Virus clé USB (dossiers transformés en raccourcis)

Résolu/Fermé
inculteweb -  
Bonjour,
Après avoir utilisé ma clé dans un des ordinateurs de l'école où je travaille, tous les dossiers sur ma clé USB se sont "transformés" en raccourcis. Comme je n'y connais rien, j'ai pensé qu'en reformatant, et ré-enregistant les documents je me débarrasserais du problème mais ce n'est pas le cas!
J'ai fait tous les scannages possibles mais rien à faire! J'ai cherché des réponses dans les forums mais je n'ai pas réussi à les appliquer. En plus, j'ai filé le virus à une autre clé et je suppose donc qu'il est sur mon pc!
HELP¨!!!!! :)

Merci d'avance

11 réponses

  1.  Malekal_morte- Modérateur
    Salut

    Suis le tutoriel FRST https://www.malekal.com/tutoriel-farbar-recovery-scan-tool-frst/
    (et bien prendre le temps de lire afin d'appliquer correctement - tout y est expliqué).
    Télécharge et lance le scan FRST, cela va générer trois rapports FRST :
    • FRST.txt
    • Shortcut.txt
    • Additionnal.txt


    Envoie, comme expliqué, ces trois rapports sur le site http://pjjoint.malekal.com et en retour donne les trois liens pjjoint qui mènent à  ses rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

    --
    0
  3. Malekal_morte- Modérateur
    Je te conseille de désinstaller McAfee Security Scan car c'est avant tout un programme markéting proposé à l'installation d'autres logiciels ( comme Adobe Flash) pour final tenter de te vendre l'antivirus.

    ~~

    Pour te protéger des infections amovibles type Wscript (Windows Script Host)
    Télécharger et installer Marmiton
    (le mot de passe est malekal)
    Clic sur Désactiver au niveau de Windows Script Host.
    Marmiton va bloquer les scripts malicieux (VBS, VBE, JavaScript etc).

    Voici la correction à effectuer avec FRST. Tu peux t'aider de cette https://www.malekal.com/tutoriel-farbar-recovery-scan-tool-frst/#fixnote explicative avec des captures d'écran].

    Ouvre le bloc-notes : Touche Windows + R,
    Dans le champs "Exécuter", saisir notepad et OK.
    Copie/Colle dedans ce qui suit : 

    CreateRestorePoint:
     HKU\S-1-5-21-3336912884-4033902612-377593174-1000\...\Run: [MicroDump] => wscript.exe //B C:\Users\Audrey\AppData\Roaming\MicroDump.vbs 
    C:\Users\Audrey\AppData\Roaming\MicroDump.vbs 
     2016-05-22 11:21 - 2016-05-22 11:21 - 04027752 _____ (Zbshareware Lab ) C:\Users\Audrey\Downloads\setup.exe  
     2016-05-22 11:04 - 2016-05-22 15:29 - 00000000 ____D C:\ProgramData\GPCWValidator 
     2016-05-22 11:04 - 2016-05-22 11:04 - 00000000 ____D C:\Users\Audrey\AppData\Roaming\FileOpenerWindows 
     2016-05-22 09:42 - 2016-03-09 22:23 - 00351976 ___SH C:\Users\Audrey\AppData\Roaming\MicroDump.vbs 
    Reboot:


    Une fois, le texte collé dans le Bloc-notes,
    Menu "Fichier" puis "Enregistrer sous",
    A gauche, place toi sur le Bureau,
    Dans le champs en bas, nom du fichier mets : fixlist.txt
    Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

    Relance FRST et clique sur le bouton "Corriger / Fix"
    Un redémarrage sera peut-être nécessaire ( pas obligatoire )
    Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.

    Redémarre l'ordinateur.

