Virus iTunesHelper clé USB

Salut,

ok :)

Like the angel you are, you laugh creating a lightness in my chest,
Your eyes they penetrate me,
(Your answer's always 'maybe')
That's when I got up and left

Salut.

Merci pour tes conseils Malekal_morte, cependant j'ai un problème lors de la recherche avec UsbFix.

En effet, après avoir suivi toutes les recommandations (désactiver provisoirement l'antivirus (avira dans mon cas) et désactiver l'autorun), lors du scan de UsbFix, ce dernier "s'arrête"...fin ça me marque "Ne réponds pas". Du coup, je suis obliger d'éteindre à l'aide du bouton d'arrêt mon ordinateur car je ne peut plus rien faire.

J'ai essayer plusieurs fois et c'est la même chose à chaque fois ça bloque sur 26%. Pourtant je ne touche à rien et j'attends pour voir si ça repart, mais non.

Si quelqu'un pourrait me dire comment débloquer ce problème.

Sur ceux,
Bon week-end.

ok,

Faire un scan OTL pour diagnostiquer les programmes qui tournent et déceler des infections - Le programme va générer deux rapports OTL.txt et Extras.txt
Fournir les deux rapports :

Tu peux suivre les indications de cette page pour t'aider : https://www.malekal.com/tutorial-otl/

* Télécharge http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/ sur ton bureau.
(Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)

Dans le cas d'Avast!, ne pas lancer le programme dans la Sandbox (voir lien d'aide ci-dessus).

* Lance OTL
* En haut à droite de Analyse rapide, coche "tous les utilisateurs"
* Sur OTL, sous Personnalisation, copie-colle le script ci-dessous :

netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%temp%\*.exe /s
%SYSTEMDRIVE%\*.exe
%systemroot%\*. /mp /s
%systemroot%\system32\consrv.dll
%systemroot%\system32\*.dll /lockedfiles
%windir%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
/md5start
explorer.exe
winlogon.exe
services.exe
wininit.exe
/md5stop
HKEY_CLASSES_ROOT\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32 /s
HKEY_LOCAL_MACHINE\SYSTEM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\AppCertDlls /s
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList /s
HKEY_LOCAL_MACHINE\Software\Microsoft\Command Processor /s
HKEY_CURRENT_USER\Software\Microsoft\Command Processor /s
CREATERESTOREPOINT
nslookup https://www.google.fr/?gws_rd=ssl /c
SAVEMBR:0
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs

* Clique sur le bouton Analyse.

* Quand le scan est fini, utilise le site http://pjjoint.malekal.com/ pour envoyer le rapport OTL.txt (et Extra.txt si présent).
Donne le ou les liens pjjoint qui pointent vers ces rapports ici dans une réponse.
Je répète : donne le lien du rapport pjjoint ici en réponse.

NE PAS COPIER/COLLER LE RAPPORT ICI - DONNER LE LIEN PJJOINT DANS UN NOUVEAU MESSAGE

Voici le lien pour le rapport OTL :

https://pjjoint.malekal.com/files.php?id=20131207_k12o5u6s13v7

et celui pour le rapport Extras :

https://pjjoint.malekal.com/files.php?id=20131207_g5p7w14o6p15

Relance OTL.
o sous Personnalisation (Custom Scan), copie_colle le contenu du cadre ci dessous (bien prendre :OTL en début).
Clic Correction (Fix), un rapport apparraitra, copie/colle le contenu ici:

:OTL
O4 - HKU\S-1-5-21-334296882-3646848743-4187594378-1001..\Run: [iTunesHelper] wscript.exe //B C:\Users\VALENT~1\AppData\Local\Temp\iTunesHelper.vbe File not found
O4 - Startup: C:\Users\Valentin B\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\iTunesHelper.vbe ()
:Commands
[reboot]

Le PC va redémarrer tout seul.

Refais un scan OTL et donne le rapport.

J'ai eu deux rapports, les voici :

[.ShellClassInfo]
LocalizedResourceName=@%SystemRoot%\system32\shell32.dll,-21769
IconResource=%SystemRoot%\system32\imageres.dll,-183

et le deuxième :

[.ShellClassInfo]
LocalizedResourceName=@%SystemRoot%\system32\shell32.dll,-21799
[LocalizedFileNames]
CyberLink Media Suite.lnk=@C:\PROGRA~2\CYBERL~1\MEDIAS~1\MUITRA~1\PSEnvRes.dll,-110

Pour le scan OTL, je fais comme la dernière fois (je copie-colle le même script dans personnalisation) ?

