X.bat / X.exe

stuhly -  
Bonjour,

Mon souci n'est pas vraiement le virus lié à x.bat et x.exe. Sa présence est detectée par avast et le fichier supprimé immédiatement.

Apparemment cet x.bat n'est qu'un symptome et en démarrant en mode sans echec et en passant Malwarebyte, je parviens assez bien à m'en débarrasser (il m'est arrivé de passer ccleaner , spybot, gmer, combofix et smitfraudfix en complément).

Mon souci est que cet x.bat reviens encore et encore et que je n'arrive pas à m'en débarrasser définitivement.

Quelqu'un peut-il m'aider ?
Configuration: Windows 2000 Internet Explorer 6.0

35 réponses

Résumé de la discussion

Une infection récidivante associée à x.bat/x.exe survient sur Windows 2000 et Avast la détecte puis la supprime, mais elle réapparaît malgré le mode sans échec et l’utilisation d’outils comme Malwarebytes. Des recommandations couvrent un diagnostic approfondi (ZHPDiag), l’usage de outils complémentaires et la vérification des clés USB via USBfix sur un autre PC, avec une éventuelle réinstallation partielle ou complète du système. D’autres évoquent l’analyse des noms et chemins des menaces, la connexion hors ligne pour les logs et, en dernier recours, la migration vers un système plus récent ou une distribution linux pour éviter la réapparition.

Bobot (l’IA à votre service)
  1. Xplode Contributeur sécurité
    Salut,

    En fait, il y a beaucoup de choses qui posent problème et qui reviennent apparement à chaque fois, même lorsque tu réinstalles windows.
    Donc tu vas suivre ceci :

    http://www.commentcamarche.net/...

    ( Rien à voir avec virut, c'est juste la procédure avec killdisk que tu dois suivre )

    Killdisk formate totalement le disque dur, comme ça il sera normalement clean. Refais ensuite un ZHPDiag pour avoir confirmation.
    1. Stuhly
      Pour être plus précis, c'est une copie du CD d'origine car l'original présentait des signes d'usure.

      Quelles sont les clés qui posent problème ?

      Est-il possible de les modifier (regedit manuel éventuellement) ?

      Pourrait-il y avoir un petit programme rigolo bien caché qui les ré-installe sytématiquement ?
      1. stuhly
        Bon, je repars pour quelques jours, mais je reste preneur de conseil.

        D'autant que le portable duquel j'écris commence à avoir des symptomes (x.bat x.exe et 21.scr...).

        La station fonctionne à peu près. Je ne l'ai pas reconnectée à internet pour le moment, en attendant de trouver une solution viable.
        1. stuhly
          C'est un authentique CD d'installation, avec les clés à 5X5 alphanumérique.

          Cela fait assez longtemps que je l'ai mais si je me souviens bien il s'agissait d'un CD livré avec une machine.

          La machine je ne l'ai plus mais je continue à me servir du CD.
          2. Xplode Contributeur sécurité
            A en avoir ton rapport ZHPDiag, ce sont toujours les mêmes fichiers infectieux et clés infectieuses qui sont présentes. Est ce que c'est bien un CD d'installation de w2k ou tu as une partition/cd de restauration qui a été fourni avec le PC ?
            2. Xplode Contributeur sécurité
              Oui, refaire un rapport ZHPDiag histoire de vérifier que tout est clean. Et est-ce que tu as des clés USB ? si oui, faut passer USBfix sur un autre PC qui a windows XP/vista pour les désinfecter si elles le sont
              1. stuhly
                Vu que j'en étais à écran bleu, je n'avais que deux chois, rebooter du cd d'install + SP4 ou refaire une install en remettant le disque a 0.

                Voici le ZHPDiag

                https://www.cjoint.com/?lwmVU3Ddo5
            3. stuhly
              Dimanche matin : Jour du seigneur. Saint Bill Gates doit être de bonne humeur.

              La dernière installation fonctionne ainsi que le SP4 de W2000.

              Je retente un malwarebytes, qui démarre normalement et fournit le log ci-dessous. On peut difficilement faire plus propre.
              https://www.cjoint.com/?lwmLlsspSy

              Je vais tenter la suite (ré-install de divers drivers et d'office...).

              Des suggestions ?
              1. Xplode Contributeur sécurité
                Aie.. fallait a tout prix éviter d'utiliser le PC avant d'en avoir terminé :(
                On repart au début -> log ZHPDiag..
                1. stuhly
                  Juste un peu d'info.

                  J'ai réparé l'installation d'office pour avoir accès aux logiciels de base.

