Virus de clée usb a ordi

Résolu
alexy -  
Bonjour,
alors voilà, j'ai passé une clée à quelqu'un pour lui passé un doc, et cet abruti n'avait pas d'antivirus, sur son ordi.
Je me retrouve donc avec un virus, mais bien sur il est coriace!!! j'ai essayée différents logiciels de forums, mais rien ne fonctionnent!!!!

quand j'ouvre la clée, il y a des dossiers qu'il m'est impossible de supprimer, et si je connecte une nouvelle clée elle se retrouve elle aussi infectée.
ces dossiers sont les suivants:
-VIDEO
-PHOTO FAMILY
-DCIM
nouveau dossier

si ce virus parle à quelqu'un....
merci en tout par avance d'une réponse!!!

18 réponses

Résumé de la discussion

Un utilisateur signale l'infection d'un ordinateur Windows 7 après avoir prêté une clé USB sans antivirus, les dossiers VIDEO, PHOTO FAMILY et DCIM restant bloqués et les nouvelles clés s'infectant à leur tour. Des mesures de désinfection ont été partiellement efficaces grâce à FRST et Rem-VBS, avec des conseils pour désactiver Windows Script Host et exécuter les scripts de correction. Plusieurs réponses décrivent progression: exécution d'un fixlist FRST, création d'un point de restauration, puis suppression des entrées malveillantes et nettoyage des fichiers temporaires, en parallèle d'un contrôle des périphériques amovibles. Des mesures de prévention supplémentaires, notamment la désactivation du Windows Script Host et l'utilisation d'outils de sécurité pour les périphériques amovibles, sont recommandées pour éviter les réinfections lors d’échanges de clés USB.

Bobot (l’IA à votre service)
  1. Malekal_morte- Modérateur
    Super :)

    Renforce la sécurité de ton Windows : Comment sécuriser mon Windows

    0
    1. green day Modérateur
      Il est trop fort ce Malekal :))
      0
    2. Malekal_morte- Modérateur
      @green daygnagnagna =)
      0
  2. alexy
    Merci pour tout!!!
    je suis enfin débarrasser de cette cochonnerie!!!
    0
    1. alexy
      je sais que je fais ch..er mais je fais quoi maintenant?
      je relance usbfix?
      0
      1. Malekal_morte- Modérateur
        Formates tes clefs, ce sera plus simple.
        Tu ne les ouvres pas.
        Tu insères, n'ouvre rien
        Mon ordinateur, sur ta clef, clic droit et formater.
        0
    2. Malekal_morte- Modérateur
      ok là il est plus actif.

      Si WSH n'est plus actif, tu devrais plus infecté ton ordinateur.
      Tu as des données à récupérer sur tes clefs USB ou rien ?
      0
      1. alexy
        non pas du tout je veux juste me débarrasser une bonne fois pour toute de ce truc
        0
    4. alexy
      nouveau rapport

      http://pjjoint.malekal.com/files.php?id=FRST_20160805_y11q15g6i15b10
      http://pjjoint.malekal.com/files.php?id=20160805_1315e9p7j9

      tjrs pas de sortcurt par contre
      0
      1. alexy
        voici le bloc note après redemarage
        Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 03-08-2016
        Exécuté par PC-ALEXY (2016-08-05 17:05:01) Run:3
        Exécuté depuis C:\Users\PC-ALEXY\Desktop
        Profils chargés: PC-ALEXY (Profils disponibles: PC-ALEXY)
        Mode d'amorçage: Normal
        ==============================================

        fixlist contenu:
        CreateRestorePoint:
        CloseProcesses:
        Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\errorlog.txt [2016-08-05] ()
        HKU\S-1-5-21-3342651913-2562215486-469465099-1000\...\Run: [Format Factory] => Cmd.exe /c start WScript.exe /e:VBScript.Encode C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp
        C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp
        reg: reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f
        reg: reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f
        Task: {D640301E-C317-4DCB-9139-7520AF3EBBC4} - System32\Tasks\{DA11261A-BC5F-4784-B0AE-C1B0EDFE7E65} => C:\Users\PC-ALEXY\Downloads\UsbFix_2016_8.248.exe [2016-08-05] (El Desaparecido - SosVirus.net - UsbFix.net)
        Reboot:

        Le Point de restauration a été créé avec succès.
        Processus fermé avec succès.
        C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\errorlog.txt => déplacé(es) avec succès
        HKU\S-1-5-21-3342651913-2562215486-469465099-1000\Software\Microsoft\Windows\CurrentVersion\Run\\Format Factory => valeur supprimé(es) avec succès
        C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp => déplacé(es) avec succès

        ========= reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f =========

        L'op‚ration a r‚ussi.

