virus Win32:Neredr [Drp]

Question

Bonjour,
je suis infecté du virus Win32:Neredr [Drp]
Dès que je lance le scan avast voici ce qu'il m'écrit dans les actions:
Il explique qu'une erreur est survenue lors du déplacement vers la zone de quarantaine et que l'opération n'est pas supportée pour ce type d'archive.
Je vous avoue que j'y comprend pas grand chose.
Si une bonne âme pouvait m'aider.
Merci d'avance

jfkpresident · Answer

Bonsoir ;

1) Imprime ces instructions car il faudra fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.

2) Télécharge Malwarebytes' Anti-Malware (MBAM) et enregistre le sur ton Bureau à partir de ce lien :

https://www.malwarebytes.com/

3) A la fin du téléchargement, ferme toutes les fenêtres et programmes, y compris celui-ci.

4) Double-clique sur l'icône Download_mbam-setup.exe sur ton bureau pour démarrer le programme d'installation.

5) Pendant l'installation, suis les indications (en particulier le choix de la langue et l'autorisation d'accession à Internet). N'apporte aucune modification aux réglages par défaut et, en fin d'installation, vérifie que les options Update Malwarebytes' Anti-Malware et Launch Malwarebytes' Anti-Malware sont cochées.

6) MBAM démarrera automatiquement et enverra un message demandant à mettre à jour le programme avant de lancer une analyse. Comme MBAM se met automatiquement à jour en fin d'installation, clique sur OK pour fermer la boîte de dialogue. La fenêtre principale de MBAM s'affiche :

7) Dans l'onglet analyse, vérifie que "Exécuter un examen complet" est coché et clique sur le bouton Rechercher pour démarrer l'analyse.

8) MBAM analyse ton ordinateur. L'analyse peut prendre un certain temps. Il suffit de vérifier de temps en temps son avancement.

9) A la fin de l'analyse, un message s'affiche indiquant la fin de l'analyse. Clique sur OK pour poursuivre.

10) Si des malwares ont été détectés, leur liste s'affiche.
En cliquant sur Suppression (?) , MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.

11) MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Ferme le Bloc-notes. (Le rapport peut être retrouvé sous l'onglet Rapports/logs)

12) Ferme MBAM en cliquant sur Quitter.

13) Poste le rapport dans ta réponse

jfkpresident · Answer

Télécharges ComboFix à partir d'un de ces liens :

http://download.bleepingcomputer.com/sUBs/ComboFix.exe
https://forospyware.com
http://www.geekstogo.com/forum/files/file/197-combofix-by-subs/

Et important, enregistre le sur le bureau.

Avant d'utiliser ComboFix :

? Déconnecte toi d'internet et referme les fenêtres de tous les programmes en cours.

? Désactive provisoirement et seulement le temps de l'utilisation de ComboFix,
la protection en temps réel de ton Antivirus et de tes Antispywares,
qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil.


Une fois fait, sur ton bureau double-clic sur Combofix.exe.

- Répond oui au message d'avertissement, pour que le programme commence à procéder à l'analyse du pc.

/!\ Pendant la durée de cette étape, ne te sert pas du pc et n'ouvre aucun programmes.

- En fin de scan il est possible que ComboFix ait besoin de redémarrer le pc pour finaliser la désinfection\recherche, laisses-le faire.

- Un rapport s'ouvrira ensuite dans le bloc notes, ce fichier rapport Combofix.txt,.
est automatiquement sauvegardé et rangé à C:\Combofix.txt)

? Réactive la protection en temps réel de ton Antivirus et de tes Antispywares,
avant de te reconnecter à internet.

? Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

jfkpresident · Answer

> Ferme tout tes navigateurs (donc copie ou imprime les instructions avant)
- Crée un nouveau document texte : clic droit de souris sur le bureau > Nouveau > Document Texte, et copie/colle dedans les lignes suivantes :

           


File::
c:\windows\winstart.bat       


- Enregistre ce fichier sous le nom CFScript
- Fait un glisser/déposer de ce fichier CFScrïpt sur le fichier ComboFix.exe comme sur cette image. (Clique sur le fichier CFScript, maintient le doigt enfoncé et glisse la souris pour que l'icône du CFScript vienne recouvrir l'icône de Combofix. Relache la souris.) Combofix va démarrer.
- Une fenêtre bleue va apparaître: au message qui apparaît ( Type 1 to continue, or 2 to abort) , tape 1 puis valide.
- Patiente le temps du scan.Le bureau va disparaître à plusieurs reprises: c'est normal!
- Ne touche à rien tant que le scan n'est pas terminé sinon le PC peut planter !
- Une fois le scan achevé, un rapport va s'afficher: poste son contenu.
Note : Si le fichier ne s'ouvre pas, il se trouve ici > C:\ComboFix.txt 

                                                     ===============
Ensuite :

Télécharge ATF Cleaner par Atribune:
 http://www.atribune.org/ccount/click.php?id=1
 Double-clique ATF-Cleaner.exe afin de lancer le programme.
 Sous l'onglet Main, choisis : Select All
 Clique sur le bouton Empty Selected
 Si tu utilises le navigateur Firefox :
 Clique Firefox au haut et choisis : Select All
 Clique le bouton Empty Selected
 NOTE : Si tu veux conserver tes mots de passe sauvegardés, clique No à l'invite.
 Si tu utilises le navigateur Opera :
 Clique Opera au haut et choisis : Select All
 Clique le bouton Empty Selected
 NOTE : Si tu veux conserver tes mots de passe sauvegardés, clique No à l'invite.
 Clique Exit, du menu prinicipal, afin de fermer le programme.
 Pour obtenir du Support technique, double-clique l'adresse électronique située au bas de chacun des menus.

jfkpresident · Answer

Cependant je ne trouve pas de fichier au nom de c:\windows\winstart.bat
Peux tu m'aider à nouveau?

Je ne te demande pas de le trouver mais d'éxécuter ce qui est écrit post#19 .

jfkpresident · Answer

Comment va le pc ?

jfkpresident · Answer

malheureusement le problème persiste.
J'ai lancé mon avast et il détecte toujours le meme virus. 

Il se peut que Avast détecte un "faux-positif" ,cela ne m'étonnerait pas de sa part :)

Peut tu me donner le chemin d'acces complet du fichier détecté ?

jfkpresident · Answer

Voici le nom du fichier détecté:
C:\wlvuy.exe\install.exe

Ok ,tu va faire ceci afin de déterminer si ce fichier est bien un malware :

Il va falloir analyser un ou des fichier(s) suspect(s) !

Il se peut qu'il se trouvent dans les " dossiers cachés " du systeme.
Il faut donc les rendre visibles pour le scan.

Pour afficher les dossiers et fichiers cachés:

Panneau de configuration > Options des dossiers > onglet Affichage.

Coche Afficher les fichiers et dossiers cachés,
Décoche Masquer les extensions de fichiers connus
Décoche Masquer les fichiers protégés du Système.
Un message de mise en garde va apparaitre. Clique sur OK pour confirmer ton choix.
Les fichiers et dossiers cachés du système apparaitront alors dans l'explorateur Windows en transparence. 

Rends toi sur ce site :

https://www.virustotal.com/gui/

Clique sur parcourir et cherche ce fichier : C:\wlvuy.exe\install.exe

Clique sur Send File.

Un rapport va s'élaborer ligne à ligne.

Attends la fin. Il doit comprendre la taille du fichier envoyé.

Sauvegarde le rapport avec le bloc-note.

Copie le dans ta réponse.

greg · Answer

0 bytes size received / Se ha recibido un archivo vacio

jfkpresident · Answer

Tu as du te tromper ,tu n'as pas envoyer le fichier ...?!

greg · Answer

Salut JFK,
le problème est que je n'arrive pas à ouvrir le fichier: C:\wlvuy.exe
Du coup je ne peux pas envoyer le fichier: C:\wlvuy.exe\install.exe
via ce https://www.virustotal.com/gui/ 
Pourtant, avast se déclenche lorsque j'analyse le fichier wlvuy.exe.
Et la fenêtre d'erreur me détecte le virus sous le nom C:\wlvuy.exe\install.exe
Merci encore de ton aide.
As tu d'autres idées...

jfkpresident · Answer

le problème est que je n'arrive pas à ouvrir le fichier: C:\wlvuy.exe 

Pour quelles raisons n'arrives tu pas a ouvrir ce dossier ?

