VBS:Solow Virus
Résolu/Fermé
NousDeux
Messages postés
16
Date d'inscription
jeudi 3 mai 2007
Statut
Membre
Dernière intervention
6 mai 2007
-
3 mai 2007 à 11:14
jacqdbr - 7 févr. 2011 à 15:10
jacqdbr - 7 févr. 2011 à 15:10
A voir également:
- VBS:Solow Virus
- Vbs windows - Accueil - Optimisation
- Vbs edit - Télécharger - Édition & Programmation
- Vbs pause ✓ - Forum Autoit / batch
- Vbs crypter - Forum Autoit / batch
- Vbs informatique - Télécharger - Édition & Programmation
79 réponses
Salut Nous deux
Je ne sais pas exactement quelles sont les manipulations qui t'on été demandées de faire, mais tu peux toujours essayer cette méthode manuelle de désinfection :
Déconnecte chaques PC du réseau afin que l'infection ne se trimballe pas de l'un à l'autre et ne les reconnectes pas avant d'avoir fais ce qui suit sur chacune des trois machines:
Ouvre le Gestionnaire des tâches:
CTRL+ALT+SUPPR
Dans la liste des processus, selectionne wscript.exe puis clic sur "Terminer le processus".
Rend visible les fichiers cachés et systeme
panneau de configuration > options des dossiers > onglet affichage
Cocher la case devant " afficher les fichiers et dossiers cachés "
Décocher la case devant " masquer les extentions des fichiers dont le type est connu"
Décocher la case devant " masquer les fichiers protégés du système"
clic sur [Appliquer] puis sur [ok] pour valider
* Supprime C:\WINDOWS\MS32DLL.dll.vbs
* Supprime C:\MS32DLL.dll.vbs
* Supprime C:\autorun.inf
En cas de problèmes de suppression, vérifier que les fichiers ne soient pas en lecture seule:
Clic droit sur le fichier -> Propriétés et décocher la case "Lecture seule"
Et réessayer de supprimer le fichier.
Ensuite, connecte chaque périphériques externes susceptibles d'avoir été infectés puis ouvre le Poste de travail.
Fais un clic droit >> Explorer sur chaques icônes correspondant à :
Clé USB
Disque dur externe.
Partitions
Etc...
/!\ Ne double clique surtout pas sur les icônes pour les ouvrir, sous peine de relancer l'infection.
Puis supprime les fichiers autorun.inf and MS32DLL.dll.vbs s'ils sont présents.
Ensuite :
Menu Démarrer -> Exécuter, tape regedit
L'éditeur du registre va s'ouvrir, déploies la clé HKEY_LOCAL_MACHINE en cliquant sur le signe '+' à sa gauche comme ceci:
Clic sur Run pour le mettre le dossier en surbrillance et dans la partie droite de la fenêtre fais un clic droit sur la valeur MS32DLL (si elle existe) et clic sur Supprimer.
Referme l'éditeur du registre.
* Vide la corbeille.
* Recache les fichiers cachés et système.
* Redémarre le pc.
Après redemarrage du pc, vérifie que tu peux acceder normalement à ton disque en double cliquant sur son icône et dis moi si une alerte d'Avast se déclenche à ce moment-là, ou s'il t'alerte toujours sur la présence de MS32DLL.dll.vbs.
Bon courage.
a
Je ne sais pas exactement quelles sont les manipulations qui t'on été demandées de faire, mais tu peux toujours essayer cette méthode manuelle de désinfection :
Déconnecte chaques PC du réseau afin que l'infection ne se trimballe pas de l'un à l'autre et ne les reconnectes pas avant d'avoir fais ce qui suit sur chacune des trois machines:
Ouvre le Gestionnaire des tâches:
CTRL+ALT+SUPPR
Dans la liste des processus, selectionne wscript.exe puis clic sur "Terminer le processus".
Rend visible les fichiers cachés et systeme
panneau de configuration > options des dossiers > onglet affichage
Cocher la case devant " afficher les fichiers et dossiers cachés "
Décocher la case devant " masquer les extentions des fichiers dont le type est connu"
Décocher la case devant " masquer les fichiers protégés du système"
clic sur [Appliquer] puis sur [ok] pour valider
* Supprime C:\WINDOWS\MS32DLL.dll.vbs
* Supprime C:\MS32DLL.dll.vbs
* Supprime C:\autorun.inf
En cas de problèmes de suppression, vérifier que les fichiers ne soient pas en lecture seule:
Clic droit sur le fichier -> Propriétés et décocher la case "Lecture seule"
Et réessayer de supprimer le fichier.
Ensuite, connecte chaque périphériques externes susceptibles d'avoir été infectés puis ouvre le Poste de travail.
Fais un clic droit >> Explorer sur chaques icônes correspondant à :
Clé USB
Disque dur externe.
Partitions
Etc...
/!\ Ne double clique surtout pas sur les icônes pour les ouvrir, sous peine de relancer l'infection.
Puis supprime les fichiers autorun.inf and MS32DLL.dll.vbs s'ils sont présents.
Ensuite :
Menu Démarrer -> Exécuter, tape regedit
L'éditeur du registre va s'ouvrir, déploies la clé HKEY_LOCAL_MACHINE en cliquant sur le signe '+' à sa gauche comme ceci:
[-] HKEY_LOCAL_MACHINE
[-] Software
[-] Microsoft
[-] Windows
[-] Current Version
[X] Run
Clic sur Run pour le mettre le dossier en surbrillance et dans la partie droite de la fenêtre fais un clic droit sur la valeur MS32DLL (si elle existe) et clic sur Supprimer.
Referme l'éditeur du registre.
* Vide la corbeille.
* Recache les fichiers cachés et système.
* Redémarre le pc.
Après redemarrage du pc, vérifie que tu peux acceder normalement à ton disque en double cliquant sur son icône et dis moi si une alerte d'Avast se déclenche à ce moment-là, ou s'il t'alerte toujours sur la présence de MS32DLL.dll.vbs.
Bon courage.
a
NousDeux
Messages postés
16
Date d'inscription
jeudi 3 mai 2007
Statut
Membre
Dernière intervention
6 mai 2007
5
4 mai 2007 à 00:32
4 mai 2007 à 00:32
J'ai bien lu ce que j'avais à faire j'ai donc tenté.J'ai commencé à avoir un soucis au niveau de :
* Supprime C:\WINDOWS\MS32DLL.dll.vbs
* Supprime C:\MS32DLL.dll.vbs
* Supprime C:\autorun.inf
Car je ne trouve pas ces fichiers là.
Puisque cette etapes n'a pas marché je suis passé à la secondes qui à aussi échoué .L'etape avec l'editeur de registre n'a pas marché.La clé ne s'est pas deployé comme celà:
[-] HKEY_LOCAL_MACHINE
[-] Software
[-] Microsoft
[-] Windows
[-] Current Version
[X] Run
Je n'avais aucun de ces fichiers là ...
En bref je n'ai pu rien faire mon virus est toujours là et pas de moyen pour m'en debarasser ... Merci à "grenouille" qui m'a quand même bien expliquer les choses.
* Supprime C:\WINDOWS\MS32DLL.dll.vbs
* Supprime C:\MS32DLL.dll.vbs
* Supprime C:\autorun.inf
Car je ne trouve pas ces fichiers là.