        ========= Fin de Reg: =========

        ========= reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f =========

        L'op‚ration a r‚ussi.

        ========= Fin de Reg: =========

        "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{D640301E-C317-4DCB-9139-7520AF3EBBC4}" => clé supprimé(es) avec succès
        "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{D640301E-C317-4DCB-9139-7520AF3EBBC4}" => clé supprimé(es) avec succès
        C:\Windows\System32\Tasks\{DA11261A-BC5F-4784-B0AE-C1B0EDFE7E65} => déplacé(es) avec succès
        "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\{DA11261A-BC5F-4784-B0AE-C1B0EDFE7E65}" => clé supprimé(es) avec succès

        Le système a dû redémarrer.

        Fin de Fixlog 17:05:26

        WSH est bien désactivé
        0
        1. Malekal_morte- Modérateur
          ok le virus est encore actif.
          Dans ta correction précédente, il ne l'était plus, donc je pense que tu as dû réinfecter l'ordinateur ce matin à 11:15 :

          2016-08-05 11:55 - 2015-10-12 10:59 - 00121030 ___SH C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp

          Ca veut aussi dire que tu n'as pas désactivé Windows Script Host.

          Retire toutes les clefs et n'en utilise plus pour le moment.

          Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

          Ouvre le bloc-notes : Touche Windows + R,
          Dans le champs "Exécuter", saisir notepad et OK.
          Copie/Colle dedans ce qui suit : 

          CreateRestorePoint:
          CloseProcesses:
          Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\errorlog.txt [2016-08-05] ()
          HKU\S-1-5-21-3342651913-2562215486-469465099-1000\...\Run: [Format Factory] => Cmd.exe /c start WScript.exe  /e:VBScript.Encode C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp
           C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp
           reg: reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f
          reg: reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f
          Task: {D640301E-C317-4DCB-9139-7520AF3EBBC4} - System32\Tasks\{DA11261A-BC5F-4784-B0AE-C1B0EDFE7E65} => C:\Users\PC-ALEXY\Downloads\UsbFix_2016_8.248.exe [2016-08-05] (El Desaparecido - SosVirus.net - UsbFix.net)
          Reboot:


          Une fois, le texte collé dans le Bloc-notes,
          Menu "Fichier" puis "Enregistrer sous",

          A gauche, place toi sur le Bureau,

          Dans le champs en bas, nom du fichier mets : fixlist.txt
          Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

          Relance FRST et clique sur le bouton "Corriger / Fix"
          Un redémarrage sera peut-être nécessaire ( pas obligatoire )
          Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.

          Redémarre l'ordinateur.

          Peux-tu vérifier que sur Marmiton, Windows Script Host est bien désactivé ?
          Si c'est le cas, tu mets sur désactiver et clic sur Sauvegarder.

          Refais un scan FRST et donne les nouveaux rapports.

          0
          1. alexy
            cette fois il n'y en a que deux, le shortcut n'y est pas (j'ai relancer deux fois pour voir si se serais toujours pareille)

            http://pjjoint.malekal.com/files.php?id=20160805_r13m13d9c5t6
            http://pjjoint.malekal.com/files.php?id=FRST_20160805_t13x9h10i6d14
            0
            1. Malekal_morte- Modérateur
              humm ok, refais un scan FRST et donne les rapports via pjjoint.
              0
              1. alexy
                petit problème usbfix ne se lance pas
                a parti de 80% la fenêtre se ferme et une autre s’ouvre me demandant si je veux la nouvelle version télécharger les mises a jour ou continuer
                quand je ferme cette fenêtre ça m'ouvre une page internet qui emmène sur le site de sos virus qui me demande de télécharger unsbfix
                je suis donc coincé

                j'ai tout fermé et demandé un redémarrage, maintenant j'ai un bloc note vide du nom de errorlog qui s'ouvre.

                j'ai due faire une grosse con....rie
                désolé!!! un vrai boulet!!!
                0
                1. alexy
                  ben j'ai toujours ces dossiers et si je demande leur suppression, ils reviennent.
                  je crois bien que je n’arriverais jamais à m'en défaire!!!

                  en tout cas merci de m'avoir aider!!
                  0
                  1. Malekal_morte- Modérateur
                    Fais un nettoyage tutoriel USBFix
                    donne le rapport via http://pjjoint.malekal.com
                    0
                2. alexy
                  oups!!! c'est une liseuse elle s'était éteinte désolé
                  erreur réparée!!