Je pourrais te faire supprimer ce fichier mais je voudrais savoir avant si il est bien illégitime .

greg · Answer

C'est un dossier inaccessible.
Quand je veux l'ouvrir directement, voici le message windows:
Windows ne parvient pas à accéder au périphérique, au chemin d'accès ou au fichier spécifié. Vous ne disposez peut-être pas des autorisations appropriées pour avoir accès à l'élément.

jfkpresident · Answer

Tu va changer les droits de ce fichier pour pouvoir le consulté comme ceci

greg · Answer

Je t'envoie les autres virus que avast trouve:
C:\System Volume Information\_restore{C5A72E2A-DDF6-44EF-8741-1381D29B4213}\RP67\A0006371.exe\install.exe
C:\System Volume Information\_restore{C5A72E2A-DDF6-44EF-8741-1381D29B4213}\RP67\A0006463.exe\install.exe
C:\System Volume Information\_restore{C5A72E2A-DDF6-44EF-8741-1381D29B4213}\RP67\A0006570.exe\install.exe
C:\System Volume Information\_restore{C5A72E2A-DDF6-44EF-8741-1381D29B4213}\RP69\A0006757.exe\install.exe
C:\System Volume Information\_restore{C5A72E2A-DDF6-44EF-8741-1381D29B4213}\RP70\A0006968.exe\install.exe
C:\System Volume Information\_restore{C5A72E2A-DDF6-44EF-8741-1381D29B4213}\RP71\A0006987.exe\install.exe

Je sais pas si ça peut t'aider?
Merci

jfkpresident · Answer

C:\System Volume Information\_restore

C'est la resto systeme ,on la purgera a la fin (c'est pas un soucis ) .

greg · Answer

Voici la méthode pour ouvrir le fichier.
Je bloque à une certaine étape.

1- Cliquer sur l'élément concerné avec le bouton droit, puis choisir Propriétés. 
2- Dans l'onglet sécurité, cliquer sur Paramètres avancés. 
3- Si l'onglet Sécurité n'apparaît pas sous Windows XP Pro, dans le menu Outils, choisir Options des dossiers, puis dans la fenêtre cliquer sur l'onglet Affichage et décocher "utiliser le partage de fichiers simple". 
l'onglet sécurité n'apparait toujours pas dans les propriétés du fichier.
4- Dans l'onglet Propriétaire, ajouter l'utilisateur concerné en tant que propriétaire. Cocher la case "Remplacer le propriétaire des sous-conteneurs et des objets", puis valider. 
5- Il est essentiel de noter que l'option "refuser" a priorité sur "autoriser". Ainsi, il est préférable de décocher "autoriser" plutôt que de cocher "refuser". Par ailleurs, si l'utilisateur concerné fait partie de plusieurs groupes et que l'accès est refusé à l'un des groupes, alors l'accès lui sera refusé !

jfkpresident · Answer

Apparement il ne serait pas détecté a tord ==> http://www.prevx.com/filenames/X1621758182354294385-X1/WLVUY.EXE.html

Télécharge OTM de OldTimer sur ton Bureau en cliquant sur ce lien :

http://www.geekstogo.com/forum/files/file/402-otm-oldtimers-move-it/

Double-clique sur OTMoveIt3.exe pour le lancer.

Vérifie que la case devant "Unregister Dll's and Ocx's est bien cochée.

Copie la liste qui se trouve en gras ci-dessous,

et colle-la dans le cadre de gauche de OTMoveIt : "Paste instructions for item to be moved".


:processes
explorer.exe


:Reg


:files
C:\wlvuy.exe
:services

:commands
[purity]
[emptytemp]
[start explorer]
[reboot]



Clique sur "MoveIt!" pour lancer la suppression.

Le résultat apparaitra dans le cadre "Results".

Clique sur "Exit" pour fermer.

