Virus Autorun.ini sur disque amovible

Question

Bonjour, 

J'ai un problème avec une micro sd 2Go ( je suis sous Windows Vista ).

Mon problème est le suivant : elle est infectée par un "Autorun.ini", lorsque j'essaie de l'effacer manuellement, il revient.

J'ai essayé avec mon antivirus (Avast) ça ne marche pas non plus.

J'ai aussi essayé plusieurs logiciel que j'ai trouvé en faisant des recherches sur ce virus de m*** :/, qui sont censés régler ce problème. 

J'ai essayé :

-Autorun Remover
-UsbFix
-Anti-Autorun.inf
-Combofix
-Flash disinfector
-RAV

Mais ça ne marche pas non plus.
Même le formatage de la carte ne fonctionne pas non plus ( à la fin du formatage il me dit que le formatage n'a pas pu se réaliser ).

Je suis à cours d'idées, si quelqu'un pouvait me donner une astuce, ce serait vraiment aimable.

Merci.

Configuration: Windows Vista / Firefox 3.6.11

jfkpresident · Answer

Bonsoir,

Je suis presque sur qu'en téléchargeant des logiciels du style : 

Autorun Remover 
Anti-Autorun.inf 

Tu as du infecter ton pc ...

elle est infectée par un "Autorun.ini"

Tu veux dire autorun.inf ?

Sosof! · Answer

Bonsoir jfkpresident,

Merci pour ta réponse.

Bah non c'est Autorun.ini... 

Et si les logiciels étaient dangereux mon antivirus les aurait détectés ?

jfkpresident · Answer

Et si les logiciels étaient dangereux mon antivirus les aurait détectés ?

Pas obligatoirement ...malheureusement.

Tu as le rapport de UsbFix ? Tu peux me le coller ?

Sosof! · Answer

CPU: Intel(R) Pentium(R) 4 CPU 3.06GHz
CPU 2: Intel(R) Pentium(R) 4 CPU 3.06GHz
Microsoft® Windows Vista(TM) Ultimate  (5.1.2600 32-Bit) # Service Pack 2
Internet Explorer 7.0.6000.16609

Windows Firewall: Enabled
RAM -> 959 Mb 
C:\ (%systemdrive%) -> Fixed drive # 227 Gb (118 Mb free - 52%) [PRESARIO] # NTFS
D:\ -> Fixed drive # 6 Gb (1 Mb free - 19%) [PRESARIO_RP] # FAT32
E:\ -> CD-ROM
F:\ -> CD-ROM
G:\ -> Removable drive # 2 Gb (529 Mb free - 28%) [DSI] # FAT

################## | Files # Infected Folders |



################## | Registry |

Found ! HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System|DisableRegistryTools
Found ! HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoDrives
Found ! HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoDrives

################## | Mountpoints2 |


################## | Vaccin |

C:\Autorun.inf -> Folder created by UsbFix (El Desaparecido & C_XX)
D:\Autorun.inf -> Folder created by UsbFix (El Desaparecido & C_XX)

################## | E.O.F |


Voila ce que j'ai apparemment dans "infected folders" il détecte rien.

Mais avast le détecte en tant que virus...

jfkpresident · Answer

(!) Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d avoir été infectées sans les ouvrir


* Fais un clic droit sur le raccourci UsbFix présent sur ton bureau et choisis "éxécuter en tant qu'administrateur" .

* Au menu principal choisis l'option " F " pour français et tape sur [entrée] .

* Au second menu Choisis l'option " 2 " ( Suppression ) et tape sur [entrée]  

* Ton bureau disparaitra et le pc redémarrera .

* Au redémarrage , UsbFix scannera ton pc , laisse travailler l outil.

* Ensuite post le rapport UsbFix.txt qui apparaitra avec le bureau .

* Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque.( C:\UsbFix.txt )

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

Sosof! · Answer

Sosof! · Answer

Et le virus autorun.ini aussi est toujours là ...

jfkpresident · Answer

Il s'agit de celui-ci : G:\Autorun.ini  ?

Sosof! · Answer

Oui c'est bien lui, je continue d'essayer d'autres manips mais rien n'y fait...

