Virus sur réseau

usemines Messages postés 119 Statut Membre -  
usemines Messages postés 119 Statut Membre -
Bonjour,

Je m'occupe d'un petit réseau d'ordinateurs (8) pour une école. On m'a signalé qu'il y avait un virus sur les PC car certains enseignants perdaient les données de leur clé USB...

J'ai fait une analyse malwerbyte dont voici le résultat 
Malwarebytes Anti-Malware (Essai) 1.75.0.1300
www.malwarebytes.org

Version de la base de données: v2014.02.14.04

Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 11.0.9600.16518
isuroot :: PROFSEC7 [administrateur]

Protection: Activé

14/02/2014 11:10:12
mbam-log-2014-02-14 (11-10-12).txt

Type d'examen: Examen rapide
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 265370
Temps écoulé: 15 minute(s), 38 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 1
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|Tok-Cirrhatus (Worm.Brontok) -> Données:  -> Mis en quarantaine et supprimé avec succès.

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 12
C:\Users\SteUrsule\AppData\Local\Bron.tok-17-14 (Worm.Brontok) -> Mis en quarantaine et supprimé avec succès.
C:\Users\SteUrsule\AppData\Local\Bron.tok-17-15 (Worm.Brontok) -> Mis en quarantaine et supprimé avec succès.
C:\Users\SteUrsule\AppData\Local\Bron.tok-17-16 (Worm.Brontok) -> Mis en quarantaine et supprimé avec succès.
C:\Users\SteUrsule\AppData\Local\Bron.tok-17-17 (Worm.Brontok) -> Mis en quarantaine et supprimé avec succès.
C:\Users\SteUrsule\AppData\Local\Bron.tok-17-18 (Worm.Brontok) -> Mis en quarantaine et supprimé avec succès.
C:\Users\SteUrsule\AppData\Local\Bron.tok-17-19 (Worm.Brontok) -> Mis en quarantaine et supprimé avec succès.
C:\Users\SteUrsule\AppData\Local\Bron.tok-17-20 (Worm.Brontok) -> Mis en quarantaine et supprimé avec succès.
C:\Users\SteUrsule\AppData\Local\Bron.tok-17-25 (Worm.Brontok) -> Mis en quarantaine et supprimé avec succès.
C:\Users\SteUrsule\AppData\Roaming\DealPly (PUP.Optional.DealPly.A) -> Mis en quarantaine et supprimé avec succès.
C:\Users\SteUrsule\AppData\Roaming\DealPly\UpdateProc (PUP.Optional.DealPly.A) -> Mis en quarantaine et supprimé avec succès.
C:\Windows\System32\config\systemprofile\AppData\Roaming\DealPly (PUP.Optional.DealPly.A) -> Mis en quarantaine et supprimé avec succès.
C:\Windows\System32\config\systemprofile\AppData\Roaming\DealPly\UpdateProc (PUP.Optional.DealPly.A) -> Mis en quarantaine et supprimé avec succès.

Fichier(s) détecté(s): 6
C:\Users\SteUrsule\AppData\Local\Temp\update72821.exe (PUP.Optional.GoForFiles.A) -> Aucune action effectuée.
C:\Users\SteUrsule\AppData\Local\Temp\2dsve2wefd.exe (Exploit.Drop.GS) -> Mis en quarantaine et supprimé avec succès.
C:\Users\SteUrsule\AppData\Roaming\DealPly\UpdateProc\config.dat (PUP.Optional.DealPly.A) -> Mis en quarantaine et supprimé avec succès.
C:\Users\SteUrsule\AppData\Roaming\DealPly\UpdateProc\UpdateTask.exe (PUP.Optional.DealPly.A) -> Mis en quarantaine et supprimé avec succès.
C:\Windows\System32\config\systemprofile\AppData\Roaming\DealPly\UpdateProc\config.dat (PUP.Optional.DealPly.A) -> Mis en quarantaine et supprimé avec succès.
C:\Windows\System32\config\systemprofile\AppData\Roaming\DealPly\UpdateProc\UpdateTask.exe (PUP.Optional.DealPly.A) -> Mis en quarantaine et supprimé avec succès.

(fin)

Pouvez-vous me dire ce que je dois faire?

D'avance merci,

15 réponses

  1.
    Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 712
     
    Salut,

    Ca revient quand tu refais un scan ?
    Brontok y a des chances que ça aille par clef USB.

    Pas bon ça :

    C:\Users\SteUrsule\AppData\Local\Temp\2dsve2wefd.exe (Exploit.Drop.GS) -> Mis en quarantaine et supprimé avec succès.

    Quel antivirus est installé sur le PC ?