Puisque cette etapes n'a pas marché je suis passé à la secondes qui à aussi échoué .L'etape avec l'editeur de registre n'a pas marché.La clé ne s'est pas deployé comme celà:
[-] HKEY_LOCAL_MACHINE
[-] Software
[-] Microsoft
[-] Windows
[-] Current Version
[X] Run
Je n'avais aucun de ces fichiers là ...
En bref je n'ai pu rien faire mon virus est toujours là et pas de moyen pour m'en debarasser ... Merci à "grenouille" qui m'a quand même bien expliquer les choses.
Salut nousdeux, gaelle
Quelques explications sur cette saleté...
Windows utilise le processus wscript.exe pour exécuter les commandes d'un fichier VBS, que ce soit un virus ou pas :-)
Donc dans le cas du ver SOLOW et lorsque l'infection est active, on peut voir dans le gestionnaire des tâches une ou plusieurs occurences du processus wscript.exe et il peut y en avoir plusieurs... autant que vous avez essayé d'ouvrir de périphérique en double cliquant sur leur icône pendant l'infection.
wscript.exe tant qu'il est actif, garde en mémoire le contenu du script du fichier MS32DLL.dll.vbs et exécute ce script toute les 200 secondes.
Par exemple lors d'un scan complet du pc lancé manuellement avec Avast, j'ai eu à plusieurs reprise alors qu'il avait pourtant déjà supprimé les fichiers C:\MS32DLL.dll.vbs et C:\Windows\MS32DLL.dll.vbs des alertes répétitives à intervalles réguliers sur la détection de C:\MS32DLL.dll.vbs et C:\Windows\MS32DLL.dll.vbs !!
Ce problème peut survenir si Avast n'est pas réglé pour effectuer un test de la mémoire au lancement de l'application:
Clic droit sur l'icône d'Avast dans la barre de notification >> réglage du programme >> selectionner "Test de la mémoire au démarrage de l'application"
Si cette option n'est pas cochée, Avast ne détectera pas le script gardé en mémoire et exécuté en boucle par wscript.exe, et ce, malgrès le choix de faire supprimer le fichier infecté à chaque alertes, qui ne résoud pas le problème à la base.
Si cette option est cochée, Avast détecte une infection en mémoire et propose de planifier un scan complet au démarrage du pc, ce qu'il faut accepter comme l'a fait CanariVeto.
Après un redemarrage du pc et juste avant l'apparition du bureau, Avast va lancer son analyse et supprimer les fichiers infectés (à chaque alertes, appuyez sur le choix 1 pour supprimer le fichier détecté.)
Pendant cette phase les fichiers infectés seront détruits ainsi que l'entrée dans le registre chargée de relancer l'infection .
Reste ensuite le problème des fichiers autorun.inf qui ne sont pas détectés par Avast et qui sont responsables du message d'erreur :
"Impossible de trouver le fichier script C:\MS32DLL.dll.vbs" à chaque tentative pour ouvrir le disque dur en double cliquant sur son icône.
Donc (impérativement) après avoir rendu visible les fichiers cachés et système (les deux), sinon autorun.inf reste invisible, il faut faire un clic droit >> Explorer sur l'icône de chaques disques ou périphériques qui renvoient le message d'erreur et supprimer le fichier autorun.inf.
Ensuite il faut absolument redémarrer le pc pour que la modification prenne effet et pouvoir à nouveau réouvrir le DD normalement.(Gaelle tu avais fait cette manip ?)
Reste aussi le titre de la fenêtre d'Internet explorer "Hacked By Godzilla" qui persiste et qu'il est facile de supprimer avec hijackthis:
http://www.merijn.org/files/hijackthis.zip
Lancez hijackthis et cliquez sur [Do a system scan only]
Cochez la case au début de la ligne suivante:
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Hacked by Godzilla
valider en cliquant sur le bouton [Fix checked]
La modification prend effet immédiatement.
a++
Quelques explications sur cette saleté...
Windows utilise le processus wscript.exe pour exécuter les commandes d'un fichier VBS, que ce soit un virus ou pas :-)
Donc dans le cas du ver SOLOW et lorsque l'infection est active, on peut voir dans le gestionnaire des tâches une ou plusieurs occurences du processus wscript.exe et il peut y en avoir plusieurs... autant que vous avez essayé d'ouvrir de périphérique en double cliquant sur leur icône pendant l'infection.
wscript.exe tant qu'il est actif, garde en mémoire le contenu du script du fichier MS32DLL.dll.vbs et exécute ce script toute les 200 secondes.
Par exemple lors d'un scan complet du pc lancé manuellement avec Avast, j'ai eu à plusieurs reprise alors qu'il avait pourtant déjà supprimé les fichiers C:\MS32DLL.dll.vbs et C:\Windows\MS32DLL.dll.vbs des alertes répétitives à intervalles réguliers sur la détection de C:\MS32DLL.dll.vbs et C:\Windows\MS32DLL.dll.vbs !!
Ce problème peut survenir si Avast n'est pas réglé pour effectuer un test de la mémoire au lancement de l'application:
Clic droit sur l'icône d'Avast dans la barre de notification >> réglage du programme >> selectionner "Test de la mémoire au démarrage de l'application"
Si cette option n'est pas cochée, Avast ne détectera pas le script gardé en mémoire et exécuté en boucle par wscript.exe, et ce, malgrès le choix de faire supprimer le fichier infecté à chaque alertes, qui ne résoud pas le problème à la base.
Si cette option est cochée, Avast détecte une infection en mémoire et propose de planifier un scan complet au démarrage du pc, ce qu'il faut accepter comme l'a fait CanariVeto.
Après un redemarrage du pc et juste avant l'apparition du bureau, Avast va lancer son analyse et supprimer les fichiers infectés (à chaque alertes, appuyez sur le choix 1 pour supprimer le fichier détecté.)
Pendant cette phase les fichiers infectés seront détruits ainsi que l'entrée dans le registre chargée de relancer l'infection .
Reste ensuite le problème des fichiers autorun.inf qui ne sont pas détectés par Avast et qui sont responsables du message d'erreur :
"Impossible de trouver le fichier script C:\MS32DLL.dll.vbs" à chaque tentative pour ouvrir le disque dur en double cliquant sur son icône.
Donc (impérativement) après avoir rendu visible les fichiers cachés et système (les deux), sinon autorun.inf reste invisible, il faut faire un clic droit >> Explorer sur l'icône de chaques disques ou périphériques qui renvoient le message d'erreur et supprimer le fichier autorun.inf.
Ensuite il faut absolument redémarrer le pc pour que la modification prenne effet et pouvoir à nouveau réouvrir le DD normalement.(Gaelle tu avais fait cette manip ?)
Reste aussi le titre de la fenêtre d'Internet explorer "Hacked By Godzilla" qui persiste et qu'il est facile de supprimer avec hijackthis:
http://www.merijn.org/files/hijackthis.zip
Lancez hijackthis et cliquez sur [Do a system scan only]
Cochez la case au début de la ligne suivante:
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Hacked by Godzilla
valider en cliquant sur le bouton [Fix checked]
La modification prend effet immédiatement.
a++
Solow A.
Hacked By Godzilla: "My name is Slow but sure V0.04"
Suppression avec outils de désinfection :
L'outil Flash_Disinfector de sUBs:
http://www.techsupportforum.com/sectools/sUBs/Flash_Disinfector.exe
Utilisation :
Téléchargez et enregistrez Flash_Disinfector.exe sur votre bureau.
