Windows Script host Users/hp/AppData/Local/Temp/Serviecs.vbs - Page 3

combofix_764
C0:Deconnexion.
C1:Deconnexion.
C2:Deconnexion.
C3:Deconnexion.
C4:Deconnexion.
C5:Deconnexion.
C6:Deconnexion.
C7:Deconnexion.
Cancel by user.
dans le dossier il y a ça mais aussi le suivant:
2013-05-10 08:58:42 . 2013-05-10 09:09:04 235 ----a-w- C:\Qoobox\Quarantine\Registry_backups\ShellIconOverlayIdentifiers-{BBACC218-34EA-4666-9D7A-C78F2274A524}.reg.dat
2013-05-10 08:58:42 . 2013-05-10 09:09:04 235 ----a-w- C:\Qoobox\Quarantine\Registry_backups\ShellIconOverlayIdentifiers-{A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E}.reg.dat
2013-05-10 08:58:42 . 2013-05-10 09:09:04 235 ----a-w- C:\Qoobox\Quarantine\Registry_backups\ShellIconOverlayIdentifiers-{F241C880-6982-4CE5-8CF7-7085BA96DA5A}.reg.dat
2013-05-10 08:58:28 . 2013-05-10 08:58:28 170 ----a-w- C:\Qoobox\Quarantine\Registry_backups\Wow6432Node-ShellIconOverlayIdentifiers-{BBACC218-34EA-4666-9D7A-C78F2274A524}.reg.dat
2013-05-10 08:58:28 . 2013-05-10 08:58:28 170 ----a-w- C:\Qoobox\Quarantine\Registry_backups\Wow6432Node-ShellIconOverlayIdentifiers-{A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E}.reg.dat
2013-05-10 08:58:28 . 2013-05-10 08:58:28 170 ----a-w- C:\Qoobox\Quarantine\Registry_backups\Wow6432Node-ShellIconOverlayIdentifiers-{F241C880-6982-4CE5-8CF7-7085BA96DA5A}.reg.dat
2013-05-10 08:54:53 . 2013-05-10 09:06:42 17,992 ----a-w- C:\Qoobox\Quarantine\Registry_backups\tcpip.reg
2013-05-10 08:48:35 . 2013-05-10 09:03:29 102 ----a-w- C:\Qoobox\Quarantine\catchme.log

et pour finir ça
2013-05-10 08:58:42 . 2013-05-10 09:09:04 235 ----a-w- C:\Qoobox\Quarantine\Registry_backups\ShellIconOverlayIdentifiers-{BBACC218-34EA-4666-9D7A-C78F2274A524}.reg.dat
2013-05-10 08:58:42 . 2013-05-10 09:09:04 235 ----a-w- C:\Qoobox\Quarantine\Registry_backups\ShellIconOverlayIdentifiers-{A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E}.reg.dat
2013-05-10 08:58:42 . 2013-05-10 09:09:04 235 ----a-w- C:\Qoobox\Quarantine\Registry_backups\ShellIconOverlayIdentifiers-{F241C880-6982-4CE5-8CF7-7085BA96DA5A}.reg.dat
2013-05-10 08:58:28 . 2013-05-10 08:58:28 170 ----a-w- C:\Qoobox\Quarantine\Registry_backups\Wow6432Node-ShellIconOverlayIdentifiers-{BBACC218-34EA-4666-9D7A-C78F2274A524}.reg.dat
2013-05-10 08:58:28 . 2013-05-10 08:58:28 170 ----a-w- C:\Qoobox\Quarantine\Registry_backups\Wow6432Node-ShellIconOverlayIdentifiers-{A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E}.reg.dat
2013-05-10 08:58:28 . 2013-05-10 08:58:28 170 ----a-w- C:\Qoobox\Quarantine\Registry_backups\Wow6432Node-ShellIconOverlayIdentifiers-{F241C880-6982-4CE5-8CF7-7085BA96DA5A}.reg.dat
2013-05-10 08:54:53 . 2013-05-10 09:06:42 17,992 ----a-w- C:\Qoobox\Quarantine\Registry_backups\tcpip.reg
2013-05-10 08:48:35 . 2013-05-10 09:03:29 102 ----a-w- C:\Qoobox\Quarantine\catchme.log

Boh ...

"Cancel by user. " tu as interrompu combofix ?

