virus de clée usb a ordi Résolu/Fermé

Question

Bonjour, 
alors voilà, j'ai passé une clée à quelqu'un pour lui passé un doc, et cet abruti n'avait pas d'antivirus, sur son ordi.
Je me retrouve donc avec un virus, mais bien sur il est coriace!!! j'ai essayée différents logiciels de forums, mais rien ne fonctionnent!!!!

quand j'ouvre la clée, il y a des dossiers qu'il m'est impossible de supprimer, et si je connecte une nouvelle clée elle se retrouve elle aussi infectée.
ces dossiers sont les suivants:
-VIDEO
-PHOTO FAMILY
-DCIM
nouveau dossier

si ce virus parle à quelqu'un....
merci en tout par avance d'une réponse!!!

Configuration: Windows 7 / Firefox 47.0

Malekal_morte- · Answer

Salut,


Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).

Télécharge et lance le scan FRST, 3 rapports FRST seront générés :

 FRST.txt
 Shortcut.txt
 Additionnal.txt

Envoie ces 3 rapports sur le site http://pjjoint.malekal.com/ et en retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

alexy · Answer

merci!
voilà les liens
 http://pjjoint.malekal.com/files.php?id=FRST_20160803_s15e12z11t15r6
 http://pjjoint.malekal.com/files.php?id=20160803_c11q9k9v13i8
 http://pjjoint.malekal.com/files.php?id=20160803_n14g12p13z14r13
j’espère que cette fois cela fonctionnera!!
dans tout les cas merci de votre aide!!

Malekal_morte- · Answer

Ton ordinateur est infecté,

Pour te protéger des infections amovibles type Wscript (Windows Script Host)
Télécharger et installer Marmiton
Clic sur Désactiver au niveau de Windows Script Host.
Marmiton va bloquer les scripts malicieux (VBS, VBE, JavaScript etc). 


puis :

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

Ouvre le bloc-notes : Touche Windows + R, 
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit : 

CreateRestorePoint:CloseProcesses:HKU\S-1-5-21-3342651913-2562215486-469465099-1000\...\Run: [Format Factory] => Cmd.exe /c start WScript.exe /e:VBScript.Encode C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp  2016-04-28 11:57 - 2015-10-12 10:59 - 0121030 ___SH () C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp EmptyTemp:


Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",

A gauche, place toi sur le Bureau,

Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.


Redémarre l'ordinateur. 


et enfin pour nettoyer tes clefs USB :

1°) Brancher toutes les clefs USB et autres périphériques amovibles.

 Télécharger Remediate VBS Worm
 Lancer l'option B
 Taper la lettre de la clef USB, par exemple, E et entrée
[color=red]ATTENTION: NE PAS INDIQUER LE LECTEUR DE TON DISQUE DUR !/color

 Va dans "Mon ordinateur" puis disque "C", un rapport "Rem-VBS.log" doit s'y trouver.
Ouvre ce rapport avec le bloc-notes et copie/colle le contenu ici dans une prochaine réponse.

 
Veuillez appuyer sur une touche pour continuer la désinfection...

alexy · Answer

merci pour tout,
mais j'ai pas pu suivre les instructions pour marmiton:
Clic sur Désactiver au niveau de Windows Script Host
je sais pas ce c'est et il n'y a pas de "bouton" désactiver
il y a désinstaller mettre a jour sauvegarder et modifier
est ce que je fais quand même toutes les autres consignes?

alexy · Answer

voici le texte après redémarrage FRST  


Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 03-08-2016
Exécuté par PC-ALEXY (2016-08-04 21:06:30) Run:2
Exécuté depuis C:\Users\PC-ALEXY\Desktop
Profils chargés: PC-ALEXY (Profils disponibles: PC-ALEXY)
Mode d'amorçage: Normal
==============================================

fixlist contenu:


CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-3342651913-2562215486-469465099-1000\...\Run: [Format Factory] => Cmd.exe /c start WScript.exe /e:VBScript.Encode C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp 
 2016-04-28 11:57 - 2015-10-12 10:59 - 0121030 ___SH () C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp 
EmptyTemp:



Le Point de restauration a été créé avec succès.
Processus fermé avec succès.
HKU\S-1-5-21-3342651913-2562215486-469465099-1000\Software\Microsoft\Windows\CurrentVersion\Run\Format Factory => valeur non trouvé(e).
"C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp" => non trouvé(e).

