Virus.Worm.VBS : Clef USB infectée - Video.3gp Résolu/Fermé

Question

Bonjour à tous et à toutes,
Hier, j'ai rentré ma clef USB dans un PC inconnu, et, en la remettant sur mon propre PC, je me suis aperçue qu'elle contenait de nouveaux dossiers nommés "DCIM" "PHOTO FAMILY" "VIDEO" et autres. 
Deux choses :
-Tous ces dossiers sont des raccourcis, qui m'ouvrent de nouvelles fenêtres quand je clique dessus
-Ils réapparaissent directement après la suppression
J'ai donc retiré ma clef USB, mais, malheur, "PHOTO FAMILY" est à présent dans mon disque D: et ne veut pas disparaître.
C'est un dossier manifestement .lnk et voici d'autres informations :
Voilà le chemin : C:\Windows\system32\WScript.exe /e:VBScript.Encode Video.3gp
L'emplacement est system 32
Type de cible : application

Que dois-je faire pour le supprimer de mon PC et pour guérir ma clef USB ?

Merci,

Quelqu'un qui n'est pas sorti couvert

RGESCHE · Accepted Answer

Bonjour,

Suite a l'infection de notre établissement par ce virus, j'ai du développer des contre mesure. Je me permet donc de vous les partager ici.

L'archive se constitue de 2 script et d'un document expliquant la procédure pour ceux n'ayant pas confiance dans les script (enfaite faite avant) ou simplement désirant comprendre les scripts.

Le script anti-video3gp déverolle les clé
Le script anti-video3gp-cleanPC déverolle les postes Windows(mac et Linux n'étant pas infecter)


lien gdrive : https://drive.google.com/file/d/0Bw96BWzgemOmTzV4UGJpTGJyeXc/view?usp=sharing

Malekal_morte- · Answer

Salut,

Il s'agit de cette infection Virus USB VBS.Crypt.

Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).

Télécharge et lance le scan FRST, 3 rapports FRST seront générés :

 FRST.txt
 Shortcut.txt
 Additionnal.txt

Envoie ces 3 rapports sur le site http://pjjoint.malekal.com/ et en retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

 
 
Veuillez appuyer sur une touche pour continuer la désinfection...

Malekal_morte- · Answer

bizarre, les rapports que tu transmets ne sont pas entier.


Je te conseille de désinstaller Spybot, pas super efficace, selon moi. ( Adwares : Antispyware comment ne pas désinfecter son Windows )


Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

Ouvre le bloc-notes : Touche Windows + R, 
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit : 

CreateRestorePoint:CloseProcesses:HKU\S-1-5-21-3744038216-4012881299-519130704-1001\...\Run: [Format Factory] => Cmd.exe /c start WScript.exe /e:VBScript.Encode C:\Users\Clara\AppData\Roaming\Video.3gp C:\Users\Clara\AppData\Roaming\Video.3gp c:\programdata\quicksetTask: C:\Windows\Tasks\SK.Enhancer-S-161304646.job => c:\programdata\quickset\sk.enhancer\SK.Enhancer.exeG/schedule /profile c:\programdata\quickset\sk.enhancer\161304646.iniClaraSK.Enh <==== ATTENTIONreg: reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /freg: reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /fReboot:
Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",
A gauche, place toi sur le Bureau,
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur. 
 
Veuillez appuyer sur une touche pour continuer la désinfection...

JodoDune · Answer

Voilà ce que j'obtiens, le redémarrage c'est fait automatiquement :


fixlist contenu:


CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-3744038216-4012881299-519130704-1001\...\Run: [Format Factory] => Cmd.exe /c start WScript.exe /e:VBScript.Encode C:\Users\Clara\AppData\Roaming\Video.3gp 
C:\Users\Clara\AppData\Roaming\Video.3gp 
Task: C:\Windows\Tasks\SK.Enhancer-S-161304646.job => c:\programdata\quickset\sk.enhancer\SK.Enhancer.exeG/schedule /profile c:\programdata\quickset\sk.enhancer\161304646.iniClaraSK.Enh <==== ATTENTION
reg: reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f
reg: reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f
Reboot:



Erreur: (0) Impossible de créer un point de restauration.
Processus fermé avec succès.
HKU\S-1-5-21-3744038216-4012881299-519130704-1001\Software\Microsoft\Windows\CurrentVersion\Run\Format Factory => valeur supprimé(es) avec succès
Impossible de déplacer "C:\Users\Clara\AppData\Roaming\Video.3gp" => Planifié pour déplacement au redémarrage.
C:\Windows\Tasks\SK.Enhancer-S-161304646.job => non trouvé(e).

========= reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f =========

L'op‚ration a r‚ussi.



========= Fin de Reg: =========


========= reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f =========

L'op‚ration a r‚ussi.



========= Fin de Reg: =========


Résultats du déplacement planifié des fichiers (Mode d'amorçage: Normal) (Date&Heure: 2016-04-09 17:47:27)

C:\Users\Clara\AppData\Roaming\Video.3gp => a été déplacé(e) avec succès
 Fin de Fixlog 17:47:27

Malekal_morte- · Answer

Voilou,

Pour nettoyer tes clefs USB :

1°) Brancher toutes les clefs USB et autres périphériques amovibles.