Poste le rapport situé dans C:\_OTMoveIt\MovedFiles sous le nom xxxxxx_xxxxxxxxxx.log .

Il te sera peut-être demander de redémarrer le pc pour achever la suppression. Si c'est le cas accepte par Yes.

greg · Answer

All processes killed
========== PROCESSES ==========
No active process named explorer.exe was found!
========== REGISTRY ==========
========== FILES ==========
C:\wlvuy.exe moved successfully.
========== SERVICES/DRIVERS ==========
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: All Users
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 67 bytes
 
User: LocalService
->Temp folder emptied: 0 bytes
File delete failed. C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat scheduled to be deleted on reboot.
->Temporary Internet Files folder emptied: 33170 bytes
 
User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 67 bytes
 
User: Utilisateur
File delete failed. C:\Documents and Settings\Utilisateur\Local Settings\Temp\~DF4760.tmp scheduled to be deleted on reboot.
->Temp folder emptied: 314820 bytes
->Temporary Internet Files folder emptied: 23749752 bytes
->Java cache emptied: 25493434 bytes
->FireFox cache emptied: 83276169 bytes
 
%systemdrive% .tmp files removed: 0 bytes
C:\WINDOWS\NV776244.TMP folder deleted successfully.
%systemroot% .tmp files removed: 2224605 bytes
%systemroot%\System32 .tmp files removed: 2833408 bytes
File delete failed. C:\WINDOWS	emp\_avast4_\Webshlock.txt scheduled to be deleted on reboot.
File delete failed. C:\WINDOWS	emp\Perflib_Perfdata_4d0.dat scheduled to be deleted on reboot.
Windows Temp folder emptied: 0 bytes
RecycleBin emptied: 0 bytes
 
Total Files Cleaned = 131,54 mb
 
 
OTM by OldTimer - Version 3.0.0.6 log created on 09302009_123548

Files moved on Reboot...
C:\Documents and Settings\Utilisateur\Local Settings\Temp\~DF4760.tmp moved successfully.
File move failed. C:\WINDOWS	emp\_avast4_\Webshlock.txt scheduled to be moved on reboot.
File C:\WINDOWS	emp\Perflib_Perfdata_4d0.dat not found!

Registry entries deleted on Reboot...

jfkpresident · Answer

Tu peux relancer Avast afin de voir si tout est ok ?

jfkpresident · Answer

C:\_OTM\MovedFiles\09302009_123548\wlvuy.exe\install.exe

Normal ,c'est le dossier supprimé par OTM (OtMoveIt) .

Maintenant que ton PC n'est plus infecté, désactive ta "Restauration du système" puis réactive la afin de créer un point de restauration sain. 

* Désactivation : 
Cliquer droit sur le "Poste de travail" > Propriétés > onglet "Restauration du système" > cocher la case "Désactiver la Restauration du système sur tous les lecteurs" 
> Appliquer patiente jusqu a que cela soit marqué "désactivée" puis Ok. 

* Activation : 
Suivre le même chemin ; décocher la case "Désactiver la Restauration du système sur tous les lecteurs" 
> Appliquer attends que cela soit a nouveau sur "surveillance" puis Ok. Redémarrer l'ordinateur.. 
                                        ===================
Ensuite ,pour vérif :

Fais un scan en ligne Kaspersky avec Internet Explorer.
- Clique sur Démarrer Online-Scanner

- Clique maintenant sur J'accepte.
- Valide l'installation d'un ou de plusieurs ActiveX si c'est nécessaire.
- Patiente pendant l'installation des Mises à jour.
- Choisis par la suite l'analyse du Poste de travail.
- Sauvegarde puis colle le rapport généré en fin d'analyse.

AIDE : Configurer le contrôle des ActiveX

NOTE : Si tu reçois le message "La licence de Kaspersky On-line Scanner est périmée", va dans Ajout/Suppression de programmes puis désinstalle On-Line Scanner, reconnecte toi sur le site de Kaspersky pour retenter le scan en ligne.

jfkpresident · Answer

Regarde ici pour t'aider .

Virus Win32:Neredr [Drp]

24 réponses

Discussions similaires

Newsletters