    Like the angel you are, you laugh creating a lightness in my chest,
    Your eyes they penetrate me,
    (Your answer's always 'maybe')
    That's when I got up and left
    0
  2. usemines Messages postés 119 Statut Membre
     
    F-Secure...
    0
  3. Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 712
     
    ok,

    Faire un scan OTL pour diagnostiquer les programmes qui tournent et déceler des infections - Le programme va générer deux rapports OTL.txt et Extras.txt
    Fournir les deux rapports :

    Tu peux suivre les indications de cette page pour t'aider : https://www.malekal.com/tutorial-otl/

    * Télécharge http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/ sur ton bureau.
    (Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)

    Dans le cas d'Avast!, ne pas lancer le programme dans la Sandbox (voir lien d'aide ci-dessus).

    * Lance OTL
    * En haut à droite de Analyse rapide, coche "tous les utilisateurs"
    * Sur OTL, sous Personnalisation, copie-colle le script ci-dessous :

    netsvcs
    msconfig
    safebootminimal
    safebootnetwork
    activex
    drivers32
    %ALLUSERSPROFILE%\Application Data\*.
    %ALLUSERSPROFILE%\Application Data\*.exe /s
    %APPDATA%\*.
    %APPDATA%\*.exe /s
    %temp%\*.exe /s
    %SYSTEMDRIVE%\*.exe
    %systemroot%\*. /mp /s
    %systemroot%\system32\consrv.dll
    %systemroot%\system32\*.dll /lockedfiles
    %windir%\Tasks\*.job /lockedfiles
    %systemroot%\system32\drivers\*.sys /lockedfiles
    %systemroot%\System32\config\*.sav
    /md5start
    explorer.exe
    winlogon.exe
    services.exe
    wininit.exe
    /md5stop
    HKEY_CLASSES_ROOT\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32 /s
    HKEY_LOCAL_MACHINE\SYSTEM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters /s
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\AppCertDlls /s
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList /s
    HKEY_LOCAL_MACHINE\Software\Microsoft\Command Processor /s
    HKEY_CURRENT_USER\Software\Microsoft\Command Processor /s
    CREATERESTOREPOINT
    nslookup https://www.google.fr/?gws_rd=ssl /c
    SAVEMBR:0
    hklm\software\clients\startmenuinternet|command /rs
    hklm\software\clients\startmenuinternet|command /64 /rs

    * Clique sur le bouton Analyse.

    * Quand le scan est fini, utilise le site http://pjjoint.malekal.com/ pour envoyer le rapport OTL.txt (et Extra.txt si présent).
    Donne le ou les liens pjjoint qui pointent vers ces rapports ici dans une réponse.
    Je répète : donne le lien du rapport pjjoint ici en réponse.

    NE PAS COPIER/COLLER LE RAPPORT ICI - DONNER LE LIEN PJJOINT DANS UN NOUVEAU MESSAGE

    0

  5. Vous n’avez pas trouvé la réponse que vous recherchez ?

    Posez votre question
  6. Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 712
     
    plus l'air infecté.

    T'as surtout des infections par clef USB.

    Relance OTL.
    o sous Personnalisation (Custom Scan), copie_colle le contenu du cadre ci dessous (bien prendre :OTL en début).
    Clic Correction (Fix), un rapport apparraitra, copie/colle le contenu ici:

    :OTL
    IE - HKLM\..\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}: URL = http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT2790392 <b>[Pays NL - 195.78.120.88]</b>
    IE - HKU\S-1-5-21-1304731885-2231908011-2498195604-1001\..\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: URL = http://search.babylon.com/?q={searchTerms}&affID=111020&tt=071012_ikanctrl_4112_7&babsrc=SP_ss&mntrId=fe162f3a00000000000090e6ba2ebf74 <b>[Pays US - 198.20.96.164]</b>
    IE - HKU\S-1-5-21-1304731885-2231908011-2498195604-1001\..\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}: URL = http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT2790392 <b>[Pays NL - 195.78.120.88]</b>
    O4:[b]64bit:[/b] - HKLM..\Run: [iTunesHelper] wscript.exe //B C:\Users\STEURS~1\AppData\Local\Temp\iTunesHelper.vbe File not found

    * poste le rapport ici

    0
  7. usemines Messages postés 119 Statut Membre
     
    Bonjour,

    Je ne suis malheureusement plus à l'école aujourd'hui. Je ferai cela ce lundi et vous tiendrai au courant... merci pour votre aide.

    Kevin
    0
  8. usemines Messages postés 119 Statut Membre
     
    Bonjour,

    Voici le rapport..
    ========== OTL ==========
    Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}\ deleted successfully.
    Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{afdbddaa-5d3f-42ee-b79c-185a7020515b}\ not found.
    Registry key HKEY_USERS\S-1-5-21-1304731885-2231908011-2498195604-1001\Software\Microsoft\Internet Explorer\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}\ deleted successfully.
    Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}\ not found.
    Registry key HKEY_USERS\S-1-5-21-1304731885-2231908011-2498195604-1001\Software\Microsoft\Internet Explorer\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}\ deleted successfully.
    Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{afdbddaa-5d3f-42ee-b79c-185a7020515b}\ not found.