Hello,

Désinstalles ta version de UsbFix puis télécharge la dernière :

# Télécharge UsbFix sur ton Bureau.
# Si ton antivirus affiche une alerte, ignore-la et désactive l'antivirus temporairement.
# Branche toutes tes sources de données externes à ton PC (clé USB, disque dur externe, etc...) sans les ouvrir.
# Double clique sur UsbFix.exe.
# Clique sur Suppression.


# Laisse travailler l'outil.
# À la fin du scan, un rapport va s'afficher, poste-le dans ta prochaine réponse sur le forum.

# Le rapport est aussi sauvegardé à la racine du disque système ( C:\UsbFix [Clean ?] Nom de l'ordinateur.txt ).

( CTRL+A pour sélectionner, CTRL+C pour copier et CTRL+V pour coller )

# Tutoriel en images

Salut.

Normalement c'est déjà la dernière version de UsbFix que j'ai. Je veut bien essayer de faire ce que tu m'as écrit mais le problème est que je n'ai pas finis le travail avec OTL (voir ci-dessus). De plus, les scannes que j'avais lancé avant avec UsbFix ce sont tous arrêtés en cours de route ("Ne répond pas"), ça ne risque pas de faire la même chose en lançant la suppression directement ?

Merci.

Normalement c'est déjà la dernière version de UsbFix que j'ai

Une nouvelle version est sortie hier soir ;)

Laisse OTL de coté et passe la nouvelle version de UsbFix en mode suppression directement

Autant pour moi =)

Je vais faire ça.

Bon pas de rapport...la suppression c'est arrêté comme pour le scanne. Ça met "Ne répond pas". Pourtant j'ai désactivé l'antivirus et l'autorun.

Bon pas de rapport...la suppression c'est arrêté comme pour le scanne. Ça met "Ne répond pas". Pourtant j'ai désactivé l'antivirus et l'autorun.

A quel pourcentage ça s'est arrêté stp ?

Là ça c'est arrêté à 16% si je me souviens bien. Avec le scanne ça s'arrêtait toujours à 26%. Mais dans tous les cas ça s'arrête lorsqu'il arrive sur le virus.

merde c'est pire qu'avant ^^

^^

C'est la recherche MD5 , C'est peut être du à la taille du fichier ( ituneshelper.vbe .. )

VVaTemvv, relance UsbFix et choisis l'option listing stp avec clé usb connectées et post le rapport.

Salut.

Ok, ci-dessous le rapport avec l'option "listing" :

############################## | UsbFix V 7.153 | [Listing]

Utilisateur: Valentin B (Administrateur) # VALENTINB-PC
Mis à jour le 09/12/2013 par El Desaparecido - Team SosVirus
Lancé à 11:20:03 | 11/12/2013

Site Web : https://www.usbfix.net/
Forum : https://www.sosvirus.net/
Upload Malware : http://www.sosvirus.net/upload_malware.php
Contact : https://www.usb-antivirus.com/fr/contact/

PC: ASUSTeK Computer Inc. (K53SD)
CPU: Intel(R) Pentium(R) CPU B960 @ 2.20GHz
RAM -> [Total : 5920 | Free : 3558]
Bios: American Megatrends Inc.
Boot: Normal boot

OS: Microsoft Windows 7 Édition Familiale Premium (6.1.7601 64-Bit) Service Pack 1
WB: Windows Internet Explorer : 11.0.9600.16428
WB: Mozilla Firefox : 25.0.1

SC: Security Center Service [Enabled]
WU: Windows Update Service [Enabled]
AV: Avira Desktop [(!) Disabled | Updated]
AS: Windows Defender : 6.1.7600.16385 (win7_rtm.090713-1255)
AS: Malwarebytes' Anti-Malware : 1.75.0001
FW: Windows FireWall Service [Enabled]