                  Rem-VBSworm v8.0

                  =========== - General info:

                  Running under: PC-ALEXY on profile: C:\Users\PC-ALEXY
                  Computer name: PC-ALEXY-PC

                  Operating System:
                  Microsoft Windowsÿ7 dition Familiale Premium

                  Boot Mode:
                  Normal boot

                  Antivirus software installed:
                  AVG AntiVirus Free Edition

                  Executed on: 05/08/2016 @ 11:35:17,86

                  =========== - Drive info:

                  Listing currently attached drives:
                  Caption Description VolumeName

                  C: Disque fixe local

                  D: Disque fixe local RECOVERY

                  E: Disque CD-ROM

                  F: Disque amovible

                  Physical drives information:
                  C: \Device\HarddiskVolume2 NTFS
                  D: \Device\HarddiskVolume3 NTFS
                  F: \Device\HarddiskVolume4 FAT

                  =========== - Disinfection info:

                  =========== - USB drive info:

                  a: selected

                  USB Device ID:
                  IDE\DISKST9500420AS_____________________________0006HPM1\5&13A68E9F&0&0.0.0

                  USBSTOR\DISK&VEN_SAMSUNG&PROD_E65&REV_0323\3230204E6F76&0

                  Listing root contents of a:

                  USB drive disinfected and files unhidden!!

                  encore une foois merci!!!
                  0
                  1. Malekal_morte- Modérateur
                    cela donne quoi ?
                    0
                3. alexy
                  voilà pour la partie clée usb

                  Rem-VBSworm v8.0

                  =========== - General info:

                  Running under: PC-ALEXY on profile: C:\Users\PC-ALEXY
                  Computer name: PC-ALEXY-PC

                  Operating System:
                  Microsoft Windowsÿ7 dition Familiale Premium

                  Boot Mode:
                  Normal boot

                  Antivirus software installed:
                  AVG AntiVirus Free Edition

                  Executed on: 04/08/2016 @ 21:18:36,99

                  =========== - Drive info:

                  Listing currently attached drives:
                  Caption Description VolumeName

                  C: Disque fixe local

                  D: Disque fixe local RECOVERY

                  E: Disque CD-ROM

                  Physical drives information:
                  C: \Device\HarddiskVolume2 NTFS
                  D: \Device\HarddiskVolume3 NTFS

                  =========== - Disinfection info:

                  =========== - USB drive info:

                  a: selected

                  USB Device ID:
                  IDE\DISKST9500420AS_____________________________0006HPM1\5&13A68E9F&0&0.0.0

                  Listing root contents of a:

                  USB drive disinfected and files unhidden!!

                  Merci d'avance!!!
                  0
                  1. Malekal_morte- Modérateur
                    Tu as bien mis ta clef USB et donné la lettre de celle-ci ?
                    Cela a nettoyé les raccourcis malveillant ?
                    0
                4. alexy
                  voici le texte après redémarrage FRST

                  Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 03-08-2016
                  Exécuté par PC-ALEXY (2016-08-04 21:06:30) Run:2
                  Exécuté depuis C:\Users\PC-ALEXY\Desktop
                  Profils chargés: PC-ALEXY (Profils disponibles: PC-ALEXY)
                  Mode d'amorçage: Normal
                  ==============================================

                  fixlist contenu:
                  CreateRestorePoint:
                  CloseProcesses:
                  HKU\S-1-5-21-3342651913-2562215486-469465099-1000\...\Run: [Format Factory] => Cmd.exe /c start WScript.exe /e:VBScript.Encode C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp
                  2016-04-28 11:57 - 2015-10-12 10:59 - 0121030 ___SH () C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp
                  EmptyTemp:

                  Le Point de restauration a été créé avec succès.
                  Processus fermé avec succès.
                  HKU\S-1-5-21-3342651913-2562215486-469465099-1000\Software\Microsoft\Windows\CurrentVersion\Run\\Format Factory => valeur non trouvé(e).
                  "C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp" => non trouvé(e).