 Télécharger Remediate VBS Worm
 Lancer l'option B
 Taper la lettre de la clef USB, par exemple, E et entrée
[color=red]ATTENTION: NE PAS INDIQUER LE LECTEUR DE TON DISQUE DUR ![/color]

 Va dans "Mon ordinateur" puis disque "C", un rapport "Rem-VBS.log" doit s'y trouver.
Ouvre ce rapport avec le bloc-notes et copie/colle le contenu ici dans une prochaine réponse.

et ce sera good,

Pour te protéger des infections amovibles type Wscript (Windows Script Host)
Télécharge et installer Marmiton
Clic sur Désactiver au niveau de Windows Script Host.
Marmiton va bloquer les scripts malicieux (VBS, VBE, JavaScript etc). 

Renforce la sécurité de ton Windows : Comment sécuriser mon Windows

JodoDune · Answer

Vous me sauvez ! Rem-VBSworm v7.0 =========== - General info: Running under: Clara on profile: C:\Users\Clara Computer name: ORDINATEUR Operating System: Microsoft Windowsÿ7 dition Familiale Premium Boot Mode: Normal boot Antivirus software installed: avast! Antivirus Executed on: 09/04/2016 @ 17:59:28,67 =========== - Drive info: Listing currently attached drives: Caption Description VolumeName C: Disque fixe local OS D: Disque fixe local Data E: Disque CD-ROM F: Disque amovible Physical drives information: C: \Device\HarddiskVolume2 NTFS D: \Device\HarddiskVolume3 NTFS F: \Device\HarddiskVolume4 exFAT =========== - Disinfection info: =========== - USB drive info: F: selected USB Device ID: IDE\DISKST9320325AS_____________________________0003SDM1\4&19E15798&0&0.0.0 USBSTOR\DISK&VEN_SONY&PROD_STORAGE_MEDIA&REV_PMAP\5C071059D0E3156A71&0 Fichier supprim‚ - F:\PHOTO FAMIlY.lnk Fichier supprim‚ - F:\syncguid.lnk Fichier supprim‚ - F:\VIDEO.lnk Fichier supprim‚ - F:\Nouveau dossier.lnk Fichier supprim‚ - F:\DCIM.lnk Listing root contents of F: Le volume dans le lecteur F n'a pas de nom. Le num‚ro de s‚rie du volume est 2CB9-EDFA R‚pertoire de F:\ 12/10/2015 11:59 121ÿ030 Video.3gp 08/04/2016 13:49 36 syncguid.dat 08/04/2016 13:50 VIDEO 08/04/2016 13:50 DCIM 2 fichier(s) 121ÿ066 octets 2 R‚p(s) 62ÿ146ÿ609ÿ152 octets libres USB drive disinfected and files unhidden!!

Aranud87 · Answer

Eset 4.2...très vieux je te conseil de le mettre à jour en version 9 :

https://www.eset.com/fr/home/products/smart-security/

Trombone · Answer

Bonjour, j'ai également été infecté par un virus du même type, voici les rapports d'analyse :

- Addition : http://pjjoint.malekal.com/files.php?id=20160621_u8b14y15t5k5

- FRST : http://pjjoint.malekal.com/files.php?id=FRST_20160621_n11c6w9z11z12

- Shortcut : http://pjjoint.malekal.com/files.php?id=20160621_i15j10h15x5o7

Je vous remercie d'avance de votre réponse :).

Trombone · Answer

Merci de votre première réponse, voici le texte qui est apparu :

Exécuté par Num (2016-06-21 22:00:29) Run:1
Exécuté depuis C:\Users\Num\Desktop\FRST
Profils chargés: Num (Profils disponibles: Num)
Mode d'amorçage: Normal

==============================================

fixlist contenu:


CreateRestorePoint:
CloseProcesses:
HKLM\...\Run: [Format Factory] => Cmd.exe /c start WScript.exe /e:VBScript.Encode C:\Users\Num\AppData\Roaming\Video.3gp 
HKU\S-1-5-21-1064192849-657113169-665433704-1001\...\Run: [Format Factory] => Cmd.exe /c start WScript.exe /e:VBScript.Encode C:\Users\Num\AppData\Roaming\Video.3gp 
 2016-06-21 19:21 - 2015-10-12 10:59 - 00121030 ___SH C:\Users\Num\AppData\Roaming\Video.3gp 
 Reboot:



Le Point de restauration a été créé avec succès.
Processus fermé avec succès.
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\Format Factory => valeur supprimé(es) avec succès
HKU\S-1-5-21-1064192849-657113169-665433704-1001\Software\Microsoft\Windows\CurrentVersion\Run\Format Factory => valeur supprimé(es) avec succès
Impossible de déplacer "C:\Users\Num\AppData\Roaming\Video.3gp" => Planifié pour déplacement au redémarrage.

