je suis infecté! Résolu/Fermé

Question

Bonjour, 


dès que je branche une clé usb elle prend plein de virus, des liens se creent et les dossiers vont en mode caché. je sais pas ce qui se passe avec cette machine.

merci pour votre précieuse aide

je vous écoute


Configuration: Windows 7 / Internet Explorer 8.0

Malekal_morte- · Answer

Salut,

Ton infection est donc une infection qui se propage par disques amovibles (clefs USB, disque dur externe, carte flash etc..).   
Les disques amovibles que tu as insérés dans l'ordinateur quand celui-ci était infecté ont été infectés à leur tour.   

Le simple faite d'ouvrir le poste de travail et de double-cliquer sur ta clef USB/disque dur externe va réinfecter ton système.   
Tu trouveras un lien explicatif sur la propagation de ces infections, comment s'en protéger etc.... à partir de ces liens :   

https://forum.malekal.com/viewtopic.php?t=5544&start=   

Il te faut maintenant nettoyer tes clefs USB/disques dur externes, pour cela suis le tutorial USBFix.   
Suis bien le tutorial dans l'ordre : Désactive bien Autorun/Autoplay, insère tes clefs USB et disque dur externe que tu as pour les nettoyer.   
Poste les rapports sur http://pjjoint.malekal.com et donne les adresses.   

L'adresse du tutorial : https://www.malekal.com/usbfix-supprimer-virus-usb/

zanu · Answer

voici le rapport de suppression, mais ca change rien**


############################## | UsbFix V 7.152 | [Suppression]

Utilisateur: toshiba (Administrateur) # TOSHIBA-PC
Mis à jour le 20/11/2013 par El Desaparecido - Team SosVirus
Lancé à 12:54:59 | 05/12/2013

Site Web : https://www.usbfix.net/
Forum : https://www.sosvirus.net/
Upload Malware : http://www.sosvirus.net/upload_malware.php
Contact : https://www.usb-antivirus.com/fr/contact/

PC: Type2 - Board Vendor Name1 (Type2 - Board Product Name1)
CPU: Intel(R) Pentium(R) CPU B960 @ 2.20GHz
RAM -> [Total : 2716 | Free : 1955]
Bios: Insyde Corp.
Boot: Normal boot

OS: Microsoft Windows 7 Professionnel  (6.1.7600 32-Bit) 
WB: Windows Internet Explorer : 8.0.7600.16385

SC: Security Center Service [Enabled]
WU: Windows Update Service [Enabled]
AS: Windows Defender [Enabled | (!) Outdated]
AS: Windows Defender : 6.1.7600.16385 (win7_rtm.090713-1255)
FW: Windows FireWall Service [Enabled]

C:\ (%systemdrive%) -> Disque fixe # 98 Go (84 Go libre(s) - 86%) [] # NTFS
D:\ -> Disque fixe # 368 Go (368 Go libre(s) - 100%) [] # NTFS
E:\ -> CD-ROM
G:\ -> CD-ROM

