Bug sur disque dur externe : trojan ? Résolu/Fermé

Question

Bonjour, 
Depuis peu, en branchant mon disque dur externe, la fenêtre sur sa racine apparait des raccourcis (lien vers system32/cmd) en lieu et place de mes dossiers initiaux... et je ne peux plus accéder à mes fichiers.

En le passant à la moulinette d'un antivirus : il a été trouvé Worm/Autorun.FR et Generic25.AFBE (avec un fichier d'application "e621ca05.exe" que je n'ai pas activé...).

Quelqu'un peut-il m'éclairer pour récuperer mes fichiers ?

J'ai voulu transférer le peu que j'ai pu sauver sur un autre disque, et rebelote (pb sur PC ?)

Au secours, merci.


Configuration: Windows Vista / Safari 535.1

heraultais34600 · Answer

Bonjour,

* Télécharge UsbFix (créé par El Desaparecido & C_XX) [b]sur ton Bureau[/b]. Si ton antivirus affiche une alerte, ignore le et désactive le temporairement.
* Branche tes sources de données externes à ton PC (clé USB, disque dur externe, etc...) sans les ouvrir
* Double clique sur le raccourci UsbFix sur ton Bureau, l'installation se fera automatiquement
* Clique sur "Recherche]"
* Laisse travailler l'outil
* A la fin, le rapport va s'afficher : poste le dans ta prochaine réponse (il est aussi sauvegardé a la racine du disque dur)

Aide en images : Tutoriel "Recherche"

A bientôt.

ctof23 · Answer

Merci, voici donc le fameux rapport, déclarant déjà un pb au démarrage du DDexterne. Pourra t on sauver la bête ! mon PC n'est -il pas en cause ?


############################## | UsbFix 7.036 | [Recherche]

Utilisateur: Papa (Administrateur) # PC-DE-PAPA [System manufacturer System Product Name]
Mis à jour le 20/12/10 par El Desaparecido / C_XX
Lancé à 16:30:15 | 28/10/2011
Site Web: http://www.teamxscript.org
Contact: eldesaparecido@teamxscript.org

CPU: Intel(R) Core(TM)2 Quad CPU Q8200 @ 2.33GHz
CPU 2: Intel(R) Core(TM)2 Quad CPU Q8200 @ 2.33GHz
Microsoft® Windows Vista(TM) Édition Familiale Premium  (6.0.6002 32-Bit) # Service Pack 2
Internet Explorer 8.0.6001.19154

Pare-feu Windows: Activé
RAM -> 3326 Mo 
C:\ (%systemdrive%) -> Disque fixe # 466 Go (226 Go libre(s) - 49%) [] # NTFS
D:\ -> CD-ROM
E:\ -> Disque fixe # 466 Go (452 Go libre(s) - 97%) [My Passport] # NTFS
F:\ -> Disque fixe # 31 Go (30 Go libre(s) - 97%) [PHOTO OTG] # FAT32
G:\ -> Disque fixe # 118 Go (61 Go libre(s) - 52%) [FICHIERS] # NTFS

################## | Éléments infectieux |


Présent! E:\$RECYCLE.BIN.lnk
Présent! E:\SCOLAIRE.lnk
Présent! E:\WD.lnk
Présent! F:\Recycled.lnk
Présent! F:\System Volume Information.lnk
Présent! F:\DSK00000.lnk
Présent! F:\$AVG.lnk
Présent! F:\U3ROM.lnk
Présent! F:\MAISON MEYRAT.lnk
Présent! F:\DSK00001.lnk
Présent! F:\$RECYCLE.BIN.lnk
Présent! G:\$AVG.lnk
Présent! G:\$RECYCLE.BIN.lnk
Présent! G:\PERSO.lnk
Présent! G:\PLONGEE.lnk
Présent! G:\Recycled.lnk
Présent! G:\SCOLAIRE.lnk
Présent! G:\System Volume Information.lnk
Présent! G:\TELECHARGEMENTS.lnk
Présent! G:\U3ROM.lnk
Présent! G:\ZIQUE.lnk
Présent! C:\Users\Papa\AppData\Local\Temp\pv.exe
Présent! F:\d1vmq.exe
Présent! F:\U3ROM
Présent! G:\U3ROM
Présent! G:\msvcr71.dll

################## | Registre |


################## | Mountpoints2 |


################## | Vaccin |

(!) Cet ordinateur n'est pas vacciné!

