponse stp

Rapport de ZHPFix 6.12.3226 par Nicolas Coolman, Update du 06/12/2010
Fichier d'export Registre : C:\ZHPExportRegistry-19-12-2010-14-35-18.txt
Run by Nicolas at 19/12/2010 14:35:18
Windows XP Professional Service Pack 3 (Build 2600)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Clé(s) du Registre ==========
O51 - MPSK:{5b89b3d2-568e-11dd-98d3-001fe1f04581}\Shell\AutoRun\command. (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\sal.xls.exe (.not file.) => Clé absente
O51 - MPSK:{5b89b3d2-568e-11dd-98d3-001fe1f04581}\Shell\auto\command. (.Pas de propriétaire - Pas de description.) -- G:\sal.xls.exe (.not file.) => Clé absente
O51 - MPSK:{a70ae768-3bd7-11dd-98a2-001d09da79fc}\Shell\AutoRun\command. (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\sal.xls.exe (.not file.) => Clé absente
O51 - MPSK:{a70ae768-3bd7-11dd-98a2-001d09da79fc}\Shell\auto\command. (.Pas de propriétaire - Pas de description.) -- J:\sal.xls.exe (.not file.) => Clé absente

========== Valeur(s) du Registre ==========
O3 - Toolbar: (no name) - {1E796980-9CC5-11D1-A83F-00C04FC99D61} . (.Pas de propriétaire - Pas de description.) -- (.not file.) => Valeur absente
O4 - HKLM\..\Run: [KernelFaultCheck] Clé orpheline => Valeur absente
O47 - AAKE:Key Export SP - "C:\Documents and Settings\Nicolas\temp\TeamViewer\Version4\TeamViewer.exe" [Enabled] .(.Pas de propriétaire - Pas de description.) (.not file.) => Valeur absente
O47 - AAKE:Key Export SP - "C:\Logiciels\FreePack\freepack.exe" [Enabled] .(.Pas de propriétaire - Pas de description.) (.not file.) -- => Valeur absente
O47 - AAKE:Key Export SP - "C:\Logiciels\FreePack\VLC\vlc.exe" [Enabled] .(.Pas de propriétaire - Pas de description.) (.not file.) -- => Valeur absente
O47 - AAKE:Key Export SP - "C:\WINDOWS\system32\rundll32.exe" [Enabled] .(.Pas de propriétaire - Pas de description.) (.not file.) -- => Valeur absente

========== Elément(s) de donnée du Registre ==========
[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusOverride: Modified => Donnée supprimée avec succès

========== Fichier(s) ==========
c:\documents and settings\all users\menu démarrer\programmes\winamp.lnk () => Fichier absent

========== Récapitulatif ==========
4 : Clé(s) du Registre
6 : Valeur(s) du Registre
1 : Elément(s) de donnée du Registre
1 : Fichier(s)

End of the scan

après 2 essais
donc supprimé en 1er lieu et absente ensuite j'imagine

pas de problèmes particuliers ?

>> Tu dois mettre à jour tous tes programmes pour combler des failles de sécurité... Vérifie les mises disponibles à l'aide de ce petit programme (choisis la version sans installation) : Update Checker

pourquoi tenir ses programmes a jour

>> Pour supprimer les outils de désinfection avec ZHP :

Pour supprimer les outils de désinfection :

Relance Zhpfix (clic droit en tant qu'admin sous Vista et 7)

Clique sur le A rouge (Nettoyeur de Tools).

Clique sur Nettoyer.

Fais redémarrer l'ordi pour terminer le nettoyage.

Il reste quelques petites choses a faire pour finir le nettoyage et pour optimiser ton pc :

>>Les barres d'outils

Souvent installées avec d'autres logiciels sans que l'utilisateur y fasse attention, les barres d'outils se multiplient sur les ordinateurs et ont deux résultats : ralentir les ordinateurs et provoquer des bugs des navigateurs.

Ce qu'il faut savoir sur les toolbars (barres d'outils)
Je te conseille vivement de désinstaller les tiennes :
Pour ça, ferme ton navigateur, puis Menu démarrer --> Panneau de configuration --> ajout/suppression de programmes

>>Sécurité

Anti-virus :
Il te faut impérativement un antivirus... Parmi ls gratuits, je te conseille Antivir, qui est considéré comme un des meilleurs : télécharge le ici (ou Avast5)

* En complément, garde MalwareBytes pour son scan de nettoyage performant.

Pour naviguer sur internet plus en sécurité et à l'abri des publicités, je te conseille vivement d'installer et d'utiliser le navigateur Firefox 3 avec deux extensions :
AdBlockPlus pour bloquer les publicités ;

WOT, pour t'avertir des sites web dangereux.

>>Télécharge et installe Ccleaner (si ce n'est déjà fait) :

Lance CCleaner
Option --> avancé --> décoche « effacer uniquement les fichiers plus vieux que 48h »
Puis nettoyeur --> Analyse > Lancer le nettoyage, puis sur OK dans la fenêtre qui s' affiche.
Enfin, registre --> corrige toutes les erreurs, et recommence jusqu'à ce qu'il ne trouve plus d'erreurs.

(Tu peux garder ce logiciel et l'utiliser régulièrement).

==> Pour finir le nettoyage, il faut purger la restauration du système (pour supprimer les points de restauration infectés).

Fais un clic droit sur poste de travail (qui est sur ton Bureau ou dans le menu démarrer), puis propriétés.
Sélectionne l'onglet restauration du système
Coche l'option Désactiver la restauration du système sur tous les lecteurs
Clique sur OK.

Puis refais la manipulation inverse pour réactiver la restauration système.

>> Un peu de lecture avec des informations de prévention et de protection contre les infections si ca t'interesse
Prévention et sécurité sur internet et ceci

Bonne continuation et n'hésite pas à poser des questions en cas de besoin ;)

pas de problèmes particuliers ?

NON

_______________________

>> Tu dois mettre à jour tous tes programmes pour combler des failles de sécurité... Vérifie les mises disponibles à l'aide de ce petit programme (choisis la version sans installation) : Update Checker

pourquoi tenir ses programmes a jour

Je l'utilise déjà.
_________________________________

>>Les barres d'outils

je n'en ai pas d'installée

__________________________________

AdBlockPlus pour bloquer les publicités ;

Je l'ai

WOT, pour t'avertir des sites web dangereux.

Je l'ai
_______________________________

>>Télécharge et installe Ccleaner (si ce n'est déjà fait) :

Je l'ai et je fais déjà

_________________________________

merci il me reste à faire

Relance Zhpfix (clic droit en tant qu'admin sous Vista et 7)

Clique sur le A rouge (Nettoyeur de Tools).

Clique sur Nettoyer.

Fais redémarrer l'ordi pour terminer le nettoyage.

barres d'outils :
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} . (.Adobe Systems Incorporated - Adobe PDF Toolbar for Internet Explorer.) -- C:\logiciels\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: SnagIt - {8FF5E183-ABDE-46EB-B09E-D2AAB95CABE3} . (.TechSmith Corporation - SnagIt Add-in for Internet Explorer.) -- C:\logiciels\SnagIt 9\SnagItIEAddin.dll
O3 - Toolbar: NetXfer - {C16CBAAC-A75C-4DB5-A0DD-CDF5CAFCDD3A} . (.Xi - NetXfer IE Toolbar.) -- C:\logiciels\Xi\NetXfer\NXToolBar.dll

si tu souhaites les virer, tu fais la même manip avec zhpfix

il te reste aussi la restau a nettoyer

et pour les majs, si tu l'as , sers toi s'en lol