Virus "dwh???.exe"

Bonjour "Malekal_morte",

Je vous ai contacté depuis Jeudi passée à propos d'un virus "dwh???.exe", mais je pense que vous n'avez pas vue mon message.

Mon antivirus (Symantec) me detecte des trojan horses tous les jours.
Comme "argoat" j'ai un problème de virus "dwh???.exe", avec l'extension ".exe" au lieu de ".tmp" pour lui. J'ai remarqué qu'à chaque fois, les fichiers se nomment "dwh???.exe" les ? sont des chiffres et lettres minuscules. Mon antivirus me les met en quarantaine dès qu'il les voit mais ca n'en finit jamais... Quelqu'un pourrait m'aider à stopper ces canassons, je ne sais pas d'où ils pourraient venir, je ne sais pas comment le savoir, bref je m'en remets à vous.
Merci, pour vos réponses.

24 réponses

Résumé de la discussion

Plusieurs utilisateurs signalent une infection autour du fichier dwh???.exe sur Windows XP SP3, avec des fichiers portant l’extension .exe au lieu de .tmp et des noms dwh????.exe générant des alertes répétées par Symantec. Des échanges explorent des potentielles fausses positives, l’analyse de journaux et l’utilisation d’outils comme Kaspersky Removal Tool, NOD32, ou OTL avec scripts pour diagnostiquer l’infection et améliorer le nettoyage. Plusieurs réponses suggèrent de vérifier les fichiers exportés, d’arrêter temporairement l’autoscan ou quitter le scan en ligne, puis de désactiver ou configurer autrement les protections pour faciliter le nettoyage via des outils externes. En cas de symptômes divergents entre machines, la communication des résultats et des liens vers les journaux et volumes d’exportation peut aider à diriger les prochaines étapes sans conclure prématurément.

Bobot (l’IA à votre service)
  1. Bonjour,

    2eme Micro :

    Qu'a tu trouvé dans les rapports ?

    1) Dans le 2eme Micro je n'ai jamais vu de fichiers "dwh????.exe" et il n'y a pas de reproduction de ces fichiers.

    2) Dans le 2eme Micro Avast et Malwarebytes Anti-Malware n'ont pas détécté de virus depuis Onze jours.

    3) Dans le 2eme Micro au démarrage Les noms des Raccourcis sur le bureau et les Menus dans "Démarrer" sont normal et ils devients "Gras".

    Merci.
    1. Bonjour,

      2eme Micro :

      OTL.txt :
      http://pjjoint.malekal.com/files.php?id=20120328_n8o10y13y9z7

      Extra.txt :
      http://pjjoint.malekal.com/files.php?id=20120328_o11u15s9i14h5
      Merci.
      1. Bonjour,

        2eme Micro :

        Dois-je utiliser OTL avec le même script pour l'analyse que vous m'avez donné pour ce premier micro ou allez vous me donner un autre script pour l'analyse avec OTL ?

        Config : Windows XP SP3 / Chrome 17

        Merci.
        1. Bonjour,

          2eme Micro :

          L'antivirus est Avast 7 gratuit et l'anti-matware est Malwarebytes Anti-Maware.

          Les symptômes sont différents :

          1) Avast a détecté le virus "Win32:Sality" dans environ 200 fichiers .exe que j'ai essayé de réparer, ce qu'il n'a pas pu faire. J'ai alors essayé de les mettre en quarantaine, ce qu'il n'a pas aussi pu faire. Alors il les a Supprimé soit en scan Minutieux ou scan au Démarrage, mais j'ai l'impression qu'il en reste.

          2) Les fichiers effacés ne sont pas des fichiers system.

          3) Malwarebytes Anti-Malware a détecté les virus "PUM.Hijack.TaskManager" et "PUM.Hijack.Regedit" et ils les a apparemment Supprimé.

          4) Au démarrage Les noms des Raccourcis sur le bureau et les Menus dans "Démarrer" sont normal et ils devients "Gras".

          Merci.
        2. Bonjour,

          1er Micro :

          Avant d'exécuter Kaspersky removal tool, je viens de poser le problème à Symantec et j'attends aussi leur réponse à propos des fichiers "dwh????.exe".

          2eme Micro :

          Les symptômes sur un deuxième micro infecté sont différents et l'antivirus est Avast gratuit et l'anti-malware est Malwarebytes Anti-Malware.

          Dois-je utiliser OTL avec le même script pour l'analyse que vous m'avez donné pour ce premier micro ou allez vous me donner un autre script pour l'analyse avec OTL ?

          Config : Windows XP SP3 / Chrome 17

          Merci.
          1. Modérateur
            Tu peux effacer les dwh si tu veux.
            Eventuellement passe CCleaner Avant.

            Pour OTL, déjà réponds oui avec le script.
        3. Bonjour,

          Dans le Menu Etoile de Kaspersky removal tool pour les Actions, doit-je laisser l'Option par défaut "Confirmer dès la découverte" ou je change en "Exécuter l'action Réparer" et "Exécuter l'action Supprimer si la réparation est impossible"

          Merci.
          1. Modérateur
            non faut pas supprimer si c'est pas possible de réparer sinon ça va virer plein de fichiers.
        4. Bonjour,

          1) Mon micro se rempli. Dois-je effacer, sans risque, les fichers dwh????.tmp ( au nombre de 13000 dans ma session et de 4000 dans la session administrateur )

          2) Dois-je vider la Quarantine de Symantec ?

          3) Dois-je choisir "Effacer" aulieu de "Mettre en Quarantine" pour Symantec ?