Résultats du déplacement planifié des fichiers (Mode d'amorçage: Normal) (Date&Heure: 2016-06-21 22:02:27)

C:\Users\Num\AppData\Roaming\Video.3gp => a été déplacé(e) avec succès
 Fin de Fixlog 22:02:27

Trombone · Answer

Re, j'ai utilisé les logiciels recommandés, donc voici le rapport Rem-VBS :

Rem-VBSworm v8.0

=========== - General info:

Running under: Num on profile: C:\Users\Num
Computer name: JULLIAN-PC

Operating System:
Microsoft Windowsÿ7 dition Int‚grale  

Boot Mode:
Normal boot  

Antivirus software installed:

Executed on: 21/06/2016 @ 22:08:51,91

=========== - Drive info:

Listing currently attached drives:
Caption  Description        VolumeName          

C:       Disque fixe local                      

D:       Disque fixe local  R‚serv‚ au systŠme  

E:       Disque fixe local                      

F:       Disque CD-ROM                          

G:       Disque amovible                        

H:       Disque amovible                        

I:       Disque amovible                        

J:       Disque amovible                        

K:       Disque amovible    GOURMELIN           




Physical drives information:
C: \Device\HarddiskVolume1 NTFS
D: \Device\HarddiskVolume2 NTFS
E: \Device\HarddiskVolume3 NTFS
K: \Device\HarddiskVolume4 FAT

=========== - Disinfection info:


=========== - USB drive info:

K: selected

USB Device ID:
IDE\DISKMAXTOR_6V080E0__________________________VA111630\5&EBBD404&0&0.0.0   

IDE\DISKST3500418AS_____________________________CC46____\5&379CED66&0&1.0.0  

USBSTOR\DISK&VEN_&PROD_USB_DISK_2.0&REV_PMAP\070B388592213F42&0              

USBSTOR\DISK&VEN_GENERIC-&PROD_COMPACT_FLASH&REV_1.00\20021111153705700&0    

USBSTOR\DISK&VEN_GENERIC-&PROD_MS/MS-PRO&REV_1.00\20021111153705700&3        

USBSTOR\DISK&VEN_GENERIC-&PROD_SD/MMC&REV_1.00\20021111153705700&2           

USBSTOR\DISK&VEN_GENERIC-&PROD_SM/XD-PICTURE&REV_1.00\20021111153705700&1    




Fichier supprim‚ - K:\VIDEO.lnk
Fichier supprim‚ - K:\PHOTO FAMIlY.lnk
Fichier supprim‚ - K:\Nouveau dossier.lnk
Fichier supprim‚ - K:\DCIM.lnk
Listing root contents of K:
 Le volume dans le lecteur K s'appelle GOURMELIN
 Le num‚ro de s‚rie du volume est 4470-FFCF

 R‚pertoire de K:\



----------------------------

Par contre, il reste PHOTO FAMIY sur mon disque local E (qui est un disque dur qui me sert pour stocker mes données), du coup, devrais-je utiliser Remediate VBS sur ce disque aussi ou y a t'il une autre solution ?

Soleil · Answer

Bonjour, je rencontre actuellement le même type de problèmes que décris ci-dessus, donc j'ai réalisé l'analyse préconisée avec FRST.

Voici les résultats des analyses : 
Shortcut : http://pjjoint.malekal.com/files.php?id=20160625_l13d6q8n8x13
Addition : http://pjjoint.malekal.com/files.php?id=20160625_e6z15j12e13c5
FRST : http://pjjoint.malekal.com/files.php?id=FRST_20160625_h15p14k15k6y7

Je vous remercie par avance de votre réponse :).

Claire2169 · Answer

Bonjour, 

Mon ordinateur a aussi été infecté par ce virus. 

J'ai effectuée l'analyse préconisée avec FRST. Voici les 3 rapports : 

FRST - ADDITION - SHORTCUT

http://pjjoint.malekal.com/files.php?id=FRST_20160706_g5d5h1513t12
http://pjjoint.malekal.com/files.php?id=20160706_t14o15q11e85
http://pjjoint.malekal.com/files.php?id=20160706_z11h14e12c6f14

Un grand merci pour votre aide!

Popo3728 · Answer

Bonjour, j'ai également été infecté par un virus du même type, voici les rapports d'analyse : 

https://pjjoint.malekal.com/files.php?id=20160812_h5g8r12n13m6

https://pjjoint.malekal.com/files.php?id=FRST_20160812_n14x6m8l7q11

https://pjjoint.malekal.com/files.php?id=20160812_t14p11w11e14j10

Je n'ai pas branché mes clef USB qui ont pu être infecté, fallait-il le faire pendant l'analyse ?

Merci d'avance pour ton aide :)

Malekal_morte- · Answer

Si vous avez besoin d'aide, veuillez créer votre propre sujet en allant dans la partie Virus du forum et en cliquant sur le bouton Poser une question.
Remplissez les champs et envoyer votre demande.

Virus.Worm.VBS : Clef USB infectée - Video.3gp

14 réponses

Fin de Fixlog 17:47:27

Fin de Fixlog 22:02:27

Fin de Fixlog 11:24:36

Fin de Fixlog 23:26:38