Dossier.exe

Tayade -  
Bonjour à tous,

aujourd'hui je me suis rendu sur l'ordinateur de l'école pour y faire mes recherches d'apprentissage.

J'ai amené ma clé USB comme chaque jour, comportant tout mes fichiers regroupés dans un document.

Lorsque j'ai branché ma clé USB, je l'ouvre et je constate quelques changements.

Mon dossier qui comportait tout mes fichiers word, a un nouveau nom : boulot.exe

J'ai aussi constaté une application qui pesait environ 286 Mo qui s'appelait DotA Editor.exe

Je ne peux plus ouvrir mon dossier, et donc tout mes fichiers sont inaccessible.

J'attends avec impatience de vos nouvelles, pour savoir comment réparé ceci.

Meilleures salutations.

13 réponses

  1.  juju666 Contributeur sécurité
    Bonjour,

    ▶ Téléchargez UsbFix (créé par El Desaparecido) sur votre Bureau.

    Si lien ne fonctionne pas : Miroir #1 ou Miroir #2

    ▶ Si votre antivirus affiche une alerte, ignorez-la et désactivez l'antivirus temporairement.
    ▶ Branchez toutes vos sources de données externes à votre PC (clé USB, disque dur externe, etc...) sans les ouvrir.
    ▶ Double cliquez sur UsbFix.exe.

    ▶ Cliquez sur suppression
    ▶ Laissez travailler l'outil.

    ▶ À la fin du scan, un rapport va s'afficher, postez-le dans votre prochaine réponse sur le forum.

    ▶ Le rapport est aussi sauvegardé à la racine du disque système ( C:\UsbFix.txt ).
    ▶ Tutoriel vidéo

    1. Tayade Auteur
      Merci pour cette réponse, j'essaie tout ça dès que je rentre chez moi. Je vous tiens au courant.
  2. ¡El Desaparecido!
    Envoie DotA Editor.exe et Boulot.exe sur virustotal.com et donne les liens vers les analyses stp


    ici ça fera la même chose : http://www.sosvirus.net/upload_malware.php et en plus j'aurai le fichier pour test :P

    Merci par avance mon juju ;)

    Développeur : UsbFix ## Webmaster : SosVirus
    Comme dis Birdy -> People help the people ....
    1. juju666 Contributeur sécurité
      j'allais demander à les avoir si néfaste ;) mais ça me semble louche ...
    2. ¡El Desaparecido!
      ouais j'imagine ;) en sortie de mon upload malware, l'user est redirigé vers un post public sur le fofo, ce post contient les données VT ;) donc en cas de verif fichier sur des usb, au lieu d'envoyer sur VT, vaut mieux passer par chez moi, comme ça je suis au jus en même temps :)

      Voir ici : http://www.sosvirus.net/analyse-malware-solution-desinfection.html
    3. juju666 Contributeur sécurité
      ah ok :)
    4. ¡El Desaparecido!
      :P
  4. Tayade Auteur
    Par la même occasion, lorsque j'affiche les fichiers caché je constate une magnifique application qui s'appelle : Japan

    Ces trois fichiers / dossiers ont tous l'image d'un parchemin.
    Je ne sais pas si ça peut aider plus.
    2. Tayade Auteur
      Voici le rapport :

      ############################## | UsbFix V 7.141 | [Suppression]

      Utilisateur: Tayade (Administrateur) # GOLAY
      Mis à jour le 30/09/2013 par El Desaparecido - Team SosVirus
      Lancé à 15:30:08 | 01/10/2013

      Site Web: https://www.usbfix.net/
      Forum : https://www.sosvirus.net/
      Upload Malware: http://www.sosvirus.net/upload_malware.php
      Contact: https://www.usb-antivirus.com/fr/contact/

      PC: MSI (2A9C)
      CPU: Intel(R) Core(TM) i5 CPU 650 @ 3.20GHz
      RAM -> [Total : 8119 | Free : 6366]
      Bios: American Megatrends Inc.
      Boot: Normal boot

      OS: Microsoft Windows 7 Édition Familiale Premium (6.1.7601 64-Bit) # Service Pack 1
      WB: Windows Internet Explorer 10.0.9200.16686