################## | E.O.F |

heraultais34600 · Answer

Bonsoir,

OK pour le rapport, tu vas poursuivre en faisant ceci:

Etape 1:

Branche tes sources de données externes à ton PC (clé USB, disque dur externe, etc...) sans les ouvrir
* Double clique sur le raccourci UsbFix sur ton Bureau, le programme va se lancer
* Clique sur "Suppression"
* Laisse travailler l'outil
* A la fin, le rapport va s'afficher : poste le dans ta prochaine réponse (il est aussi sauvegardé a la racine du disque dur)

Etape 2:

Utilise ce logiciel de diagnostic :

* Télécharge sur ton bureau ZHPDiag (de Nicolas Coolman)
* Laisse toi guider lors de l'installation, il se lancera automatiquement à la fin.
* Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
* Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
* Héberge le rapport ZHPDiag.txt ICI, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum

A bientôt.

ctof23 · Answer

ctof23 · Answer

Etape 2.
ok.

voici le lien demandé avec le dépot du compte-rendu

http://www.cijoint.fr/cjlink.php?file=cj201110/cijpdzdDGd.txt

...

heraultais34600 · Answer

Bonsoir Ctof23,

Etape 1:

Sais-tu ce qu'est ce fichier : C:\Users\Papa\AppData\Roaming\Bbeuev.exe

Si tu ne le sais pas peux-tu le faire contrôler sur ce site: www.virustotal.com
Tu n'auras qu'à copier le chemin ci-dessus et lancer l'analyse
Envoie-moi ensuite le rapport stp 

Etape 2:

* Mets en surbrillance toutes les lignes ci-dessous

R3 - URLSearchHook: Recherche France Toolbar - {d5b75883-e809-4120-bfeb-8d707d5dfbe3} . (.Conduit Ltd. - Conduit Toolbar.) (4, 5, 192, 5) -- C:\Program Files\Recherche_France	bRech.dll 
R3 - URLSearchHook: Recherche France Toolbar - {d5b75883-e809-4120-bfeb-8d707d5dfbe3} . (.Conduit Ltd. - Conduit Toolbar.) (4, 5, 192, 5) -- C:\Program Files\Recherche_France	bRech.dll 
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter]  oobefldr.dll     
O4 - HKUS\S-1-5-20\..\Run: [WindowsWelcomeCenter]  oobefldr.dll     
O16 - DPF: {8F48147B-78D9-40F9-ACC0-BDDE59B246F4} (AccountHelper Class) - http://abonnement.aliceadsl.fr/configurateur/AccountHelper.cab     
O42 - Logiciel: Recherche_France Toolbar - (.Pas de propriétaire.) [HKLM] -- Recherche_France Toolbar     
O42 - Logiciel: ToolbarFR - (.Orange.) [HKLM] -- {A047FE02-C91C-41CB-898C-4ED21B86025A}     
[HKCU\Software\AppDataLow\Software\Conduit]     
[HKLM\Software\BrowserChoice]     
[HKLM\Software\Conduit]     
O43 - CFD: 16/03/2010 - 10:14:04 - [483864] ----D- C:\Program Files\Conduit     
O43 - CFD: 23/01/2011 - 11:38:02 - [0] ----D- C:\Users\Papa\AppData\Local\TempFichierSauvegardeSW 
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{201f27d4-3704-41d6-89c1-aa35e39143ed}]     
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{201f27d4-3704-41d6-89c1-aa35e39143ed}]     
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{3041d03e-fd4b-44e0-b742-2d9b88305f98}]     
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{3041d03e-fd4b-44e0-b742-2d9b88305f98}]     
[HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{A047FE02-C91C-41CB-898C-4ED21B86025A}]     
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}]     
[HKLM\Software\Classes\CLSID\{E49F0B41-3322-11D4-AEFE-00C04F61025C}] 
FirewallRAZ
EmptyTemp

