2 worms : Win32:small-EML + INF:AutoRun-AW Fermé

Question

Bonjour, 
En tentant de télécharger la tablature de bass du morceau l'aventurier du groupe indochine sur le site bassmasta, j'ai clické sur un lien qui a visiblement lancé un programme malveillant : une fenêtre Windows s'est ouverte avec une adresse internet type www.mypersonalguardian.etc(plein de chiffres) présentant des dossiers type "personal folders" , "C://" avec un texte écrit au dessous en rouge "10 fichiers infectés, 3 fichiers infectés etc." pour chacun d'eux. Une fenêtre est apparue me présentant un programme à télécharger pour éviter un crash, que j'ai refusé. Je suis sous Vista et l'éditeur était quelque chose comme www.mypersonalsecuritychecher.nn.ru..quelque chose comme çà.
En lançant un Scan minutieux avec Avast antivirus version gratuit, deux fichiers ont été trouvés, deux worms visiblement:

Win32:small-EML 
INF:AutoRun-AW

Comment les éradiquer?

Merci d'avance de votre attention et de votre aide

Tomacou

Configuration: Windows Vista / Internet Explorer 7.0

anthony5151 · Answer

Bonjour,


Bienvenue sur CCM !
Nous allons essayer de régler ton problème ensemble. D'abord, quelques rappels :

- N'ouvre pas d'autres sujets pour le même problème (que ce soit sur ce forum ou sur un autre)
- N'hésite pas à poser des questions en cas de besoin ;)
- Sois patient(e) quand tu postes un message, je ne réponds pas instantanément : je suis bénévole et je ne suis pas en permanence devant mon ordinateur. Mais rassure toi, je ne laisse jamais tomber personne ;)
- La désinfection (si nécessaire) va se dérouler en plusieurs étapes. Même si les symptômes de l'infection disparaissent, la désinfection ne sera terminée que quand je te le confirmerai --> Merci de revenir jusqu'au bout, sinon ce qu'on a fait n'aura servi à rien.


Commence par utiliser ce logiciel de diagnostic stp, ça me permettra de t'aider :

* Télécharge ZHPDiag (de Nicolas Coolman)
* Lance le (si tu es sous Windows Vista ou Windows 7, fais le par un clic-droit --> Exécuter en temps qu'administrateur)
* Laisse toi guider lors de l'installation (pense à cocher la case pour créer un raccourci sur le Bureau)
* Il se lancera automatiquement à la fin de l'installation
* Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
* Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
* Héberge le rapport ZHPDiag.txt sur ce site, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum

tomacou · Answer

Merci de ton accueil et de ta réactivité!
Comme demandé le lien vers le rapport
http://security-domain.be/Uploader/dld.php?i=0dadcedd-3938-4d91-82ce-923c5cfe4c91
En espérant qu'il soit "parlant"!

anthony5151 · Answer

Je ne vois rien de néfaste dans ce rapport. Soit Avast a bien supprimé l'infection détectée, soit ce n'était déjà que des restes inactifs.

As-tu encore des alertes d'Avast ? Si c'est le cas, indique moi le nom et la localisation des fichiers détectés stp.

tomacou · Answer

Je viens de refaire un scan, et les fichiers vérolés sont bien détectés. 
il s'agit bien de deux fichiers mais leur emplacement ne semble pas localisé...car ils se présentent comme suit: 

\?\Volume{159203ed-5c86-11dc-b545-806e6f6e6963}\Recycler\Driveinfo.exe 
Menace : Win32:small-EML  

\?\Volume{159203ed-5c86-11dc-b545-806e6f6e6963}\autorun.inf 
Menace: INF:AutoRun-AW

afideg · Answer

Salut, 
Anthony5151 doit être au lit à cette heure. 

Supprime les points de restauration comme ceci pour Vista  https://labo-microsoft.supinfo.com/tips-26838-suppression-points-restauration-systeme-Windows-Vista.html/   

Relance alors une analyse approfondie avec ton AVAST, et rapporte ici si encore ces deux fichiers signalés. 

Au retour de Anthony5151, il demandera certainement de lancer un diagnostic général du PC. Reste attentif à ton topic, ne t'en vas pas croyant que tout est résolu.