Double cliquez sur Flash_Disinfector.exe pour le lancer.
Quand le message : "Plug in yours flash drive & clic Ok to begin disinfection" apparaitra :
Connectez votre clé USB et périphériques USB externes susceptibles d'avoir été infectés.
Puis cliquez sur Ok
Les icônes sur le bureau vont disparaitre jusqu'à l'apparition du message: "Done!!"
Appuyez sur "Ok", pour faire réapparaitre le bureau.
Pour info:
Le plus efficace actuellement.
Flash_Disinfector laisse des leurres afin d'éviter l'exécution automatique en cas de réinfection, il s'agit de dossiers portant le nom trompeur autorun.inf et contenant un fichier texte "Who created this folder.txt"
Si il y a réinfection, le ver crée pas les fichiers autorun.inf sensés lui garantir sa propagation par un simple double clic sur l'icone d'un périphérique, à cause de ces leurres.
Ce qui évite le message d'erreur "Impossible de trouver le fichier script C:\MS32DLL.dll.vbs" tout en conservant l'accès normal au disque et sans risques.
Ces dossiers (cachés) peuvent être au choix conservés ou supprimés selon la certitude que l'infection est définitivement éradiqué (Après scan AV complet par exemple...).
L'outil Kill MS32dll.dll.vbs.exe
http://www.security.au.edu/download/Kill%20MS32dll.dll.vbs.exe
Utilisation:
Une fois lancé, l'icône de l'outil apparait dans la barre de notification juste à côté de l'horloge.
Un clic droit sur cette icône propose deux choix:
- Kill in Thumb drive...
- Kill in Computer...
Le premier choix permet de scanner et nettoyer les périphériques USB connectés.
Le second scanne et nettoie le disque dur principal uniquement, sans toucher aux partitons/DD internes supplémentaires qu'il faudra nettoyer manuellement.
Pour info:
Le fix pendant les divers tests n'a pas systématiquement supprimé le fichier C:\WINDOWS\MS32DLL.dll.vbs et C:\MS32DLL.dll.vbs.
Par contre il permet d'épauler un nettoyage manuel en permettant d'accéder par double-clic aux disques/périfs USB sans que l'infection ne soit relancé.
Petit bémol, le fix se lance à chaque redémarrages et aucune fonction n'est prévue pour le désactiver:
Exemple de ce paramètre visible dans un rapport hijackthis:
O4 - HKCU\..\Run: [protect_autorun] C:\Documents and Settings\Grenouille\Bureau\Kill MS32dll.dll.vbs.exe /start
Et il désactive aussi dans le registre l'Autorun, Lecteur CD/DVD y compris...
La clé modifié est la suivante:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
La valeur NoDriveTypeAutoRun dont la donnée par défaut est: 95 00 00 00 est modifié par l'outil à FF 00 00 00
A réserver aux utilisateur avertis...
L'outil NOD32 VBS[Butsur.A]-Fix.exe :
http://www.softbkk.com/downloads/dl1/10304/NOD32%20VBS%5BButsur.A%5D-Fix.exe
Utilisation:
Lancez NOD32 VBS[Butsur.A]-Fix.exe et cliquez sur "I Agree" pour accepter les termes d'avertissement.
Dans la fenêtre suivante, décochez la case "Scan and clean with NOD32", sauf si NOD32 est votre antivirus résident, puis validez en cliquant sur "Do it now"
Les fichiers suivants seront supprimés du disque ou est installé Windows:
C:\WINDOWS\MS32DLL.dll.vbs
C:\MS32DLL.dll.vbs
C:\autorun.inf
Ensuite une fenêtre de type "Explorateur de fichier" va s'ouvrir et c'est à partir de là que vous devrez selectionner un média externe à faire analyser ou second DD interne.
Le fix ne traite qu'un seul média à la fois, donc il faudra relancer le fix autant de fois que vous avez de DD, clé USB...etc à faire scanner.
Cette partie de l'analyse ne supprime que les fichiers autorun.inf et laisse en place les fichiers MS32DLL.dll.vbs qu'il
faudra supprimer manuellement...
Il existe d'autre removals (3 au moins) mais je ne mettrais pas les liens de téléchargement, l'un, Thaï, n'a pas fonctionné sur ma version de Windows et les deux autres sont des scripts qui restent à tester et pour lesquels il faut regarder de plus près le code.
Sinon dans la série des "Hacked by" de la Barre de Titre d'IE et qui reprennent une très grosse partie du code du fichier MS32DLL.dll.vbs
Il y a:
Et les cas particuliers et plus virulent que sont:
The silent man / kerneldrive.exe
Puis surtout:
Hacked by 1 byte
Hacked by 8Bit / kernel32.dll.vbs
Hacked by xxx
Qui possèdent d'ailleur un removal tool dédié et édité par Bitdefender Thaïlande, pays ou ces variantes plus évolués semblent les plus actives à l'heure actuelle.
Téléchargeable ici:
http://www.bitdefenderthailand.com/uploads/AntiVB-8Bit.zip
==========================================
Suppression manuelle:
Si vous avez le moindre doute ou une difficulté à comprendre comment procéder pour une étape de la procédure qui va suivre, vous pouvez télécharger et visionner cette vidéo (2,75Mo) qui montre en temps réel chaques étapes de la désinfection de Solow.A.
1/
Ouvrez le Gestionnaire des tâches:
CTRL+ALT+SUPPR
Dans la liste des processus, selectionner toute les occurences de wscript.exe puis cliquer sur "Terminer le processus" pour toute celles trouvées.
Si wscript.exe n'est pas présent dans le gestionnaire des tâches, passez à l'étape suivante.
2/
Ensuite important, rendre visible les fichiers cachés et système, sinon les fichiers infectés resteront "introuvables":
Panneau de configuration > options des dossiers > onglet affichage
Cocher la case devant " afficher les fichiers et dossiers cachés "
Décocher la case devant " masquer les extentions des fichiers dont le type est connu"
Décocher la case devant " masquer les fichiers protégés du système"
clic sur [Appliquer] puis sur [ok] pour valider
3/
Connecter chaque périphériques externes susceptibles d'avoir été infectés:
- Clé USB
- Disque dur externe.
- Ipod
Etc...
/!\ A partir de maintenant, ne double cliquez surtout pas sur les icônes pour ouvrir un DD ou périphérique externe, sous peine de relancer l'infection.
4/
Ouvrir le Poste de travail.
Faites un clic droit >> Explorer sur l'icône du disque dur principal ou est installé Windows :
* Supprimer si présent:
C:\WINDOWS\MS32DLL.dll.vbs
C:\MS32DLL.dll.vbs
C:\autorun.inf
En cas de problèmes de suppression, vérifiez que les fichiers ne soient pas en lecture seule:
Clic droit sur le fichier -> Propriétés et décocher la case "Lecture seule"
Et réessayez de supprimer le fichier.
5/
Revenez sur le Poste de travail et faites un:
Clic droit >> Explorer sur chacunes des icônes représantant vos partitions et périphériques externes.
* Supprimez si présent:
MS32DLL.dll.vbs
autorun.inf
Si tout s'est bien passé jusque là, l'infection est totalement supprimée.
