Virus - Dossiers et fichiers en .exe [Résolu]

A voir également:Virus - dossiers et fichiers en .exeVirus? dossiers suspects...(C:lsass.exe) ✓ - Forum - Virus / Sécurité Virus qui transforme fichier .exe en 0 ko ✓ - Forum - Virus / Sécurité Virus détecté, fichier tmp****.exe tous les 20 mn environs par a ✓ - Forum - Virus / Sécurité Fichier SMSS.EXE dans quelques dossiers ✓ - Forum - Virus / Sécurité Virus sur fichier svchost.exe ✓ - Forum - Virus / Sécurité

Bonjours,
comme vous pouvez le constater ce topic va être un peu le même que celui-ci : https://www.commentcamarche.net/forum/affich-29939040-un-virus-qui-cree-un-dossier-exe
mais là c'est que rien ne marche après avoir essayé toute les solutions.

Quand je branche une clé USB dans mon ordinateur, tout de suite un programme transforme mes fichiers et dossiers en .exe.

Je recherche donc une solution pour supprimer ce programme et réparer mes clés USB sans perte de donnés


Merci d'avance

Forum

A voir également:Virus - dossiers et fichiers en .exeVirus? dossiers suspects...(C:lsass.exe) ✓ - Forum - Virus / Sécurité Virus qui transforme fichier .exe en 0 ko ✓ - Forum - Virus / Sécurité Virus détecté, fichier tmp****.exe tous les 20 mn environs par a ✓ - Forum - Virus / Sécurité Fichier SMSS.EXE dans quelques dossiers ✓ - Forum - Virus / Sécurité Virus sur fichier svchost.exe ✓ - Forum - Virus / Sécurité

Web: www.shapebootstrap.net

14 réponses

Marsh

NOVEMBER 9, 2013 AT 9:15 PM

Salut,

Déjà pour voir si l'ordinateur est touché :

Pour vérifier ton ordinateur, pour d'éventuels infections et avoir un état général du système :

Suis le tutoriel FRST en cliquant sur ce lien bleu. ( prends le temps de lire attentivement - tout y est bien expliqué ).

Télécharge et lance le scan FRST,
Attendre la fin du scan, un message indique que l'analyse est terminée.

Trois rapports FRST seront générés :
  • FRST.txt
  • Shortcut.
  • Additionnal.txt


Envoie ces 3 rapports sur le site https://pjjoint.malekal.com/ et en retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

(Les liens bleus mènent à des tutoriels explicatifs pas à pas, clic dessus pour avoir les instructions plus précises à suivre).


Dire « Merci » 1

Heureux de vous avoir aidé ! Vous nous appréciez ? Donnez votre avis sur nous ! Evaluez CommentCaMarche

CCM 58233 internautes nous ont dit merci ce mois-ci

Reply
réponses:

Marsh

NOVEMBER 9, 2013 AT 9:15 PM

L''ordinateur est touché.
Donc pour le moment n'utilise pas de clé USB.

Tu as des programmes qui ont été installés à l'achat de l'ordinateur ou installés par la suite et qui sont pas forcément utiles.
Ils encombrent Windows et peuvent le ralentir.
Tu peux donc les désinstaller.
Vas dans le Panneau de configuration
puis programmes et fonctionnalités.
Désinstalle :

CCleaner
Java
McAfee WebAdvisor
Windscribe



PS : CCleaner n'est pas vraiment utile, même si on le recommande de partout.
Si tu veux le garder, désactive la surveillance de CCleaner, inutile, ça se met au démarrage de Windows et le ralentit avec ces nettoyages incessants, voir : https://www.malekal.com/supprimer-ccleaner-demarrage-windows/



Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.


Start
CloseProcesses:
CreateRestorePoint:
ShortcutTarget: Bonjours Fabien.vbs.lnk -> C:\Users\fabien\Documents\Bonjours Fabien.vbs ()
Startup: C:\Users\fabien\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\logs.lnk [2019-02-12]
ShortcutTarget: logs.lnk -> C:\Users\fabien\AppData\Roaming\UAC.exe (Pas de fichier)
GroupPolicy: Restriction ? <==== ATTENTION
2019-02-11 19:11 - 2019-02-11 19:11 - 000000000 ____D C:\Users\fabien\AppData\Local\ZHP
2019-02-11 18:30 - 2019-02-11 18:30 - 000000000 ____D C:\Users\fabien\AppData\Roaming\ADCU
2019-02-11 16:52 - 2019-02-11 16:52 - 000000000 ____D C:\Users\fabien\AppData\Local\PRAGMA
2019-02-11 16:33 - 2019-02-12 16:57 - 000000000 __SHD C:\ProgramData\SoftwareInformation
Hosts:
EmptyTemp:
RemoveProxy:
Reboot:
End


Enregistre le contenu par le menu fichier puis enregistrer.