▶ Télécharge ici :SEAF.exe de C_XX

▶ Lance-le, une fenêtre va s'ouvrir .

● Tape servics.vbs dans cette fenêtre

● Dans "[Options des fichiers]", choisis l'option MD5 pour "Calculer le checksum" et coche le bouton radio devant "Informations supplémentaires"

● Dans "[Options du registre]", choisis "Chercher également dans le registre"


▶ Clique sur "Lancer la rechercher"
Patiente pendant la recherche.
Une fenêtre avec un log.txt va s'afficher.
▶ Copie/colle ce rapport dans ta prochaine réponse.

1. ========================= SEAF 1.0.1.0 - C_XX
2.
3. Commencé à: 14:01:56 le 10/05/2013
4.
5. Valeur(s) recherchée(s):
6. servics.vbs
7.
8. Légende: TC => Date de création, TM => Date de modification, DA => Dernier accès
9.
10. (!) --- Calcul du Hash "MD5"
11. (!) --- Recherche registre
12.
13. ====== Fichier(s) ======
14.
15. Aucun fichier trouvé
16.
17.
18. ====== Entrée(s) du registre ======
19.
20. Aucun élément dans le registre trouvé
21.
22. =========================
23.
24. Fin à: 14:03:36 le 10/05/2013
25. 391685 Éléments analysés
26.
27. =========================
28. E.O.F

comme promis :p

ok la même chose avec ça maintenant :

Serviecs.vbs

emm !! je suis sensée faire quoi ??

▶ Relance SEAF, une fenêtre va s'ouvrir .

● Tape Serviecs.vbs dans cette fenêtre

● Dans "[Options des fichiers]", choisis l'option MD5 pour "Calculer le checksum" et coche le bouton radio devant "Informations supplémentaires"

● Dans "[Options du registre]", choisis "Chercher également dans le registre"


▶ Clique sur "Lancer la rechercher"
Patiente pendant la recherche.
Une fenêtre avec un log.txt va s'afficher.
▶ Copie/colle ce rapport dans ta prochaine réponse.

:) j'ai bien envie de comprendre tout ça mais cela me dépasse
je me contente d'exécuter :p et ne cesse de te remercier :)

1. ========================= SEAF 1.0.1.0 - C_XX
2.
3. Commencé à: 14:40:10 le 10/05/2013
4.
5. Valeur(s) recherchée(s):
6. Servics.vbs
7.
8. Légende: TC => Date de création, TM => Date de modification, DA => Dernier accès
9.
10. (!) --- Calcul du Hash "MD5"
11. (!) --- Recherche registre
12.
13. ====== Fichier(s) ======
14.
15. Aucun fichier trouvé
16.
17.
18. ====== Entrée(s) du registre ======
19.
20. Aucun élément dans le registre trouvé
21.
22. =========================
23.
24. Fin à: 14:41:50 le 10/05/2013
25. 391804 Éléments analysés
26.
27. =========================
28. E.O.F