6/
Reste ensuite 3 choses à corriger:
L'entrée dans le registre qui permettait au ver de se réactiver à chaque démarrage du pc et le titre de la fenêtre d'Internet explorer "Hacked By Godzilla" qui persiste.
Pour y remédier, téléchargez HijackThis:
http://www.merijn.org/files/hijackthis.zip
Lancez hijackthis et cliquez sur [Do a system scan only]
Cochez la case au début des lignes suivantes:
validez en cliquant sur le bouton [Fix checked]
La modification prendra effet immédiatement.
"Impossible de trouver le fichier script C:\MS32DLL.dll.vbs"
Après désinfection, ce message peut persister tant que vous n'aurez pas redémaré le PC, et à chaque tentative pour ouvrir le disque dur en double cliquant sur son icône.
Donc soit vous redémarrez le pc ou bien vous pouvez utiliser cette petite astuce qui permet d'éviter un redémarrage:
Ouvrez le Gestionnaire des tâches et gardez sa fenêtre ouverte : CTRL+ALT+SUPPR
Dans la liste des processus, selectionnez explorer.exe et cliquez sur "Terminer le processus"
Dans le menu "Fichier" du gestionnaire des tâches, cliquez sur "Nouvelle tâche (exécuter)"
Tapez explorer.exe et validez.
Vos disques/périphériques seront à nouveau et immédiatement accessibles par un double-clic.
Si le problème persiste, c'est que vous avez du surement oublier de supprimer un fichier autorun.inf, dans ce cas revérifiez saprésence sur le lecteur qui pose problème en reprenantla manip du début.
N'oubliez pas ensuite de:
* Vider la corbeille :-).
* Recacher les fichiers cachés et système.
* Faire une analyse antivirus complète de votre PC.
Bon courage et bonne désinfection :-)
PS:
Holdup, j'espère que ça répondra à ta question :-)
Hacked By Godzilla: "My name is Slow but sure V0.04"
Suppression avec outils de désinfection :
L'outil Flash_Disinfector de sUBs:
http://www.techsupportforum.com/sectools/sUBs/Flash_Disinfector.exe
Utilisation :
Téléchargez et enregistrez Flash_Disinfector.exe sur votre bureau.
Double cliquez sur Flash_Disinfector.exe pour le lancer.
Quand le message : "Plug in yours flash drive & clic Ok to begin disinfection" apparaitra :
Connectez votre clé USB et périphériques USB externes susceptibles d'avoir été infectés.
Puis cliquez sur Ok
Les icônes sur le bureau vont disparaitre jusqu'à l'apparition du message: "Done!!"
Appuyez sur "Ok", pour faire réapparaitre le bureau.
Pour info:
Le plus efficace actuellement.
Flash_Disinfector laisse des leurres afin d'éviter l'exécution automatique en cas de réinfection, il s'agit de dossiers portant le nom trompeur autorun.inf et contenant un fichier texte "Who created this folder.txt"
Si il y a réinfection, le ver crée pas les fichiers autorun.inf sensés lui garantir sa propagation par un simple double clic sur l'icone d'un périphérique, à cause de ces leurres.
Ce qui évite le message d'erreur "Impossible de trouver le fichier script C:\MS32DLL.dll.vbs" tout en conservant l'accès normal au disque et sans risques.
Ces dossiers (cachés) peuvent être au choix conservés ou supprimés selon la certitude que l'infection est définitivement éradiqué (Après scan AV complet par exemple...).
L'outil Kill MS32dll.dll.vbs.exe
http://www.security.au.edu/download/Kill%20MS32dll.dll.vbs.exe
Utilisation:
Une fois lancé, l'icône de l'outil apparait dans la barre de notification juste à côté de l'horloge.
Un clic droit sur cette icône propose deux choix:
- Kill in Thumb drive...
- Kill in Computer...
Le premier choix permet de scanner et nettoyer les périphériques USB connectés.
Le second scanne et nettoie le disque dur principal uniquement, sans toucher aux partitons/DD internes supplémentaires qu'il faudra nettoyer manuellement.
Pour info:
Le fix pendant les divers tests n'a pas systématiquement supprimé le fichier C:\WINDOWS\MS32DLL.dll.vbs et C:\MS32DLL.dll.vbs.
Par contre il permet d'épauler un nettoyage manuel en permettant d'accéder par double-clic aux disques/périfs USB sans que l'infection ne soit relancé.
Petit bémol, le fix se lance à chaque redémarrages et aucune fonction n'est prévue pour le désactiver:
Exemple de ce paramètre visible dans un rapport hijackthis:
O4 - HKCU\..\Run: [protect_autorun] C:\Documents and Settings\Grenouille\Bureau\Kill MS32dll.dll.vbs.exe /start
Et il désactive aussi dans le registre l'Autorun, Lecteur CD/DVD y compris...
La clé modifié est la suivante:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
La valeur NoDriveTypeAutoRun dont la donnée par défaut est: 95 00 00 00 est modifié par l'outil à FF 00 00 00
A réserver aux utilisateur avertis...
L'outil NOD32 VBS[Butsur.A]-Fix.exe :
http://www.softbkk.com/downloads/dl1/10304/NOD32%20VBS%5BButsur.A%5D-Fix.exe
Utilisation:
Lancez NOD32 VBS[Butsur.A]-Fix.exe et cliquez sur "I Agree" pour accepter les termes d'avertissement.
Dans la fenêtre suivante, décochez la case "Scan and clean with NOD32", sauf si NOD32 est votre antivirus résident, puis validez en cliquant sur "Do it now"
Les fichiers suivants seront supprimés du disque ou est installé Windows:
C:\WINDOWS\MS32DLL.dll.vbs
C:\MS32DLL.dll.vbs
C:\autorun.inf
Ensuite une fenêtre de type "Explorateur de fichier" va s'ouvrir et c'est à partir de là que vous devrez selectionner un média externe à faire analyser ou second DD interne.
Le fix ne traite qu'un seul média à la fois, donc il faudra relancer le fix autant de fois que vous avez de DD, clé USB...etc à faire scanner.
Cette partie de l'analyse ne supprime que les fichiers autorun.inf et laisse en place les fichiers MS32DLL.dll.vbs qu'il
faudra supprimer manuellement...
Il existe d'autre removals (3 au moins) mais je ne mettrais pas les liens de téléchargement, l'un, Thaï, n'a pas fonctionné sur ma version de Windows et les deux autres sont des scripts qui restent à tester et pour lesquels il faut regarder de plus près le code.
Sinon dans la série des "Hacked by" de la Barre de Titre d'IE et qui reprennent une très grosse partie du code du fichier MS32DLL.dll.vbs
Il y a:
:: Hacked by UC : uc.vbs :: Hacked by MOOzilla : IISDLL.dll.vbs :: TAGA LIPA ARE! : FS6519.dll.vbs :: Hacked by Zay : r4n694-24y.dll.vbs :: .MS32DLL.dll.vbs :: insanux : insanux.vbs
Et les cas particuliers et plus virulent que sont:
The silent man / kerneldrive.exe
Puis surtout:
Hacked by 1 byte
Hacked by 8Bit / kernel32.dll.vbs
Hacked by xxx
Qui possèdent d'ailleur un removal tool dédié et édité par Bitdefender Thaïlande, pays ou ces variantes plus évolués semblent les plus actives à l'heure actuelle.