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur


Pour te protéger des infections amovibles type Wscript (Windows Script Host)
Télécharger et installer Marmiton
Clic sur Désactiver au niveau de Windows Script Host.
Marmiton va bloquer les scripts malicieux (VBS, VBE, JavaScript etc) notamment qui sont utilisés pour propager des ransomwares comme Locky.


Enfin refais un scan FRST et donne à nouveau les rapports.

Dire « Merci » 1

Heureux de vous avoir aidé ! Vous nous appréciez ? Donnez votre avis sur nous ! Evaluez CommentCaMarche

CCM 58233 internautes nous ont dit merci ce mois-ci

Reply

Marsh

NOVEMBER 9, 2013 AT 9:15 PM

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.


Start
CloseProcesses:
CreateRestorePoint:
Startup: C:\Users\fabien\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Bonjours Fabien.vbs.lnk [2018-11-21]
ShortcutTarget: Bonjours Fabien.vbs.lnk -> C:\Users\fabien\Documents\Bonjours Fabien.vbs (Pas de fichier)
Hosts:
EmptyTemp:
RemoveProxy:
Reboot:
End


Enregistre le contenu par le menu fichier puis enregistrer.

~~


Pour nettoyer les disques amovibles des virus USB, suivre dans l'ordre les étapes du tutoriel : insère un à un tes clefs USB et disques durs externes que tu as pour les nettoyer. Envoie ensuite les rapports sur https://pjjoint.malekal.com/ et donne les liens menant à ces rapports pour que l'on puisse les consulter.

Brancher toutes les clefs USB et autres périphériques amovibles.
  • Télécharger Remediate VBS Worm
  • Lancer l'option B
  • Taper la lettre de la clef USB, par exemple, E et entrée

[color=red]ATTENTION: NE PAS INDIQUER LE LECTEUR DE TON DISQUE DUR ![/color]
  • Va dans "Mon ordinateur" puis disque "C", un rapport "Rem-VBS.log" doit s'y trouver.

Ouvre ce rapport avec le bloc-notes et copie/colle le contenu ici dans une prochaine réponse.

Dire « Merci » 1

Heureux de vous avoir aidé ! Vous nous appréciez ? Donnez votre avis sur nous ! Evaluez CommentCaMarche

CCM 58233 internautes nous ont dit merci ce mois-ci

Reply
réponses:
  • auteur

  • auteur

    Les données de ma clé seront t'ils supprimées ?

  • auteur

    Là tu en as plus, vu que tu as des exécutables
    il faut voir si le malware les a laissé.

  • auteur

    Dans la 1ère photo le dossier "SoftwareInformation" contient tout le contenu de la clé sans être affecté par le virus

  • auteur

    alors sauvegarde les et après formate la clé ou nettoie la.

  • auteur

    je vais essayer mais j'ai peur que ça me renvoie le virus (A moins que MARMITON le bloque + mon anti-virus)

  • auteur

    Salut, j'ai réussi à restaurer mes données. J'ai utiliser USBFix et Analyser les disques USB

Marsh

NOVEMBER 9, 2013 AT 9:15 PM

c'est ça en gros : https://forum.malekal.com/viewtopic.php?t=5544&start=

Reply

Marsh

NOVEMBER 9, 2013 AT 9:15 PM

Résultats de correction de Farbar Recovery Scan Tool (x86) Version: 12-02-2019
Exécuté par Chachafab (13-02-2019 11:22:39) Run:1
Exécuté depuis C:\Users\fabien\Desktop
Profils chargés: Chachafab (Profils disponibles: Chachafab)
Mode d'amorçage: Normal

==============================================

fixlist contenu:


Start
CloseProcesses:
CreateRestorePoint:
ShortcutTarget: Bonjours Fabien.vbs.lnk -> C:\Users\fabien\Documents\Bonjours Fabien.vbs ()
Startup: C:\Users\fabien\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\logs.lnk [2019-02-12]
ShortcutTarget: logs.lnk -> C:\Users\fabien\AppData\Roaming\UAC.exe (Pas de fichier)
GroupPolicy: Restriction ? <==== ATTENTION
2019-02-11 19:11 - 2019-02-11 19:11 - 000000000 ____D C:\Users\fabien\AppData\Local\ZHP
2019-02-11 18:30 - 2019-02-11 18:30 - 000000000 ____D C:\Users\fabien\AppData\Roaming\ADCU
2019-02-11 16:52 - 2019-02-11 16:52 - 000000000 ____D C:\Users\fabien\AppData\Local\PRAGMA
2019-02-11 16:33 - 2019-02-12 16:57 - 000000000 __SHD C:\ProgramData\SoftwareInformation
Hosts:
EmptyTemp:
RemoveProxy:
Reboot:
End


