Virus de clée usb a ordi

Salut,

Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).

Télécharge et lance le scan FRST, 3 rapports FRST seront générés :

• FRST.txt
• Shortcut.txt
• Additionnal.txt

Envoie ces 3 rapports sur le site http://pjjoint.malekal.com/ et en retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

merci!
voilà les liens
http://pjjoint.malekal.com/files.php?id=FRST_20160803_s15e12z11t15r6
http://pjjoint.malekal.com/files.php?id=20160803_c11q9k9v13i8
http://pjjoint.malekal.com/files.php?id=20160803_n14g12p13z14r13
j’espère que cette fois cela fonctionnera!!
dans tout les cas merci de votre aide!!

Ton ordinateur est infecté,

Pour te protéger des infections amovibles type Wscript (Windows Script Host)
Télécharger et installer Marmiton
Clic sur Désactiver au niveau de Windows Script Host.
Marmiton va bloquer les scripts malicieux (VBS, VBE, JavaScript etc).

puis :

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

Ouvre le bloc-notes : Touche Windows + R,
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit :

CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-3342651913-2562215486-469465099-1000\...\Run: [Format Factory] => Cmd.exe /c start WScript.exe /e:VBScript.Encode C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp 
 2016-04-28 11:57 - 2015-10-12 10:59 - 0121030 ___SH () C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp 
EmptyTemp:

Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",

A gauche, place toi sur le Bureau,

Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.

et enfin pour nettoyer tes clefs USB :

1°) Brancher toutes les clefs USB et autres périphériques amovibles.

• Télécharger Remediate VBS Worm
• Lancer l'option B
• Taper la lettre de la clef USB, par exemple, E et entrée

[color=red]ATTENTION: NE PAS INDIQUER LE LECTEUR DE TON DISQUE DUR !/color

• Va dans "Mon ordinateur" puis disque "C", un rapport "Rem-VBS.log" doit s'y trouver.

Ouvre ce rapport avec le bloc-notes et copie/colle le contenu ici dans une prochaine réponse.

Veuillez appuyer sur une touche pour continuer la désinfection...

merci pour tout,
mais j'ai pas pu suivre les instructions pour marmiton:
Clic sur Désactiver au niveau de Windows Script Host
je sais pas ce c'est et il n'y a pas de "bouton" désactiver
il y a désinstaller mettre a jour sauvegarder et modifier
est ce que je fais quand même toutes les autres consignes?

voici le texte après redémarrage FRST

Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 03-08-2016
Exécuté par PC-ALEXY (2016-08-04 21:06:30) Run:2
Exécuté depuis C:\Users\PC-ALEXY\Desktop
Profils chargés: PC-ALEXY (Profils disponibles: PC-ALEXY)
Mode d'amorçage: Normal
==============================================

fixlist contenu:
CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-3342651913-2562215486-469465099-1000\...\Run: [Format Factory] => Cmd.exe /c start WScript.exe /e:VBScript.Encode C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp
2016-04-28 11:57 - 2015-10-12 10:59 - 0121030 ___SH () C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp
EmptyTemp:

Le Point de restauration a été créé avec succès.
Processus fermé avec succès.
HKU\S-1-5-21-3342651913-2562215486-469465099-1000\Software\Microsoft\Windows\CurrentVersion\Run\\Format Factory => valeur non trouvé(e).
"C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp" => non trouvé(e).

=========== EmptyTemp: ==========

BITS transfer queue => 8388608 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 6081988 B
Java, Flash, Steam htmlcache => 620 B
Windows/system/drivers => 9414 B
Edge => 0 B
Chrome => 0 B
Firefox => 90837104 B
Opera => 0 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
Public => 0 B
ProgramData => 0 B
systemprofile => 0 B
systemprofile32 => 0 B
LocalService => 0 B
NetworkService => 0 B
PC-ALEXY => 518683 B

RecycleBin => 0 B
EmptyTemp: => 100.9 MB données temporaires supprimées.