C:\ (%systemdrive%) -> Disque fixe # 186 Go (129 Go libre(s) - 69%) [OS] # NTFS
D:\ -> Disque fixe # 254 Go (254 Go libre(s) - 100%) [DATA] # NTFS
E:\ -> CD-ROM
F:\ -> Disque amovible # 4 Go (1 Go libre(s) - 37%) [USB DISK] # FAT32

################## | Listing Beta |

[04/04/2012 - 10:53:31 | A | 14 Ko | 1832B6BBAC519B9FE7D7A7C194AB3576] - C:\devlist.txt
[04/04/2012 - 11:54:59 | A | 0 Ko | E831CDF5DD3B0F1F1C01FD8E9A5F1FE0] - C:\Pass.txt
[25/07/2012 - 16:52:46 | A | 0 Ko | 32AA402709E97031EAAEC57134121B4E] - C:\BurnHelp.txt
[31/07/2012 - 11:20:52 | A | 1 Ko | 36D87A001D229A4C2E379E4F636ACA53] - C:\AdwCleaner[R1].txt
[31/07/2012 - 11:21:56 | A | 1 Ko | CEDA929EBD96025184ED8D2354A66290] - C:\AdwCleaner[S1].txt
[13/10/2012 - 16:13:38 | A | 1 Ko | 80C9B92F2DA9022DE722C1DEC087A2FE] - C:\AdwCleaner[R2].txt
[10/12/2013 - 12:04:00 | A | 12 Ko | 21D5C3E920006534E1CF8352051D7F8A] - C:\UsbFix [Clean 1] VALENTINB-PC.txt
[11/12/2013 - 11:20:05 | A | 2 Ko | EE5D612AB34F79A23F4E02829421F992] - C:\UsbFix [Listing 1] VALENTINB-PC.txt
[11/12/2013 - 10:49:11 | ASH | 4546600 Ko] - C:\hiberfil.sys
[11/12/2013 - 10:49:13 | ASH | 6062136 Ko] - C:\pagefile.sys
[11/10/2011 - 12:18:45 | A | 0 Ko] - C:\ASUS.md5
[04/04/2012 - 10:34:31 | A | 2 Ko] - C:\RHDSetup.log
[04/04/2012 - 10:53:31 | A | 0 Ko] - C:\Finish.log
[06/12/2011 - 12:27:54 | N | 0 Ko] - C:\RECOVERY.DAT
[01/11/2011 - 12:22:02 | AH | 2560 Ko] - C:\K43SD.BIN
[02/11/2011 - 01:52:34 | AH | 2560 Ko] - C:\K53SD.BIN
[09/03/2013 - 20:08:26 | SHD] - C:\$Recycle.Bin
[07/12/2013 - 16:27:17 | A | 1 Ko] - C:\PhysicalMBR.bin
[29/07/2009 - 07:03:37 | RASH | 8 Ko] - C:\BOOTSECT.BAK
[06/12/2011 - 12:27:53 | N | 0 Ko] - C:\K43SD_K53SD_WIN7.50
[14/07/2009 - 02:38:58 | RASH | 375 Ko] - C:\bootmgr
[14/07/2009 - 04:20:08 | D] - C:\PerfLogs
[14/07/2009 - 06:08:56 | SHD] - C:\Documents and Settings
[29/07/2009 - 07:03:34 | SHD] - C:\Boot
[04/04/2012 - 10:30:06 | D] - C:\Intel
[04/04/2012 - 10:40:42 | D] - C:\eSupport
[24/07/2012 - 13:53:01 | SHD] - C:\Recovery
[24/07/2012 - 13:54:46 | RD] - C:\Users
[25/07/2012 - 20:42:29 | D] - C:\temp
[07/09/2012 - 18:27:40 | RD] - C:\Program Files