Téléchargeable ici:
http://www.bitdefenderthailand.com/uploads/AntiVB-8Bit.zip
==========================================
Suppression manuelle:
Si vous avez le moindre doute ou une difficulté à comprendre comment procéder pour une étape de la procédure qui va suivre, vous pouvez télécharger et visionner cette vidéo (2,75Mo) qui montre en temps réel chaques étapes de la désinfection de Solow.A.
1/
Ouvrez le Gestionnaire des tâches:
CTRL+ALT+SUPPR
Dans la liste des processus, selectionner toute les occurences de wscript.exe puis cliquer sur "Terminer le processus" pour toute celles trouvées.
Si wscript.exe n'est pas présent dans le gestionnaire des tâches, passez à l'étape suivante.
2/
Ensuite important, rendre visible les fichiers cachés et système, sinon les fichiers infectés resteront "introuvables":
Panneau de configuration > options des dossiers > onglet affichage
Cocher la case devant " afficher les fichiers et dossiers cachés "
Décocher la case devant " masquer les extentions des fichiers dont le type est connu"
Décocher la case devant " masquer les fichiers protégés du système"
clic sur [Appliquer] puis sur [ok] pour valider
3/
Connecter chaque périphériques externes susceptibles d'avoir été infectés:
- Clé USB
- Disque dur externe.
- Ipod
Etc...
/!\ A partir de maintenant, ne double cliquez surtout pas sur les icônes pour ouvrir un DD ou périphérique externe, sous peine de relancer l'infection.
4/
Ouvrir le Poste de travail.
Faites un clic droit >> Explorer sur l'icône du disque dur principal ou est installé Windows :
* Supprimer si présent:
C:\WINDOWS\MS32DLL.dll.vbs
C:\MS32DLL.dll.vbs
C:\autorun.inf
En cas de problèmes de suppression, vérifiez que les fichiers ne soient pas en lecture seule:
Clic droit sur le fichier -> Propriétés et décocher la case "Lecture seule"
Et réessayez de supprimer le fichier.
5/
Revenez sur le Poste de travail et faites un:
Clic droit >> Explorer sur chacunes des icônes représantant vos partitions et périphériques externes.
* Supprimez si présent:
MS32DLL.dll.vbs
autorun.inf
Si tout s'est bien passé jusque là, l'infection est totalement supprimée.
6/
Reste ensuite 3 choses à corriger:
L'entrée dans le registre qui permettait au ver de se réactiver à chaque démarrage du pc et le titre de la fenêtre d'Internet explorer "Hacked By Godzilla" qui persiste.
Pour y remédier, téléchargez HijackThis:
http://www.merijn.org/files/hijackthis.zip
Lancez hijackthis et cliquez sur [Do a system scan only]
Cochez la case au début des lignes suivantes:
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Hacked by Godzilla O4 - HKLM\..\Run: [MS32DLL] C:\WINDOWS\MS32DLL.dll.vbs
validez en cliquant sur le bouton [Fix checked]
La modification prendra effet immédiatement.
"Impossible de trouver le fichier script C:\MS32DLL.dll.vbs"
Après désinfection, ce message peut persister tant que vous n'aurez pas redémaré le PC, et à chaque tentative pour ouvrir le disque dur en double cliquant sur son icône.
Donc soit vous redémarrez le pc ou bien vous pouvez utiliser cette petite astuce qui permet d'éviter un redémarrage:
Ouvrez le Gestionnaire des tâches et gardez sa fenêtre ouverte : CTRL+ALT+SUPPR
Dans la liste des processus, selectionnez explorer.exe et cliquez sur "Terminer le processus"
Dans le menu "Fichier" du gestionnaire des tâches, cliquez sur "Nouvelle tâche (exécuter)"
Tapez explorer.exe et validez.
Vos disques/périphériques seront à nouveau et immédiatement accessibles par un double-clic.
Si le problème persiste, c'est que vous avez du surement oublier de supprimer un fichier autorun.inf, dans ce cas revérifiez saprésence sur le lecteur qui pose problème en reprenantla manip du début.
N'oubliez pas ensuite de:
* Vider la corbeille :-).
* Recacher les fichiers cachés et système.
* Faire une analyse antivirus complète de votre PC.
Bon courage et bonne désinfection :-)
PS:
Holdup, j'espère que ça répondra à ta question :-)
hmidda
Messages postés
121
Date d'inscription
lundi 5 février 2007
Statut
Membre
Dernière intervention
5 juin 2013
24 juin 2007 à 11:52
24 juin 2007 à 11:52
J'ai fait la solution manuelle, mais j'ai fait un scan à la fin et je me retouve avec des fichiers du systeme de restauration infectés!!!!! Je dois faire quoi?
Merci de ton aidddde!
Merci de ton aidddde!
Vous n’avez pas trouvé la réponse que vous recherchez ?
Posez votre question
NousDeux
Messages postés
16
Date d'inscription
jeudi 3 mai 2007
Statut
Membre
Dernière intervention
6 mai 2007
5
3 mai 2007 à 15:56
3 mai 2007 à 15:56
Merci beaucoup je vais essayer ça en esperant que je vais y'arriver :s
Salut à tous!!
J'avais exactement le même problème que nousdeux. Ca s'était déclenché soudainement ce matin. J'ai suivi les manipulations de grenouille et.... miracle !! ca fait plus de 2 heures que j'ai rallumé mon ordinateur et vbs solow semble avoir disparu!!
Donc je tenais à remercier grenouille pour la clarté de ces informations (accessibles à tous : mm moi g compris :D )
Vive grenouille!!
J'avais exactement le même problème que nousdeux. Ca s'était déclenché soudainement ce matin. J'ai suivi les manipulations de grenouille et.... miracle !! ca fait plus de 2 heures que j'ai rallumé mon ordinateur et vbs solow semble avoir disparu!!
Donc je tenais à remercier grenouille pour la clarté de ces informations (accessibles à tous : mm moi g compris :D )
Vive grenouille!!
BONJOUR A TOUS,
MEME PROBLEME AVEC SOLOW.VBS SEULEMENT w SCRIPT.EXE JE LE TROUVE PAS DANS LE GESTIONNAIRE DES TACHES MAIS YEN A UN RUNDLL32 EST CE QUE CA PEUT ETRE CA
MERCI BEAUCOUP GAELLE
MEME PROBLEME AVEC SOLOW.VBS SEULEMENT w SCRIPT.EXE JE LE TROUVE PAS DANS LE GESTIONNAIRE DES TACHES MAIS YEN A UN RUNDLL32 EST CE QUE CA PEUT ETRE CA
MERCI BEAUCOUP GAELLE
Apparemment, ce virus est apparu aujourd'hui. J'ai été dans le même cas que vous...
La méthode de Grenouille semble efficace à lire les posts précédents...
Pour ma part, il me semble avoir résolu le problème autrement (je croise les doigts, mais c'est réglé depuis 2-3 heures...) :
J'ai lancé un scan minutieux au démarrage de mon ordinateur avec mon antivirus (Avast).
Une cinquantaine de fichiers infectés type VBS/SOLOW ont été détectés, je les ai tous mis en quarantaine.
A la fin de ce scan l'ordinateur a fini son démarrage (il était 16h...) et pas de problèmes depuis.
En espérant que ça en aidera quelques uns...
La méthode de Grenouille semble efficace à lire les posts précédents...
Pour ma part, il me semble avoir résolu le problème autrement (je croise les doigts, mais c'est réglé depuis 2-3 heures...) :
J'ai lancé un scan minutieux au démarrage de mon ordinateur avec mon antivirus (Avast).
Une cinquantaine de fichiers infectés type VBS/SOLOW ont été détectés, je les ai tous mis en quarantaine.
A la fin de ce scan l'ordinateur a fini son démarrage (il était 16h...) et pas de problèmes depuis.
En espérant que ça en aidera quelques uns...
Pardon je rectifie,
Mon ordi avait toujours un problème après le scan d'Avast:
Quand je faisait un double-clic sur le disque dur C:, l'erreur suivante apparaissait: "impossible de trouver le fichier script C:\MS32DLL.dll.vbs"
De plus dans la barre de navigation IE, apres le titre de chaque page internet était incrusté le message "Hacked by Godzilla"
J'ai alors trouvé la solution à sur cette page!!! enfin!!! ouf! eureka!
http://www.infos-du-net.com/forum/266053-11-godzilla
Allez voir ca vaut le coup surtout si vous aussi vous avez été "hacké par godzilla" et que vous ne pouvez plus ouvrir C: par un double-clic...
Mon ordi avait toujours un problème après le scan d'Avast:
Quand je faisait un double-clic sur le disque dur C:, l'erreur suivante apparaissait: "impossible de trouver le fichier script C:\MS32DLL.dll.vbs"
De plus dans la barre de navigation IE, apres le titre de chaque page internet était incrusté le message "Hacked by Godzilla"
J'ai alors trouvé la solution à sur cette page!!! enfin!!! ouf! eureka!
http://www.infos-du-net.com/forum/266053-11-godzilla
Allez voir ca vaut le coup surtout si vous aussi vous avez été "hacké par godzilla" et que vous ne pouvez plus ouvrir C: par un double-clic...
bonjour bonjour
comme le message ci dessus, g le meme probleme wscript dans le gestionnaire des taches est introuvable puis les fichiers a supprimer aussi et c vrai que les explications de grenouilles par contre tres claire merci quand meme et si quelqu un a une autre solution
comme le message ci dessus, g le meme probleme wscript dans le gestionnaire des taches est introuvable puis les fichiers a supprimer aussi et c vrai que les explications de grenouilles par contre tres claire merci quand meme et si quelqu un a une autre solution
Bonjour,
Nousdeux, à quel moment précis tu as l'alerte d'avast ?
Quand tu essayes d'ouvrir ton disque dur, pendant une analyse ou au démarrage du pc... ?
Sur des fichiers situés dans C:\System Volume Information\... ?
As-tu vidé la quarantaine d'Avast et d'Adaware ?
On va essayer de voir si ces fichiers sont bien présents ou pas dans le pc :
Ouvre le bloc notes (Démarrer >> exécuter et tape notepad), et copie tout ce qui est en bleu ci-dessous:
Dans le menu du bloc notes, clic sur "Fichier" >> Enregistrer sous.
Choisis le bureau comme lieu d'enregistrement, puis dans:
Type -> choisis "tous les fichiers"
Nom du fichier -> tape nousdeux.bat
clic sur enregistrer.
Sur ton bureau tu auras maintenant un fichier nommé nousdeux.bat.
Connecte les périphériques externes susceptibles d'avoir été infectés au pc:
Clé USB, DD externe... etc
Puis une fois fait, double clic sur le fichier nousdeux.bat.
Une fenêtre noire va s'ouvrir et se refermer rapidement, c'est normal.
Le bloc note va s'ouvrir ensuite avec le listing des fichiers que le script aura détecté.
Copie et colle ici le contenu de ce rapport.
a+
Nousdeux, à quel moment précis tu as l'alerte d'avast ?
Quand tu essayes d'ouvrir ton disque dur, pendant une analyse ou au démarrage du pc... ?
Sur des fichiers situés dans C:\System Volume Information\... ?
As-tu vidé la quarantaine d'Avast et d'Adaware ?
On va essayer de voir si ces fichiers sont bien présents ou pas dans le pc :
Ouvre le bloc notes (Démarrer >> exécuter et tape notepad), et copie tout ce qui est en bleu ci-dessous:
@ echo off if exist \NOUSDEUX.TXT del \NOUSDEUX.TXT FOR %%A in (D E F G H I J K L M N O P Q R S T U V W X Y Z) DO IF EXIST %%A: ( IF EXIST %%A:\autorun.inf ECHO %%A:\autorun.inf Présent>>\NOUSDEUX.TXT IF NOT EXIST %%A:\autorun.inf ECHO %%A:\autorun.inf Non trouvé>>\NOUSDEUX.TXT IF EXIST %%A:\MS32DLL.dll.vbs ECHO %%A:\MS32DLL.dll.vbs Présent>>\NOUSDEUX.TXT IF NOT EXIST %%A:\MS32DLL.dll.vbs ECHO %%A:\MS32DLL.dll.vbs Non trouvé>>\NOUSDEUX.TXT ) IF EXIST %WINDIR%\MS32DLL.dll.vbs ( ECHO %WINDIR%\MS32DLL.dll.vbs Présent>>\NOUSDEUX.TXT) else ( ECHO %WINDIR%\MS32DLL.dll.vbs non trouvé >>\NOUSDEUX.TXT) REG QUERY "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run" >>\NOUSDEUX.TXT REG QUERY "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run" >>\NOUSDEUX.TXT notepad \NOUSDEUX.TXT exit
Dans le menu du bloc notes, clic sur "Fichier" >> Enregistrer sous.
Choisis le bureau comme lieu d'enregistrement, puis dans:
Type -> choisis "tous les fichiers"
Nom du fichier -> tape nousdeux.bat
clic sur enregistrer.
Sur ton bureau tu auras maintenant un fichier nommé nousdeux.bat.
Connecte les périphériques externes susceptibles d'avoir été infectés au pc:
Clé USB, DD externe... etc
Puis une fois fait, double clic sur le fichier nousdeux.bat.
Une fenêtre noire va s'ouvrir et se refermer rapidement, c'est normal.
Le bloc note va s'ouvrir ensuite avec le listing des fichiers que le script aura détecté.
Copie et colle ici le contenu de ce rapport.
