Virus malveillant VVV
Résolu
melanie83470
Messages postés
7
Statut
Membre
-
Malekal_morte- Messages postés 178136 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention -
Malekal_morte- Messages postés 178136 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention -
Bonjour à tous,
De retour chez mes parents pour les fêtes j'ai eu la mauvaise surprise de retrouver toutes leurs photos au format VVV
Après recherche sur Internet j'ai cru comprendre que c'est à cause d'un virus.
En suivant vos tutos j'ai récupérer en pijoints les 3 rapports utiles:
https://pjjoint.malekal.com/files.php?id=20151222_t5s9u5n14n6
https://pjjoint.malekal.com/files.php?id=FRST_20151222_o6h12s12i11q8
https://pjjoint.malekal.com/files.php?id=20151222_k5l11z12i12d10
J'avoue être complètement perdu pour l'instant, quelle est l'étape suivante?
Je vous remercie d'avance pour votre aide
De retour chez mes parents pour les fêtes j'ai eu la mauvaise surprise de retrouver toutes leurs photos au format VVV
Après recherche sur Internet j'ai cru comprendre que c'est à cause d'un virus.
En suivant vos tutos j'ai récupérer en pijoints les 3 rapports utiles:
https://pjjoint.malekal.com/files.php?id=20151222_t5s9u5n14n6
https://pjjoint.malekal.com/files.php?id=FRST_20151222_o6h12s12i11q8
https://pjjoint.malekal.com/files.php?id=20151222_k5l11z12i12d10
J'avoue être complètement perdu pour l'instant, quelle est l'étape suivante?
Je vous remercie d'avance pour votre aide
7 réponses
-
Salut
desinstaller web compagnon
suis cette procédure et donne les rapports http://www.supprimer-trojan.com/ransomware-4096-recover_instructions/
-- -
Bonjour,
Merci pour votre réponse,
J'ai desinstaller webcompagnon.
Jai téléchargé malwarebytes, lancé l'analyse et supprimer les menaces (64). Depuis hier soir j'essaye de lancer un scan avec nod32 sans succès, ca se bloque à chaque fois, la cest au niveau 47% pendant des heures et des heures, il a déjà trouvé 35388 fichiers infectés... -
ok alors refais un scan FRST et donne les rapports via pjjint
-- -
Envoie C:\Users\melanie\AppData\Local\AQworks\clrdp09.dll
sur http://upload.malekal.com
~~
Voici la correction à effectuer avec FRST.
Tu peux t'inspirer de cette note explicative avec des captures d'écran pour t'aider: https://www.malekal.com/tutoriel-farbar-recovery-scan-tool-frst/#fix
Ouvre le bloc-notes : Touche Windows + R, dans le champs executer, tape notepad et OK.