================================

Le système a dû redémarrer.

Fin de Fixlog 21:07:06

voilà pour la partie clée usb

Rem-VBSworm v8.0

=========== - General info:

Running under: PC-ALEXY on profile: C:\Users\PC-ALEXY
Computer name: PC-ALEXY-PC

Operating System:
Microsoft Windowsÿ7 dition Familiale Premium

Boot Mode:
Normal boot

Antivirus software installed:
AVG AntiVirus Free Edition

Executed on: 04/08/2016 @ 21:18:36,99

=========== - Drive info:

Listing currently attached drives:
Caption Description VolumeName

C: Disque fixe local

D: Disque fixe local RECOVERY

E: Disque CD-ROM

Physical drives information:
C: \Device\HarddiskVolume2 NTFS
D: \Device\HarddiskVolume3 NTFS

=========== - Disinfection info:

=========== - USB drive info:

a: selected

USB Device ID:
IDE\DISKST9500420AS_____________________________0006HPM1\5&13A68E9F&0&0.0.0

Listing root contents of a:

USB drive disinfected and files unhidden!!

Merci d'avance!!!

oups!!! c'est une liseuse elle s'était éteinte désolé
erreur réparée!!

Rem-VBSworm v8.0

=========== - General info:

Running under: PC-ALEXY on profile: C:\Users\PC-ALEXY
Computer name: PC-ALEXY-PC

Operating System:
Microsoft Windowsÿ7 dition Familiale Premium

Boot Mode:
Normal boot

Antivirus software installed:
AVG AntiVirus Free Edition

Executed on: 05/08/2016 @ 11:35:17,86

=========== - Drive info:

Listing currently attached drives:
Caption Description VolumeName

C: Disque fixe local

D: Disque fixe local RECOVERY

E: Disque CD-ROM

F: Disque amovible

Physical drives information:
C: \Device\HarddiskVolume2 NTFS
D: \Device\HarddiskVolume3 NTFS
F: \Device\HarddiskVolume4 FAT

=========== - Disinfection info:

=========== - USB drive info:

a: selected

USB Device ID:
IDE\DISKST9500420AS_____________________________0006HPM1\5&13A68E9F&0&0.0.0

USBSTOR\DISK&VEN_SAMSUNG&PROD_E65&REV_0323\3230204E6F76&0

Listing root contents of a:

USB drive disinfected and files unhidden!!

encore une foois merci!!!

ben j'ai toujours ces dossiers et si je demande leur suppression, ils reviennent.
je crois bien que je n’arriverais jamais à m'en défaire!!!

en tout cas merci de m'avoir aider!!

petit problème usbfix ne se lance pas
a parti de 80% la fenêtre se ferme et une autre s’ouvre me demandant si je veux la nouvelle version télécharger les mises a jour ou continuer
quand je ferme cette fenêtre ça m'ouvre une page internet qui emmène sur le site de sos virus qui me demande de télécharger unsbfix
je suis donc coincé

j'ai tout fermé et demandé un redémarrage, maintenant j'ai un bloc note vide du nom de errorlog qui s'ouvre.

j'ai due faire une grosse con....rie
désolé!!! un vrai boulet!!!

humm ok, refais un scan FRST et donne les rapports via pjjoint.

cette fois il n'y en a que deux, le shortcut n'y est pas (j'ai relancer deux fois pour voir si se serais toujours pareille)

http://pjjoint.malekal.com/files.php?id=20160805_r13m13d9c5t6
http://pjjoint.malekal.com/files.php?id=FRST_20160805_t13x9h10i6d14

ok le virus est encore actif.
Dans ta correction précédente, il ne l'était plus, donc je pense que tu as dû réinfecter l'ordinateur ce matin à 11:15 :

2016-08-05 11:55 - 2015-10-12 10:59 - 00121030 ___SH C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp

Ca veut aussi dire que tu n'as pas désactivé Windows Script Host.

Retire toutes les clefs et n'en utilise plus pour le moment.