    1°) Brancher toutes les clefs USB et autres périphériques amovibles.
    • Télécharger Remediate VBS Worm
    • Lancer l'option B
    • Taper la lettre de la clef USB, par exemple, E et entrée

    [color=red]ATTENTION: NE PAS INDIQUER LE LECTEUR DE TON DISQUE DUR !/color
    • Va dans "Mon ordinateur" puis disque "C", un rapport "Rem-VBS.log" doit s'y trouver.

    Ouvre ce rapport avec le bloc-notes et copie/colle le contenu ici dans une prochaine réponse.

    0
    1. inculteweb Auteur
      Rem-VBSworm v7.0

      =========== - General info:

      Running under: Audrey on profile: C:\Users\Audrey
      Computer name: AUDREY-PC

      Operating System:
      Microsoft Windowsÿ7 dition Familiale Premium

      Boot Mode:
      Normal boot

      Antivirus software installed:
      avast! Antivirus

      Executed on: dim. 22/05/2016 @ 18:21:14,87

      =========== - Drive info:

      Listing currently attached drives:
      Caption Description VolumeName

      C: Disque fixe local Packard Bell

      D: Disque CD-ROM

      E: Disque amovible

      F: Disque amovible

      G: Disque amovible

      Physical drives information:
      C: \Device\HarddiskVolume3 NTFS
      F: \Device\HarddiskVolume4 FAT
      G: \Device\HarddiskVolume6 FAT

      =========== - Disinfection info:

      =========== - USB drive info:

      f g: selected

      USB Device ID:
      IDE\DISKHITACHI_HTS545025B9A300_________________PB2OC60F\4&D22C5F5&0&0.0.0

      USBSTOR\DISK&VEN_&PROD_USB_FLASH_MEMORY&REV_PMAP\00187D0F5673EEA0F000A22F&0

      USBSTOR\DISK&VEN_GENERIC-&PROD_MULTI-CARD&REV_1.00\20090516388200000&0

      USBSTOR\DISK&VEN_PROLIFIC&PROD_USB_FLASH_DISK&REV_1.00\7&3074F6CA&0

      Fichier supprim‚ - g:\LIVRES.lnk
      Fichier supprim‚ - g:\SIV3.lnk
      Fichier supprim‚ - g:\EXCELLENTS FILMS.lnk
      Fichier supprim‚ - g:\WMPInfo.lnk
      Fichier supprim‚ - g:\La Londe en Avion.lnk
      Fichier supprim‚ - g:\System Volume Information.lnk
      Fichier supprim‚ - g:\anne.lnk
      Fichier supprim‚ - g:\anne\~WRL0006.tmp
      Fichier supprim‚ - g:\anne\~WRL0007.tmp
      Fichier supprim‚ - g:\anne\~WRL2893.tmp
      Fichier supprim‚ - g:\anne\~WRL0002.tmp
      Fichier supprim‚ - g:\anne\~WRL0005.tmp
      Fichier supprim‚ - g:\anne\~WRL0001.tmp
      Fichier supprim‚ - g:\anne\~WRL0003.tmp
      Fichier supprim‚ - g:\anne\~WRL1364.tmp
      Fichier supprim‚ - g:\anne\~WRL0004.tmp
      Fichier supprim‚ - g:\anne\~WRL3745.tmp
      Fichier supprim‚ - g:\anne\~WRL1659.tmp
      Fichier supprim‚ - g:\anne\~WRL2385.tmp
      Fichier supprim‚ - g:\anne\~WRL0807.tmp
      Fichier supprim‚ - g:\anne\~WRL4065.tmp
      Fichier supprim‚ - g:\anne\~WRL1873.tmp
      Fichier supprim‚ - g:\anne\~WRL0047.tmp
      Fichier supprim‚ - g:\anne\~WRL1310.tmp
      Listing root contents of f g:
      Le volume dans le lecteur C s'appelle Packard Bell
      Le num‚ro de s‚rie du volume est 00EA-C126

      R‚pertoire de C:\Windows\system32

      Le volume dans le lecteur G n'a pas de nom.