=========== EmptyTemp: ==========

BITS transfer queue => 8388608 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 6081988 B
Java, Flash, Steam htmlcache => 620 B
Windows/system/drivers => 9414 B
Edge => 0 B
Chrome => 0 B
Firefox => 90837104 B
Opera => 0 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
Public => 0 B
ProgramData => 0 B
systemprofile => 0 B
systemprofile32 => 0 B
LocalService => 0 B
NetworkService => 0 B
PC-ALEXY => 518683 B

RecycleBin => 0 B
EmptyTemp: => 100.9 MB données temporaires supprimées.

================================


Le système a dû redémarrer.
 Fin de Fixlog 21:07:06

alexy · Answer

voilà pour la partie clée usb

Rem-VBSworm v8.0

=========== - General info:

Running under: PC-ALEXY on profile: C:\Users\PC-ALEXY
Computer name: PC-ALEXY-PC

Operating System:
Microsoft Windowsÿ7 dition Familiale Premium  

Boot Mode:
Normal boot  

Antivirus software installed:
AVG AntiVirus Free Edition  


Executed on: 04/08/2016 @ 21:18:36,99

=========== - Drive info:

Listing currently attached drives:
Caption  Description        VolumeName  

C:       Disque fixe local              

D:       Disque fixe local  RECOVERY    

E:       Disque CD-ROM                  




Physical drives information:
C: \Device\HarddiskVolume2 NTFS
D: \Device\HarddiskVolume3 NTFS

=========== - Disinfection info:


=========== - USB drive info:

a: selected

USB Device ID:
IDE\DISKST9500420AS_____________________________0006HPM1\5&13A68E9F&0&0.0.0  




Listing root contents of a:

USB drive disinfected and files unhidden!!



Merci d'avance!!!

alexy · Answer

oups!!! c'est une liseuse elle s'était éteinte désolé 
 erreur réparée!!

Rem-VBSworm v8.0

=========== - General info:

Running under: PC-ALEXY on profile: C:\Users\PC-ALEXY
Computer name: PC-ALEXY-PC

Operating System:
Microsoft Windowsÿ7 dition Familiale Premium  

Boot Mode:
Normal boot  

Antivirus software installed:
AVG AntiVirus Free Edition  


Executed on: 05/08/2016 @ 11:35:17,86

=========== - Drive info:

Listing currently attached drives:
Caption  Description        VolumeName  

C:       Disque fixe local              

D:       Disque fixe local  RECOVERY    

E:       Disque CD-ROM                  

F:       Disque amovible                




Physical drives information:
C: \Device\HarddiskVolume2 NTFS
D: \Device\HarddiskVolume3 NTFS
F: \Device\HarddiskVolume4 FAT

=========== - Disinfection info:


=========== - USB drive info:

a: selected

USB Device ID:
IDE\DISKST9500420AS_____________________________0006HPM1\5&13A68E9F&0&0.0.0  

USBSTOR\DISK&VEN_SAMSUNG&PROD_E65&REV_0323\3230204E6F76&0                    




Listing root contents of a:

USB drive disinfected and files unhidden!!



encore une foois merci!!!

alexy · Answer

ben j'ai toujours ces dossiers et si je demande leur suppression, ils reviennent.
je crois bien que je n’arriverais jamais à m'en défaire!!!

en tout cas merci de m'avoir aider!!

alexy · Answer

petit problème usbfix ne se lance pas
a parti de 80% la fenêtre se ferme et une autre s’ouvre me demandant si je veux la nouvelle version télécharger les mises a jour ou continuer 
quand je ferme cette fenêtre ça m'ouvre une page internet qui emmène sur le site de sos virus qui me demande de télécharger unsbfix
je suis donc coincé

j'ai tout fermé et demandé un redémarrage,  maintenant j'ai un bloc note vide du nom de errorlog qui s'ouvre.

j'ai due faire une grosse con....rie
désolé!!!   un vrai boulet!!!

Malekal_morte- · Answer

humm ok, refais un scan FRST et donne les rapports via pjjoint.

alexy · Answer

cette fois il n'y en a que deux, le shortcut n'y est pas (j'ai relancer deux fois pour voir si se serais toujours pareille)

http://pjjoint.malekal.com/files.php?id=20160805_r13m13d9c5t6
http://pjjoint.malekal.com/files.php?id=FRST_20160805_t13x9h10i6d14

Malekal_morte- · Answer

ok le virus est encore actif.
Dans ta correction précédente, il ne l'était plus, donc je pense que tu as dû réinfecter l'ordinateur ce matin à 11:15 :

2016-08-05 11:55 - 2015-10-12 10:59 - 00121030 ___SH C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp

Ca veut aussi dire que tu n'as pas désactivé Windows Script Host.