          4) Avant d'exécuter Kaspersky removal tool dois-je désactiver Symantec ? et pendant combien de temps ?

          Merci.
          1. Modérateur
            yep faudrait désactiver Symantec durant le scan Kaspersky.
        5. Modérateur
          Bon ton fichier : https://www.virustotal.com/gui/file/a09b47d76ce0b673043fd41f6b614ece6c597d1befe23ee57c4d10bb6e130cd6

          Virut ou Sality.

          Dans les deux cas, c'est un virus au sens strict du terme, à savoir il infecte les executables.
          => https://www.malekal.com/supprimer-win32virut/

          ~~

          Pas simple à virer...
          Voir : https://www.malekal.com/supprimer-win32virut/
          avec notamment KAspersky removal tool : https://forum.malekal.com/viewtopic.php?t=33710&start=
          Active bien les actions automatiques

          1. 1er Micro :

            Je viens de t'envoyer un fichier "dwh????.exe".

            L'upload a réussi !

            2eme Micro :

            Les symptômes sur un deuxième micro infecté sont différents.

            Dois-je utiliser OTL avec le même script pour l'analyse que vous m'avez donné pour ce premier micro ou allez vous me donner un autre script pour l'analyse avec OTL ?

            Merci.

            Config : Windows XP SP3 / Chrome 17
            1. 1er Micro :

              J'attends que l'un de ces fichiers "dwh????.exe" arrive pour te l'envoyer.

              2eme Micro :

              Les symptômes sur un deuxième micro infecté sont différents.

              Dois-je utiliser OTL avec le même script pour l'analyse que vous m'avez donné pour ce premier micro ou allez vous me donner un autre script pour l'analyse avec OTL ?

              Merci.

              Config : Windows XP SP3 / Chrome 17
              1. Modérateur
                Si tu veux pour OTL, avec le même script oui.
                C'est quoi les symptômes ?
            2. Bonjour,

              J'attends votre réponse depuis QUATRE JOURS !?

              Les symptômes sur un deuxième micro infecté sont différents.

              Dois-je utiliser OTL avec le même script pour l'analyse que vous m'avez donné pour ce premier micro ou allez vous me donner un autre script pour l'analyse avec OTL ?

              Merci.

              Config : Windows XP SP3 / Chrome 17
            3. Bonjour,

              Les symptômes sur un deuxième micro infecté sont différents.

              Dois-je utiliser OTL avec le même script pour l'analyse que vous m'avez donné pour ce premier micro ou allez vous me donner un autre script pour l'analyse avec OTL ?

              Merci.

              Config : Windows XP SP3 / Chrome 17
              1. Modérateur
                Ils sont dans %temp%
                Donc tu désactives Symantec pendant 1h ou 2h.
                Tu vas dans %TEMP% (tu tapes %TEMP% dans la barre d'adresse du poste de travail).
                T'attends qu'un de ces fichiers arrivent (faut rafraichir la liste, via le menu Editionj / Actualiser de temps en temps).
                Et quand tu en as un, tu l'envoies sur http://upload.malekal.com
                1. Bonjour,

                  Lien pjjoint "Virus and Spyware Protection Log History.csv" avec MS Excel :

                  https://pjjoint.malekal.com/files.php?id=20120319_e13q11m614b15

                  Lien pjjoint "Virus and Spyware Protection Log History.mdb" avec MS Access :

                  https://pjjoint.malekal.com/files.php?id=20120319_o10k10o8x15x15

                  En ouvrant le fichier "Virus and Spyware Protection Log History.csv" avec MS Excel j'espère que l'Autoscan de Symantec d'avant hier 17/03 est complet, ou vous pouvez voir dans la colonne de gauche des fichiers tell que "dwh113b.exe", "dwh114c.exe" etc...

                  Je tiens à vous informer que j'ai arrêté l'Autoscan de Symantec d'hier 18/03 pour favoriser le scan en ligne NOD32 qui a duré une dizaine d'heures.

                  Que doit-je faire ?

                  Merci.
                  1. Bonjour,

                    J'ai Exporté le "Virus and Spyware Protection Log History". Il y a 2 types de fichiers d'exportation CSV (Comma Delimited)(*.csv) que j'ai pu ouvrir avec MS Excel et Access Database (*.mdb) que je n'ai pas pu consulter avec MS Access.

                    En ouvrant le fichier "Virus and Spyware Protection Log History.csv" avec MS Excel j'espère que l'Autoscan de Symantec d'avant hier 17/03 est complet, ou vous pouvez voir dans la colone de gauche des fichiers tell que "dwh113b.exe", "dwh114c.exe" etc...

                    Je tiens à vous informer que j'ai arrêté l'Autoscan de Symantec d'hier 18/03 pour favoriser le scan en ligne NOD32 qui a duré une dizaine d'heures.

                    Les fichiers avec les extensions .csv et .mdb ne peuvent pas être uploadés dans pjjoint !

                    Que doit-je faire ?

                    Merci.
                    1. Bonjour,

                      Mais actuellement ils sont en milliers (4 chiffres) et c'est l'Autoscan de Symantec qui les détectes avant le Full Scan de 12h40.

                      Hier et ces derniers jours les fichiers sont milliers qui se nomment "dwh????.exe" les ? sont des chiffres et lettres minuscules (4 au lieu de 3).

                      Que doit-je faire ?

                      Merci.
                      1. Modérateur
                        Tu peux poster un rapport ou une capture ou qq chose avec les infos ?
                    2. Modérateur
                      donc rien d'anormal.
                      Je pense donc que c'est un faux positif de Symantec si tu as encore des alertes.
                      • 1
                      • 2