J'ai essayé de formater avec un téléphone portable il revient toujours je suis à cours d'idées

jfkpresident · Answer

Ok ,on va tester différentes façons (de la plus gentille a la plus costaud):

En passant ,on va vider tes fichiers temporaires -;)

Branche ton disque G:\ avant toutes manip /!\

Télécharge OTM de OldTimer sur ton Bureau en cliquant sur ce lien :

http://www.geekstogo.com/forum/files/file/402-otm-oldtimers-move-it/

Double-clique sur OTMoveIt3.exe pour le lancer.

Copie la liste qui se trouve en gras ci-dessous,

et colle-la dans le cadre de gauche de OTMoveIt : "Paste instructions for item to be moved".


:files
G:\Autorun.ini

:commands
[emptytemp]
[start explorer]
[reboot]



Clique sur "MoveIt!" pour lancer la suppression.

Le résultat apparaitra dans le cadre "Results".

Clique sur "Exit" pour fermer.

Poste le rapport situé dans C:\_OTMoveIt\MovedFiles sous le nom xxxxxx_xxxxxxxxxx.log .

Il te sera peut-être demander de redémarrer le pc pour achever la suppression. Si c'est le cas accepte par Yes.

Sosof! · Answer

Voilà :

All processes killed
========== FILES ==========
G:\Autorun.ini moved successfully.
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: All Users
-> No Temporary Internet Files cache folder defined!
 
User: Default
-> No Temporary Internet Files cache folder defined!
 
User: Default User
-> No Temporary Internet Files cache folder defined!
 
User: ElGazi
-> No Temporary Internet Files cache folder defined!
 
User: Public
-> No Temporary Internet Files cache folder defined!
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 4123 bytes
%systemroot%\system32\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 33170 bytes
RecycleBin emptied: 0 bytes
 
Total Files Cleaned = 0,00 mb
 
 
OTM by OldTimer - Version 3.1.17.2 log created on 12262010_232145

Files moved on Reboot...
File move failed. C:\Windows	emp\_avast5_\Webshlock.txt scheduled to be moved on reboot.

Registry entries deleted on Reboot...


D'après le rapport, "G:\Autorun.ini moved successfully." il a bien été supprimé c'est ca ?

Mais il est toujours présent sur la micro sd...

jfkpresident · Answer

Tu as essayé d'ouvrir cet autorun.ini avec ton bloc note ?

Sosof! · Answer

Bonjour, 

oui j'ai essayé de l'ouvrir, j'ai essayé de modifier le contenu avec le bloc note, de tout supprimer.

J'ai aussi essayé de modifier l'extension du fichier, mais il revient toujours à son état initial quoi que je fasse :'(

Voilà ce qu'il y a dedans :

( j'ai mis un espace à "[auto run]" car le site détecte que c'est un virus et il ne me laisse pas publier mon message )

[auto run]  
SHelleXecUte=lSasS.Exe
;
ICOn=%WiNdir%\sYstEm32\sHELl32.Dll,4
;
AcTion=Open folder to view files Using explorer
;
ShELl\oPen\cOMmAnD=lsass.exe
shell\expLore\CoMmaND=lsass.exe
useAUToPLaY = 1

jfkpresident · Answer

Je vais demander a qui de droit pour ce bout de code et je t'informe aussitot .

jfkpresident · Answer

As tu un fichier caché nommé lSasS.Exe sur ta carte SD ?

Sosof! · Answer

Merci de ton aide ça me fait plaisir !

lSasS.exe n'existe pas,
même dans les fichiers cachés et les fichiers systèmes cachés...

Sosof! · Answer

En faisant recherche sur mon pc, j'ai trouvé lSasS.exe. 

Il se situe dans C:\windows\system32\ 

Pareil pour Shell32.dll 

Mais ils n'existent pas dans la carte SD... 

J'vais essayer de les déplacer provisoirement pour voir si je peux supprimer Autorun.ini et je t'en dit plus

Sosof! · Answer

Ah c'est impossible car le fameux Shell32.dll est lié à tous les processus ... 

Bon la j'ai plus d'idées ...

jfkpresident · Answer

Il peut s'agir d'un virus ...Mais avant je voudrais vérifié l'intégrité de ton pc :

Télécharge ZhpDiag de Nicolas Coolman .
  
    Une fois le téléchargement achevé, double clique sur ZHPDiag.exe(clic droit ,"éxécuter en tant qu'administrateur" pour Vista).

    Une fois installé le programme s'ouvre automatiquement .

    Clique sur la loupe pour lancer l'analyse.