[07/09/2012 - 18:35:26 | RHD] - C:\MSOCache
[26/09/2012 - 08:07:01 | D] - C:\AsusVibeData
[27/07/2013 - 15:11:55 | D] - C:\Riot Games
[26/11/2013 - 00:20:26 | HD] - C:\ProgramData
[04/12/2013 - 08:57:04 | RD] - C:\Program Files (x86)
[07/12/2013 - 18:03:28 | D] - C:\_OTL
[10/12/2013 - 10:02:33 | SHD] - C:\System Volume Information
[10/12/2013 - 13:37:57 | D] - C:\Windows
[11/12/2013 - 11:20:04 | D] - C:\UsbFix
[24/07/2012 - 13:55:36 | SHD] - D:\$RECYCLE.BIN
[25/07/2012 - 04:48:55 | SHD] - D:\System Volume Information
[28/11/2013 - 12:14:20 | SH | 67928 Ko | 2BCBCF86077A7E0F77BDB82F331F2957] - F:\iTunesHelper.vbe
[28/11/2013 - 11:48:36 | SH | 285 Ko] - F:\PAP - FPE.pptx
[28/11/2013 - 11:49:30 | SH | 285 Ko] - F:\PAP - FPE.ppsx
[28/11/2013 - 08:45:40 | SH | 414 Ko] - F:\G7. BROSSE. AUBERT. FPE. Dossier version finale..pdf
[03/12/2013 - 11:59:28 | SH | 752 Ko] - F:\Cours Histoire de l'analyse économique.pdf
[30/10/2011 - 10:42:36 | SH | 0 Ko] - F:\.~lock.Planif Junior 2011.ods#
[11/12/2013 - 11:20:02 | A | 1 Ko] - F:\.lnk
[11/12/2013 - 11:20:02 | A | 1 Ko] - F:\Vélo.lnk
[11/12/2013 - 11:20:02 | A | 1 Ko] - F:\Job.lnk
[11/12/2013 - 11:20:02 | A | 2 Ko] - F:\Cours Histoire de l'analyse économique.lnk
[11/12/2013 - 11:20:02 | A | 1 Ko] - F:\Cours à imprimer.lnk
[11/12/2013 - 11:20:14 | A | 2 Ko] - F:\G7.lnk
[11/12/2013 - 11:20:14 | A | 2 Ko] - F:\PAP - FPE.lnk
[11/12/2013 - 11:20:02 | A | 1 Ko] - F:\Université.lnk
[11/12/2013 - 11:20:14 | A | 1 Ko] - F:\hungergames.lnk
[11/12/2013 - 11:20:02 | A | 1 Ko] - F:\Musique.lnk
[11/12/2013 - 11:20:02 | A | 1 Ko] - F:\Semestre 3.lnk
[26/11/2013 - 19:31:24 | SH | 47 Ko] - F:\G7. BROSSE. AUBERT. FPE. Dossier version finale..docx
[03/12/2013 - 12:00:54 | SH | 143 Ko] - F:\Cours Histoire de l'analyse économique.docx
[18/09/2013 - 17:20:46 | SH | 2147934 Ko] - F:\hungergames.avi
[02/03/2013 - 20:13:40 | SHD] - F:\Vélo
[23/03/2013 - 14:12:18 | SHD] - F:\Job
[03/09/2013 - 17:10:18 | SHD] - F:\Université
[06/09/2013 - 16:48:30 | SHD] - F:\Musique
[30/09/2013 - 14:39:10 | SHD] - F:\Semestre 3
[04/12/2013 - 21:53:18 | SHD] - F:\Cours à imprimer