      R‚pertoire de G:\

      USB drive disinfected and files unhidden!!

      =========== - USB drive info:

      f: selected

      USB Device ID:
      IDE\DISKHITACHI_HTS545025B9A300_________________PB2OC60F\4&D22C5F5&0&0.0.0

      USBSTOR\DISK&VEN_&PROD_USB_FLASH_MEMORY&REV_PMAP\00187D0F5673EEA0F000A22F&0

      USBSTOR\DISK&VEN_GENERIC-&PROD_MULTI-CARD&REV_1.00\20090516388200000&0

      USBSTOR\DISK&VEN_PROLIFIC&PROD_USB_FLASH_DISK&REV_1.00\7&3074F6CA&0

      Fichier supprim‚ - f:\interro grandes d‚c & hum.lnk
      Fichier supprim‚ - f:\Les droits sexuels et reproductifs_‚l.lnk
      Fichier supprim‚ - f:\PROF_Les droits sexuels et reproductifs.lnk
      Fichier supprim‚ - f:\rome_‚lŠves.lnk
      Fichier supprim‚ - f:\MicroDump.vbs
      Fichier supprim‚ - f:\WinLeft.vbs
      Listing root contents of f:
      Le volume dans le lecteur F n'a pas de nom.
      Le num‚ro de s‚rie du volume est 0EA5-77FB

      R‚pertoire de F:\

      22/05/2016 11:44 921.472 interro grandes d‚c & hum.docx
      22/05/2016 11:44 2.978.788 PROF_Les droits sexuels et reproductifs.docx
      22/05/2016 11:45 2.970.875 Les droits sexuels et reproductifs_‚l.docx
      22/05/2016 11:45 2.233.289 rome_‚lŠves.docx
      4 fichier(s) 9.104.424 octets
      0 R‚p(s) 7.777.366.016 octets libres

      USB drive disinfected and files unhidden!!

      =========== - USB drive info:

      g: selected

      USB Device ID:
      IDE\DISKHITACHI_HTS545025B9A300_________________PB2OC60F\4&D22C5F5&0&0.0.0

      USBSTOR\DISK&VEN_&PROD_USB_FLASH_MEMORY&REV_PMAP\00187D0F5673EEA0F000A22F&0

      USBSTOR\DISK&VEN_GENERIC-&PROD_MULTI-CARD&REV_1.00\20090516388200000&0

      USBSTOR\DISK&VEN_PROLIFIC&PROD_USB_FLASH_DISK&REV_1.00\7&3074F6CA&0

      Fichier supprim‚ - g:\MicroDump.vbs
      Fichier supprim‚ - g:\WinLeft.vbs
      Fichier supprim‚ - g:\SIV3.tmp
      WARNING!! Possible Andromeda/Gamarue infection!!
      Listing root contents of g:
      Le volume dans le lecteur G n'a pas de nom.
      Le num‚ro de s‚rie du volume est 0000-0000

      R‚pertoire de G:\

      07/10/2003 09:10 <REP> anne
      18/01/2006 20:36 296 WMPInfo.xml
      03/09/2011 10:48 65.024 LIVRES.doc
      08/11/2011 08:27 15.249 EXCELLENTS FILMS.docx
      31/01/2012 14:23 17.171 La Londe en Avion.docx
      22/05/2016 18:23 <REP> Autorun.inf
      4 fichier(s) 97.740 octets
      3 R‚p(s) 130.646.016 octets libres

      USB drive disinfected and files unhidden!!
      0
      2. Malekal_morte- Modérateur
        ok :)

        Refais un scan FRST et donne les rapports pour contrôler que tout va bien.
        0
        1. inculteweb Auteur
          C'est fait! Je l'envoie quelque part?
          0
          3. inculteweb Auteur
            Tout fonctionne parfaitement!!
            Merci beaucoup et bonne soirée
            0
            1. Malekal_morte- Modérateur
              Super =)