    A la fin de l'analyse, clique sur la "disquette" (enregistrer sous..) .

    Rend toi sur ce site : http://www.cijoint.fr/index.php
     
    Clique sur parcourir et sélectionne le fichier ZhpDiag.txt (Une aide au cas ou])

    Un lien va etre créer ,poste ce lien dans ta prochaine réponse.

Sosof! · Answer

Voilà :

http://www.cijoint.fr/cjlink.php?file=cj201012/cijWZYvuvx.txt

jfkpresident · Answer

Il ya juste une redirection du fichier host vers cette adresse : http://whois.domaintools.com/74.208.10.249

ça te dit quelquechose ?

Sosof! · Answer

Comment ça ? Qu'est ce que ça veut dire en gros ?

jfkpresident · Answer

Une explication détaillé ici

En attendant ,on va vérifier la légitimité de ton processus lSasS.exe

Rends toi sur ce site :

https://www.virustotal.com/gui/

Clique sur parcourir et cherche ce fichier :

C:\windows\system32\lSasS.exe

Clique sur Send File.

Un rapport va s'élaborer ligne à ligne.

Attends la fin. Il doit comprendre la taille du fichier envoyé.

Sauvegarde le rapport avec le bloc-note.

Copie le dans ta réponse.

Sosof! · Answer

A chaque fois que je publie le rapport il ne veut pas s'afficher sur CCM donc je te l'envoie ainsi: 

http://www.cijoint.fr/cjlink.php?file=cj201012/cij4Ixo2QE.txt

Et merci pour l'explication.

jfkpresident · Answer

Il me manque le morceaux intéressant (tout le début du résultat)

jfkpresident · Answer

C'est bon ,j'ai réussi a retrouver le rapport avec le MD5 .

Des demain on va tenter une nouvelle manip afin de supprimer cet autorun .

En attendant ,je vais au lit ...

Sosof! · Answer

Ca marche ! Merci à toi et bonne nuit !
(Désolé du retard)

jfkpresident · Answer

Double-clique sur OTMoveIt3.exe pour le lancer.

Copie la liste qui se trouve en gras ci-dessous,

et colle-la dans le cadre de gauche de OTMoveIt : "Paste instructions for item to be moved".


:processes
explorer.exe
lSasS.exe 

:files
G:\autorun.ini

:commands
[start explorer]




Clique sur "MoveIt!" pour lancer la suppression.

Le résultat apparaitra dans le cadre "Results".

Clique sur "Exit" pour fermer.

Poste le rapport situé dans C:\_OTMoveIt\MovedFiles sous le nom xxxxxx_xxxxxxxxxx.log .

Il te sera peut-être demander de redémarrer le pc pour achever la suppression. Si c'est le cas accepte par Yes.

Sosof! · Answer

Je l'ai fait et pendant qu'OTM effectue son travail il s'affiche une fenêtre que voilà :  	https://www.cjoint.com/?0mCnl8cMcuB .

J'ai aussi remarqué qu'il faisait ça même lorsque j'essayais de supprimer un fichier quelconque sur la carte SD.


 et voilà le rapport :

========== PROCESSES ==========
Process explorer.exe killed successfully!
Process lSasS.exe killed successfully!
========== FILES ==========
File move failed. G:\Autorun.ini scheduled to be moved on reboot.
========== COMMANDS ==========
 
OTM by OldTimer - Version 3.1.17.2 log created on 12282010_130212

Files moved on Reboot...
File move failed. G:\Autorun.ini scheduled to be moved on reboot.

Registry entries deleted on Reboot...

Je vais redémarrer de nouveau pour voir s'il le supprime.

jfkpresident · Answer

Croisons les doigts :))

Sosof! · Answer

Oh nan ! :( 

Il a effectué le scan ( "checking g:" blabla ...) mais ça n'a rien changé ...

J'en peux plus, il y a pas un moyen de forcer le formatage ? 

Car j'avais déjà essayé mais à la fin du formatage il me dit :
  "windows was unable to complete the format".

jfkpresident · Answer

télécharge Killbox ici : http://www.killbox.net/

sélectionne entièrement la liste ci-dessous : 

G:\autorun.ini 

---> et tu fais clic droit / copier

Ouvres killbox
- Sélectionne "delete on reboot"
- Clique sur le menu "File" -> "Past from clip board"
- Clique sur All Files
- Clique sur la croix rouge  et blanche
- Répond yes et laisse redémarrer ton pc.
N'hésite pas à consulter l'aide killbox

Sosof! · Answer

Après le redémarrage, lorsqu'il fait le scan ( checking g: ...), il reste sur 1% pendant 2 minutes, puis Vista démarre. 

