Problème suite a un virus Résolu/Fermé

Question

Bonjour, 

j'étais a la librairie. J'ai vu un fichier apparaitre dans ma usb qui s'appelle "autorun.inf" j'ai suspecte que ce soit un virus. Alors des mon arrivee a la maison, j'ai scané la usb avec Norton 360, il a buggé 30 secondes puis a enlevé les virus et a demandé un reboot. Apres ca je m'aoercois qu'il y a des fichiers cachés desktop.ini presque dans chaque folder et des fois plusieurs d'entre eux et des fichiers ntuser et des folders inaccessibles (si on les clique rien ca n'ouvre pas).
J'ai aussi Malwarebytes Anti-Malware PRO.
Je fais maintenant un full system scan avec Norton et apres je vais faire avec Malwarebytes Anti-Malware. 
Pensez-vous que si je fais un scan avec CCleaneer ou AVG PC tuneup ou Glary utilities ca peut enlever ces fichiers ou folders?
S'il vous plait aidez-moi.
Merci.
Configuration: Windows 7 / Safari 536.6

Tisax190 · Answer

Probablement mais sur sertaine cle il y a bien un fichier qui s appele autorun.inf

Wizdo · Answer

salut,

Si c'était un fichier et non un répertoire. C'était une infection.
Les répertoires "autorun.inf" agissent comme un vaccin.


Télécharger »» UsbFix «« sur le bureau (el Desaparecido),

** Branchez tout vos périphériques USB externes **
** Et désactiver l'antivirus et autres protections. **

* Lancez UsbFix par un double-clique.
* Sélectionnez l'option [Recherche].

.. Laisse le aller, le rapport apparaîtra.
*  Postez le rapport "C:\UsbFix.txt" (avec Cjoint).

** Réactiver l'antivirus et autres protections. **


Ensuite.

Téléchargez »» ZHPDiag.exe «« sur le bureau (de Nicolas Coolman).
* Installer ZHPDiag.exe par un double-clique (et avec Vista/Seven; Autoriser le).
..Plusieurs icônes seront créés sur le bureau, dont; MBRCheck et ZHPFix.

* Ouvrer ZHPDiag en cliquant sur son icône "Parchemin"

* Lancer l'analyse en cliquant, en haut à gauche, sur la Loupe.
.. Lorsque l'analyse sera complétée.
.. Le rapport "ZHPDiag.txt" sera créé sur le bureau (et dans C:\ZHP\..).


 Comme ce rapport est trop long (+- 1500 lignes) pour être posté sur le forum.
* Utiliser l'hébergeur »» Cjoint ««
* Cliquez sur «Parcourir..» et chercher le rapport "ZHPDiag.txt" sur le bureau.
* Appuyer sur «Créé le lien Cjoint» (en bas de page)
* Et copier le lien http//.. dans une nouvelle réponse ici.

Wizdo · Answer

Beaucoup de répertoires "temporaire"(ligne O43) et de processus(ligne O4) inutiles, à supprimer ou désactiver. Et quelques paramètres de config à replacer (lignes 056). Aussi. S'il vous est nécessaire de valider une désinstallation (old java), faites le.

Lancer ZHPFix.exe par un clic-droit; Exécuter en tant qu'Adm.
*  "Sélectionner" et "Copier"  le contenu de cette »» page Web ««
* Cliquez sur le bouton [H].
* Cliquez sur [GO]
&#8659;
* Redémarrer le PC, si nécessaire.
* Poster le rapport ZHPFixReport.txt créé sur le bureau (et C:\ZHP\..ZHPFix[R1].txt).


* Désinstaller; AVG Security Toolbar.
Comme vous avez déjà WOT. 
Et qu'un surplus de toolbar/plugin, font double emploi et ralentissent le navigateur.


Important. 
Vérifier régulièrement les mises à jours pour tout les produits d'Adobe.
* Et aussi pour Java, qui est à mettre à jours.
Y a beaucoup d'infections que entrent par la.


* Installer une second navigateur, comme; GoogleChrome ou Firefox.
Si Internet Explorer à des problèmes, vous aurez une autre alternative.


* Vérifier la restauration du système avec System Restore Manager.
* Et supprimer les points les plus anciens.


* Relancer USBFix et sélectionner [Désinstallation] (à re-télécharger au besoin).