Processus fermé avec succès.
Le Point de restauration a été créé avec succès.
C:\Users\fabien\Documents\Bonjours Fabien.vbs => déplacé(es) avec succès
C:\Users\fabien\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\logs.lnk => déplacé(es) avec succès
"C:\Users\fabien\AppData\Roaming\UAC.exe" => non trouvé(e)
C:\WINDOWS\system32\GroupPolicy\Machine => déplacé(es) avec succès
C:\WINDOWS\system32\GroupPolicy\GPT.ini => déplacé(es) avec succès
C:\Users\fabien\AppData\Local\ZHP => déplacé(es) avec succès
C:\Users\fabien\AppData\Roaming\ADCU => déplacé(es) avec succès
C:\Users\fabien\AppData\Local\PRAGMA => déplacé(es) avec succès
C:\ProgramData\SoftwareInformation => déplacé(es) avec succès
C:\Windows\System32\Drivers\etc\hosts => déplacé(es) avec succès
Hosts restauré(es) avec succès.

========= RemoveProxy: =========

"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès
"HKU\S-1-5-21-2036882412-1662957536-962249123-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\S-1-5-21-2036882412-1662957536-962249123-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès


========= Fin de RemoveProxy: =========


=========== EmptyTemp: ==========

BITS transfer queue => 8388608 B
DOMStoree, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 12123040 B
Java, Flash, Steam htmlcache => 196579003 B
Windows/system/drivers => 458118 B
Edge => 0 B
Chrome => 0 B
Firefox => 253564425 B
Opera => 0 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
Users => 0 B
ProgramData => 0 B
Public => 0 B
systemprofile => 501359 B
LocalService => 4192 B
NetworkService => 5840 B
fabien => 220122485 B

RecycleBin => 188751034 B
EmptyTemp: => 839.7 MB données temporaires supprimées.

================================


Le système a dû redémarrer.

Fin de Fixlog 11:23:22

Reply
réponses:
  • auteur

    /\ "Shortcut.txt" n'était pas coché, est-ce sans importance ?

Marsh

NOVEMBER 9, 2013 AT 9:15 PM

ok passe à la dernière partie marmiton + FRST à nouveau.

Reply
réponses:
  • auteur

    \/

Marsh

NOVEMBER 9, 2013 AT 9:15 PM

ok je pense que l'on a terminé =)

Supprime le dossier C:\FRST

Reply
réponses:
  • auteur

    Je vous envoie les rapports des fois que

Marsh

NOVEMBER 9, 2013 AT 9:15 PM

1ère Clé :

Rem-VBSworm v8.0

=========== - General info:

Running under: Chachafab on profile: C:\Users\fabien
Computer name: LENOVO-PC

Operating System:
Microsoft Windows 8.1

Boot Mode:
Normal boot

Antivirus software installed:
Windows Defender

McAfee VirusScan


Executed on: 13/02/2019 @ 14:31:24,87

=========== - Drive info:

Listing currently attached drives:
Caption Description VolumeName

C: Local Fixed Disk

E: Removable Disk




Physical drives information:
C: \Device\HarddiskVolume4 NTFS
E: \Device\HarddiskVolume10 NTFS

=========== - Disinfection info:


=========== - USB drive info:

E: selected

USB Device ID:
SD\DISK&SAMSUNG&MCG8GC&0.3\4&32E06974&0&3177BCC6

USBSTOR\DISK&VEN_SANDISK&PROD_ULTRA_USB_3.0&REV_1.00\4C530001170417117400&0




WARNING... Possible Andromeda/Gamarue infection...
Listing root contents of E:
Le volume dans le lecteur E n'a pas de nom.
Le num‚ro de s‚rie du volume est BA80-757C

R‚pertoire de E:\

12/02/2019 16:55 <DIR> SoftwareInformation
12/02/2019 19:56 67ÿ072 ldlinux.sys
1 fichier(s) 67ÿ072 octets
1 R‚p(s) 47ÿ692ÿ787ÿ712 octets libres

USB drive disinfected and files unhidden!!