On dirait que le virus, à la moindre action effectuée, déconnecte ma carte sd et la reconnecte ce qui empêche toute action...

jfkpresident · Answer

Une question bete ....Est ce que le loquet de protection de la carte SD est un bien en position ouverte ?

Sosof! · Answer

C'est une micro SD donc pas de loquet ;)

jfkpresident · Answer

-Ouvre ton bloc note et copie/colle ce qui est en gras :

FileDelete G:\autorun.ini 

-Enregistre le sous le nom de autorun.bfu

-Télécharge BruteForceUninstaller
-Décompresse l'archive sur ton bureau.
-Double clique sur BFU.exe
-Coche la case "Unloaded Explorer from....."
-Ouvre un script et choisis celui que tu as enregistré sous le nom de autorun.bfu
-Pour finir ,clique sur "execute" pour lancer le script.

Sosof! · Answer

Voilà le rapport :

BFU v1.11.0
Windows Vista (WinNT 6.00.1904 )
Script started at 18:05:47, on 28/12/2010

Option Unload Explorer: Yes
Success: FileDelete G:\autorun.ini
Script completed at 18:05:52.


Mais Autorun.ini est toujours la ! Il est coriace !

jfkpresident · Answer

Télécharge SEAF de C_XX .

*Double clique sur SEAF.exe ("éxécuter en tant qu'administrateur pour vista) .

*Une fenetre Cmd va s'ouvrir .

*Tape autorun.ini dans cette fenetre et "entrée" .

*Patiente pendant la recherche .

*Une fenetre avec un log .txt va s'afficher .

*Copie/colle ce rapport dans ta prochaine réponse .

Sosof! · Answer

C'est bon :



1. ========================= SEAF 1.0.1.0 - C_XX
2. 
3. Commencé à: 18:37:12 le 28/12/2010
4. 
5. Valeur(s) recherchée(s):
6. autorun.ini
7. 
8. Légende: TC => Date de création, TM => Date de modification, DA => Dernier accès
9. 
10. 
11. ====== Fichier(s) ======
12. 
13. 
14. "C:\!KillBox\Autorun.ini" [ NORMAL | 209 o ]
15. TC: 28/12/2010,16:15:22 | TM: 30/07/2010,18:18:46 | DA: 28/12/2010,16:15:22
16. 
17. 
18. =========================
19. 
20. 
21. "C:\_OTM\MovedFiles\12262010_232145\G_\Autorun.ini" [ ARCHIVE | 209 o ]
22. TC: 12/09/2010,01:42:45 | TM: 30/07/2010,18:18:46 | DA: 26/12/2010,23:21:47
23. 
24. 
25. =========================
26. 
27. 
28. =========================
29. 
30. Fin à: 18:39:16 le 28/12/2010
31. 195111 Éléments analysés
32. 
33. =========================
34. E.O.F

jfkpresident · Answer

On va vérifier si des fichiers cachés ne sont pas présents sur ta machine .

Télécharge gmer
http://www2.gmer.net/gmer.zip

dézippe-le (clic droit et extraire sur le bureau )

Ouvre le dossier crée et double-clique sur gmer.exe .
Si ton antivirus réagit, ne t'inquiète et ignore l'alerte.
Le scan va se lancer de lui-même.
vérifie que l'outil est sur l'onglet RootKit/Malware

A la fin du scan, clique sur le bouton save pour enregistrer le rapport.
Enregistre-le sur le bureau ( fichier .log )
Edite ce rapport dans ta prochaine réponse.

Sosof! · Answer

Si ton antivirus réagit, ne t'inquiète et ignore l'alerte. 

J'ai fais le scan avec gmer.exe, et deux fois : un écran tout bleu s'affiche et mon ordi s'éteint.

Normal que les antivirus réagissent ...

jfkpresident · Answer

Tu n'as pas le rapport Gmer ?

Sosof! · Answer

Non mon ordi s'éteint tout seul et il n'y a pas de rapport ...

Au pire il y aurait pas un moyen de formater tout simplement ?