################## | Processus Stoppés |

Stoppé! C:\Windows\System32\spoolsv.exe (ID: 1284 |ParentID: 512)
Stoppé! C:\Windows\system32\WUDFHost.exe (ID: 1780 |ParentID: 852)
Stoppé! C:\Windows\system32\taskhost.exe (ID: 1876 |ParentID: 512)
Stoppé! C:\Windows\Explorer.EXE (ID: 2036 |ParentID: 1928)
Stoppé! C:\ProgramData\CacheMgr.exe (ID: 312 |ParentID: 2036)
Stoppé! C:\Program Files\Skype\Phone\Skype.exe (ID: 368 |ParentID: 2036)
Stoppé! C:\Program Files\Internet Explorer\iexplore.exe (ID: 1832 |ParentID: 392)
Stoppé! C:\Program Files\Internet Explorer\iexplore.exe (ID: 2008 |ParentID: 412)
Stoppé! C:\Program Files\Internet Explorer\iexplore.exe (ID: 340 |ParentID: 392)
Stoppé! C:\Windows\system32\SearchIndexer.exe (ID: 2264 |ParentID: 512)
Stoppé! C:\ProgramData\DatacardService\HWDeviceService.exe (ID: 3204 |ParentID: 512)
Stoppé! C:\ProgramData\DatacardService\DCSHelper.exe (ID: 3216 |ParentID: 3204)
Stoppé! C:\ProgramData\Camtel EVDO-Huawei\OnlineUpdate\ouc.exe (ID: 3632 |ParentID: 3564)
Stoppé! C:\ProgramData\DatacardService\DCSHelper.exe (ID: 1716 |ParentID: 3204)
Stoppé! C:\Program Files\Camtel EVDO-Huawei\Camtel EVDO-Huawei.exe (ID: 2572 |ParentID: 1716)
Stoppé! C:\Program Files\Internet Explorer\iexplore.exe (ID: 1552 |ParentID: 2036)
Stoppé! C:\Program Files\Internet Explorer\iexplore.exe (ID: 3304 |ParentID: 1552)
Stoppé! C:\Program Files\Internet Explorer\iexplore.exe (ID: 3532 |ParentID: 1552)
Stoppé! C:\Windows\system32\Macromed\Flash\FlashUtil32_11_5_502_110_ActiveX.exe (ID: 2784 |ParentID: 640)
Stoppé! C:\Program Files\Internet Explorer\iexplore.exe (ID: 3212 |ParentID: 1552)
Stoppé! C:\Windows\system32\SearchProtocolHost.exe (ID: 2260 |ParentID: 2264)
Stoppé! C:\Windows\system32\SearchProtocolHost.exe (ID: 2628 |ParentID: 2264)
Stoppé! C:\Windows\system32\SearchFilterHost.exe (ID: 2632 |ParentID: 2264)

################## | Regedit Run |

04 - HKLM\SOFTWARE | RunOnce : [] - 
04 - HKU\S-1-5-19\SOFTWARE | Run : [Sidebar] - %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun
04 - HKU\S-1-5-20\SOFTWARE | Run : [Sidebar] - %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun
04 - HKU\S-1-5-21-86705323-2000970346-2348837329-1000\SOFTWARE | Run : [StubPath] - "C:\ProgramData\CacheMgr.exe" -as
04 - HKU\S-1-5-21-86705323-2000970346-2348837329-1000\SOFTWARE | Run : [Skype] - "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
04 - HKU\S-1-5-19\SOFTWARE | RunOnce : [mctadmin] - C:\Windows\System32\mctadmin.exe
04 - HKU\S-1-5-20\SOFTWARE | RunOnce : [mctadmin] - C:\Windows\System32\mctadmin.exe

################## | Recherche générique |

Non supprimé ! G:\AutoRun.exe 
Supprimé! C:\ProgramData\CacheMgr.exe
Non supprimé ! G:\AUTORUN.INF
Non supprimé ! G:\autorun.exe
Non supprimé ! G:\SysConfig.dat

(!) Fichiers temporaires supprimés.

################## | Référence de comparaison MD5 |

Md5 : BD076E406413F3AEEE307119BB9E98E8 -> C:\ProgramData\CacheMgr.exe

################## | Comparaison MD5 |


################## | Registre |

Réparé ! HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System|ConsentPromptBehaviorAdmin -> 5
Réparé ! HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced|Start_ShowMyGames -> 1
Supprimé! HKU\S-1-5-21-86705323-2000970346-2348837329-1000\Software\.\.\.\.\Mountpoints2\{b7947650-5da2-11e3-b011-2cd05a7c6502}