      SC: Security Center Service [Enabled]
      WU: Windows Update Service [Enabled]
      AS: Windows Defender [Enabled | Updated]
      FW: Windows FireWall Service [Enabled]

      C:\ (%systemdrive%) -> Disque fixe # 1384 Go (1126 Go libre(s) - 81%) [OS] # NTFS
      D:\ -> Disque fixe # 13 Go (2 Go libre(s) - 12%) [HP_RECOVERY] # NTFS
      E:\ -> Disque amovible # 4 Go (3 Go libre(s) - 81%) [] # FAT32

      ################## | Regedit Run |

      HKLM\SOFTWARE | Run : [] -
      HKLM\SOFTWARE | Run : [Razer Synapse] - "C:\Program Files (x86)\Razer\Synapse\RzSynapse.exe"
      HKLM\SOFTWARE | Run : [APSDaemon] - "C:\Program Files (x86)\Common Files\Apple\Apple Application Support\APSDaemon.exe"
      HKLM\SOFTWARE | Run : [iTunesHelper] - "C:\Program Files (x86)\iTunes\iTunesHelper.exe"
      HKLM\SOFTWARE\wow6432Node | Run : [] -
      HKLM\SOFTWARE\wow6432Node | Run : [Razer Synapse] - "C:\Program Files (x86)\Razer\Synapse\RzSynapse.exe"
      HKLM\SOFTWARE\wow6432Node | Run : [APSDaemon] - "C:\Program Files (x86)\Common Files\Apple\Apple Application Support\APSDaemon.exe"
      HKLM\SOFTWARE\wow6432Node | Run : [iTunesHelper] - "C:\Program Files (x86)\iTunes\iTunesHelper.exe"
      HKLM\SOFTWARE | RunOnce : [] -
      HKLM\SOFTWARE\wow6432Node | RunOnce : [] -
      HKU\S-1-5-19\SOFTWARE | Run : [Sidebar] - %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun
      HKU\S-1-5-20\SOFTWARE | Run : [Sidebar] - %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun
      HKU\S-1-5-21-620194990-2841119326-64619325-1001\SOFTWARE | Run : [se] - "C:\Users\Tayade\AppData\Roaming\SkypEmoticons\SE.exe" /minimized
      HKU\S-1-5-21-620194990-2841119326-64619325-1003\SOFTWARE | Run : [Sidebar] - %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun
      HKU\S-1-5-21-620194990-2841119326-64619325-1003\SOFTWARE | Run : [HPAdvisorDock] - C:\Program Files (x86)\Hewlett-Packard\HP Advisor\DOCK\HPAdvisorDock.exe
      HKU\S-1-5-19\SOFTWARE | RunOnce : [mctadmin] - C:\Windows\System32\mctadmin.exe
      HKU\S-1-5-20\SOFTWARE | RunOnce : [mctadmin] - C:\Windows\System32\mctadmin.exe
      HKU\S-1-5-21-620194990-2841119326-64619325-1003\SOFTWARE | RunOnce : [mctadmin] - C:\Windows\System32\mctadmin.exe