Ce qui suit sont des applications chargées à chaque démarrage. 
Ces gadget pour la plupart, peuvent probablement toutes être désactivées "du démarrage".  Et selon que vous en utilisiez une ou l'autre +-occasionnellement. 
Vous pouvez leurs créer un raccourci (par un clic-droit sur l' .Exe) pour utilisation au besoin.
* Lancer CCleaner > Outils > [Démarrage], sélectionner et cliquer sur [Désactivé].
..S'il s'avèrait qu'un était plus utile. Réactiver le au même endroit.

Apple Inc.Apple Application Support Daemon
HKLM:Wow6432Node\Run: [APSDaemon]  C:\Program Files (x86)\Common Files\Apple\Apple Application Support\APSDaemon.Exe 

Sauvegarde - Backup.
HKLM:Wow6432Node\Run: [NortonOnlineBackupReminder] C:\Program Files (x86)\Toshiba\Toshiba Online Backup\Activation\TOBuActivation.Exe

Toshiba_Flashcard utility. This program is responsible for the Toshiba LapTop Help 'FlashCards' utility that sits at the top of the screen giving easy access to the 'F keys' alternative functions such as Lock,Power Mode,Sleep etc.
HKLM:Wow6432Node\Run: [KeNotify]  C:\Program Files (x86)\TOSHIBA\Utilities\KeNotify.Exe      

TOSHIBA HDD SSD Alert - hard drive stability.
HKLM:Run: [TosSENotify] C:\Program Files\TOSHIBA\TOSHIBA HDD SSD Alert\TosWaitSrv.Exe 

Toshiba America, Inc. Volume Regulator. 
HKLM:Run: [TosVolRegulator] C:\Program Files\TOSHIBA\TosVolRegulator\ TosVolRegulator.Exe 

Part of Intels Common User Interface for chipsets with integrated graphics controllers - which allows user to change different driver properties through Windows User Interface. If the user wishes to have "HotKey" access to Intel's customised graphics properties, it is required, otherwise not. It can be disabled via the Display Properties in the Control Panel
HKLM:Run: [HotKeysCmds]  C:\windows\system32\hkcmd.Exe

Wizdo · Answer

Pour le rapport de ZHPdiag, il va seulement enlever ce que tu m'as dit : "..... 
ZHPDiag ne fait que créer le diagnostique. 
ZHPFix "une autre application" qui s'installe avec ZHPDiag. Est utilisé avec un script(la page Web) pour appliquer des modif; désactivation, désinstallation d'applications etc. 

Pour GoogleChrome. 
Y a toujours quelques indications dans le rapport qui en font mention. 
Au tout début du rapport "la où j'ai vérifié" dans la section --\Web Browser, sont listé tout les navigateurs sur le système. Et bizarrement y avait qu'Internet Explorer. Bon.., y a aussi ZHPDiag connait de raté depuis ces dernières version.  

.."et il ne va pas toucher a autre chose .. comme la toolbar de AVG ou Java ou... 
AVG a été placé pour être désinstallé par vous et n'est ps dans le script(page Web).  
La Toolbar d'AVG et LinkScanner d'AVG, sont 2 choses différentes.  
Sur le même principe que pour tout les téléchargements "gratuit" d'applications. Les éditeurs d'applications, s'associent avec une Régie publicitaire pour rentabiliser leurs produits. 
AVG impose la toolbar avec LinkScanner. AVG Security Toolbar May have been installed without your consent. You can remove it. Note: Located in %ProgramFiles%\AVG Secure Search. Et cette toolbar n'est ps très recommandée.  
Sans être un spyware, la toolbar snif/ramasse des info sur vos allez et venu sur le Web.  
 Après vérification, la toolbar d'AVG ne se désinstalle ps sans désinstaller LinkScanner. On doit supprimer ses répertoires et entrées au registre. 


Parce qu'ils ne sont pas différenciés dans la section Logiciels installés 
Quels produits d'AVG sont installés sur votre ordi. 
Y a LinkScanner d'AVG, la fameuse Toolbar d'AVG et avez vous aussi installé l'antivirus gratuit AVG 2012. 


CCleaner vous a été proposé non pour désinstaller des applications. Mais "que" pour désactiver les processus de petites applications "jamais utilisées"(des panneau de contrôle), qui sont chargées au démarrage de l'ordi.   
P.S. En diminuant le nombre d'applications chargées, cela ajoute aux performances d'un ordi. 