* Fais un clic droit sur la surbrillance puis sélectionne "Copier"
* Lance ZHPFix qui doit être sur ton bureau (clic droit sur le raccourci puis "exécuter en tant qu'administrateur")
* Clique sur la deuxième icône (à côté de l'appareil photo)
* Les lignes que tu as copiées dans la mémoire se sont collées dans la zone de ZHPFix
* Clique sur le bouton "GO"
* A la fin un rapport va s'ouvrir, copie et sauvegarde ce rapport dans le bloc-notes
* Enregistre-le sur ton bureau
* Envoie le fichier sauvegardé ICI
* Envoie-moi le lien stp

Etape 3:

* Télécharge JavaRa.zip
* Décompresse le fichier sur ton bureau (clique droit > Extraire tout.)
* Double-clique sur le répertoire JavaRa obtenu.
* Puis double-clique sur le fichier JavaRa.exe (le .exe peut ne pas s'afficher)
* Clique sur Search For Updates.
* Sélectionne Update Using jucheck.exe puis clique sur Search.
* Autorise le processus à se connecter s'il te le demande, clique sur Install et suis les instructions d'installation. Cela prendra quelques minutes.
* Quand l'installation est terminée, revient à l'écran de JavaRa et clique sur Remove Older Versions.
* Clique sur Oui pour confirmer. L'outil va travailler, clique ensuite sur Ok, puis une deuxième fois sur Ok.
* Un rapport va s'ouvrir, copie-colle le dans ta prochaine réponse.
* Note : le rapport se trouve aussi là : ( C:\JavaRa.log )
* Ferme l'application

A bientôt.

ctof23 · Answer

Bonsoir, que de manips ! pas toutes fructueuses. Voici ce que j'ai pu faire selon tes consignes...

étape 1

http://www.virustotal.com/file-scan/reanalysis.html?id=cad296c847256b575ad1b9bd853697f0f03153a99213cbf76d234a22c3cbeb79-1319836335

étape 2

http://www.cijoint.fr/cjlink.php?file=cj201110/cij6osrgQ1.txt

étape 3

impossible d'éditer le rapport demandé de JavaRa. Il est bien installé, toute la procédure a fonctionné, il a détecté des vieilles versions qu'il a (probablement) effacé.

@+

heraultais34600 · Answer

Bonjour ctof23, 

Et oui, quand on est bien infecté, il y a énormément de manipulations à faire pour éradiquer toutes ces cochonneries. 
Il n'existe malheureusement pas un outil universel et nous sommes obligés de passer plusieurs logiciels de désinfection pour arriver à bout de toutes ces infections. 

Ceci dit, un comportement de sécurité es la meilleure défense contre toutes ses attaques qui pénètrent à l'intérieur de ton ordinateur par les failles de sécurité des logiciels et du système, par le partage de fichier qui n'est absolument pas sûr, par la visite de sites non recommandables, etc ... 

Le rapport de l'étape 1 montre bien que tu as un Trojan Dropper Win32 et qu'il faut encore poursuivre la procédure. 
Le rapport de zhpfix n'est pas très concluant. 
L'étape de Javara a bien fonctionné et comme tu dis les anciennes versions ont été effacées et la dernière version a été installée. D'ailleurs tu peux le constater en allant dans le panneau de configuration puis en sélectionnant "Programmes et Fonctionnalités" 
Tu dois avoir la dernière version de JAVA (TM) 6. 

Allez il faut encore poursuivre la désinfection. Tu es prêt !!! 

