Virus.Worm.VBS : Clef USB infectée - Video.3gp

Bonjour,

Suite a l'infection de notre établissement par ce virus, j'ai du développer des contre mesure. Je me permet donc de vous les partager ici.

L'archive se constitue de 2 script et d'un document expliquant la procédure pour ceux n'ayant pas confiance dans les script (enfaite faite avant) ou simplement désirant comprendre les scripts.

Le script anti-video3gp déverolle les clé
Le script anti-video3gp-cleanPC déverolle les postes Windows(mac et Linux n'étant pas infecter)

lien gdrive : https://drive.google.com/file/d/0Bw96BWzgemOmTzV4UGJpTGJyeXc/view?usp=sharing

Salut,

Il s'agit de cette infection Virus USB VBS.Crypt.

Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).

Télécharge et lance le scan FRST, 3 rapports FRST seront générés :

• FRST.txt
• Shortcut.txt
• Additionnal.txt

Envoie ces 3 rapports sur le site http://pjjoint.malekal.com/ et en retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

Veuillez appuyer sur une touche pour continuer la désinfection...

bizarre, les rapports que tu transmets ne sont pas entier.

Je te conseille de désinstaller Spybot, pas super efficace, selon moi. ( Adwares : Antispyware comment ne pas désinfecter son Windows )

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

Ouvre le bloc-notes : Touche Windows + R,
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit :

CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-3744038216-4012881299-519130704-1001\...\Run: [Format Factory] => Cmd.exe /c start WScript.exe /e:VBScript.Encode C:\Users\Clara\AppData\Roaming\Video.3gp 
C:\Users\Clara\AppData\Roaming\Video.3gp 
c:\programdata\quickset
Task: C:\Windows\Tasks\SK.Enhancer-S-161304646.job => c:\programdata\quickset\sk.enhancer\SK.Enhancer.exeG/schedule /profile c:\programdata\quickset\sk.enhancer\161304646.iniClaraSK.Enh <==== ATTENTION
reg: reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f
reg: reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f
Reboot:

Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",
A gauche, place toi sur le Bureau,
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.

Veuillez appuyer sur une touche pour continuer la désinfection...

Voilou,

Pour nettoyer tes clefs USB :

1°) Brancher toutes les clefs USB et autres périphériques amovibles.

• Télécharger Remediate VBS Worm
• Lancer l'option B
• Taper la lettre de la clef USB, par exemple, E et entrée

[color=red]ATTENTION: NE PAS INDIQUER LE LECTEUR DE TON DISQUE DUR ![/color]

• Va dans "Mon ordinateur" puis disque "C", un rapport "Rem-VBS.log" doit s'y trouver.

Ouvre ce rapport avec le bloc-notes et copie/colle le contenu ici dans une prochaine réponse.

et ce sera good,

Pour te protéger des infections amovibles type Wscript (Windows Script Host)
Télécharge et installer Marmiton
Clic sur Désactiver au niveau de Windows Script Host.
Marmiton va bloquer les scripts malicieux (VBS, VBE, JavaScript etc).

Renforce la sécurité de ton Windows : Comment sécuriser mon Windows

Si vous avez besoin d'aide, veuillez créer votre propre sujet en allant dans la partie Virus du forum et en cliquant sur le bouton Poser une question.
Remplissez les champs et envoyer votre demande.

Voilà ce que j'obtiens, le redémarrage c'est fait automatiquement :

fixlist contenu:
CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-3744038216-4012881299-519130704-1001\...\Run: [Format Factory] => Cmd.exe /c start WScript.exe /e:VBScript.Encode C:\Users\Clara\AppData\Roaming\Video.3gp
C:\Users\Clara\AppData\Roaming\Video.3gp
Task: C:\Windows\Tasks\SK.Enhancer-S-161304646.job => c:\programdata\quickset\sk.enhancer\SK.Enhancer.exeG/schedule /profile c:\programdata\quickset\sk.enhancer\161304646.iniClaraSK.Enh <==== ATTENTION
reg: reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f
reg: reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f
Reboot:

Erreur: (0) Impossible de créer un point de restauration.
Processus fermé avec succès.
HKU\S-1-5-21-3744038216-4012881299-519130704-1001\Software\Microsoft\Windows\CurrentVersion\Run\\Format Factory => valeur supprimé(es) avec succès
Impossible de déplacer "C:\Users\Clara\AppData\Roaming\Video.3gp" => Planifié pour déplacement au redémarrage.
C:\Windows\Tasks\SK.Enhancer-S-161304646.job => non trouvé(e).

========= reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f =========

L'op‚ration a r‚ussi.

========= Fin de Reg: =========

========= reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f =========

L'op‚ration a r‚ussi.

========= Fin de Reg: =========

Résultats du déplacement planifié des fichiers (Mode d'amorçage: Normal) (Date&Heure: 2016-04-09 17:47:27)

C:\Users\Clara\AppData\Roaming\Video.3gp => a été déplacé(e) avec succès

Fin de Fixlog 17:47:27

Vous me sauvez !

Rem-VBSworm v7.0

=========== - General info:

Running under: Clara on profile: C:\Users\Clara
Computer name: ORDINATEUR

Operating System:
Microsoft Windowsÿ7 dition Familiale Premium

Boot Mode:
Normal boot

Antivirus software installed:
avast! Antivirus

Executed on: 09/04/2016 @ 17:59:28,67

=========== - Drive info:

Listing currently attached drives:
Caption Description VolumeName

C: Disque fixe local OS

D: Disque fixe local Data

E: Disque CD-ROM

F: Disque amovible

Physical drives information:
C: \Device\HarddiskVolume2 NTFS
D: \Device\HarddiskVolume3 NTFS
F: \Device\HarddiskVolume4 exFAT

=========== - Disinfection info:

=========== - USB drive info:

F: selected

USB Device ID:
IDE\DISKST9320325AS_____________________________0003SDM1\4&19E15798&0&0.0.0

USBSTOR\DISK&VEN_SONY&PROD_STORAGE_MEDIA&REV_PMAP\5C071059D0E3156A71&0

Fichier supprim‚ - F:\PHOTO FAMIlY.lnk
Fichier supprim‚ - F:\syncguid.lnk
Fichier supprim‚ - F:\VIDEO.lnk
Fichier supprim‚ - F:\Nouveau dossier.lnk
Fichier supprim‚ - F:\DCIM.lnk
Listing root contents of F:
Le volume dans le lecteur F n'a pas de nom.
Le num‚ro de s‚rie du volume est 2CB9-EDFA

R‚pertoire de F:\

12/10/2015 11:59 121ÿ030 Video.3gp
08/04/2016 13:49 36 syncguid.dat
08/04/2016 13:50 <REP> VIDEO
08/04/2016 13:50 <REP> DCIM
2 fichier(s) 121ÿ066 octets
2 R‚p(s) 62ÿ146ÿ609ÿ152 octets libres

USB drive disinfected and files unhidden!!

Eset 4.2...très vieux je te conseil de le mettre à jour en version 9 :

https://www.eset.com/fr/home/products/smart-security/

Bonjour, j'ai également été infecté par un virus du même type, voici les rapports d'analyse :

- Addition : http://pjjoint.malekal.com/files.php?id=20160621_u8b14y15t5k5

- FRST : http://pjjoint.malekal.com/files.php?id=FRST_20160621_n11c6w9z11z12

- Shortcut : http://pjjoint.malekal.com/files.php?id=20160621_i15j10h15x5o7

Je vous remercie d'avance de votre réponse :).

Merci de votre première réponse, voici le texte qui est apparu :

Exécuté par Num (2016-06-21 22:00:29) Run:1
Exécuté depuis C:\Users\Num\Desktop\FRST
Profils chargés: Num (Profils disponibles: Num)
Mode d'amorçage: Normal

==============================================

fixlist contenu:
CreateRestorePoint:
CloseProcesses:
HKLM\...\Run: [Format Factory] => Cmd.exe /c start WScript.exe /e:VBScript.Encode C:\Users\Num\AppData\Roaming\Video.3gp
HKU\S-1-5-21-1064192849-657113169-665433704-1001\...\Run: [Format Factory] => Cmd.exe /c start WScript.exe /e:VBScript.Encode C:\Users\Num\AppData\Roaming\Video.3gp
2016-06-21 19:21 - 2015-10-12 10:59 - 00121030 ___SH C:\Users\Num\AppData\Roaming\Video.3gp
Reboot:

Le Point de restauration a été créé avec succès.
Processus fermé avec succès.
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\\Format Factory => valeur supprimé(es) avec succès
HKU\S-1-5-21-1064192849-657113169-665433704-1001\Software\Microsoft\Windows\CurrentVersion\Run\\Format Factory => valeur supprimé(es) avec succès
Impossible de déplacer "C:\Users\Num\AppData\Roaming\Video.3gp" => Planifié pour déplacement au redémarrage.