Merci. 
Al. 
Patience-Vigilance-Amour.

anthony5151 · Answer

Bonjour Albert ;)


tomacou :

D'après Avast, il y a une infection de disques amovibles :

* Télécharge USBFix (de El desaparecido et C_XX) sur ton Bureau
* Branche tes sources de données externes à ton PC (clé USB, disque dur externe, lecteur mp3 etc...) sans les ouvrir
* Fais un clic droit sur le programme USBFix et choisis 'Exécuter en tant qu'administrateur'.
* Au menu principal, clique sur "Suppression"
* Ton Bureau va disparaitre, puis l'ordinateur va redémarrer : c'est normal
* Laisse travailler l'outil jusqu'au bout
* A la fin, le rapport va s'afficher : poste le dans ta prochaine réponse stp

tomacou · Answer

Bonsoir,
et encore merci pour le suivi.
Voici le rapport. L'outil a aussi généré un zip que j'ai uploadé sur le site d'usbfix.
############################## | UsbFix 7.040 | [Suppression]

Utilisateur: Thomas (Administrateur) # PC-DE-THOMAS [TOSHIBA Satellite L40]
Mis à jour le 18/02/2011 par El Desaparecido / C_XX
Lancé à 22:54:17 | 23/02/2011
Site Web: http://www.teamxscript.org
Contact: eldesaparecido@teamxscript.org

CPU: Genuine Intel(R) CPU T2080 @ 1.73GHz
CPU 2: Genuine Intel(R) CPU T2080 @ 1.73GHz
Microsoft® Windows Vista(TM) Édition Familiale Premium  (6.0.6001 32-Bit) # Service Pack 1
Internet Explorer 7.0.6001.18000

Pare-feu Windows: Activé
RAM -> 1015 Mo 
C:\ (%systemdrive%) -> Disque fixe # 75 Go (24 Go libre(s) - 33%) [Vista] # NTFS
D:\ -> Disque fixe # 466 Go (457 Go libre(s) - 98%) [Elements] # NTFS
E:\ -> Disque fixe # 73 Go (72 Go libre(s) - 98%) [Data] # NTFS
F:\ -> CD-ROM

################## | Éléments infectieux |


Supprimé! C:\Users\Thomas\AppData\Local\Temp\8o48DE5.exe
Supprimé! C:\Users\Thomas\AppData\Local\Temp\IXP000.TMP
Supprimé! C:\$RECYCLE.BIN\S-1-5-20
Supprimé! C:\$RECYCLE.BIN\S-1-5-21-1072893722-13478963-3527317903-500
Supprimé! C:\$RECYCLE.BIN\S-1-5-21-2152478756-3922319563-605102323-500
Supprimé! C:\$RECYCLE.BIN\S-1-5-21-337642619-3421365594-3760899849-1000
Supprimé! C:\$RECYCLE.BIN\S-1-5-21-63485943-3741496929-2081961547-500
Supprimé! E:\$RECYCLE.BIN\S-1-5-21-337642619-3421365594-3760899849-1000
Supprimé! D:\autorun.inf

################## | Registre |


################## | Mountpoints2 |

Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{e4f52160-5cd7-11dd-ac9a-001a92fb4969}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{e68e42c5-a75f-11de-84b2-001a92fb4969}