Etape 1:

* Télécharge sur ton bureau Malwarebytes 
* Tu auras un tutoriel à ta disposition pour l'installer et l'utiliser correctement. 
* Fais la mise à jour du logiciel (elle se fait normalement à l'installation)  
* Lance une analyse complète en cliquant sur "Exécuter un examen complet" 
* Sélectionne les disques que tu veux analyser et clique sur "Lancer l'examen" 
* L'analyse peut durer un bon moment..... 
* Une fois l'analyse terminée, clique sur "OK" puis sur "Afficher les résultats" 
* Vérifie que tout est bien coché et clique sur "Supprimer la sélection" => et ensuite sur "OK" 
* Un rapport va s'ouvrir dans le bloc note... Fais un copié/collé du rapport dans ta prochaine réponse ICI 
* Pense à m'envoyer le lien
* Il se pourrait que certains fichiers demandent à être supprimés au redémarrage du PC... Fais-le en cliquant sur "oui" à la question posée 

Etape 2 :

Fais la mise à jour de Internet Explorer même si tu ne t'en sers pas. Nous sommes à la version 9.0 
Fais la mise à jour de Adobe Reader, nous sommes à la version 10 
C'est par les failles de sécurité des logiciels que les infections se développent. 

Etape 3 :

Relance ZHPDiag, refais un scan de ton ordinateur et envoie-moi le rapport ICI 
Pense à m'envoyer le lien

A bientôt.

ctof23 · Answer

Bonjour,

Je passe la bécane et les DD externes avec l'anti malware, ça risque de durer. Patientons donc...

ctof23 · Answer

(re)bonjour,

la moulinette antimalware semble efficace, détection de 6 infections, voici le rapport http://www.cijoint.fr/cjlink.php?file=cj201110/cijQDExgJK.txt

suite à ZHPDiag : http://www.cijoint.fr/cjlink.php?file=cj201110/cijtyOTpJi.txt

pour moi beaucoup de charabia... mais si au bout il y a solution...

heraultais34600 · Answer

Bonjour ctof23,

Comme tu dis c'est du charabia pour toi mais tu remarques tout de même la détection de 6 infections (5 fichiers et une valeur de registre) mais si tu as bien suivi la procédure tu remarqueras que le fichier que je t'ai fais analyser sur VirusTotal a bien été supprimé par MalwareBytes.

Bien il faut poursuivre:

Etape 1:

relance MalwareBytes, va sur l'onglet "Quarantaine" et supprime tous les fichiers qui se trouvent dans la quarantaine.

Etape 2: 

L'analyse du rapport zhpdiag est bien meilleure. Plus de traces d'infections.
Encore quelques lignes inutiles.
Fais ceci:

* Copie les lignes en gras ci-dessous:

[MD5.0620C1998A595552286DFAC33168F544] - (.Mentor Graphics Corporation - StandAloneSlv Module.) -- C:\Program Files\SolidWorks Corp\SolidWorks Flow Simulation\binCFW\StandAloneSlv.exe   [89864] [PID.]
O4 - HKCU\..\Run: [Bbeuev] C:\Users\Papa\AppData\Roaming\Bbeuev.exe (.not file.) 
O4 - HKUS\S-1-5-21-353359652-4065506705-2377988590-1000\..\Run: [Bbeuev] C:\Users\Papa\AppData\Roaming\Bbeuev.exe (.not file.) 
[MD5.888BE8356F9CEC8E697AF1FB9456C0CB] [SPRF][28/10/2011] (...) -- C:\Users\Papa\Desktop\FyK.exe   [1340589] 

* Fais un clic droit sur la surbrillance puis sélectionne "Copier"
* Lance ZHPFix qui doit être sur ton bureau (clic droit sur le raccourci puis "exécuter en tant qu'administrateur")
* Clique sur la deuxième icône (à côté de l'appareil photo)
* Les lignes que tu as copiées dans la mémoire se sont collées dans la zone de ZHPFix
* Clique sur le bouton "GO"
* A la fin un rapport va s'ouvrir, copie et sauvegarde ce rapport dans le bloc-notes
* Enregistre-le sur ton bureau
* Envoie le fichier sauvegardé ICI
* Envoie-moi le lien stp 

Bon Dimanche

ctof23 · Answer

Bonjour, et effectivement ça sent déjà meilleur !

voici le rapport ZHPFix

http://www.cijoint.fr/cjlink.php?file=cj201110/cijA8ReMvE.txt


Les raccourcis ont été supprimé sur l'un des 2 DD externe (le moins infectés, parce que tout neuf !), le premier est toujours sous raccourci et aucun moyen d'accès aux fichiers (il cherche un fichier "e621ca05.exe" qui forcément n'existe plus suite au traitement...).