Résultats du déplacement planifié des fichiers (Mode d'amorçage: Normal) (Date&Heure: 2016-06-21 22:02:27)

C:\Users\Num\AppData\Roaming\Video.3gp => a été déplacé(e) avec succès

Fin de Fixlog 22:02:27

Re, j'ai utilisé les logiciels recommandés, donc voici le rapport Rem-VBS :

Rem-VBSworm v8.0

=========== - General info:

Running under: Num on profile: C:\Users\Num
Computer name: JULLIAN-PC

Operating System:
Microsoft Windowsÿ7 dition Int‚grale

Boot Mode:
Normal boot

Antivirus software installed:

Executed on: 21/06/2016 @ 22:08:51,91

=========== - Drive info:

Listing currently attached drives:
Caption Description VolumeName

C: Disque fixe local

D: Disque fixe local R‚serv‚ au systŠme

E: Disque fixe local

F: Disque CD-ROM

G: Disque amovible

H: Disque amovible

I: Disque amovible

J: Disque amovible

K: Disque amovible GOURMELIN

Physical drives information:
C: \Device\HarddiskVolume1 NTFS
D: \Device\HarddiskVolume2 NTFS
E: \Device\HarddiskVolume3 NTFS
K: \Device\HarddiskVolume4 FAT

=========== - Disinfection info:

=========== - USB drive info:

K: selected

USB Device ID:
IDE\DISKMAXTOR_6V080E0__________________________VA111630\5&EBBD404&0&0.0.0

IDE\DISKST3500418AS_____________________________CC46____\5&379CED66&0&1.0.0

USBSTOR\DISK&VEN_&PROD_USB_DISK_2.0&REV_PMAP\070B388592213F42&0

USBSTOR\DISK&VEN_GENERIC-&PROD_COMPACT_FLASH&REV_1.00\20021111153705700&0

USBSTOR\DISK&VEN_GENERIC-&PROD_MS/MS-PRO&REV_1.00\20021111153705700&3

USBSTOR\DISK&VEN_GENERIC-&PROD_SD/MMC&REV_1.00\20021111153705700&2

USBSTOR\DISK&VEN_GENERIC-&PROD_SM/XD-PICTURE&REV_1.00\20021111153705700&1

Fichier supprim‚ - K:\VIDEO.lnk
Fichier supprim‚ - K:\PHOTO FAMIlY.lnk
Fichier supprim‚ - K:\Nouveau dossier.lnk
Fichier supprim‚ - K:\DCIM.lnk
Listing root contents of K:
Le volume dans le lecteur K s'appelle GOURMELIN
Le num‚ro de s‚rie du volume est 4470-FFCF

R‚pertoire de K:\

----------------------------

Par contre, il reste PHOTO FAMIY sur mon disque local E (qui est un disque dur qui me sert pour stocker mes données), du coup, devrais-je utiliser Remediate VBS sur ce disque aussi ou y a t'il une autre solution ?

Bonjour, je rencontre actuellement le même type de problèmes que décris ci-dessus, donc j'ai réalisé l'analyse préconisée avec FRST.

Voici les résultats des analyses :
Shortcut : http://pjjoint.malekal.com/files.php?id=20160625_l13d6q8n8x13
Addition : http://pjjoint.malekal.com/files.php?id=20160625_e6z15j12e13c5
FRST : http://pjjoint.malekal.com/files.php?id=FRST_20160625_h15p14k15k6y7

Je vous remercie par avance de votre réponse :).

Bonjour,

Mon ordinateur a aussi été infecté par ce virus.

J'ai effectuée l'analyse préconisée avec FRST. Voici les 3 rapports :

FRST - ADDITION - SHORTCUT

http://pjjoint.malekal.com/files.php?id=FRST_20160706_g5d5h1513t12
http://pjjoint.malekal.com/files.php?id=20160706_t14o15q11e85
http://pjjoint.malekal.com/files.php?id=20160706_z11h14e12c6f14

Un grand merci pour votre aide!

Bonjour, j'ai également été infecté par un virus du même type, voici les rapports d'analyse :

https://pjjoint.malekal.com/files.php?id=20160812_h5g8r12n13m6

https://pjjoint.malekal.com/files.php?id=FRST_20160812_n14x6m8l7q11

https://pjjoint.malekal.com/files.php?id=20160812_t14p11w11e14j10

Je n'ai pas branché mes clef USB qui ont pu être infecté, fallait-il le faire pendant l'analyse ?

Merci d'avance pour ton aide :)