################## | Listing |

[23/02/2011 - 22:57:36 | SHD ] 	C:\$Recycle.Bin
[18/09/2006 - 22:43:36 | N | 24] 	C:\autoexec.bat
[11/02/2009 - 09:34:18 | D ] 	C:\Boot
[19/01/2008 - 08:45:45 | RASH | 333203] 	C:\bootmgr
[01/06/2007 - 08:41:26 | N | 8192] 	C:\BOOTSECT.BAK
[18/09/2006 - 22:43:37 | N | 10] 	C:\config.sys
[02/11/2006 - 14:02:03 | SHD ] 	C:\Documents and Settings
[21/02/2011 - 19:03:47 | ASH | 1064689664] 	C:\hiberfil.sys
[01/06/2007 - 09:30:16 | D ] 	C:\Intel
[09/04/2010 - 11:03:50 | N | 0] 	C:\IO.SYS
[05/02/2009 - 12:39:28 | N | 2598] 	C:\lvcoinst.log
[09/04/2010 - 11:03:50 | N | 0] 	C:\MSDOS.SYS
[21/02/2011 - 19:03:45 | ASH | 1378484224] 	C:\pagefile.sys
[11/02/2009 - 09:21:34 | D ] 	C:\PerfLogs
[30/12/2008 - 11:39:08 | D ] 	C:\Philips
[21/02/2011 - 00:01:37 | D ] 	C:\Program Files
[30/12/2010 - 00:57:44 | HD ] 	C:\ProgramData
[01/06/2007 - 09:40:08 | N | 86] 	C:\setup.log
[04/06/2007 - 12:39:41 | N | 123] 	C:\SWSTAMP.TXT
[23/02/2011 - 22:50:06 | SHD ] 	C:\System Volume Information
[06/09/2007 - 17:21:42 | D ] 	C:\Toshiba
[23/02/2011 - 22:57:37 | D ] 	C:\UsbFix
[23/02/2011 - 22:54:35 | A | 2750] 	C:\UsbFix.txt
[06/09/2007 - 17:18:13 | D ] 	C:\Users
[20/02/2011 - 21:41:48 | D ] 	C:\Windows
[04/06/2007 - 12:18:29 | T | 23300] 	C:\_wdsuef.dmp
[23/02/2011 - 22:57:37 | SHD ] 	D:\$RECYCLE.BIN
[22/03/2010 - 03:40:56 | D ] 	D:\autorun
[30/12/2010 - 01:16:54 | D ] 	D:\Documents
[30/12/2010 - 01:08:33 | D ] 	D:\Music
[15/01/2011 - 11:08:53 | D ] 	D:\Pictures
[14/01/2011 - 17:30:14 | SHD ] 	D:\System Volume Information
[23/02/2011 - 22:57:37 | SHD ] 	E:\$RECYCLE.BIN
[10/08/2009 - 14:29:32 | D ] 	E:\3253ec58cf7ad76781341a
[30/07/2009 - 19:06:02 | D ] 	E:\Avast4
[13/07/2007 - 20:04:54 | N | 11] 	E:\H07481FR.tag
[06/09/2007 - 15:35:05 | SHD ] 	E:\System Volume Information
[08/09/2007 - 19:02:11 | D ] 	E:\USB
[10/08/2009 - 15:57:22 | AD ] 	F:\Documentation
[11/08/2009 - 07:58:24 | A | 4735] 	F:\Guitar Rig 4 - Readme.txt
[11/08/2009 - 18:45:11 | RAD ] 	F:\Guitar Rig 4 Installer Mac.mpkg
[11/08/2009 - 17:40:02 | A | 232680784] 	F:\Guitar Rig 4 Setup PC.exe
[11/08/2009 - 17:54:54 | AD ] 	F:\Hardware
[11/08/2009 - 10:43:17 | AD ] 	F:\Kore Player
[11/08/2009 - 08:00:12 | AD ] 	F:\Pop Drums

################## | Vaccin |

C:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
D:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
E:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)

################## | Upload |

Veuillez envoyer le fichier: C:\UsbFix_Upload_Me_PC-DE-THOMAS.zip
http://www.teamxscript.org/Upload.php
Merci de votre contribution.

################## | E.O.F |

anthony5151 · Answer

As-tu encore des alertes d'Avast ?
Sinon on passera à la finition (fin de nettoyage, sécurisation et optimisation de ton ordinateur) ;)

tomacou · Answer

Non pas d'alerte Avast, enfin, au sens propre du terme. Je joins le rapport du scan au cas où si nécessaire :
*
* Rapport de scan avast!
* Ce fichier est généré automatiquement
*
* Tâche utilisée 'Scan minutieux'
* Débuté le jeudi 24 février 2011 21:04:48
* VPS : 110224-1, 24/02/2011
*

\?\Volume{159203ed-5c86-11dc-b545-806e6f6e6963}\autorun.inf [L] INF:AutoRun-AW [Wrm] (0)
\?\Volume{159203ed-5c86-11dc-b545-806e6f6e6963}\Recycler\Driveinfo.exe [L] Win32:Small-EML [Wrm] (0)
Fichiers infectés : 2
Total des fichiers : 258769
Total des dossiers : 27415
Taille totale : 72,1 Go

*
* Tâche terminée : jeudi 24 février 2011 22:25:28
* Programme qui était exécuté 1 heure(s), 20 minute(s), 40 seconde(s)

>> Ce que je ne comprends pas c'est comment Avast a pu la première fois détecter les worms sans que mon disque dur externe soit pluggé?