Copie/colle dedans ce qui suit :
HKU\S-1-5-21-1095441289-3559149398-1419415705-1001\...\Run: [AWJworks] => C:\Windows\SysWOW64\regsvr32.exe C:\Users\melanie\AppData\Local\AQworks\clrdp09.dll
Startup: C:\Users\melanie\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_recover+rth.html [2015-12-22] ()
Startup: C:\Users\melanie\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_recover+rth.txt [2015-12-22] ()
Startup: C:\Users\melanie\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_recover+tmm.html [2015-12-20] ()
Startup: C:\Users\melanie\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_recover+tmm.txt [2015-12-20] ()
HKU\S-1-5-18\...\Run: [Web Companion] => C:\Program Files (x86)\Lavasoft\Web Companion\Application\WebCompanion.exe --minimize
Winsock: Catalog9 01 C:\Windows\SysWOW64\LavasoftTcpService.dll [345360 2015-09-09] (Lavasoft Limited)
Winsock: Catalog9 02 C:\Windows\SysWOW64\LavasoftTcpService.dll [345360 2015-09-09] (Lavasoft Limited)
Winsock: Catalog9 03 C:\Windows\SysWOW64\LavasoftTcpService.dll [345360 2015-09-09] (Lavasoft Limited)
Winsock: Catalog9 04 C:\Windows\SysWOW64\LavasoftTcpService.dll [345360 2015-09-09] (Lavasoft Limited)
Winsock: Catalog9 15 C:\Windows\SysWOW64\LavasoftTcpService.dll [345360 2015-09-09] (Lavasoft Limited)
Winsock: Catalog9-x64 01 C:\Windows\system32\LavasoftTcpService64.dll [425744 2015-09-09] (Lavasoft Limited)
Winsock: Catalog9-x64 02 C:\Windows\system32\LavasoftTcpService64.dll [425744 2015-09-09] (Lavasoft Limited)
Winsock: Catalog9-x64 03 C:\Windows\system32\LavasoftTcpService64.dll [425744 2015-09-09] (Lavasoft Limited)
Winsock: Catalog9-x64 04 C:\Windows\system32\LavasoftTcpService64.dll [425744 2015-09-09] (Lavasoft Limited)
Winsock: Catalog9-x64 15 C:\Windows\system32\LavasoftTcpService64.dll [425744 2015-09-09] (Lavasoft Limited)
2015-12-20 19:56 - 2015-12-22 14:18 - 00000000 ____D C:\Users\melanie\AppData\Local\AQworks
2015-12-20 19:55 - 2015-12-22 17:47 - 00000000 ___HD C:\ProgramData\{CA2FACF7-9029-4A21-892B-E7F60B39FF1A}
2015-12-20 19:55 - 2015-12-20 19:55 - 00000254 _____ C:\Users\melanie\Documents\recover_file_qylltgsmk.txt
2015-12-18 15:49 - 2015-12-22 13:11 - 00000000 ____D C:\Users\melanie\AppData\LocalLow\{ECD62ABA-BE21-40E4-B5ED-652F03253419}
2015-12-18 15:49 - 2015-12-22 13:11 - 00000000 ____D C:\Users\melanie\AppData\LocalLow\{C8DD5F5A-0025-4303-BC8D-A66D2C27191D}
2015-12-18 15:49 - 2015-12-22 13:11 - 00000000 ____D C:\Users\melanie\AppData\LocalLow\{916081A8-CABC-49D2-9876-7735708D9BFE}
C:\Program Files (x86)\Lavasoft
Task: {463FFDD8-D2A7-449F-8DE4-67A6F52CBD77} - \Updater27096.exe -> Pas de fichier <==== ATTENTION
cmd: netsh winsock reset
Une fois, le texte coller dans le bloc-note.
Menu Fichier puis Enregistrer sous.
A gauche, place toi sur le bureau.
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clic sur Enregistrer - cela va créer un fichier fixlist.txt sur le bureau.
Relance FRST et clic sur le bouton Corriger / Fix
Selon comment un redémarrage est nécessaire (pas obligatoire).
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.