Retire toutes les clefs et n'en utilise plus pour le moment.

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

Ouvre le bloc-notes : Touche Windows + R, 
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit : 

CreateRestorePoint:CloseProcesses:Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\errorlog.txt [2016-08-05] ()HKU\S-1-5-21-3342651913-2562215486-469465099-1000\...\Run: [Format Factory] => Cmd.exe /c start WScript.exe  /e:VBScript.Encode C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp reg: reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /freg: reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /fTask: {D640301E-C317-4DCB-9139-7520AF3EBBC4} - System32\Tasks\{DA11261A-BC5F-4784-B0AE-C1B0EDFE7E65} => C:\Users\PC-ALEXY\Downloads\UsbFix_2016_8.248.exe [2016-08-05] (El Desaparecido - SosVirus.net - UsbFix.net)Reboot:


Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",

A gauche, place toi sur le Bureau,

Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.


Redémarre l'ordinateur.


Peux-tu vérifier que sur Marmiton, Windows Script Host est bien désactivé ?
Si c'est le cas, tu mets sur désactiver et clic sur Sauvegarder.

Refais un scan FRST et donne les nouveaux rapports.

alexy · Answer

voici le bloc note après redemarage
Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 03-08-2016
Exécuté par PC-ALEXY (2016-08-05 17:05:01) Run:3
Exécuté depuis C:\Users\PC-ALEXY\Desktop
Profils chargés: PC-ALEXY (Profils disponibles: PC-ALEXY)
Mode d'amorçage: Normal
==============================================

fixlist contenu:


CreateRestorePoint:
CloseProcesses:
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\errorlog.txt [2016-08-05] ()
HKU\S-1-5-21-3342651913-2562215486-469465099-1000\...\Run: [Format Factory] => Cmd.exe /c start WScript.exe  /e:VBScript.Encode C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp
 C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp
 reg: reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f
reg: reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f
Task: {D640301E-C317-4DCB-9139-7520AF3EBBC4} - System32\Tasks\{DA11261A-BC5F-4784-B0AE-C1B0EDFE7E65} => C:\Users\PC-ALEXY\Downloads\UsbFix_2016_8.248.exe [2016-08-05] (El Desaparecido - SosVirus.net - UsbFix.net)
Reboot:



Le Point de restauration a été créé avec succès.
Processus fermé avec succès.
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\errorlog.txt => déplacé(es) avec succès
HKU\S-1-5-21-3342651913-2562215486-469465099-1000\Software\Microsoft\Windows\CurrentVersion\Run\Format Factory => valeur supprimé(es) avec succès
C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp => déplacé(es) avec succès

========= reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f =========

L'op‚ration a r‚ussi.



========= Fin de Reg: =========


========= reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f =========

L'op‚ration a r‚ussi.



========= Fin de Reg: =========

"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{D640301E-C317-4DCB-9139-7520AF3EBBC4}" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{D640301E-C317-4DCB-9139-7520AF3EBBC4}" => clé supprimé(es) avec succès
C:\Windows\System32\Tasks\{DA11261A-BC5F-4784-B0AE-C1B0EDFE7E65} => déplacé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\{DA11261A-BC5F-4784-B0AE-C1B0EDFE7E65}" => clé supprimé(es) avec succès


Le système a dû redémarrer.
 Fin de Fixlog 17:05:26 
WSH est bien désactivé

alexy · Answer

nouveau rapport

http://pjjoint.malekal.com/files.php?id=FRST_20160805_y11q15g6i15b10
http://pjjoint.malekal.com/files.php?id=20160805_1315e9p7j9

tjrs pas de sortcurt par contre

Malekal_morte- · Answer

ok là il est plus actif.

Si WSH n'est plus actif, tu devrais plus infecté ton ordinateur.
Tu as des données à récupérer sur tes clefs USB ou rien ?

alexy · Answer

je sais que je fais ch..er mais je fais quoi maintenant?
je relance usbfix?

alexy · Answer

Merci pour tout!!!
je suis enfin débarrasser de cette cochonnerie!!!

Malekal_morte- · Answer

Super :)

Renforce la sécurité de ton Windows : Comment sécuriser mon Windows

Virus de clée usb a ordi

18 réponses

Fin de Fixlog 21:07:06

Fin de Fixlog 17:05:26

Discussions similaires