Windows Script host Users/hp/AppData/Local/Temp/Serviecs.vbs
yakoko -  
Bonjour,
windows Script host Users/hp/AppData/Local/Temp/servics.vbs
le message que j'ai au démarrage de mon PC je ne sais pas si c'est dus a une mauvaise manipulation ou lors d'une suppression d'un virus
merci d'aider

57 réponses

Résumé de la discussion

Un message de Windows Script Host apparaît au démarrage et pointe vers Users/hp/AppData/Local/Temp/servics.vbs, suspect d’être dû à une manipulation incorrecte ou à une infection virale. Des conseils recommandent d’effectuer un diagnostic avec OTL en mode administrateur et d’analyser les programmes lancés au démarrage pour déceler une infection et générer des rapports. Des outils complémentaires comme AdwCleaner et des conseils sur les précautions lors des installations permettent de supprimer les barres d’outils et les adwares et de limiter les risques de réinfections. En cas de persistance, il est suggéré d’utiliser ComboFix ou de relancer les analyses avec des rapports supplémentaires, tout en évitant de supprimer des fichiers sans précaution et en vérifiant les sauvegardes.

Bobot (l’IA à votre service)
  1. juju666 Contributeur sécurité
    Salut,

    Faire un scan OTL pour diagnostiquer les programmes qui tournent et déceler des infections :

    ▶ Télécharge ici :OTL

    ▶ Fais un double clic sur l'icône pour le lancer (clic droit executer en tant qu'administrateur sous Vista, Windows 7 ou Windows 8). Vérifier que toutes les autres fenêtres sont fermées afin qu'il s'exécute sans interruption.

    ▶ Quand la fenêtre apparaît, Coche la case Tous les utilisateurs
    ▶ Coche les cases à coté de Recherche Lop et Recherche Purity.
    ▶ Laisse tous les autres paramètres par défaut

    ▶ Copie et colle le contenu de ce qui suit en gras dans la partie inférieure d'OTL "Personnalisation"


    msconfig
    netsvcs
    /md5start
    explorer.exe
    winlogon.exe
    userinit.exe
    svchost.exe
    services.exe
    winsock.*
    /md5stop
    %temp%\*.exe /s
    %ALLUSERSPROFILE%\Application Data\*.exe /s
    %ALLUSERSPROFILE%\Application Data\*.
    %APPDATA%\*.exe /s
    %SYSTEMDRIVE%\*.*
    BASESERVICES
    CREATERESTOREPOINT
    SAVEMBR:0

    ▶ Clic sur Analyse.

    A la fin du scan, 2 Bloc-Notes vont s'ouvrir avec les rapports (OTL.txt et extras.txt).

    NE PAS COPIER/COLLER LE RAPPORT ICI - LIRE JUSQU'AU BOUT

    Ces fichiers se trouvent à côté de l'exécutable OTL.exe

    héberge OTL.txt et extra.txt sur FEC Upload et donne les liens obtenus en échange

    NE PAS COPIER/COLLER LE LIEN DE SUPPRESSION, CONSERVE-LE SI TU DESIRE ENSUITE SUPPRIMER LES RAPPORTS DE LA BASE DE DONNEES FEC
    3. juju666 Contributeur sécurité
      Clair il commence à me gonfler aussi ton truc, en principe il n'est pas si relou o/

      Repasse un coup de ComboFix renommé stp, le rapport devrait sortir cette fois-ci.
      2. yakoko Auteur
        j'ai bien envie de te dire que ça a marché mais non le message d'erreur apparait tjr ! ça me fait de chier !!!!
        1. juju666 Contributeur sécurité
          Redémarre à nouveau et dis moi si le message apparait encore :)
          1. yakoko Auteur
            moved successfully je ne sais pas mais ça pourra dire que c'est bon c'est réglé non ?
            1. yakoko Auteur
              et hop après un redémarrage !
              ========== FILES ==========
              File move failed. C:\Users\hp\AppData\Local\Temp\Serviecs.vbs scheduled to be moved on reboot.
              C:\Users\hp\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Serviecs.vbs moved successfully.
              ========== REGISTRY ==========
              Registry value HKEY_USERS\S-1-5-21-279945389-975828082-2894945554-1000\Software\Microsoft\Windows\CurrentVersion\Run\\Serviecs.vbs deleted successfully.
              ========== COMMANDS ==========

              OTL by OldTimer - Version 3.2.69.0 log created on 05102013_151052

              Files\Folders moved on Reboot...
              C:\Users\hp\AppData\Local\Temp\Serviecs.vbs moved successfully.