################## | Listing |

[09/05/2013 - 16:39:36 | SHD ] 	C:\$Recycle.Bin
[10/06/2009 - 22:42:20 | N | 24] 	C:\autoexec.bat
[10/05/2013 - 02:31:19 | SHD ] 	C:\Boot
[21/10/2009 - 22:53:39 | RASH | 383582] 	C:\bootmgr
[10/05/2013 - 02:31:30 | RASH | 8192] 	C:\BOOTSECT.BAK
[10/06/2009 - 22:42:20 | N | 10] 	C:\config.sys
[14/07/2009 - 05:53:55 | SHD ] 	C:\Documents and Settings
[14/07/2009 - 01:26:00 | N | 204528] 	C:\grldr
[05/12/2013 - 12:45:25 | ASH | 2135793664] 	C:\hiberfil.sys
[03/12/2013 - 17:13:54 | RHD ] 	C:\MSOCache
[05/12/2013 - 12:45:25 | ASH | 2847727616] 	C:\pagefile.sys
[14/07/2009 - 03:37:05 | D ] 	C:\PerfLogs
[05/12/2013 - 12:48:01 | D ] 	C:\Program Files
[05/12/2013 - 12:55:56 | HD ] 	C:\ProgramData
[09/05/2013 - 16:38:38 | SHD ] 	C:\Recovery
[03/12/2013 - 17:13:48 | SHD ] 	C:\System Volume Information
[05/12/2013 - 12:55:56 | D ] 	C:\UsbFix
[05/12/2013 - 12:55:57 | A | 5361] 	C:\UsbFix [Clean 1] TOSHIBA-PC.txt
[09/05/2013 - 16:39:24 | RD ] 	C:\Users
[03/12/2013 - 17:22:58 | D ] 	C:\Windows
[03/12/2013 - 17:18:15 | D ] 	C:\[Smad-Cage]
[09/05/2013 - 16:39:36 | SHD ] 	D:\$RECYCLE.BIN
[09/05/2013 - 16:32:50 | SHD ] 	D:\System Volume Information
[09/09/2011 - 05:56:40 | R | 148320] 	G:\AutoRun.exe
[09/09/2011 - 05:56:40 | R | 45] 	G:\AUTORUN.INF
[16/09/2011 - 10:23:50 | D ] 	G:\Camtel EVDO-Huawei
[09/09/2011 - 05:56:40 | R | 493246] 	G:\startup.ico
[09/09/2011 - 05:54:46 | R | 1656] 	G:\SysConfig.dat

################## | Vaccin |

(!) Cet ordinateur n'est pas vacciné!

################## | E.O.F | https://www.usbfix.net/ - https://www.sosvirus.net/ |

zanu · Answer

JARRIVE PLUS A REPONDRE

Malekal_morte- · Answer

Faire un scan OTL pour diagnostiquer les programmes qui tournent et déceler des infections - Le programme va générer deux rapports OTL.txt et Extras.txt 
Fournir les deux rapports :

Tu peux suivre les indications de cette page pour t'aider : https://www.malekal.com/tutorial-otl/    

* Télécharge http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/ sur ton bureau.    
(Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)    

Dans le cas d'Avast!, ne pas lancer le programme dans la Sandbox (voir lien d'aide ci-dessus).

* Lance OTL    
* En haut à droite de Analyse rapide, coche "tous les utilisateurs"
* Sur OTL, sous Personnalisation, copie-colle le script ci-dessous :    