Toutes les désinstallations (les Java7u3 et Bejeweled) ont été enlevées dans le nouveau script "qui suit".  
- Par contre Bejeweled est considéré comme; Infection PUP (Adware.PopCap) Cependant le rapport ne montre rien de ce coté et si vous n'en remarqué ps non plus.  Alors garder le. 
- Après vérification, votre version de Java est à jours ! Donc à laisser en place au lieu de l'autre version proposée. 

* Utiliser ce nouveau script sur cette page Web avec ZHPFix, au lieu de celui au message précédent. 

Y a ps un surplus de protections, qui font double emploi ? 
McAfee SiteAdvisor 
Norton Identity Protection  
Norton Vulnerability Protection 
AVG

Wizdo · Answer

Je n'ai plus l'antivirus AVG 2012 mais je l'avais. 
Alors installer un antivirus aussi rapidement que possible.
Tient, prenez un de ces gratuits; Antivir ou Avast. Et si vous voulez garder LinkScanner. J'vous ferez un script pour supprimer sa toolbar.

Wizdo · Answer

Norton 360 c'est vrai, dans la description au début.
Et un des rare antivirus à ne ps être dans les 04  

L'équivalent de l'option [Démarrage] dans CCleaner, sont les lignes 04- de ZHPDiag ou Hijackthis etc. Si vous remarquerez dans le script de la page Web. Ils y a 15 lignes 04- (ou OPT:04 pour éviter de supprimer le fichier). De ces 15 lignes, ils y en a 9 qui sont (.not file.) à supprimer de facto. Et pour les 5 qui restaient; réf1, réf2 
Qui ont dans leurs descriptions ; It is advised that you disable this program so that it does not take up necessary resources.

Ce qui est aussi valable pour les autres gadgets ;
SVPWUTIL.exe - Part of Toshiba Hardware Setup for their laptops. 
HWSetup.exe - Toshiba utility that allows you to change various hardware settings on your computer. .
ToshibaServiceStation.exe - Related to TOSHIBA This software will allow you to check automatically for new software or driver upgrades from the Toshiba Internet server. Note: Located in \%Program Files%\TOSHIBA\TOSHIBA Service Station\

C'est commun aux ordi de marque comme HP et autres, d'installés une quantité importante de gadgets. Ici ils ont été que désactivés et pourraient être réactivés.



Avant d'enlever USBfix, est-ce que je pourrais refaire la protection autres USB que j'ai
Certainement avec [Vacciner]

Fadi10Lebanon · Answer

J'ai tout refait fonctionné. Alors pour continuer répond a l'ancien poste avant l'incident.

Fadi10Lebanon · Answer

Mais pourquoi tu veux faire ca a la toolbar puisque je ne l'utilise plus (je l'ai supprimée de internet explorer et elle n'existe pas surr google chrome) ?
J'ai fait un répertoire pour ces fichiers de C:.
Et j'ai enlevé tous les anciens restore.
Pour ZHPdiag tu veux un dernier diagnostic avant qu'on en finisse et car j'avais fait une restoration du systeme apres avoir fait le dernier ZHPfix et si oui dit moi ce que tu vas supprimer et surtout fais attention a ce que le probleme de la touche Fn en relation avec la flash card ne soit pas affecté.
Merci.

Wizdo · Answer

Si vous avez utilisé un point de restauration récent. Un autre rapport de ZHPDiag, ne sera pas nécessaire, Puisqu'au départ l'ordi ne montrait aucune trace d'infection.  

L'important est que la toolbar ait été désactivée ! 
Après ça. Si vous voulez laisser ses fichiers place ! Ça devrait pas avoir trop d'impact sur un disque dur de 450Go, dont 238Go sont inutilisés. 
________________________________ 

Pour ce qui est de la ligne de FlashCards, ZHPFixée. 

O4 - HKLM\..\Run: [TCrdMain] C:\Program Files (x86)\TOSHIBA\FlashCards\TCrdMain.exe (.not file.)    

Pourtant cette ligne était complétée avec un (.not file.). Ce qui signifie, à moins d'un erreur de ZHPDiag. Que cet objet ne devait déjà plus être en fonction, lorsque j'vous l'ai fais mettre dans ZHPFix. Ou même, avant que ouvriez ce sujet. 

À propos de TCrdMain.exe ; 
Related to flash_card slot on the Toshiba laptop. Ending this process will disable access to the flash cards. 