              PendingFileRenameOperations files...

              Registry entries deleted on Reboot...

              moué tu dois te dire que je maitrise comme une pros !!!!!
              1. juju666 Contributeur sécurité
                OK maintenant un coup de Correction OTL avec ça : 

                :Files
C:\Users\hp\AppData\Local\Temp\Serviecs.vbs
C:\Users\hp\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Serviecs.vbs

:Reg
[HKU\S-1-5-21-279945389-975828082-2894945554-1000\Software\Microsoft\Windows\CurrentVersion\Run] 
"Serviecs.vbs"=- 

:Commands
[Reboot]


                Et ça devrait ENFIN être bon :)
                1. yakoko Auteur
                  1. ========================= SEAF 1.0.1.0 - C_XX
                  2.
                  3. Commencé à: 14:56:44 le 10/05/2013
                  4.
                  5. Valeur(s) recherchée(s):
                  6. Serviecs.vbs
                  7.
                  8. Légende: TC => Date de création, TM => Date de modification, DA => Dernier accès
                  9.
                  10. (!) --- Calcul du Hash "MD5"
                  11. (!) --- Recherche registre
                  12.
                  13. ====== Fichier(s) ======
                  14.
                  15.
                  16. "C:\Users\hp\AppData\Local\Temp\Serviecs.vbs" [ NOT_CONTENT_INDEXED|ARCHIVE | 5 Ko ]
                  17. TC: 08/05/2013,09:21:56 | TM: 18/01/2013,09:35:26 | DA: 08/05/2013,09:21:56
                  18.
                  19. Hash MD5: F3E7390115D4A4AD5CFA9CCA22D84EEF
                  20.
                  21.
                  22. =========================
                  23.
                  24.
                  25. "C:\Users\hp\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Serviecs.vbs" [ ARCHIVE | 5 Ko ]
                  26. TC: 26/04/2013,16:41:51 | TM: 18/01/2013,09:35:26 | DA: 07/05/2013,17:46:03
                  27.
                  28. Hash MD5: F3E7390115D4A4AD5CFA9CCA22D84EEF
                  29.
                  30.
                  31. =========================
                  32.
                  33.
                  34. "C:\_OTL\MovedFiles\05062013_185051\C_Users\hp\AppData\Local\Temp\Serviecs.vbs" [ NOT_CONTENT_INDEXED|ARCHIVE | 5 Ko ]
                  35. TC: 01/05/2013,15:10:36 | TM: 18/01/2013,09:35:26 | DA: 01/05/2013,15:10:36
                  36.
                  37. Hash MD5: F3E7390115D4A4AD5CFA9CCA22D84EEF
                  38.
                  39.
                  40. =========================
                  41.
                  42.
                  43. "C:\_OTL\MovedFiles\05062013_185051\C_Users\hp\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Serviecs.vbs" [ ARCHIVE | 5 Ko ]
                  44. TC: 26/04/2013,16:41:51 | TM: 18/01/2013,09:35:26 | DA: 01/05/2013,15:09:10
                  45.
                  46. Hash MD5: F3E7390115D4A4AD5CFA9CCA22D84EEF
                  47.
                  48.
                  49. =========================
                  50.
                  51.
                  52. "C:\_OTL\MovedFiles\05072013_174551\C_Users\hp\AppData\Local\Temp\Serviecs.vbs" [ NOT_CONTENT_INDEXED|ARCHIVE | 5 Ko ]
                  53. TC: 01/05/2013,15:10:36 | TM: 18/01/2013,09:35:26 | DA: 06/05/2013,18:52:58
                  54.
                  55. Hash MD5: F3E7390115D4A4AD5CFA9CCA22D84EEF
                  56.
                  57.
                  58. =========================
                  59.
                  60.
                  61. "C:\_OTL\MovedFiles\05072013_174551\C_Users\hp\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Serviecs.vbs" [ ARCHIVE | 5 Ko ]
                  62. TC: 26/04/2013,16:41:51 | TM: 18/01/2013,09:35:26 | DA: 06/05/2013,18:51:01
                  63.
                  64. Hash MD5: F3E7390115D4A4AD5CFA9CCA22D84EEF
                  65.
                  66.
                  67. =========================
                  68.
                  69.
                  70.
                  71. ====== Entrée(s) du registre ======
                  72.
                  73.
                  74. [HKU\S-1-5-21-279945389-975828082-2894945554-1000\Software\Microsoft\Windows\CurrentVersion\Run]
                  75. "Serviecs.vbs"=""C:\Users\hp\AppData\Local\Temp\Serviecs.vbs"" (REG_SZ)
                  76.
                  77. =========================
                  78.
                  79. Fin à: 14:58:25 le 10/05/2013
                  80. 391844 Éléments analysés
                  81.
                  82. =========================
                  83. E.O.F
                  1. juju666 Contributeur sécurité
                    Raté j'avais demandé avec ça, respecte bien l'orthographe : Serviecs.vbs
                    1. yakoko Auteur
                      :) j'ai bien envie de comprendre tout ça mais cela me dépasse
                      je me contente d'exécuter :p et ne cesse de te remercier :)