netsvcs   
msconfig   
safebootminimal   
safebootnetwork   
activex   
drivers32   
%ALLUSERSPROFILE%\Application Data\*.   
%ALLUSERSPROFILE%\Application Data\*.exe /s   
%APPDATA%\*.   
%APPDATA%\*.exe /s   
%temp%\*.exe /s   
%SYSTEMDRIVE%\*.exe   
%systemroot%\*. /mp /s
%systemroot%\system32\consrv.dll
%systemroot%\system32\*.dll /lockedfiles   
%windir%\Tasks\*.job /lockedfiles   
%systemroot%\system32\drivers\*.sys /lockedfiles   
%systemroot%\System32\config\*.sav   
/md5start   
explorer.exe   
winlogon.exe
services.exe
wininit.exe
/md5stop
HKEY_CLASSES_ROOT\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32 /s
HKEY_LOCAL_MACHINE\SYSTEM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\AppCertDlls /s
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList /s
HKEY_LOCAL_MACHINE\Software\Microsoft\Command Processor /s
HKEY_CURRENT_USER\Software\Microsoft\Command Processor /s
CREATERESTOREPOINT   
nslookup https://www.google.fr/?gws_rd=ssl /c   
SAVEMBR:0   
hklm\software\clients\startmenuinternet|command /rs   
hklm\software\clients\startmenuinternet|command /64 /rs



* Clique sur le bouton Analyse.

* Quand le scan est fini, utilise le site http://pjjoint.malekal.com/ pour envoyer le rapport OTL.txt (et Extra.txt si présent).
Donne le ou les liens pjjoint qui pointent vers ces rapports ici dans une réponse.
Je répète : donne le lien du rapport pjjoint ici en réponse.

NE PAS COPIER/COLLER LE RAPPORT ICI - DONNER LE LIEN PJJOINT DANS UN NOUVEAU MESSAGE

zanu · Answer

http://cjoint.com/?CLfsr1U8CbI

Malekal_morte- · Answer

ca a l'air bon :)

zanu · Answer

bon je fais le test, 

je prends ma clé, je la scanne sous avg chez moi, 0 resultat, clean

je la branche sur cette machine, je louvre et je la rebranche chez moi, et avg trouve des virus dans un dossier recycler, les voila, par exemple



"K:\RECYCLER\S-4-1-07-7222675104-7455670260-058655346-0503\ZFokUobX.cpl";"Cheval de Troie : Generic20.GJD";"Placé en quarantaine"
"K:\RECYCLER\S-4-1-07-7222675104-7455670260-058655346-0503	mCDDNPo.cpl";"Cheval de Troie : Generic20.GJD";"Placé en quarantaine"
"K:\RECYCLER\S-4-1-07-7222675104-7455670260-058655346-0503XcIvvBx.exe";"Cheval de Troie : Generic22.BPCM";"Placé en quarantaine"
"K:\RECYCLER\S-4-1-07-7222675104-7455670260-058655346-0503\pnHpMLqJ.exe";"Cheval de Troie : Generic22.BPCM";"Placé en quarantaine"
"K:\Copy of Shortcut to (4).lnk";"Détection de : Luhe.Exploit.LNK.CVE-2010-2568.A ";"Placé en quarantaine"
"K:\Copy of Shortcut to (3).lnk";"Détection de : Luhe.Exploit.LNK.CVE-2010-2568.A ";"Placé en quarantaine"
"K:\Copy of Shortcut to (2).lnk";"Détection de : Luhe.Exploit.LNK.CVE-2010-2568.A ";"Placé en quarantaine"
"K:\Copy of Shortcut to (1).lnk";"Détection de : Luhe.Exploit.LNK.CVE-2010-2568.A ";"Placé en quarantaine"

zanu · Answer

AVG est pas installé sur la machine "infectée", mais sur une autre. à chaque fois qu'on branche une clé sur cette machine infectée, elle met des virus dans la clé, et si ta machine n'a pas d'antivirus, tu les chope

zanu · Answer

C'est ok , 

mais la j'ai installé avg qui a fait un scan, a supprimé quelques fichiers, et mon ordinateur redemarre avec l'ecran tout noir au demarrage, juste la souris qui apparait. peu etre la carte video s'est desactive?

zanu · Answer

mais j'ai perdu tous mes programmes installés,

Malekal_morte- · Answer

ok, fais tourner USBFix au près de tes amis pour qu'ils nettoyent leurs PC à leurs tours : https://www.malekal.com/usbfix-supprimer-virus-usb/

Je suis infecté!

11 réponses

Discussions similaires