a+
owaies
Messages postés
19
Date d'inscription
mercredi 24 janvier 2007
Statut
Membre
Dernière intervention
6 mai 2007
4 mai 2007 à 19:28
4 mai 2007 à 19:28
Coucou grenouille dsl mais je comprend rien,moi mon virus mes virus ont tous étés supprimés,j ai fai scan au demmarage,aucun virus detécté,mais tjrs ce message de M.... quand je clique sur disque C,et aussi HACKED BY Godzilla.j suis paumée.merci de ta patience grenouille,si tu peux en avoir juste encore un peu pour m aider? merci
Edit:
Petite erreur de frappe, donc je rectifie :
Copie et colle dans le bloc notes ce qui est en bleu ci dessous:
Désolé :-)
Petite erreur de frappe, donc je rectifie :
Copie et colle dans le bloc notes ce qui est en bleu ci dessous:
@ echo off if exist \NOUSDEUX.TXT del \NOUSDEUX.TXT FOR %%A in (C D E F G H I J K L M N O P Q R S T U V W X Y Z) DO IF EXIST %%A: ( IF EXIST %%A:\autorun.inf ECHO %%A:\autorun.inf Présent>>\NOUSDEUX.TXT IF NOT EXIST %%A:\autorun.inf ECHO %%A:\autorun.inf Non trouvé>>\NOUSDEUX.TXT IF EXIST %%A:\MS32DLL.dll.vbs ECHO %%A:\MS32DLL.dll.vbs Présent>>\NOUSDEUX.TXT IF NOT EXIST %%A:\MS32DLL.dll.vbs ECHO %%A:\MS32DLL.dll.vbs Non trouvé>>\NOUSDEUX.TXT ) IF EXIST %WINDIR%\MS32DLL.dll.vbs ( ECHO %WINDIR%\MS32DLL.dll.vbs Présent>>\NOUSDEUX.TXT) else ( ECHO %WINDIR%\MS32DLL.dll.vbs non trouvé >>\NOUSDEUX.TXT) REG QUERY "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run" >>\NOUSDEUX.TXT REG QUERY "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run" >>\NOUSDEUX.TXT notepad \NOUSDEUX.TXT exit
Désolé :-)
RE BONJOUR POUR VSB:SOLOW QUI BLOQUE L OUVERTURE DE C: PAR DOUBLE CLIC IL FAUT ALLER SUR SE SITE www.security.au.edu ET TELECHARGER KILLMS32.DLL.DLL.VBS PUIS LE LANCER ET A COTE DE L HEURE VA APPARAITRE L ICONE ET LANCERAVEC LE CLIC DROIT KILL IN COMPUTER REDEMARRER ET NORMALEMENT TOUT SOUVRE CORRECTEMENT BISOUS
NousDeux
Messages postés
16
Date d'inscription
jeudi 3 mai 2007
Statut
Membre
Dernière intervention
6 mai 2007
5
4 mai 2007 à 15:55
4 mai 2007 à 15:55
Merci beaucoup j'essaie tout ça et j'envoie le rapport ici :-)
NousDeux
Messages postés
16
Date d'inscription
jeudi 3 mai 2007
Statut
Membre
Dernière intervention
6 mai 2007
5
4 mai 2007 à 16:04
4 mai 2007 à 16:04
J'ai tout bien fait et voici le rapport :
C:\autorun.inf Non trouvé
C:\MS32DLL.dll.vbs Non trouvé
D:\autorun.inf Présent
D:\MS32DLL.dll.vbs Non trouvé
C:\WINDOWS\MS32DLL.dll.vbs non trouvé
! REG.EXE VERSION 3.0
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
VTTimer REG_SZ VTTimer.exe
System Agent REG_SZ C:\WINDOWS\system32\chss.exe
Sunkist2k REG_SZ C:\Program Files\Multimedia Card Reader\shwicon2k.exe
StorageGuard REG_SZ "C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe" /r
Recguard REG_SZ C:\WINDOWS\SMINST\RECGUARD.EXE
PS2 REG_SZ C:\WINDOWS\system32\ps2.exe
nwiz REG_SZ nwiz.exe /installquiet /keeploaded /nodetect
NvCplDaemon REG_SZ RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
LXBRKsk REG_SZ C:\PROGRA~1\LEXMAR~1\LXBRKsk.exe
Lexmark 3100 Series REG_SZ "C:\Program Files\Lexmark 3100 Series\lxbrbmgr.exe"
KBD REG_SZ C:\HP\KBD\KBD.EXE
IntelliType REG_SZ "C:\Program Files\Microsoft Hardware\Keyboard\type32.exe"
hpsysdrv REG_SZ c:\windows\system\hpsysdrv.exe
HPHUPD05 REG_SZ c:\Program Files\Hewlett-Packard\{45B6180B-DCAB-4093-8EE8-6164457517F0}\hphupd05.exe
HPHmon05 REG_SZ C:\WINDOWS\System32\hphmon05.exe
HotKeysCmds REG_SZ C:\WINDOWS\System32\hkcmd.exe
Creative WebCam Tray REG_SZ C:\Program Files\Creative\Shared Files\CAMTRAY.EXE
CamMonitor REG_SZ c:\Program Files\Hewlett-Packard\Digital Imaging\Unload\hpqcmon.exe
avast! REG_SZ C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
ATIPTA REG_SZ C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
AlcxMonitor REG_SZ ALCXMNTR.EXE
BTUSRBDG REG_SZ BtUsrBdg.exe
BTSETBOOTKEY REG_SZ BTSetBootKey.exe
Controleur de calendrier pour Ulead Photo Express REG_SZ C:\Program Files\Ulead Systems\Ulead Photo Express 5 SE\calcheck.exe
OM_Monitor REG_SZ C:\Program Files\OLYMPUS\OLYMPUS Master\FirstStart.exe
SunJavaUpdateSched REG_SZ "C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe"
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\OptionalComponents
! REG.EXE VERSION 3.0
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
NVIEW REG_SZ rundll32.exe nview.dll,nViewLoadHook
MoneyAgent REG_SZ "c:\Program Files\Microsoft Money\System\mnyexpr.exe"
OM_Monitor REG_SZ C:\Program Files\OLYMPUS\OLYMPUS Master\Monitor.exe -NoStart
SweetIM REG_SZ C:\Program Files\Macrogaming\SweetIM\SweetIM.exe
SplitCam REG_SZ C:\Program Files\SplitCam\SplitCam.exe /play
BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA} REG_SZ "C:\Program Files\Fichiers communs\Ahead\Lib\NMBgMonitor.exe"
ctfmon.exe REG_SZ C:\WINDOWS\system32\ctfmon.exe
msnmsgr REG_SZ ~"C:\Program Files\MSN Messenger\msnmsgr.exe" /background
PS: la fenètre d'avast reste tout au long de la journée puisque impossible de supprimer, de mettre en quarantaine ou "ne rien faire". Et au sujet d'avast, pour mon cas je n'ai jamais eu une demande de scan à chaque démarrage de mon pc pourtant la case est bien cochée. Avant de faire les dernières manipulations que tu nous as conseillées j'attend ta conclusion pour le rapport. Merci d'avance.