Les autres lignes qui complètes toutes trace se rapportant à cet objet dans ZHPDiag, sont restées en place.

Wizdo · Answer

Si vous aviez à nouveau besoin de ZHPDiag. Il devrait y avoir alors une nouvelle version de disponible. Donc c'est comme vous voulez : garder ou désinstaller. 
__________________________ 

Pour la cause des problèmes récent, que vous rapportez en date du 28 et 29 avril.   

D'abord.  
Pour ce qui est du wireless. Aucune des lignes à mettre dans ZHPFix ne s'y rapportait. 

Pour le  FlashCard et possiblement? aussi pour les touches fn. 
Ils y avaient effectivement 2 lignes d'objets qui s'y rapportaient. 
Sauf que comme ces lignes étaient complétés par un; (.not file.). Ça implique que leurs fichiers avaient déjà été supprimés du disque dur, lorsque vous avez ouvert ce sujet. 

En fait. Toutes les lignes(not file), appartenaient à des applications de Toshiba. 

Bref.., pour désactiver le processus d'une application. 
Utiliser msconfig ou CCleaner -> dans [Démarrage]. Ainsi les fichiers des applications ne seront pas touchés. Que les entrées dans le registre d'où sont chargés les applications "à l'ouverture de la session", seront supprimées.  

Pour télécharger et ré-installer des applications ou drivers, s'appliquant à votre système. 
Entrer le modèle de votre ordi sur le site de Toshiba. etc. 




Avec le préfixe OPT: ils y a que les [entrées] du registre de supprimer, laissant intact leurs fichier.

OPT:O4 - HKLM\..\Run: [IgfxTray] . (.Intel Corporation - igfxTray Module.) -- C:\windows\system32\igfxtray.exe      
OPT:O4 - HKLM\..\Run: [Persistence] . (.Intel Corporation - persistence Module.) -- C:\windows\system32\igfxpers.exe      

O4 - HKLM\..\Run: [TPwrMain] C:\Program Files (x86)\TOSHIBA\Power Saver\TPwrMain.exe (.not file.)    
O4 - HKLM\..\Run: [HSON] C:\Program Files (x86)\TOSHIBA\TBS\HSON.exe (.not file.)      
O4 - HKLM\..\Run: [TCrdMain] C:\Program Files (x86)\TOSHIBA\FlashCards\TCrdMain.exe (.not file.)      
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files (x86)\Synaptics\SynTP\SynTPEnh.exe (.not file.)      
O4 - HKLM\..\Run: [ThpSrv] Orphean Key  
O4 - HKLM\..\Run: [Teco] C:\Program Files (x86)\TOSHIBA\TECO\Teco.exe (.not file.)      
O4 - HKLM\..\Run: [TosWaitSrv] C:\Program Files (x86)\TOSHIBA\TPHM\TosWaitSrv.exe (.not file.)      
O4 - HKLM\..\Run: [TosNC] C:\Program Files (x86)\Toshiba\BulletinBoard\TosNcCore.exe (.not file.)      
O4 - HKLM\..\Run: [TosReelTimeMonitor] C:\Program Files (x86)\TOSHIBA\ReelTime\TosReelTimeMonitor.exe (.not file.)   

OPT:O4 - HKLM\..\Wow6432Node\Run: [SVPWUTIL] . (.TOSHIBA CORPORATION - SVPWUTIL Application.) -- C:\Program Files (x86)\TOSHIBA\Utilities\SVPWUTIL.exe      
OPT:O4 - HKLM\..\Wow6432Node\Run: [HWSetup] . (.TOSHIBA Electronics, Inc. - HWSetup.) -- C:\Program Files\TOSHIBA\Utilities\HWSetup.exe      
OPT:O4 - HKLM\..\Wow6432Node\Run: [ToshibaServiceStation] . (.TOSHIBA Corporation - TOSHIBA Service Station.) -- C:\Program Files (x86)\TOSHIBA\TOSHIBA Service Station\ToshibaServiceStation.exe

Wizdo · Answer

Apparemment vous vous êtes fait aller à en réinstaller plusieurs.  
Tout ceux qui étaient (No File) ont été réinstallés ! 
Ainsi que ceux que j'vous avaient fait désactiver.
Et y a en même quelques un "new" qui étaient ps dans le tout 1ier rapport !