      ################## | Processus Stoppés |

      Stoppé! C:\Windows\system32\nvvsvc.exe (ID 856 |ParentID 652)
      Stoppé! C:\Program Files (x86)\NVIDIA Corporation\3D Vision\nvSCPAPISvr.exe (ID 880 |ParentID 652)
      Stoppé! C:\Windows\system32\atiesrxx.exe (ID 988 |ParentID 652)
      Stoppé! C:\Windows\System32\spoolsv.exe (ID 1400 |ParentID 652)
      Stoppé! C:\Program Files (x86)\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe (ID 1624 |ParentID 652)
      Stoppé! C:\Windows\system32\atieclxx.exe (ID 1680 |ParentID 988)
      Stoppé! C:\Program Files\NVIDIA Corporation\Display\nvxdsync.exe (ID 1704 |ParentID 856)
      Stoppé! C:\Windows\system32\nvvsvc.exe (ID 1712 |ParentID 856)
      Stoppé! C:\Program Files\Bonjour\mDNSResponder.exe (ID 1904 |ParentID 652)
      Stoppé! C:\Windows\SysWOW64\ezSharedSvcHost.exe (ID 1956 |ParentID 652)
      Stoppé! C:\Program Files\NVIDIA Corporation\NvStreamSrv\nvstreamsvc.exe (ID 1140 |ParentID 652)
      Stoppé! C:\Program Files (x86)\NVIDIA Corporation\NVIDIA Update Core\daemonu.exe (ID 1820 |ParentID 652)
      Stoppé! C:\Program Files (x86)\PDF Architect\HelperService.exe (ID 2072 |ParentID 652)
      Stoppé! C:\Program Files (x86)\PDF Architect\ConversionService.exe (ID 2100 |ParentID 652)
      Stoppé! C:\Windows\system32\rundll32.exe (ID 2284 |ParentID 2272)
      Stoppé! C:\Program Files (x86)\Intel\Intel(R) Rapid Storage Technology\IAStorDataMgrSvc.exe (ID 2356 |ParentID 652)
      Stoppé! C:\Windows\System32\WUDFHost.exe (ID 3060 |ParentID 520)
      Stoppé! C:\Windows\system32\taskhost.exe (ID 1496 |ParentID 652)
      Stoppé! C:\Program Files (x86)\NVIDIA Corporation\NVIDIA Update Core\NvTmru.exe (ID 3204 |ParentID 1536)
      Stoppé! C:\Users\Tayade\AppData\Roaming\SkypEmoticons\SE.exe (ID 3220 |ParentID 1536)
      Stoppé! C:\Program Files (x86)\Razer\Synapse\RzSynapse.exe (ID 3272 |ParentID 3232)
      Stoppé! C:\Program Files (x86)\iTunes\iTunesHelper.exe (ID 3312 |ParentID 3232)
      Stoppé! C:\Program Files\NVIDIA Corporation\Display\nvtray.exe (ID 3672 |ParentID 1704)
      Stoppé! C:\Program Files\iPod\bin\iPodService.exe (ID 3788 |ParentID 652)
      Stoppé! C:\Program Files\NVIDIA Corporation\NvStreamSrv\nvstreamsvc.exe (ID 3892 |ParentID 1140)
      Stoppé! C:\Windows\system32\conhost.exe (ID 3900 |ParentID 580)
      Stoppé! C:\Windows\system32\SearchIndexer.exe (ID 3604 |ParentID 652)
      Stoppé! C:\Program Files\Windows Media Player\wmpnetwk.exe (ID 3368 |ParentID 652)
      Stoppé! C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (ID 2168 |ParentID 1536)
      Stoppé! C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (ID 4264 |ParentID 2168)
      Stoppé! C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (ID 4804 |ParentID 2168)
      Stoppé! C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (ID 1984 |ParentID 2168)
      Stoppé! C:\Windows\system32\SearchProtocolHost.exe (ID 2548 |ParentID 3604)
      Stoppé! C:\Windows\system32\SearchFilterHost.exe (ID 3800 |ParentID 3604)
      Stoppé! C:\Users\Tayade\AppData\Roaming\Dropbox\bin\Dropbox.exe (ID 3396 |ParentID 796)

      ################## | Éléments infectieux |

      (!) Fichiers temporaires supprimés.