C:\autorun.inf Non trouvé
C:\MS32DLL.dll.vbs Non trouvé
D:\autorun.inf Présent
D:\MS32DLL.dll.vbs Non trouvé
C:\WINDOWS\MS32DLL.dll.vbs non trouvé
! REG.EXE VERSION 3.0
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
VTTimer REG_SZ VTTimer.exe
System Agent REG_SZ C:\WINDOWS\system32\chss.exe
Sunkist2k REG_SZ C:\Program Files\Multimedia Card Reader\shwicon2k.exe
StorageGuard REG_SZ "C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe" /r
Recguard REG_SZ C:\WINDOWS\SMINST\RECGUARD.EXE
PS2 REG_SZ C:\WINDOWS\system32\ps2.exe
nwiz REG_SZ nwiz.exe /installquiet /keeploaded /nodetect
NvCplDaemon REG_SZ RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
LXBRKsk REG_SZ C:\PROGRA~1\LEXMAR~1\LXBRKsk.exe
Lexmark 3100 Series REG_SZ "C:\Program Files\Lexmark 3100 Series\lxbrbmgr.exe"
KBD REG_SZ C:\HP\KBD\KBD.EXE
IntelliType REG_SZ "C:\Program Files\Microsoft Hardware\Keyboard\type32.exe"
hpsysdrv REG_SZ c:\windows\system\hpsysdrv.exe
HPHUPD05 REG_SZ c:\Program Files\Hewlett-Packard\{45B6180B-DCAB-4093-8EE8-6164457517F0}\hphupd05.exe
HPHmon05 REG_SZ C:\WINDOWS\System32\hphmon05.exe
HotKeysCmds REG_SZ C:\WINDOWS\System32\hkcmd.exe
Creative WebCam Tray REG_SZ C:\Program Files\Creative\Shared Files\CAMTRAY.EXE
CamMonitor REG_SZ c:\Program Files\Hewlett-Packard\Digital Imaging\Unload\hpqcmon.exe
avast! REG_SZ C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
ATIPTA REG_SZ C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
AlcxMonitor REG_SZ ALCXMNTR.EXE
BTUSRBDG REG_SZ BtUsrBdg.exe
BTSETBOOTKEY REG_SZ BTSetBootKey.exe
Controleur de calendrier pour Ulead Photo Express REG_SZ C:\Program Files\Ulead Systems\Ulead Photo Express 5 SE\calcheck.exe
OM_Monitor REG_SZ C:\Program Files\OLYMPUS\OLYMPUS Master\FirstStart.exe
SunJavaUpdateSched REG_SZ "C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe"
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\OptionalComponents
! REG.EXE VERSION 3.0
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
NVIEW REG_SZ rundll32.exe nview.dll,nViewLoadHook
MoneyAgent REG_SZ "c:\Program Files\Microsoft Money\System\mnyexpr.exe"
OM_Monitor REG_SZ C:\Program Files\OLYMPUS\OLYMPUS Master\Monitor.exe -NoStart
SweetIM REG_SZ C:\Program Files\Macrogaming\SweetIM\SweetIM.exe
SplitCam REG_SZ C:\Program Files\SplitCam\SplitCam.exe /play
BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA} REG_SZ "C:\Program Files\Fichiers communs\Ahead\Lib\NMBgMonitor.exe"
ctfmon.exe REG_SZ C:\WINDOWS\system32\ctfmon.exe
msnmsgr REG_SZ ~"C:\Program Files\MSN Messenger\msnmsgr.exe" /background
PS: la fenètre d'avast reste tout au long de la journée puisque impossible de supprimer, de mettre en quarantaine ou "ne rien faire". Et au sujet d'avast, pour mon cas je n'ai jamais eu une demande de scan à chaque démarrage de mon pc pourtant la case est bien cochée. Avant de faire les dernières manipulations que tu nous as conseillées j'attend ta conclusion pour le rapport. Merci d'avance.
Salut
Le petit script que je t'ai fait exécuter a détecté un fichier autorun.inf dans le disque D:\
D:\ C'est la lettre qui correspond à ton lecteur/graveur de cd ?
Tu as un CD/DVD à l'intérieur ?
J'aimerais en être sur avant de poursuivre dans les manipulations.
Ensuite, essaye ceci pour calmer temporairement la fenêtre d'alerte.:
Clic droit sur l'icône d'Avast dans la barre de notification >>Arréter la protection résidente.
à plus tard !
Le petit script que je t'ai fait exécuter a détecté un fichier autorun.inf dans le disque D:\
D:\ C'est la lettre qui correspond à ton lecteur/graveur de cd ?
Tu as un CD/DVD à l'intérieur ?
J'aimerais en être sur avant de poursuivre dans les manipulations.
Ensuite, essaye ceci pour calmer temporairement la fenêtre d'alerte.:
Clic droit sur l'icône d'Avast dans la barre de notification >>Arréter la protection résidente.
à plus tard !
NousDeux
Messages postés
16
Date d'inscription
jeudi 3 mai 2007
Statut
Membre
Dernière intervention
6 mai 2007
5
4 mai 2007 à 12:36
4 mai 2007 à 12:36
Re bonjour, ça me rassure un peu, je ne suis pas la seule.
Si quelqu'un a d'autres idées et s'y connait un peu ça serait sympa de pouvoir nous aider.De plus je n'arrive toujours pas à fermer la fenetre d'avast disant que j'ai un virus et j'ai un peu peur d'eteindre ou redemarer le pc ...
Si quelqu'un a d'autres idées et s'y connait un peu ça serait sympa de pouvoir nous aider.De plus je n'arrive toujours pas à fermer la fenetre d'avast disant que j'ai un virus et j'ai un peu peur d'eteindre ou redemarer le pc ...
re a tous le monde
g encore un nouveaux souci maintenant avast detecte ceci
D:\System Volume Information\_restore{0E53C2D2-603D-4B01-84F6-6DE602018BFB}\RP138\A0028837.vbs
g encore un nouveaux souci maintenant avast detecte ceci
D:\System Volume Information\_restore{0E53C2D2-603D-4B01-84F6-6DE602018BFB}\RP138\A0028837.vbs
Salut Gaelle
Ca correspond à un point de restauration système infecté.
Désactive la restauration systéme.
Clic droit sur poste de travail > propriétés > onglet restauration système
puis cocher "désactiver la restauration système sur tous les lecteurs".
clic sur ok pour valider
et reactive là :
Clic droit sur poste de travail > propriétés > onglet restauration système
puis décocher "désactiver la restauration système sur tous les lecteurs".
Le fait de désactiver et réactiver la restauration système détruit tous les points de restauration existant, y compris celui détecté par ton AV.
Ensuite tu peux créer toi même un nouveau point de restauration:
Demarrer >> executer tape msconfig
et valide.
Clic sur "executer la restauration systeme"
Puis clic sur "créer un point de restauration".
et laisse toi guider.
Ca te permettra d'être sure d'avoir à disposition un point de restauration sain le jour ou tu en aura besoin :-).
a++
Ca correspond à un point de restauration système infecté.
Désactive la restauration systéme.
Clic droit sur poste de travail > propriétés > onglet restauration système
puis cocher "désactiver la restauration système sur tous les lecteurs".
clic sur ok pour valider
et reactive là :
Clic droit sur poste de travail > propriétés > onglet restauration système
puis décocher "désactiver la restauration système sur tous les lecteurs".
Le fait de désactiver et réactiver la restauration système détruit tous les points de restauration existant, y compris celui détecté par ton AV.
Ensuite tu peux créer toi même un nouveau point de restauration:
Demarrer >> executer tape msconfig
et valide.
Clic sur "executer la restauration systeme"
Puis clic sur "créer un point de restauration".
et laisse toi guider.
Ca te permettra d'être sure d'avoir à disposition un point de restauration sain le jour ou tu en aura besoin :-).
a++
3 mai 2007 à 22:12
merci bocoup pour le tuyau, moi ki ne sui pa fortich en informatique j'ai tou compri et grace à toi le virus est parti!
juste merci!
4 mai 2007 à 19:43
Merci a toi si tu peux m aider,bisous,j espere que ca devient pas du harcelement
bea
4 mai 2007 à 20:17
Lol, franchement je ne pensais qu'autant de monde était infecté par ce script !
Si tu as suivis la manip à la lettre et que tu as bien supprimé le fichier autorun.inf et MS32dll.dll.vbs, il te faut juste redemarrer le pc pour retrouver l'accès normal au disque dur.
Sinon, ca veut dire que le fichier autorun.inf est encore présent et qu'il te faut le supprimer.
a++
6 mai 2007 à 08:57
bea
6 mai 2007 à 12:37
bea