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

Ouvre le bloc-notes : Touche Windows + R,
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit :

CreateRestorePoint:
CloseProcesses:
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\errorlog.txt [2016-08-05] ()
HKU\S-1-5-21-3342651913-2562215486-469465099-1000\...\Run: [Format Factory] => Cmd.exe /c start WScript.exe  /e:VBScript.Encode C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp
 C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp
 reg: reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f
reg: reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f
Task: {D640301E-C317-4DCB-9139-7520AF3EBBC4} - System32\Tasks\{DA11261A-BC5F-4784-B0AE-C1B0EDFE7E65} => C:\Users\PC-ALEXY\Downloads\UsbFix_2016_8.248.exe [2016-08-05] (El Desaparecido - SosVirus.net - UsbFix.net)
Reboot:

Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",

A gauche, place toi sur le Bureau,

Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.

Peux-tu vérifier que sur Marmiton, Windows Script Host est bien désactivé ?
Si c'est le cas, tu mets sur désactiver et clic sur Sauvegarder.

Refais un scan FRST et donne les nouveaux rapports.

voici le bloc note après redemarage
Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 03-08-2016
Exécuté par PC-ALEXY (2016-08-05 17:05:01) Run:3
Exécuté depuis C:\Users\PC-ALEXY\Desktop
Profils chargés: PC-ALEXY (Profils disponibles: PC-ALEXY)
Mode d'amorçage: Normal
==============================================

fixlist contenu:
CreateRestorePoint:
CloseProcesses:
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\errorlog.txt [2016-08-05] ()
HKU\S-1-5-21-3342651913-2562215486-469465099-1000\...\Run: [Format Factory] => Cmd.exe /c start WScript.exe /e:VBScript.Encode C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp
C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp
reg: reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f
reg: reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f
Task: {D640301E-C317-4DCB-9139-7520AF3EBBC4} - System32\Tasks\{DA11261A-BC5F-4784-B0AE-C1B0EDFE7E65} => C:\Users\PC-ALEXY\Downloads\UsbFix_2016_8.248.exe [2016-08-05] (El Desaparecido - SosVirus.net - UsbFix.net)
Reboot:

Le Point de restauration a été créé avec succès.
Processus fermé avec succès.
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\errorlog.txt => déplacé(es) avec succès
HKU\S-1-5-21-3342651913-2562215486-469465099-1000\Software\Microsoft\Windows\CurrentVersion\Run\\Format Factory => valeur supprimé(es) avec succès
C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp => déplacé(es) avec succès

========= reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f =========

L'op‚ration a r‚ussi.

========= Fin de Reg: =========

========= reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f =========

L'op‚ration a r‚ussi.

========= Fin de Reg: =========

"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{D640301E-C317-4DCB-9139-7520AF3EBBC4}" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{D640301E-C317-4DCB-9139-7520AF3EBBC4}" => clé supprimé(es) avec succès
C:\Windows\System32\Tasks\{DA11261A-BC5F-4784-B0AE-C1B0EDFE7E65} => déplacé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\{DA11261A-BC5F-4784-B0AE-C1B0EDFE7E65}" => clé supprimé(es) avec succès

Le système a dû redémarrer.

Fin de Fixlog 17:05:26

WSH est bien désactivé

nouveau rapport

http://pjjoint.malekal.com/files.php?id=FRST_20160805_y11q15g6i15b10
http://pjjoint.malekal.com/files.php?id=20160805_1315e9p7j9

tjrs pas de sortcurt par contre

ok là il est plus actif.

Si WSH n'est plus actif, tu devrais plus infecté ton ordinateur.
Tu as des données à récupérer sur tes clefs USB ou rien ?

je sais que je fais ch..er mais je fais quoi maintenant?
je relance usbfix?

Merci pour tout!!!
je suis enfin débarrasser de cette cochonnerie!!!

Super :)

Renforce la sécurité de ton Windows : Comment sécuriser mon Windows