              Garde marmiton, il va limiter ce type d'infection =)

              Renforce la sécurité de ton Windows : Comment sécuriser mon Windows

              0
              1. PACOU689
                Bonjour,

                J'ai également le même problème de virus de clé USB. J'ai téléchargé FRST et lancé un scan. J'ai donc bien obtenu mes trois fichiers Addition, Shortcut et FRST.
                Quelqu'un peut-il me venir en aide à présent pour faire suite aux opérations ?
                Mci par avance
                Pascal
                0
              2. Malekal_morte- Modérateur
                @PACOU689Salut,

                Donne les liens via http://pjjoint.malekal.com
                0
              4. Malekal_morte- Modérateur
                @PACOU689Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

                Ouvre le bloc-notes : Touche Windows + R,
                Dans le champs "Exécuter", saisir notepad et OK.
                Copie/Colle dedans ce qui suit : 

                CreateRestorePoint:
                CloseProcesses:
                HKU\S-1-5-21-3133978997-74049757-2802022764-1006\...\Run: [MicroDump] => wscript.exe //B "C:\Documents and Settings\PROPRIETAIRE\Application Data\MicroDump.vbs"
                HKLM\...\Run: [MicroDump] => wscript.exe //B "C:\Documents and Settings\PROPRIETAIRE\Application Data\MicroDump.vbs"
                2016-08-02 15:21 - 2016-03-21 15:08 - 00351976 ___SH C:\Documents and Settings\PROPRIETAIRE\Application Data\MicroDump.vbs
                reg: reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f
                reg: reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f
                reboot:


                Une fois, le texte collé dans le Bloc-notes,
                Menu "Fichier" puis "Enregistrer sous",

                A gauche, place toi sur le Bureau,

                Dans le champs en bas, nom du fichier mets : fixlist.txt
                Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

                Relance FRST et clique sur le bouton "Corriger / Fix"
                Un redémarrage sera peut-être nécessaire ( pas obligatoire )
                Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.

                Redémarre l'ordinateur.

                2/
                Pour te protéger des infections amovibles type Wscript (Windows Script Host)
                Télécharger et installer Marmiton
                Clic sur Désactiver au niveau de Windows Script Host.
                Sauvegarde les modifications (bouton sauvegarder)
                Marmiton va bloquer les scripts malicieux (VBS, VBE, JavaScript etc).

                3/
                Pour nettoyer tes clefs USB :
                Lancer "Remediate VBS Worm"
                • Lancer l'option B
                • Taper la lettre de la clef USB, par exemple, E et entrée

                [color=red]ATTENTION: NE PAS INDIQUER LE LECTEUR DE TON DISQUE DUR !/color
                • Va dans "Mon ordinateur" puis disque "C", un rapport "Rem-VBS.log" doit s'y trouver.

                Ouvre ce rapport avec le bloc-notes et copie/colle le contenu ici dans une prochaine réponse.
                0
              5. PACOU689
                @Malekal_morte-Merci, cependant j'ai un problème :
                Lorsque j'ai nommé le fichier txt FIXLIST sur bloc note, j'ai dû mal le nommer ce qui a fait que FRST m'a rejeté (le temps que je m'en rends compte !) en me disant que je ne sais pas trop quoi faire alors il a fermé et impossible de relancer, il me donne systématiquement la même réponse !!!
                Que dois-je faire pour continuer la procédure sachant qu'à présent le fichier txt de bloc note est bien noté ce coup-ci fixlist.txt.
                A+
                0
            2. Malekal_morte- Modérateur
              Trop de demande.

              Si vous avez besoin d'aide, veuillez créer votre propre sujet en allant dans la partie Virus du forum et en cliquant sur le bouton Poser une question.
              Remplissez les champs et envoyer votre demande.



              0

              Discussions similaires

              Adaptateur USB pour le WIFI 7 ...
              toinou90

              14 réponses
              Clé USB illisible
              natte-a-chat

              19 réponses