Car même le formatage est impossible

Sosof! · Answer

J'ai essayé sur un autre pc mais toujours la même chose, j'arrive pas à le supprimer, ni à formater la carte donc par déduction, le problème viens de la carte sd et non du pc ?

jfkpresident · Answer

Tu va essayer ceci :

-Clique sur "démarrer" puis tape "cmd" dans la barre de recherche ,tu va accéder a un ecran noir .

-Tape chkdsk g: /f /r dans cet ecran puis "entrée".

Sosof! · Answer

Là il s'arrête au bout de 1%, comme pour le "check" au démarrage.  

Dès que je fais un truc :   
- scanner avec un antivirus ou autre,
- formater ( même en utilisant la commande "format g:" sous dos ), 
- supprimer un fichier,   
- déplacer un fichier , 
- etc ...  

bref tout ce qui agit sur la carte sd fait qu'elle se déconnecte et reconnecte,   
je le sais parce que cette fenêtre s'affiche :  

  https://www.cjoint.com/?0mDvfsEZaQ  

Or cette fenêtre s'affiche que quand je connecte un disque amovible.  

Donc il faudrait trouver un moyen d'empêcher ce relancement qui interrompt mes actions .   

C'est bien ça ?

jfkpresident · Answer

Compliqué ton histoire ......

Question: C'est une carte SD a mémoire flash ?

Sosof! · Answer

Oui c'est celle là 

http://diszkontgsm.hu/images/Micro-SD.jpg

jfkpresident · Answer

Parceque j'avais trouvé ça sur le formatage des cartes a mémoire flash .

Sosof! · Answer

Ça marche toujours pas, ça fait comme je t'ai dit précédemment ...

Je vais finir par la jeter à la poubelle :/

jfkpresident · Answer

On va essayer une derniere chose mais je suis pas trop optimiste :/

Clique sur "démarrer" puis tape "cmd" dans la recherche pour accéder a l'invite de commande .

Tape diskmgmt.msc a l'invite puis "entrée" .

Une fois dans la gestion des disques ,supprimes la partition G:\ puis recrée la et formate la en FAT32 (plus long mais plus sur) .

Si ça ne fonctionne pas alors je pense que ta carte est réellement défectueuse ..

Sosof! · Answer

Ça ne marche pas .... 

J'ai même essayé 5 logiciels de partitionnement mais rien à faire ça s'arrête au début de l'opération

jfkpresident · Answer

Alors ,il faut se résigner ...Ta carte SD est endommagé .

Sosof! · Answer

Oui, en tout cas merci pour tout, ça fait vraiment plaisir d'être aidé .

Bonne continuation à toi ! Continue ainsi ;)

jfkpresident · Answer

Merci et bonne fetes de fin d'année .

Bonjour · Answer

Bonjour, 

Pour la redirection du fichier Hosts décelé au départ (O1 - Hosts: 74.208.10.249 gs.apple.com), il faut faire quelque chose ? (c'est une question à titre informatif) 

Merci pour la réponse ;) et bonne fêtes également à tous les deux.

jfkpresident · Answer

Bonjour bonjour :)

Merci de me le rappeler vu que j'étais concentré sur cette carte SD ...

@Sosof! :

Fait ceci avant le réveillon :

-Ouvre ZhpFix sur ton bureau puis clique sur "HOSTFix" .

Sosof! · Answer

Désolé du retard !
Je l'avais déjà fait mais merci quand même

El Desaparecido · Answer

Hello vous 2 ,

Je me présente , je suis l'auteur de UsbFix ..

Sosof! , 

Peux tu faire un clic droit sur Autorun.ini et me éditer son contenu dant ta prochaine reponse ? 

merci .

Sosof! · Answer

Bonjour El Desaparecido,

Voilà le contenu de autorun.ini situé dans la racine de ma micro sd.

Il n'y a pas d'espace dans "[auto run]" :

[auto run]
SHelleXecUte=lSasS.Exe
;
ICOn=%WiNdir%\sYstEm32\sHELl32.Dll,4
;
AcTion=Open folder to view files Using explorer
;
ShELl\oPen\cOMmAnD=lsass.exe
shell\expLore\CoMmaND=lsass.exe
useAUToPLaY = 1

Voilà et désolé du retard je pensais que le post était terminé

Sosof! · Answer

Up ?

Virus Autorun.ini sur disque amovible

61 réponses

Votre réponse

Discussions similaires

Newsletters