################## | E.O.F | https://www.sosvirus.net/ | https://www.usbfix.net/ |

C'est depuis que l'on ma refilé le film hungergames sur ma clé que j'ai attrapé le virus.

Avec ta clé USB F connectée :

Relance OTL.
Sous Persfonnalisation (Custom Scan), copie-colle le contenu du cadre ci dessous (bien prendre :OTL en début).
Clic Correction (Fix), un rapport apparraitra, copie/colle le contenu ici:

:OTL 
O4 - HKU\S-1-5-21-334296882-3646848743-4187594378-1001..\Run: [iTunesHelper] wscript.exe //B C:\Users\VALENT~1\AppData\Local\Temp\iTunesHelper.vbe File not found 
O4 - Startup: C:\Users\Valentin B\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\iTunesHelper.vbe () 

:files 
C:\Users\Valentin B\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\iTunesHelper.vbe
C:\Users\Valentin B\AppData\Local\Temp\iTunesHelper.vbe
F:\*.lnk 
F:\*.vbe

:Commands 
[emptytemp] 
[emptyflash] 
[reboot]

Redemarre le pc sous windows et poste le rapport dans ta prochaine réponse.
Le rapport est sauvegardé sous C:\_OTL\MovedFiles\date_heure.log

Voilà le rapport :

All processes killed
========== OTL ==========
Registry value HKEY_USERS\S-1-5-21-334296882-3646848743-4187594378-1001\Software\Microsoft\Windows\CurrentVersion\Run\\iTunesHelper deleted successfully.
C:\Users\Valentin B\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\iTunesHelper.vbe moved successfully.
========== FILES ==========
File\Folder C:\Users\Valentin B\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\iTunesHelper.vbe not found.
File move failed. C:\Users\Valentin B\AppData\Local\Temp\iTunesHelper.vbe scheduled to be moved on reboot.
F:\.lnk moved successfully.
F:\G7.lnk moved successfully.
F:\PAP - FPE.lnk moved successfully.
F:\hungergames.lnk moved successfully.
F:\Musique.lnk moved successfully.
F:\Semestre 3.lnk moved successfully.
F:\Université.lnk moved successfully.
F:\Vélo.lnk moved successfully.
F:\Job.lnk moved successfully.
F:\Cours Histoire de l'analyse économique.lnk moved successfully.
F:\Cours à imprimer.lnk moved successfully.
F:\iTunesHelper.vbe moved successfully.
========== COMMANDS ==========

[EMPTYTEMP]

User: All Users

User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes

User: Public

User: UpdatusUser
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes

User: Valentin B
->Temp folder emptied: 69824213 bytes
->Temporary Internet Files folder emptied: 33271 bytes
->Java cache emptied: 372201 bytes
->FireFox cache emptied: 200784336 bytes
->Flash cache emptied: 2131 bytes

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32 (64bit) .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 2601120 bytes
%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 50668 bytes
RecycleBin emptied: 0 bytes

Total Files Cleaned = 261,00 mb

[EMPTYFLASH]

User: All Users

User: Default

User: Default User

User: Public

User: UpdatusUser

User: Valentin B
->Flash cache emptied: 0 bytes

Total Flash Files Cleaned = 0,00 mb

OTL by OldTimer - Version 3.2.69.0 log created on 12112013_135332

Files\Folders moved on Reboot...
C:\Users\Valentin B\AppData\Local\Temp\iTunesHelper.vbe moved successfully.
File\Folder C:\Users\Valentin B\AppData\Local\Temp\OICE_E0776DD8-E277-45DF-A33D-D945EFB1F119.0\1DB10BAF. not found!
File\Folder C:\Users\Valentin B\AppData\Local\Temp\OICE_131FD3A9-2C7E-40F1-A372-7C63D1F06426.0\D0DE64A0. not found!
C:\Users\Valentin B\AppData\Local\Temp\FXSAPIDebugLogFile.txt moved successfully.
C:\Users\Valentin B\AppData\Local\Microsoft\Windows\Temporary Internet Files\counters.dat moved successfully.

PendingFileRenameOperations files...

Registry entries deleted on Reboot...

Connecte ta clé usb F et Ouvre la commande CMD :

Menu démarrer -> accessoire -> invite de commande.
Fais un clic droit sur invite de commande et choisis exécuter en tant qu'administrateur .

Dans la fenêtre noire qui s'est ouverte copie colle ceci :

attrib -r -s -h -a "F:\*" /s /d

Vérifie ensuite le contenu de ta clé USB F stp

Après deux-trois essais, j'ai vu sur ma clé USB les fichiers initiaux sans virus mais au bout de quelques secondes ils disparaissent et il ne reste plus que les fichiers raccourcis.

Il y avait en gros sur ma clé USB les fichiers infectés (raccourcis) et les fichiers initiaux non infectés.

En répétant l'opération, il ne reste plus que les fichiers raccourcis à chaque fois. On trouve également un fichier de script (virus) que d'habitude on ne voit pas.

Menu Démarrer / tape regedit et OK.
A gauche, Déroule l'arborescence suivante en cliquant sur les plus : HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Script Host\Settings\Enabled
Dans la partie droite, clic droit puis valeur chained
tape Enabled et entrée
double-clic et mets 0 comme valeur

pour avoir comme là :



Redémarre le PC, normalement tu dois avoir un message d'erreur qui dit que Windows Script Hosts n'est pas autorisé.

Recommence la correction OTL et nettoyage clef USB.