VBS:Autorun-DD[Trj] : Usbfix ne me débarasse pas du virus!

Résolu/Fermé

estelle2608 - 8 sept. 2015 à 21:51
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 - 1 oct. 2015 à 18:44

Bonjour à tous,

en branchant ma clé usb avast détecte une menace "VBS:Autorun-DD[Trj]. J'ai téléchargé usbfix et procédé à la recherche puis au nettoyage de ma clé mais en la rebranchant ensuite rebelote donc il semblerait que ça n'ait pas marché... Un grand besoin de votre aide je ne sais pas du tout comment m'en débarrasser, merci !

A voir également:

Vbs runauto
Vbs windows - Accueil - Optimisation
Vbs edit - Télécharger - Édition & Programmation
Fichier vbs virus ✓ - Forum Virus
Vbs pause ✓ - Forum Autoit / batch
Vbs crypter - Forum Autoit / batch

2 réponses

Réponse 1 / 2

Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 656
9 sept. 2015 à 10:44

Branche toutes tes clefs USB et autres périphériques amovibles.
Télécharge Remediate VBS Worm : https://forum.malekal.com/viewtopic.php?t=48588&start=
Lance l'option A (Appuye A et entrée).
Ouvre Mon ordinateur puis disque C, un rapport Rem-VBS.log doit s'y trouver, donne le contenu ici.

Ensuite :
Relance le programme, Lance l'option B.
Tape la lettre de la clef USB, par exemple, E et entrée - NE PAS INDIQUER LE LECTEUR DE TON DISQUE.
Cela va nettoyer la clef USB.
De même, Ouvre Mon ordinateur puis disque C, un rapport Rem-VBS.log doit s'y trouver, donne le contenu ici.

Ensuite relance Remediate VBS Worm puis option D pour désactiver Windows Script Host.

Ensuite et enfin :

Affiche les fichiers cachés et systèmes : https://www.commentcamarche.net/informatique/windows/185-afficher-les-extensions-et-les-fichiers-caches-sous-windows/
Affiche aussi les extensions.

Fais un scan de ta clef USB avec Avast! et supprime toutes les détections.

Ouvre ta clef USB
Supprime tous les fichiers WsF.
Normalement tu devrais voir les vrais données, tes documents.

estelle2608
9 sept. 2015 à 20:22

Ok merci, voilà d'abord le rapport après l'option A :

Rem-VBSworm v4.0
======================================================== - General info:
Ran by Estelle on profile C:\Users\Estelle
Ran on ESTELLE-PC
IPv4: 192.168.1.26

Microsoft Windowsÿ7 dition Familiale Premium

Normal boot

09/09/2015
20:18:39,37
======================================================== - Drive info:
Listing currently attached drives:
Caption Description VolumeName

C: Disque fixe local Acer

D: Disque CD-ROM

E: Disque amovible ESTELLE

Q: Disque fixe local

Physical drives information:
C: \Device\HarddiskVolume3 NTFS
Q: \Device\SftVol <Unknown>
E: \Device\HarddiskVolume5 FAT
======================================================== - Disinfection info:
Cleaning all TEMP files...
Disabling Autorun...
Temporarily disabling the WSH...
Windows Script Host disabled!
Fixing system/user policies and registry hijacks...
Killing, hijacking and deleting malicious processes and files...:
Adding image hijacks...
Deleting malicious Run keys...
Killing malicious processes...

Informationÿ: aucune tfche en service ne correspond aux critSres sp'cifi's.

Informationÿ: aucune tfche en service ne correspond aux critSres sp'cifi's.
Deleting malicious files...
Windows Script Host re-enabled!

Done cleaning up infection!
========================================================

estelle2608
9 sept. 2015 à 20:38

Pour l'étape B je comprends pas trop pcq ma clé s'intitule "Disque amovible (E:)" or quand je tape la 1ère lettre, donc D, ça me dit "wrong letter" et quand je tape "E" ça me dit impossible de trouver E:\*.hta
E:\*.lnk
E:\*.vbe
E:\*.vbs

tu peux m'éclairer stp?

Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 656
9 sept. 2015 à 20:48

Quelle est la lettre de la clef USB ?

estelle2608 > Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020
9 sept. 2015 à 22:24

je crois que j'ai finis par comprendre, voici le rapport suite à l'étape B :

Ran by Estelle on profile C:\Users\Estelle
Ran on ESTELLE-PC
IPv4: 10.59.248.40

Microsoft Windowsÿ7 dition Familiale Premium

Normal boot

09/09/2015
22:18:43,28
======================================================== - Drive info:
Listing currently attached drives:
Caption Description VolumeName

C: Disque fixe local Acer

D: Disque CD-ROM

E: Disque amovible ESTELLE

Q: Disque fixe local

Physical drives information:
C: \Device\HarddiskVolume3 NTFS
Q: \Device\SftVol <Unknown>
E: \Device\HarddiskVolume4 FAT
======================================================== - Disinfection info:
Cleaning all TEMP files...
Disabling Autorun...
Temporarily disabling the WSH...
Windows Script Host disabled!
Fixing system/user policies and registry hijacks...
Killing, hijacking and deleting malicious processes and files...:
Adding image hijacks...
Deleting malicious Run keys...
Killing malicious processes...
Op'ration r'ussieÿ: le processus "wscript.exe" de PID 4992 a 't' arr^t'.

Informationÿ: aucune tfche en service ne correspond aux critSres sp'cifi's.

Informationÿ: aucune tfche en service ne correspond aux critSres sp'cifi's.
Deleting malicious files...
Windows Script Host re-enabled!

Done cleaning up infection!
========================================================

L: selected

Listing root contents of L:

Modifying files...
USB drive disinfected!

Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 656
9 sept. 2015 à 22:25

ok fais le reste, ça devrait rouler avec Avast! et le nettoyage manuel.

Réponse 2 / 2

Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 656
8 sept. 2015 à 21:52

Salut,

Quel est le fichier qui est détecté?

estelle2608
9 sept. 2015 à 10:30

Merci pr votre réponse, voici le contenu de la fenêtre avast lors de la détection du virus :

Le composant avast agent de fichiers a bloqué une menace. aucune autre action n'est demandée
Objet : E:\MicrosoftWord.WsF
Infection : VBS:Autorun-DD[Trj]
Action : mis en quarantaine
Processus : C:\Windows\System32\wscript.exe

Discussions similaires

VBS.Runauto

Faire une pause en VBS

son dans un vbs

virus vbs.runauto

shutdown en vbscript