    OTL by OldTimer - Version 3.2.69.0 log created on 02172014_090952

    Merci
    0
  9. Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 712
     
    ok ça doit être bon, par contre, suffit qu'un élève mette une clef USB pourrie pour que ça repart.
    Ils ne sont pas administrateur des postes ?
    0
  10. usemines Messages postés 119 Statut Membre
     
    Bonjour,

    Non ils ne sont pas administrateurs... dois-je prendre d'autres précautions pour éviter que cela se reproduise?

    Dois-je faire la même chose sur chaque machine ou sur une seule suffit?

    Merci
    0
  11. Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 712
     
    Ben les autres postes peuvent avoir été infectés aussi, donc un nettoyage USBFix est conseillé.

    O4:[b]64bit:/b - HKLM..\Run: [iTunesHelper] wscript.exe //B C:\Users\STEURS~1\AppData\Local\Temp\iTunesHelper.vbe File not foun

    C'est une clef HKEY_LOCAL_MACHINE, donc global qui a été ajouté.
    Donc le PC a été infecté par un administrateur du poste.

    0
  12. usemines Messages postés 119 Statut Membre
     
    Bonjour,

    Donc si je comprends biens, je dois, sur chaque machine, lancer otl avec ceci dans configuration: 

    netsvcs 
    msconfig 
    safebootminimal 
    safebootnetwork 
    activex 
    drivers32 
    %ALLUSERSPROFILE%\Application Data\*. 
    %ALLUSERSPROFILE%\Application Data\*.exe /s 
    %APPDATA%\*. 
    %APPDATA%\*.exe /s 
    %temp%\*.exe /s 
    %SYSTEMDRIVE%\*.exe 
    %systemroot%\*. /mp /s 
    %systemroot%\system32\consrv.dll 
    %systemroot%\system32\*.dll /lockedfiles 
    %windir%\Tasks\*.job /lockedfiles 
    %systemroot%\system32\drivers\*.sys /lockedfiles 
    %systemroot%\System32\config\*.sav 
    /md5start 
    explorer.exe 
    winlogon.exe 
    services.exe 
    wininit.exe 
    /md5stop 
    HKEY_CLASSES_ROOT\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32 /s 
    HKEY_LOCAL_MACHINE\SYSTEM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters /s 
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s 
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\AppCertDlls /s 
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList /s 
    HKEY_LOCAL_MACHINE\Software\Microsoft\Command Processor /s 
    HKEY_CURRENT_USER\Software\Microsoft\Command Processor /s 
    CREATERESTOREPOINT 
    nslookup https://www.google.fr/?gws_rd=ssl /c 
    SAVEMBR:0 
    hklm\software\clients\startmenuinternet|command /rs 
    hklm\software\clients\startmenuinternet|command /64 /rs

    Puis lorsque cela est fait, relancez OTL avec ceci: 
    :OTL 
    IE - HKLM\..\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}: URL = http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT2790392 <b>[Pays NL - 195.78.120.88]</b> 
    IE - HKU\S-1-5-21-1304731885-2231908011-2498195604-1001\..\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: URL = http://search.babylon.com/?q={searchTerms}&affID=111020&tt=071012_ikanctrl_4112_7&babsrc=SP_ss&mntrId=fe162f3a00000000000090e6ba2ebf74 <b>[Pays US - 198.20.96.164]</b> 
    IE - HKU\S-1-5-21-1304731885-2231908011-2498195604-1001\..\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}: URL = http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT2790392 <b>[Pays NL - 195.78.120.88]</b> 
    O4:[b]64bit:/b - HKLM..\Run: [iTunesHelper] wscript.exe //B C:\Users\STEURS~1\AppData\Local\Temp\iTunesHelper.vbe File not found

    C'est bien cela? Ou dois-je ne faire que la première partie, poster le rapport pour chaque ordi et attendre vos réponses?

    Encore un tout grand merci pour votre aide...
    0
  13. Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 712
     
    non USBFix devrait suffir.
    0
  14. usemines Messages postés 119 Statut Membre
     
    Encore merci pour votre aide toujours très précieuse... Dois-je prendre d'autres précautions concernant les clefs USB? Puis-je installer un programme qui bloquerai les clefs USB infectées?

    Merci
    0
  15. Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 712
     
    Je ne pense pas qu'il en existe qui protège à 100%.
    0
  16. usemines Messages postés 119 Statut Membre
     
    Et de ceux qui protègent un peu? Je pourrais ainsi les installer?

    Merci
    0

Discussions similaires

"Nous n'avons pas pu nous connecter à ce réseau"
Aurore_1606 -
Damiennn -

25 réponses
Livebox 4 Réseau Orange non détecté
Azfun -
brupala -

10 réponses
Branchez le câble réseau du player freebox
Marie -
Frezdesboas -

3 réponses
Message ne s'envoie pas données mobiles Redmi
Eric -
FalkenHarlais -

4 réponses
Câble réseau player freebox
Madiba -
brupala -

9 réponses