Trojan Necurs, Kovter, WeatherBlink et virus USB Fermé

Question

(Le message je l'ai copié car je rencontre exactement les mêmes difficultés. Ça fait pas mal de temps que je suis confronté à ce problème )

Bonjour ou bonsoir, 
J'ai connecté ma clé USB sur un ordi au Taxiphone (pour imprimer) et quand je l'ai ré-ouverte sur mon ordi, j'ai constaté que tous les fichiers qu'elle contenait ont été changés en raccourcis qui portent les mêmes noms. J'arrive quand même à les ouvrir. 
Lorsque je supprime les raccourcis, ils reviennent/réapparaîssent et j'arrive toujours à les ouvrir même après avoir tenté de les supprimer. 
J'ai copiés tous les fichiers/raccourcis de ma clé sur mon ordinateur; puis les ai supprimés de ma clé; j'ai ensuite formaté ma clé et cette fois-ci les raccourcis supprimés ne sont pas réapparu. 
Mais cela ne dura pas... J'ai testé en replaçant d'autres fichiers dans ma clé et peu de secondes après ils se sont transformés en raccourcis, toujours accessibles même après tentative de leur suppression. 
Aussi, les fichiers présents sur mon ordinateur copiés depuis ma clé USB (et supprimés définitivement de ma clé par la suite grâce au formatage) ne peuvent plus s'ouvrir affichent "Windows n'a pas pu trouver "iTunesHelper.vbe" ou encore "Windows n'a pas pu ouvrir/trouver *nomdufichier*" 
J'ai effectué un scan avec Antivir (l'antivirus) mais d'après lui, "aucun virus détecté". 
Pouvant toujours accéder à mes fichiers même s'ils sont sous forme de raccourcis ne devrait pas me déranger, toutefois j'ai lu sur d'autres forums qu'il s'agissait d'un virus et j'ai également constaté qu'il fallait un "accompagnateur" pour nous guider dans le suivi et la résolution du problème. C'est pourquoi je fais appel à votre aide et vous en remercie d'avance pour votre attention.

Malekal_morte- · Answer

Salut,


Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).

Télécharge et lance le scan FRST, 3 rapports FRST seront générés :

 FRST.txt
 Shortcut.txt
 Additionnal.txt

Envoie ces 3 rapports sur le site http://pjjoint.malekal.com/ et en retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

Malekal_morte- · Answer

bon ton ordinateur est super infecté, pas mal de trojans...

Trojan Necurs, Kovter et ton infection amovible...

Désinstalle WeatherBlink : adware.

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

Ouvre le bloc-notes : Touche Windows + R,
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit :

CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-4196973683-1283291726-2806412674-1000\...\Run: [winlogon] => C:\Users\SEVERIN\AppData\Local\Temp\winlogon.bat [83 2016-02-09] () <===== ATTENTION 
 HKU\S-1-5-21-4196973683-1283291726-2806412674-1000\...\Run: [{51D9020E-69BB-4883-96FE-7CEEAAD41CF8}] => powershell.exe -noprofile -windowstyle hidden -executionpolicy bypass iex ([Text.Encoding]::ASCII.GetString([Convert]::FromBase64String((gp 'HKCU:\Software\Classes\KBWQDXIKMIYY').esmFZCcQULztcAj))); 
 HKU\S-1-5-21-4196973683-1283291726-2806412674-1000\...\Run: [syshost32] => C:\Users\SEVERIN\AppData\Local\{20467185-22D9-3BDE-F015-0AC7CF2CA55A}\syshost.exe 
 HKU\S-1-5-21-4196973683-1283291726-2806412674-1000\...\CurrentVersion\Windows: [Load] C:\ProgramData\msdzoa.exe <===== ATTENTION 
 HKLM-x32\...\Run: [syshost32] => C:\Windows\Installer\{87329E24-334F-0C56-3B53-BD2E1B0CF0EC}\syshost.ex 
HKLM\...\Run: [WeatherBlink Home Page Guard 64 bit] => C:\Program Files (x86)\WeatherBlink\bar\1.bin\AppIntegrator64.exe [485960 2014-06-13] ( )  
 HKLM-x32\...\Run: [WeatherBlink EPM Support] => C:\Program Files (x86)\WeatherBlink\bar\1.bin\gcmedint.exe [12872 2014-06-13] (Mindspark Interactive Network, Inc.)  
 HKLM-x32\...\Run: [WeatherBlink Search Scope Monitor] => C:\Program Files (x86)\WeatherBlink\bar\1.bin\gcSrchMn.exe [55368 2014-06-13] (Mindspark)  
 HKLM-x32\...\Run: [WeatherBlink Browser Plugin Loader] => C:\Program Files (x86)\WeatherBlink\bar\1.bin\gcbrmon.exe [61512 2014-06-13] (VER_COMPANY_NAME)  
 HKLM-x32\...\Run: [WeatherBlink Browser Plugin Loader 64] => C:\Program Files (x86)\WeatherBlink\bar\1.bin\gcbrmon64.exe [71752 2014-06-13] (VER_COMPANY_NAME) 
  Startup: C:\Users\SEVERIN\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\winlogon.bat [2016-06-02] ()  
   R2 WeatherBlinkService; C:\Program Files (x86)\WeatherBlink\bar\1.bin\gcbarsvc.exe [88648 2014-06-13] (COMPANYVERS_NAME)  
 2015-05-05 07:03 - 2007-04-08 17:14 - 0479744 _____ () C:\Users\SEVERIN\AppData\Roaming\smss.exe 
 2015-05-07 07:42 - 2007-04-08 17:14 - 0479744 _____ () C:\Users\SEVERIN\AppData\Roaming\svchost.exe 
 2015-07-15 15:02 - 2015-06-15 21:42 - 90346240 ___SH () C:\ProgramData\msdzoa.exe  
 C:\Users\SEVERIN\AppData\Local\Temp\winlogon.bat 
 C:\ProgramData\msdzoa.exe  
 ShortcutWithArgument: C:\Users\SEVERIN\Desktop\Internet Explorer.lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://www.bahaty.com/red/e.php
ShortcutWithArgument: C:\Users\SEVERIN\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Internet Explorer.LNK -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://www.bahaty.com/red/f.php
reg: reg delete "HKCU\Software\Classes\KBWQDXIKMIYY"
 Reboot:

Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",
A gauche, place toi sur le Bureau,

Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.

Utilise le fix NOD32 donné dans cette FAQ : Supprimer Trojan Necurs,

refais un scan FRST et donne les nouveaux rapports via pjjoint.

Veuillez appuyer sur une touche pour continuer la désinfection...

Trojan Necurs, Kovter, WeatherBlink et virus USB

2 réponses

Discussions similaires