=====================================================
Scan finished at: 14:33:38,54
Send this log only if requested by a helper.
=====================================================

Made by @bartblaze
Tool to delete VBS autorun worm and unhide files
Quarantine folder on: C:\Rem-VBSqt
Info: https://bartblaze.blogspot.com/2014/02/remediate-vbs-malware.html

Reply

Marsh

NOVEMBER 9, 2013 AT 9:15 PM

2ème clé :

Rem-VBSworm v8.0

=========== - General info:

Running under: Chachafab on profile: C:\Users\fabien
Computer name: LENOVO-PC

Operating System:
Microsoft Windows 8.1

Boot Mode:
Normal boot

Antivirus software installed:
Windows Defender

McAfee VirusScan


Executed on: 13/02/2019 @ 16:28:13,45

=========== - Drive info:

Listing currently attached drives:
Caption Description VolumeName

C: Local Fixed Disk

D: Removable Disk E




Physical drives information:
C: \Device\HarddiskVolume4 NTFS
D: \Device\HarddiskVolume13 FAT

=========== - Disinfection info:


=========== - USB drive info:

D:: selected

USB Device ID:
USBSTOR\DISK&VEN_VERBATIM&PROD_STORE_N_GO&REV_5.00\070B48602C99D076&0

SD\DISK&SAMSUNG&MCG8GC&0.3\4&32E06974&0&3177BCC6




Listing root contents of D::
Le volume dans le lecteur D s'appelle E
Le num‚ro de s‚rie du volume est 0497-458F

R‚pertoire de D:\


USB drive disinfected and files unhidden!!

Reply

Marsh

NOVEMBER 9, 2013 AT 9:15 PM

3ème clé (avant dernière)

Rem-VBSworm v8.0

=========== - General info:

Running under: Chachafab on profile: C:\Users\fabien
Computer name: LENOVO-PC

Operating System:
Microsoft Windows 8.1

Boot Mode:
Normal boot

Antivirus software installed:
Windows Defender

McAfee VirusScan


Executed on: 13/02/2019 @ 16:40:20,83

=========== - Drive info:

Listing currently attached drives:
Caption Description VolumeName

C: Local Fixed Disk

D: Removable Disk




Physical drives information:
C: \Device\HarddiskVolume4 NTFS
D: \Device\HarddiskVolume16 FAT

=========== - Disinfection info:


=========== - USB drive info:

D:: selected

USB Device ID:
SD\DISK&SAMSUNG&MCG8GC&0.3\4&32E06974&0&3177BCC6

USBSTOR\DISK&VEN_JETFLASH&PROD_TRANSCEND_8GB&REV_1100\028B6G68QL9M0RRM&0




Listing root contents of D::
Le volume dans le lecteur D n'a pas de nom.
Le num‚ro de s‚rie du volume est 228D-DED8

R‚pertoire de D:\


USB drive disinfected and files unhidden!!


=====================================================
Scan finished at: 16:41:04,28
Send this log only if requested by a helper.
=====================================================

Made by @bartblaze
Tool to delete VBS autorun worm and unhide files
Quarantine folder on: C:\Rem-VBSqt
Info: https://bartblaze.blogspot.com/2014/02/remediate-vbs-malware.html

Reply

Marsh

NOVEMBER 9, 2013 AT 9:15 PM

ouaip ça semble bon =)

Reply
réponses:
  • auteur

    D'ici 13H-13H30 je t'envoie le dernier rapport, après cela je ferais un test sur un autre ordinateur pour clôturer ce post

Marsh

NOVEMBER 9, 2013 AT 9:15 PM

4ème clé : (avec bcp de retard)

Rem-VBSworm v8.0

=========== - General info:

Running under: Chachafab on profile: C:\Users\fabien
Computer name: LENOVO-PC

Operating System:
Microsoft Windows 8.1

Boot Mode:
Normal boot

Antivirus software installed:
Windows Defender

McAfee VirusScan


Executed on: 14/02/2019 @ 19:52:36,88

=========== - Drive info:

Listing currently attached drives:
Caption Description VolumeName

C: Local Fixed Disk

D: Removable Disk




Physical drives information:
C: \Device\HarddiskVolume4 NTFS
D: \Device\HarddiskVolume6 NTFS

=========== - Disinfection info:


=========== - USB drive info:

D:: selected

USB Device ID:
SD\DISK&SAMSUNG&MCG8GC&0.3\4&32E06974&0&3177BCC6

USBSTOR\DISK&VEN_SANDISK&PROD_ULTRA&REV_1.00\4C531000471114108405&0




Listing root contents of D::
Le volume dans le lecteur D n'a pas de nom.
Le num‚ro de s‚rie du volume est BAEE-82DF

R‚pertoire de D:\


USB drive disinfected and files unhidden!!

Reply

Marsh

NOVEMBER 9, 2013 AT 9:15 PM

C'est tout bon, je ferme donc le post. Merci Malekal_morte-

Reply

Leave a Replay

Make sure you enter the(*)required information where indicate.HTML code is not allowed