                      1. ========================= SEAF 1.0.1.0 - C_XX
                      2.
                      3. Commencé à: 14:40:10 le 10/05/2013
                      4.
                      5. Valeur(s) recherchée(s):
                      6. Servics.vbs
                      7.
                      8. Légende: TC => Date de création, TM => Date de modification, DA => Dernier accès
                      9.
                      10. (!) --- Calcul du Hash "MD5"
                      11. (!) --- Recherche registre
                      12.
                      13. ====== Fichier(s) ======
                      14.
                      15. Aucun fichier trouvé
                      16.
                      17.
                      18. ====== Entrée(s) du registre ======
                      19.
                      20. Aucun élément dans le registre trouvé
                      21.
                      22. =========================
                      23.
                      24. Fin à: 14:41:50 le 10/05/2013
                      25. 391804 Éléments analysés
                      26.
                      27. =========================
                      28. E.O.F
                      1. juju666 Contributeur sécurité
                        ▶ Relance SEAF, une fenêtre va s'ouvrir .

                        ● Tape Serviecs.vbs dans cette fenêtre

                        ● Dans "[Options des fichiers]", choisis l'option MD5 pour "Calculer le checksum" et coche le bouton radio devant "Informations supplémentaires"

                        ● Dans "[Options du registre]", choisis "Chercher également dans le registre"


                        ▶ Clique sur "Lancer la rechercher"
                        Patiente pendant la recherche.
                        Une fenêtre avec un log.txt va s'afficher.
                        ▶ Copie/colle ce rapport dans ta prochaine réponse.
                        2. juju666 Contributeur sécurité
                          ok la même chose avec ça maintenant :

                          Serviecs.vbs
                          1. yakoko Auteur
                            1. ========================= SEAF 1.0.1.0 - C_XX
                            2.
                            3. Commencé à: 14:01:56 le 10/05/2013
                            4.
                            5. Valeur(s) recherchée(s):
                            6. servics.vbs
                            7.
                            8. Légende: TC => Date de création, TM => Date de modification, DA => Dernier accès
                            9.
                            10. (!) --- Calcul du Hash "MD5"
                            11. (!) --- Recherche registre
                            12.
                            13. ====== Fichier(s) ======
                            14.
                            15. Aucun fichier trouvé
                            16.
                            17.
                            18. ====== Entrée(s) du registre ======
                            19.
                            20. Aucun élément dans le registre trouvé
                            21.
                            22. =========================
                            23.
                            24. Fin à: 14:03:36 le 10/05/2013
                            25. 391685 Éléments analysés
                            26.
                            27. =========================
                            28. E.O.F

                            comme promis :p
                            1. juju666 Contributeur sécurité
                              Boh ...

                              "Cancel by user. " tu as interrompu combofix ?

                              ▶ Télécharge ici :SEAF.exe de C_XX

                              ▶ Lance-le, une fenêtre va s'ouvrir .

                              ● Tape servics.vbs dans cette fenêtre

                              ● Dans "[Options des fichiers]", choisis l'option MD5 pour "Calculer le checksum" et coche le bouton radio devant "Informations supplémentaires"

                              ● Dans "[Options du registre]", choisis "Chercher également dans le registre"