Redémarre l'ordinateur
-
Résultats de correction de Farbar Recovery Scan Tool (x64) Version:20-12-2015
Exécuté par melanie (2015-12-23 17:53:35) Run:1
Exécuté depuis C:\Users\melanie\Desktop
Profils chargés: melanie & UpdatusUser (Profils disponibles: melanie & UpdatusUser)
Mode d'amorçage: Normal
==============================================
fixlist contenu:
HKU\S-1-5-21-1095441289-3559149398-1419415705-1001\...\Run: [AWJworks] => C:\Windows\SysWOW64\regsvr32.exe C:\Users\melanie\AppData\Local\AQworks\clrdp09.dll
Startup: C:\Users\melanie\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_recover+rth.html [2015-12-22] ()
Startup: C:\Users\melanie\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_recover+rth.txt [2015-12-22] ()
Startup: C:\Users\melanie\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_recover+tmm.html [2015-12-20] ()
Startup: C:\Users\melanie\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_recover+tmm.txt [2015-12-20] ()
HKU\S-1-5-18\...\Run: [Web Companion] => C:\Program Files (x86)\Lavasoft\Web Companion\Application\WebCompanion.exe --minimize
Winsock: Catalog9 01 C:\Windows\SysWOW64\LavasoftTcpService.dll [345360 2015-09-09] (Lavasoft Limited)
Winsock: Catalog9 02 C:\Windows\SysWOW64\LavasoftTcpService.dll [345360 2015-09-09] (Lavasoft Limited)
Winsock: Catalog9 03 C:\Windows\SysWOW64\LavasoftTcpService.dll [345360 2015-09-09] (Lavasoft Limited)
Winsock: Catalog9 04 C:\Windows\SysWOW64\LavasoftTcpService.dll [345360 2015-09-09] (Lavasoft Limited)
Winsock: Catalog9 15 C:\Windows\SysWOW64\LavasoftTcpService.dll [345360 2015-09-09] (Lavasoft Limited)
Winsock: Catalog9-x64 01 C:\Windows\system32\LavasoftTcpService64.dll [425744 2015-09-09] (Lavasoft Limited)
Winsock: Catalog9-x64 02 C:\Windows\system32\LavasoftTcpService64.dll [425744 2015-09-09] (Lavasoft Limited)
Winsock: Catalog9-x64 03 C:\Windows\system32\LavasoftTcpService64.dll [425744 2015-09-09] (Lavasoft Limited)
Winsock: Catalog9-x64 04 C:\Windows\system32\LavasoftTcpService64.dll [425744 2015-09-09] (Lavasoft Limited)
Winsock: Catalog9-x64 15 C:\Windows\system32\LavasoftTcpService64.dll [425744 2015-09-09] (Lavasoft Limited)
2015-12-20 19:56 - 2015-12-22 14:18 - 00000000 ____D C:\Users\melanie\AppData\Local\AQworks
2015-12-20 19:55 - 2015-12-22 17:47 - 00000000 ___HD C:\ProgramData\{CA2FACF7-9029-4A21-892B-E7F60B39FF1A}
2015-12-20 19:55 - 2015-12-20 19:55 - 00000254 _____ C:\Users\melanie\Documents\recover_file_qylltgsmk.txt
2015-12-18 15:49 - 2015-12-22 13:11 - 00000000 ____D C:\Users\melanie\AppData\LocalLow\{ECD62ABA-BE21-40E4-B5ED-652F03253419}
2015-12-18 15:49 - 2015-12-22 13:11 - 00000000 ____D C:\Users\melanie\AppData\LocalLow\{C8DD5F5A-0025-4303-BC8D-A66D2C27191D}
2015-12-18 15:49 - 2015-12-22 13:11 - 00000000 ____D C:\Users\melanie\AppData\LocalLow\{916081A8-CABC-49D2-9876-7735708D9BFE}
C:\Program Files (x86)\Lavasoft
Task: {463FFDD8-D2A7-449F-8DE4-67A6F52CBD77} - \Updater27096.exe -> Pas de fichier <==== ATTENTION
cmd: netsh winsock reset
HKU\S-1-5-21-1095441289-3559149398-1419415705-1001\Software\Microsoft\Windows\CurrentVersion\Run\\AWJworks => valeur supprimé(es) avec succès
C:\Users\melanie\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_recover+rth.html => déplacé(es) avec succès
C:\Users\melanie\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_recover+rth.txt => déplacé(es) avec succès
C:\Users\melanie\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_recover+tmm.html => déplacé(es) avec succès
C:\Users\melanie\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_recover+tmm.txt => déplacé(es) avec succès
HKU\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run\\Web Companion => valeur supprimé(es) avec succès
"HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000001" => clé supprimé(es) avec succès
"HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000002" => clé supprimé(es) avec succès
"HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000003" => clé supprimé(es) avec succès
"HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000004" => clé supprimé(es) avec succès
"HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000015" => clé supprimé(es) avec succès
"HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries64\000000000001" => clé supprimé(es) avec succès
"HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries64\000000000002" => clé supprimé(es) avec succès
"HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries64\000000000003" => clé supprimé(es) avec succès
"HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries64\000000000004" => clé supprimé(es) avec succès
"HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries64\000000000015" => clé supprimé(es) avec succès
C:\Users\melanie\AppData\Local\AQworks => déplacé(es) avec succès
C:\ProgramData\{CA2FACF7-9029-4A21-892B-E7F60B39FF1A} => déplacé(es) avec succès
C:\Users\melanie\Documents\recover_file_qylltgsmk.txt => déplacé(es) avec succès
C:\Users\melanie\AppData\LocalLow\{ECD62ABA-BE21-40E4-B5ED-652F03253419} => déplacé(es) avec succès
C:\Users\melanie\AppData\LocalLow\{C8DD5F5A-0025-4303-BC8D-A66D2C27191D} => déplacé(es) avec succès
C:\Users\melanie\AppData\LocalLow\{916081A8-CABC-49D2-9876-7735708D9BFE} => déplacé(es) avec succès
"C:\Program Files (x86)\Lavasoft" => non trouvé(e).
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{463FFDD8-D2A7-449F-8DE4-67A6F52CBD77}" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{463FFDD8-D2A7-449F-8DE4-67A6F52CBD77}" => clé supprimé(es) avec succès
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Updater27096.exe => clé non trouvé(e).
========= netsh winsock reset =========
Le d�marrage de la fonction d'initialisation InitHelperDll dans NSHHTTP.DLL a �chou��;
code d'erreur�: 10107
Le catalogue Winsock a �t� r�initialis� correctement.
Vous devez red�marrer l'ordinateur afin de finaliser la r�initialisation.
========= Fin de CMD: =========Fin de Fixlog 17:53:40
-
-
Vous n’avez pas trouvé la réponse que vous recherchez ?
Posez votre question -
Les antivirus à la rue pour la DLL :
SHA256: 6b1b3dad54f2c17f4dd9ce432e6e51196d585a93ef64f9f7a0128d4f44238e24
Nom du fichier : 3ccd6cb573b0a0fe319bae3c744d62f65a4ab3d4
Ratio de détection : 11 / 54
Date d'analyse : 2015-12-23 16:54:22 UTC (il y a 0 minute)
Antivirus Résultat Mise à jour
Ad-Aware Gen:Variant.Kazy.784599 20151223
Arcabit Trojan.Kazy.DBF8D7 20151223
BitDefender Gen:Variant.Kazy.784599 20151223
ESET-NOD32 a variant of Win32/Kryptik.EIXR 20151223
Emsisoft Gen:Variant.Kazy.784599 (B) 20151223
F-Secure Gen:Variant.Kazy.784599 20151223
GData Gen:Variant.Kazy.784599 20151223
Kaspersky Trojan.Win32.Yakes.nvgp 20151223
McAfee-GW-Edition BehavesLike.Win32.Expiro.ph 20151223
MicroWorld-eScan Gen:Variant.Kazy.784599 20151223
Symantec Suspicious.Cloud.5 20151223
-
Je me comprends.
A voir s'il faut garder vDownloader.
Sinon c'est bon.
C'est donc mort pour tes documents.
Sécurise ton ordinateur, probablement vulnérable aux exploits WEB.
Comment sécuriser son ordinateur : http://forum.malekal.com/comment-securiser-son-ordinateur.html
-
Si quelqu'un tombe sur ce topic, je cherche des gens (il faut avoir un minimum de connaissances informatiques) pour tester une procédure de récupération de fichiers .vvv
Voir : https://forum.malekal.com/viewtopic.php?t=53866&start=