Raté j'avais demandé avec ça, respecte bien l'orthographe : Serviecs.vbs

1. ========================= SEAF 1.0.1.0 - C_XX
2.
3. Commencé à: 14:56:44 le 10/05/2013
4.
5. Valeur(s) recherchée(s):
6. Serviecs.vbs
7.
8. Légende: TC => Date de création, TM => Date de modification, DA => Dernier accès
9.
10. (!) --- Calcul du Hash "MD5"
11. (!) --- Recherche registre
12.
13. ====== Fichier(s) ======
14.
15.
16. "C:\Users\hp\AppData\Local\Temp\Serviecs.vbs" [ NOT_CONTENT_INDEXED|ARCHIVE | 5 Ko ]
17. TC: 08/05/2013,09:21:56 | TM: 18/01/2013,09:35:26 | DA: 08/05/2013,09:21:56
18.
19. Hash MD5: F3E7390115D4A4AD5CFA9CCA22D84EEF
20.
21.
22. =========================
23.
24.
25. "C:\Users\hp\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Serviecs.vbs" [ ARCHIVE | 5 Ko ]
26. TC: 26/04/2013,16:41:51 | TM: 18/01/2013,09:35:26 | DA: 07/05/2013,17:46:03
27.
28. Hash MD5: F3E7390115D4A4AD5CFA9CCA22D84EEF
29.
30.
31. =========================
32.
33.
34. "C:\_OTL\MovedFiles\05062013_185051\C_Users\hp\AppData\Local\Temp\Serviecs.vbs" [ NOT_CONTENT_INDEXED|ARCHIVE | 5 Ko ]
35. TC: 01/05/2013,15:10:36 | TM: 18/01/2013,09:35:26 | DA: 01/05/2013,15:10:36
36.
37. Hash MD5: F3E7390115D4A4AD5CFA9CCA22D84EEF
38.
39.
40. =========================
41.
42.
43. "C:\_OTL\MovedFiles\05062013_185051\C_Users\hp\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Serviecs.vbs" [ ARCHIVE | 5 Ko ]
44. TC: 26/04/2013,16:41:51 | TM: 18/01/2013,09:35:26 | DA: 01/05/2013,15:09:10
45.
46. Hash MD5: F3E7390115D4A4AD5CFA9CCA22D84EEF
47.
48.
49. =========================
50.
51.
52. "C:\_OTL\MovedFiles\05072013_174551\C_Users\hp\AppData\Local\Temp\Serviecs.vbs" [ NOT_CONTENT_INDEXED|ARCHIVE | 5 Ko ]
53. TC: 01/05/2013,15:10:36 | TM: 18/01/2013,09:35:26 | DA: 06/05/2013,18:52:58
54.
55. Hash MD5: F3E7390115D4A4AD5CFA9CCA22D84EEF
56.
57.
58. =========================
59.
60.
61. "C:\_OTL\MovedFiles\05072013_174551\C_Users\hp\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Serviecs.vbs" [ ARCHIVE | 5 Ko ]
62. TC: 26/04/2013,16:41:51 | TM: 18/01/2013,09:35:26 | DA: 06/05/2013,18:51:01
63.
64. Hash MD5: F3E7390115D4A4AD5CFA9CCA22D84EEF
65.
66.
67. =========================
68.
69.
70.
71. ====== Entrée(s) du registre ======
72.
73.
74. [HKU\S-1-5-21-279945389-975828082-2894945554-1000\Software\Microsoft\Windows\CurrentVersion\Run]
75. "Serviecs.vbs"=""C:\Users\hp\AppData\Local\Temp\Serviecs.vbs"" (REG_SZ)
76.
77. =========================
78.
79. Fin à: 14:58:25 le 10/05/2013
80. 391844 Éléments analysés
81.
82. =========================
83. E.O.F

OK maintenant un coup de Correction OTL avec ça :

:Files
C:\Users\hp\AppData\Local\Temp\Serviecs.vbs
C:\Users\hp\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Serviecs.vbs

:Reg
[HKU\S-1-5-21-279945389-975828082-2894945554-1000\Software\Microsoft\Windows\CurrentVersion\Run] 
"Serviecs.vbs"=- 

:Commands
[Reboot]

Et ça devrait ENFIN être bon :)

et hop après un redémarrage !
========== FILES ==========
File move failed. C:\Users\hp\AppData\Local\Temp\Serviecs.vbs scheduled to be moved on reboot.
C:\Users\hp\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Serviecs.vbs moved successfully.
========== REGISTRY ==========
Registry value HKEY_USERS\S-1-5-21-279945389-975828082-2894945554-1000\Software\Microsoft\Windows\CurrentVersion\Run\\Serviecs.vbs deleted successfully.
========== COMMANDS ==========

OTL by OldTimer - Version 3.2.69.0 log created on 05102013_151052

Files\Folders moved on Reboot...
C:\Users\hp\AppData\Local\Temp\Serviecs.vbs moved successfully.

PendingFileRenameOperations files...

Registry entries deleted on Reboot...

moué tu dois te dire que je maitrise comme une pros !!!!!

moved successfully je ne sais pas mais ça pourra dire que c'est bon c'est réglé non ?

Redémarre à nouveau et dis moi si le message apparait encore :)

j'ai bien envie de te dire que ça a marché mais non le message d'erreur apparait tjr ! ça me fait de chier !!!!

Clair il commence à me gonfler aussi ton truc, en principe il n'est pas si relou o/

Repasse un coup de ComboFix renommé stp, le rapport devrait sortir cette fois-ci.

j'ai du loupé ce truque ! comment ça renommé ?

si tu as suivi ces consignes : https://forums.commentcamarche.net/forum/affich-27742454-windows-script-host-users-hp-appdata-local-temp-serviecs-vbs?page=2#43
normalement combofix est renommé !