                  =========== EmptyTemp: ==========

                  BITS transfer queue => 8388608 B
                  DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 6081988 B
                  Java, Flash, Steam htmlcache => 620 B
                  Windows/system/drivers => 9414 B
                  Edge => 0 B
                  Chrome => 0 B
                  Firefox => 90837104 B
                  Opera => 0 B

                  Temp, IE cache, history, cookies, recent:
                  Default => 0 B
                  Public => 0 B
                  ProgramData => 0 B
                  systemprofile => 0 B
                  systemprofile32 => 0 B
                  LocalService => 0 B
                  NetworkService => 0 B
                  PC-ALEXY => 518683 B

                  RecycleBin => 0 B
                  EmptyTemp: => 100.9 MB données temporaires supprimées.

                  ================================

                  Le système a dû redémarrer.

                  Fin de Fixlog 21:07:06

                  0
                  1. alexy
                    merci pour tout,
                    mais j'ai pas pu suivre les instructions pour marmiton:
                    Clic sur Désactiver au niveau de Windows Script Host
                    je sais pas ce c'est et il n'y a pas de "bouton" désactiver
                    il y a désinstaller mettre a jour sauvegarder et modifier
                    est ce que je fais quand même toutes les autres consignes?
                    0
                    1. Malekal_morte- Modérateur
                      Positionnes Windows Script Host sur désactiver puis sauvegarder
                      0
                  2. Malekal_morte- Modérateur
                    Ton ordinateur est infecté,

                    Pour te protéger des infections amovibles type Wscript (Windows Script Host)
                    Télécharger et installer Marmiton
                    Clic sur Désactiver au niveau de Windows Script Host.
                    Marmiton va bloquer les scripts malicieux (VBS, VBE, JavaScript etc).

                    puis :

                    Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

                    Ouvre le bloc-notes : Touche Windows + R,
                    Dans le champs "Exécuter", saisir notepad et OK.
                    Copie/Colle dedans ce qui suit : 

                    CreateRestorePoint:
                    CloseProcesses:
                    HKU\S-1-5-21-3342651913-2562215486-469465099-1000\...\Run: [Format Factory] => Cmd.exe /c start WScript.exe /e:VBScript.Encode C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp 
                     2016-04-28 11:57 - 2015-10-12 10:59 - 0121030 ___SH () C:\Users\PC-ALEXY\AppData\Roaming\Video.3gp 
                    EmptyTemp:


                    Une fois, le texte collé dans le Bloc-notes,
                    Menu "Fichier" puis "Enregistrer sous",

                    A gauche, place toi sur le Bureau,

                    Dans le champs en bas, nom du fichier mets : fixlist.txt
                    Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

                    Relance FRST et clique sur le bouton "Corriger / Fix"
                    Un redémarrage sera peut-être nécessaire ( pas obligatoire )
                    Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.

                    Redémarre l'ordinateur.

                    et enfin pour nettoyer tes clefs USB :

                    1°) Brancher toutes les clefs USB et autres périphériques amovibles.
                    • Télécharger Remediate VBS Worm
                    • Lancer l'option B
                    • Taper la lettre de la clef USB, par exemple, E et entrée

                    [color=red]ATTENTION: NE PAS INDIQUER LE LECTEUR DE TON DISQUE DUR !/color
                    • Va dans "Mon ordinateur" puis disque "C", un rapport "Rem-VBS.log" doit s'y trouver.

                    Ouvre ce rapport avec le bloc-notes et copie/colle le contenu ici dans une prochaine réponse.

                    Veuillez appuyer sur une touche pour continuer la désinfection...
                    0
                    1. alexy
                      merci!
                      voilà les liens
                      http://pjjoint.malekal.com/files.php?id=FRST_20160803_s15e12z11t15r6
                      http://pjjoint.malekal.com/files.php?id=20160803_c11q9k9v13i8
                      http://pjjoint.malekal.com/files.php?id=20160803_n14g12p13z14r13
                      j’espère que cette fois cela fonctionnera!!
                      dans tout les cas merci de votre aide!!
                      0
                      1. Malekal_morte- Modérateur
                        Salut,

                        Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).

                        Télécharge et lance le scan FRST, 3 rapports FRST seront générés :
                        • FRST.txt
                        • Shortcut.txt
                        • Additionnal.txt


                        Envoie ces 3 rapports sur le site http://pjjoint.malekal.com/ et en retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

                        0

                        Discussions similaires

                        Adaptateur USB pour le WIFI 7 ...
                        toinou90

                        14 réponses