                              ▶ Clique sur "Lancer la rechercher"
                              Patiente pendant la recherche.
                              Une fenêtre avec un log.txt va s'afficher.
                              ▶ Copie/colle ce rapport dans ta prochaine réponse.
                              1. yakoko Auteur
                                combofix_764
                                C0:Deconnexion.
                                C1:Deconnexion.
                                C2:Deconnexion.
                                C3:Deconnexion.
                                C4:Deconnexion.
                                C5:Deconnexion.
                                C6:Deconnexion.
                                C7:Deconnexion.
                                Cancel by user.
                                dans le dossier il y a ça mais aussi le suivant:
                                2013-05-10 08:58:42 . 2013-05-10 09:09:04 235 ----a-w- C:\Qoobox\Quarantine\Registry_backups\ShellIconOverlayIdentifiers-{BBACC218-34EA-4666-9D7A-C78F2274A524}.reg.dat
                                2013-05-10 08:58:42 . 2013-05-10 09:09:04 235 ----a-w- C:\Qoobox\Quarantine\Registry_backups\ShellIconOverlayIdentifiers-{A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E}.reg.dat
                                2013-05-10 08:58:42 . 2013-05-10 09:09:04 235 ----a-w- C:\Qoobox\Quarantine\Registry_backups\ShellIconOverlayIdentifiers-{F241C880-6982-4CE5-8CF7-7085BA96DA5A}.reg.dat
                                2013-05-10 08:58:28 . 2013-05-10 08:58:28 170 ----a-w- C:\Qoobox\Quarantine\Registry_backups\Wow6432Node-ShellIconOverlayIdentifiers-{BBACC218-34EA-4666-9D7A-C78F2274A524}.reg.dat
                                2013-05-10 08:58:28 . 2013-05-10 08:58:28 170 ----a-w- C:\Qoobox\Quarantine\Registry_backups\Wow6432Node-ShellIconOverlayIdentifiers-{A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E}.reg.dat
                                2013-05-10 08:58:28 . 2013-05-10 08:58:28 170 ----a-w- C:\Qoobox\Quarantine\Registry_backups\Wow6432Node-ShellIconOverlayIdentifiers-{F241C880-6982-4CE5-8CF7-7085BA96DA5A}.reg.dat
                                2013-05-10 08:54:53 . 2013-05-10 09:06:42 17,992 ----a-w- C:\Qoobox\Quarantine\Registry_backups\tcpip.reg
                                2013-05-10 08:48:35 . 2013-05-10 09:03:29 102 ----a-w- C:\Qoobox\Quarantine\catchme.log

                                et pour finir ça
                                2013-05-10 08:58:42 . 2013-05-10 09:09:04 235 ----a-w- C:\Qoobox\Quarantine\Registry_backups\ShellIconOverlayIdentifiers-{BBACC218-34EA-4666-9D7A-C78F2274A524}.reg.dat
                                2013-05-10 08:58:42 . 2013-05-10 09:09:04 235 ----a-w- C:\Qoobox\Quarantine\Registry_backups\ShellIconOverlayIdentifiers-{A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E}.reg.dat
                                2013-05-10 08:58:42 . 2013-05-10 09:09:04 235 ----a-w- C:\Qoobox\Quarantine\Registry_backups\ShellIconOverlayIdentifiers-{F241C880-6982-4CE5-8CF7-7085BA96DA5A}.reg.dat
                                2013-05-10 08:58:28 . 2013-05-10 08:58:28 170 ----a-w- C:\Qoobox\Quarantine\Registry_backups\Wow6432Node-ShellIconOverlayIdentifiers-{BBACC218-34EA-4666-9D7A-C78F2274A524}.reg.dat
                                2013-05-10 08:58:28 . 2013-05-10 08:58:28 170 ----a-w- C:\Qoobox\Quarantine\Registry_backups\Wow6432Node-ShellIconOverlayIdentifiers-{A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E}.reg.dat
                                2013-05-10 08:58:28 . 2013-05-10 08:58:28 170 ----a-w- C:\Qoobox\Quarantine\Registry_backups\Wow6432Node-ShellIconOverlayIdentifiers-{F241C880-6982-4CE5-8CF7-7085BA96DA5A}.reg.dat
                                2013-05-10 08:54:53 . 2013-05-10 09:06:42 17,992 ----a-w- C:\Qoobox\Quarantine\Registry_backups\tcpip.reg
                                2013-05-10 08:48:35 . 2013-05-10 09:03:29 102 ----a-w- C:\Qoobox\Quarantine\catchme.log
                                1. juju666 Contributeur sécurité
                                  moi aussi, c'est pour cela que je désire lire le rapport de combofix (C:\ComboFix.txt)
                                  1. yakoko Auteur
                                    aie aie aie le blem réapparait ! cette erreur persiste au démarrage

                                    juju je déprime :'(
                                    • 1
                                    • 2
                                    • 3