Paré pour l'étape suivante ;)

anthony5151 · Answer

Oui étrange... Si je comprends bien le rapport, il détecte ça sur le disque L, ça correspond à quoi ?

tomacou · Answer

A rien. Je n'ai pas de disque L...
J'ai le C, D (DDE), E (partition de disque), F(CD ROm), 
Et j'ai coché dans l'Option des dossiers "affichier les fichiers et dossiers cachés"...(même si ce n'est peut être pas pertinent dans ce cas)

afideg · Answer

Hello,

C'est ennuyeux ce libellé de la localisation :

\?\Volume{159203ed-5c86-11dc-b545-806e6f6e6963}\autorun.inf [L] INF:AutoRun-AW [Wrm] (0) 
\?\Volume{159203ed-5c86-11dc-b545-806e6f6e6963}\Recycler\Driveinfo.exe [L] Win32:Small-EML [Wrm] (0) 

... qui laisse croire au "system volume restore" .

Je ne trouve "que" ceci :

https://forum.malekal.com/viewtopic.php?t=28422&start=

https://www.trendmicro.com/vinfo/us/threat-encyclopedia/  ==> parcourir "Détails" et "Solution" dans la page.

Al.

anthony5151 · Answer

Avast n'arrive pas à le supprimer ? Ou alors il y arrive et le fichier revient sans arrêt ?

tomacou · Answer

Bonsoir,
Eh bien tout simplement la suppression des fichiers via Avast a réussi. Une action simple mais efficace? Cette opération avait échouée lors de la première détection.
Mon dernier rapport de scan :
*
* Rapport de scan avast!
* Ce fichier est généré automatiquement
*
* Tâche utilisée 'Scan minutieux'
* Débuté le jeudi 24 février 2011 21:04:48
* VPS : 110224-1, 24/02/2011
*

\?\Volume{159203ed-5c86-11dc-b545-806e6f6e6963}\autorun.inf [L] INF:AutoRun-AW [Wrm] (0)
\?\Volume{159203ed-5c86-11dc-b545-806e6f6e6963}\Recycler\Driveinfo.exe [L] Win32:Small-EML [Wrm] (0)
Fichiers infectés : 2
Total des fichiers : 258769
Total des dossiers : 27415
Taille totale : 72,1 Go

*
* Tâche terminée : jeudi 24 février 2011 22:25:28
* Programme qui était exécuté 1 heure(s), 20 minute(s), 40 seconde(s)
*

*
* Rapport de scan avast!
* Ce fichier est généré automatiquement
*
* Tâche utilisée 'Scan minutieux'
* Débuté le dimanche 27 février 2011 19:53:26
* VPS : 110227-0, 27/02/2011
*

Fichiers infectés : 0
Total des fichiers : 259180
Total des dossiers : 27564
Taille totale : 72,2 Go

*
* Tâche terminée : dimanche 27 février 2011 20:57:05
* Programme qui était exécuté 1 heure(s), 3 minute(s), 39 seconde(s)
*

Est ce une trève passagère ou bien la fin heureuse?

Remarque: Windows PowerShell s'est installé - est ce bien l'éditeur de registres?-, bien que je ne sache pas à quoi cela correspond vraiment. Il s'installerait peut être automatiquement au moment où j'ai consulté le lien Trendmicro qui y faisait référence.

Je pense refaire un scan dans quelques jours alors pour voir si le fichier ne réapparaîtra pas.

J'espère que c'était la bonne chose à faire.

Merci encore à tous de votre participation.

2 worms : Win32:small-EML + INF:AutoRun-AW

14 réponses

Discussions similaires