Après ça. J'connais ps les applications qui devraient être sur un ordi Toshiba de votre modèle. Par contre. Si vous avez télécharger tout ce qu'ils y avaient d'applications et/ou drivers appartenant à votre modèle d'ordi. «Sauf» tout ce qui fait référence au «Bios», parce que ça ça peut être «très risqué» à toucher. L'ordi est «inutilisable» si on manque la manip. Alors ça devrait être good.

Par contre. Pour ajouter en ressources au système. Vous devriez re-désactiver ceux qui sont ps utiles. 
Pour ça. Aller sur le site "bleepingcomputer.com" d'un des liens que j'vous ai laissé au message précédent. Pour y entrer dans [Search for a Startup] soit, ce qu'il y a dans la colonne "Program" de CCleaner ou soit, le fichier .Exe qui complète la ligne dans "File" .

Il les auront peut-être pas tous. Mais pour ceux qu'ils auront.
Et lorsque le status d'un objet sera à "N" (chez bleeping). Alors vous pouvez désactiver la ligne dans CCleaner.

Si c'est à "U", souvent c'est inutile et ça peut être désactiver. Bref.., "U" c'est selon le besoin de l'utilisateur. Alors pour ceux-ci. À moins que la description soit significative. Faites en un à la fois. Et vérifier si après quelques jours, s'il vous est nécessaire ou non. Ensuite soit le re-activer ou le laisser désactiver.

Wizdo · Answer

Oups.., que vous voulez vous dire par "avant désinstallation".

Parce que la y en a toujours quelques un apparemment sans fichiers.  Donc qui ne fonctionne pas. Et ceux en "gras" sont utiles, dont le fameux FlashCards.

O4 - HKLM\..\Run: [TPwrMain] C:\Program Files (x86)\TOSHIBA\Power Saver\TPwrMain.exe (.not file.) 
O4 - HKLM\..\Run: [HSON] C:\Program Files (x86)\TOSHIBA\TBS\HSON.exe (.not file.) 
O4 - HKLM\..\Run: [TCrdMain] C:\Program Files (x86)\TOSHIBA\FlashCards\TCrdMain.exe (.not file.) 
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files (x86)\Synaptics\SynTP\SynTPEnh.exe (.not file.) 

Contrairement à ZHPDiag. CCleaner ne vérifie pas si le fichier .Exe dans "Files" (qui doit être chargé au démarrage), est sur le disque ou non (not file). 

Aller sur le site "Téléchargement Drivers & BIOS" de Toshiba.
Entrer tout les info spécifique à votre modèle d'ordi. "64bits" et valider.
Lorsque la 1ère page de driver/application apparaitra. Copier /coller le lien http://.... (du navigateur; Chrome..) de cette page dans une réponse. 
Ou télécharger / installer tout ce qu'ils y a d'objets (sauf pour le bios et les firmware).

Wizdo · Answer

Ok. Un instant capitaine. 

Dîtes vous que tout les fichiers suivants sont sur le disque : 
C:\Program Files (x86)\TOSHIBA\Power Saver\TPwrMain.exe  
C:\Program Files (x86)\TOSHIBA\TBS\HSON.exe  
C:\Program Files (x86)\TOSHIBA\FlashCards\TCrdMain.exe  
C:\Program Files (x86)\Synaptics\SynTP\SynTPEnh.exe  

Si c'est le cas. 
Alors effectivement ZHPDiag ne valide pas correctement leurs statuts sur le disque.  

Par contre. Les problèmes avec  ZHPDiag sont vraiment très très récents. Ça fait plusieurs années que son concepteur le développe. Et c'est la 1ière fois depuis 3 ou 4 versions "soit une 30aines de jours", que ZHPDiag affiche des erreurs.  

En tout cas. Ça va certainement être réglé sous peu. 
Probablement que le concepteur est entrain d'épurer son code. Et que pour chaque modification apportées, cela touche plusieurs procédures de traitement à revérifier/réévaluer. Et que comme plusieurs désinfecteurs l'utilisent depuis plusieurs années. Il ne peut donc mettre ZHPDiag de coté.  Quoique avec une version avant modif....

Fadi10Lebanon · Answer

Tu peux me m'aider dans ca? https://forums.commentcamarche.net/forum/affich-25103913-bureau-ne-s-actualise-pas-automatiquement#p25103913
Peut-ètre ca a rapport avec ce qu'on a fait.

Problème suite a un virus

14 réponses

Discussions similaires