      ################## | Registre |

      ################## | Listing |

      [08/02/2013 - 20:34:42 | SHD ] C:\$RECYCLE.BIN
      [05/08/2013 - 01:47:10 | N | 8597] C:\AdwCleaner[S1].txt
      [24/07/2009 - 21:22:28 | SHD ] C:\Boot
      [14/07/2009 - 03:38:58 | RASH | 383562] C:\bootmgr
      [24/07/2009 - 21:22:29 | RASH | 8192] C:\BOOTSECT.BAK
      [25/09/2013 - 20:38:11 | HD ] C:\Config.Msi
      [14/07/2009 - 07:08:56 | SHD ] C:\Documents and Settings
      [01/09/2013 - 01:41:52 | D ] C:\Film
      [01/10/2013 - 15:08:03 | ASH | 6385102848] C:\hiberfil.sys
      [30/06/2013 - 14:32:41 | D ] C:\hp
      [02/04/2013 - 22:21:11 | D ] C:\HP_ePrint_Mobile
      [16/03/2013 - 01:37:01 | D ] C:\Kreapixel
      [21/02/2013 - 18:12:36 | D ] C:\NVIDIA
      [05/08/2013 - 23:21:38 | D ] C:\NvidiaLogging
      [28/07/2010 - 12:43:53 | N | 0] C:\OS
      [01/10/2013 - 15:08:03 | ASH | 8513474560] C:\pagefile.sys
      [14/07/2009 - 05:20:08 | D ] C:\PerfLogs
      [25/09/2013 - 06:19:46 | D ] C:\Program Files
      [25/09/2013 - 06:19:46 | D ] C:\Program Files (x86)
      [25/09/2013 - 06:19:46 | HD ] C:\ProgramData
      [24/07/2009 - 20:32:39 | SHD ] C:\Recovery
      [15/03/2013 - 16:39:17 | D ] C:\Riot Games
      [08/02/2013 - 22:13:55 | D ] C:\swsetup
      [01/10/2013 - 10:06:28 | SHD ] C:\System Volume Information
      [08/02/2013 - 20:33:44 | D ] C:\SYSTEM.SAV
      [16/09/2013 - 01:55:18 | D ] C:\Série
      [01/10/2013 - 15:32:29 | D ] C:\UsbFix
      [01/10/2013 - 15:32:39 | A | 7230] C:\UsbFix [Clean 1] GOLAY.txt
      [21/02/2013 - 18:14:25 | RD ] C:\Users
      [29/05/2013 - 15:08:06 | D ] C:\Windows
      [18/09/2010 - 18:31:29 | SHD ] D:\$RECYCLE.BIN
      [18/09/2010 - 18:21:24 | SHD ] D:\boot
      [14/07/2009 - 04:39:00 | ASH | 383562] D:\bootmgr
      [08/02/2013 - 20:29:38 | N | 0] D:\BT_HP.FLG
      [28/07/2010 - 13:18:34 | N | 495] D:\CSP.DAT
      [28/07/2010 - 13:34:07 | N | 24070] D:\DeployRp.log
      [18/09/2010 - 18:21:24 | D ] D:\hp
      [08/02/2013 - 20:29:27 | N | 44] D:\language.ini
      [18/09/2010 - 18:21:24 | SHD ] D:\preload
      [09/02/2013 - 05:23:57 | SD ] D:\Recovery
      [28/07/2010 - 13:34:07 | N | 0] D:\RPCONFIG.LOG
      [25/11/2012 - 19:56:32 | SHD ] D:\System Volume Information

      ################## | Vaccin |

      C:\Autorun.inf -> Vaccin créé par UsbFix (El Desaparecido)
      D:\Autorun.inf -> Vaccin créé par UsbFix (El Desaparecido)

      ################## | E.O.F | https://www.usbfix.net/ - https://www.sosvirus.net/ |
      1. juju666 Contributeur sécurité
        USBFix a bien vu ta clé, mais ne l'a pas prise en compte ...

        Faire un scan OTL pour diagnostiquer les programmes qui tournent et déceler des infections :

        ▶ Télécharge ici :OTL

        ▶ Fais un double clic sur l'icône pour le lancer (clic droit executer en tant qu'administrateur sous Vista, Windows 7 ou Windows 8). Vérifier que toutes les autres fenêtres sont fermées afin qu'il s'exécute sans interruption.