Bon dimanche et encore merci de me soutenir dans ces moments difficiles ! lol.

heraultais34600 · Answer

ctof23,

Bien, pour moi ZHPFix a bien fait le travail demandé.
A priori si je te suis, le problème des raccourcis sur le premier disque dur externe semble être réglé.
As-tu accès aux fichiers? Si oui, débranche-le de son port USB.

Pour le deuxième disque dur externe, tu le débranches également puis tu lances USBFix qui est sur ton bureau
Il va te demander de brancher tous les supports externes (tu vas brancher uniquement le disque dur externe qui pose problème)
Clique sur le bouton "Recherche" 
Envoie-moi le rapport.

A+

ctof23 · Answer

toujours le même le pb, voici le rapport


http://www.cijoint.fr/cjlink.php?file=cj201110/cij9Snl10i.txt

heraultais34600 · Answer

OK ctof23

Relance USBFix puis clique cette fois-ci sur le bouton "Suppression"
Envoie-moi le rapport stp

A+

ctof23 · Answer

voilà : http://www.cijoint.fr/cjlink.php?file=cj201110/cij03mRrXn.txt

heraultais34600 · Answer

Alors peux-tu lire ton disque dur externe?

A+

ctof23 · Answer

NON. par contre en passant par le DOS, je vois tout (sauf les fichiers cachés)... j'ai tenté un XCOPY du DD sur PC et ça a marché...

Dois je continuer ainsi, puis formater le DD ? ou as-tu une autre méthode ? y a t il encore un risque ?

heraultais34600 · Answer

ctof23, 

Bien, très bien. 

OUI, poursuis la sauvegarde de toutes tes données personnelles dans un dossier d'une partition de ton disque dur interne, il n'y a plus de risques. 
Une fois toutes tes données sauvegardées, tu peux donc : 

* Formater ton disque dur externe 
* Une fois formaté, transférer les données sauvegardées sur le disque dur externe 

Et tu devrais retrouver l'usage normal de ton disque dur externe avec tes données personnelles bien accessibles. 

Bon Dimanche à toi.

ctof23 · Answer

merci pour tout.

Bonne fin de WE à toi.

heraultais34600 · Answer

ctof23, 

Il faut finir le travail en réalisant deux étapes; la première consiste à supprimer tous les outils de désinfection installés sur ton ordinateur et la deuxième permet d'optimiser ton ordinateur en passant un outil de nettoyage. OK!! 

Phase 1:

* Télécharge sur ton bureau DelFix 
* Lancez-le puis clique sur le bouton [Suppression] 
* Après quelques secondes, un rapport s'ouvrira.  
* Le rapport est sauvegardé à la racine du disque dur ( C:\DelFixSuppr.txt ) 
Désinstallation 
* Envoie-moi ce rapport 

* Afin de ne laisser aucune trace de DelFix sur ton PC, relance-le et clique sur [Désinstallation]. 

Phase 2:

Utilise ce programme pour optimiser ton ordinateur : 

* Télécharge CCleaner slim.  
* Installe le puis lance le.  
* Clique sur Nettoyeur ? Analyse ? Lancer le nettoyage, puis sur OK dans la fenêtre qui s'affiche. 
* Enfin, clique sur Registre ? corrige toutes les erreurs et recommence jusqu'à ce que CCleaner ne trouve plus d'erreurs. 

Tu peux garder ce programme et l'utiliser régulièrement (une fois par mois). 

Bonne fin de soirée

ctof23 · Answer

Bonjour,

voici le rapport de Delfix

http://www.cijoint.fr/cjlink.php?file=cj201110/cijg3KQtvI.txt

J'ai pu sauver toutes mes données, reformater le DD...

ça a l'air d'être opérationnel !

Merci

heraultais34600 · Answer

Bonjour ctof23,

Tout est correct et OK pour moi.
Si tu n'as plus de problèmes, tu peux passer le sujet en [Résolu]

Au plaisir et bonne soirée.

ctof23 · Answer

Merci à toi. Félicitation pour ta disponibilité et tes analyses.

@+

Bug sur disque dur externe : trojan ?

24 réponses

Discussions similaires