                  Comme cela se présentait bien, j'ai essayé de ré-installer le SP4 de W2000. Et là gros plantage "écran bleu" avec le message : STOP : 0x0000007B (0xEB41B848, 0xC0000034, 0x00000000, 0x00000000) INACCESSIBLE_BOOT_DEVICE

                  Alors j'ai repris au début l'installation de W2000 mais je suis de plus en plus perplexe.
                  1. Xplode Contributeur sécurité
                    le rapport se trouve normalement sous C:\Combofix.txt
                    1. stuhly
                      Après le redémarrage Combofix semble avoir terminé sa tâche normalement (malgré les lancement auto de divers logiciels, avast notamment). Et aucun pb pour récupérer le log qui s'est affiché en pleine page.

                      Voici le log : https://www.cjoint.com/?lvoHF6dvwp
                  2. Xplode Contributeur sécurité
                    Clique sur démarrer -> Executer et tapes : combofix /uninstall

                    Télécharge à nouveau combofix à cette adresse : http://download.bleepingcomputer.com/sUBs/ComboFix.exe
                    Puis relance le avec les indications du post 32
                    1. stuhly
                      C Fait. En premier lieu un boite s'est ouverte indiquant :

                      32788R22FWJFW\n.pif
                      L'accès au périphérique, au chemin d'accès ou au fichier spécifié est refusé OK

                      Puis la limitation de garantie de combofix.

                      Cette fois, j'ai exécuté combofix en mode normal. (La bonne nouvelle, c'est que les trois derniers reboot ont fonctionné.

                      Combofix a déroulé ses 50 étapes, puis tenté de modifier un ou deux DLL. Et tout d'un coup le PC a rebooté.

                      Je reviens dès que j'ai un log combofix.
                  3. stuhly
                    Les bizarreries continuent, Combofix dit ceci : La date actuelle est ~. Combofix est périmé Cliquez sur 'Oui' pour le lancer en mode FONCTIONNALITES REDUITES Cliquez sur non pour quitter

                    (Il va de soit que j'ai vérifié Les propriétés de Date/heure du PC et qu'elle sont bien à jour).

                    J'ai clické OUI.

                    Et voilà le log (mode sans echec) : https://www.cjoint.com/?lvmVa8sqef
                    1. Xplode Contributeur sécurité
                      Bizarre.. Fais ceci :

                      -+-+-+-+-> ComboFix <-+-+-+-

                      [x] Télécharge ComboFix ( de sUBs ) à cette adresse.

                      [x] /!\ Fermez toutes les fenêtres de programme ouvertes /!\

                      [x] /!\ Désactivez toutes les protections résidentes ( Antivirus, Pare-Feu, AntiSpyware ) /!\

                      [x] Double clique sur " Combofix.exe "

                      [x] Suis les indications qui sont données à l'écran, à un moment tu auras un message te demandant d'installer la console de récupération, fais le

                      [x] Combofix va maintenant déconnecter ton PC d'internet

                      [x] Pendant le scan, ne touche à rien ( souris, clavier )

                      [x] A la fin du scan, le rapport s'ouvrira automatiquement, copie/colle le dans ton prochain message.

                      [o] Nb : Si jamais il ne s'ouvrait pas, il se trouve sous C:\Combofix.txt
                      2. Xplode Contributeur sécurité
                        Tu as essayé en mode sans échec ?
                        1. stuhly
                          non, mais je pense que si j'arrête le PC et que je re-démarre (pour atteindre le mode sans echec), il va à nouveau se mettre en écran noir et je devrais à nouveau tout installer à partir du CD w2000.
                      4. Xplode Contributeur sécurité
                        -+-+-+-> Malwarebyte's Anti-Malware <-+-+-+-

                        [x] Télécharge Malwarebyte's anti-malware

                        [x] Installe le en prenant soin de le mettre à jour à la fin de l'installation.

                        [x] Lance un scan complet.

                        [x] Coche bien tout les éléments trouvés et supprime les.

                        [x] A la fin du scan, copie/colle le contenu du rapport qui s'ouvrira. S'il ne s'ouvre pas, il se trouve dans la partie " Rapports/Logs " de malwarebyte's.

                        [x] N'oublie pas de vider la quarantaine de malwarebyte's.

                        Nb : Un tutoriel pour son utilisation est disponible à cette adresse
                        1. stuhly
                          Comment je fais ça avec un PC non connecté à internet (je parle de la mise à jour de Mbam) ?
                      6. Xplode Contributeur sécurité
                        Non, mais ca a supprimé ce que je voulais ;)
                        Refais maintenant un rapport ZHPDiag
                        • 1
                        • 2