        ▶ Clique ici pour voir la configuration

        ▶ Copie et colle le contenu de ce qui suit en gras dans la partie inférieure d'OTL "Personnalisation"


        HKCU\Software
        HKLM\Software
        %Homedrive%\*
        %Homedrive%\*.
        %Userprofile%\*
        %Userprofile%\*.
        %Allusersprofile%\*
        %Allusersprofile%\*.
        %localappdata%\*
        %localappdata%\*.
        %Userprofile%\Local Settings\Application Data\*
        %Userprofile%\Local Settings\Application Data\*.
        %programFiles%\*
        %programFiles%\*.
        %Systemroot%\Temp\*.exe /s
        %systemroot%\system32\*.dll /lockedfiles
        %systemroot%\system32\*.exe /lockedfiles
        %systemroot%\system32\*.in*
        %systemroot%\Tasks\*
        %systemroot%\Tasks\*.
        %systemroot%\system32\Tasks\*
        %systemroot%\system32\Tasks\*.
        %systemroot%\system32\drivers\*.sy* /lockedfiles
        %systemroot%\system32\config\*.exe /s
        %Systemroot%\ServiceProfiles\*.exe /s
        %systemroot%\system32\*.sys
        %temp%\*.exe /s
        %ALLUSERSPROFILE%\Application Data\*.exe /s
        %ALLUSERSPROFILE%\Application Data\*.
        %APPDATA%\*.exe /s
        %SYSTEMDRIVE%\*.*
        /md5start
        explorer.exe
        winlogon.exe
        userinit.exe
        svchost.exe
        services.exe
        winsock.*
        /md5stop
        msconfig
        netsvcs
        BASESERVICES
        safebootminimal
        safebootnetwork
        CREATERESTOREPOINT
        SAVEMBR:0
        HKLM\Software\Clients\StartMenuInternet\IEXPLORE.EXE\shell\open\command
        HKLM\Software\Clients\StartMenuInternet\FIREFOX.EXE\shell\open\command
        HKLM\Software\Clients\StartMenuInternet\Google Chrome\shell\open\command
        dir "%Homedrive%\*" /S /A:L /C

        ▶ Clic sur Analyse.

        A la fin du scan, 2 Bloc-Notes vont s'ouvrir avec les rapports (OTL.txt et extras.txt).

        NE PAS COPIER/COLLER LE RAPPORT ICI - LIRE JUSQU'AU BOUT

        Ces fichiers se trouvent à côté de l'exécutable OTL.exe

        héberge OTL.txt et extra.txt sur FEC Upload et donne les liens obtenus en échange

        NE PAS COPIER/COLLER LE LIEN DE SUPPRESSION, CONSERVE-LE SI TU DESIRE ENSUITE SUPPRIMER LES RAPPORTS DE LA BASE DE DONNEES FEC
        1. Tayade Auteur
          Extras.txt :

          https://forums-fec.be/upload/www/?a=d&i=8630774034

          OTL.txt :

          https://forums-fec.be/upload/www/?a=d&i=4462602224
          1. juju666 Contributeur sécurité
            bah .. y'a pas de malware.
            chelou ton histoire.
            c'pas un prog sur les pc de l'école ?
            1. Tayade Auteur
              Non, le prof m'a dit que c'était déjà arrivé à d'autres personnes.
              Le soucis c'est que maintenant je peux plus choper mes fichiers.
              L'appli DotA EDITOR peut se supprimer mais revient instantanément.
              1. juju666 Contributeur sécurité
                Démarrer -> Tous les programmes -> accessoires
                Clic droit -> admin sur Invite de commande

                Tape : DIR E:\ >> %TEMP%\rapport.txt
                Ensuite : %TEMP%\rapport.txt

                Copie/colle le contenu ici
                1. Tayade Auteur
                  Le volume dans le lecteur E n'a pas de nom.
                  Le num'ro de s'rie du volume est 4867-32BE

                  R'pertoire de E:\

                  04.08.2013 23:03 734'664'704 Le Cercle 2.avi
                  21.07.2009 16:13 289'397 DotA Editor.exe
                  21.07.2009 16:13 289'397 Boulot.exe
                  12.06.2013 06:23 <REP> divers
                  3 fichier(s) 735'243'498 octets
                  1 R'p(s) 3'249'156'096 octets libres
                  1. juju666 Contributeur sécurité
                    Envoie DotA Editor.exe et Boulot.exe sur virustotal.com et donne les liens vers les analyses stp

                    Discussions similaires

                    virus créant des fichiers nommées dossier.exe
                    eyokfla

                    28 réponses