[Réglé] .exe étrange pièce jointe Fedex

[iwannabeyourdog]

Bonjour,

J'ai reçu un mail de la part de "FedEx Service" <personal.information@fedex.com>. Je n'ai rien commandé, aux Etats-Unis (Milwaukee).

Il y a en pièce jointe un fichier .zip nommé FedEx_Label_ID_Order_83-27-4534US puis une fois décompressé FedEx_Label_ID_Order_83-27-4534US.exe avec une icône Adobe.

Lors de la décompression il y a un dossier caché qui se créé à coté, nommé d56i75hd4id avec dedans 56 fichiers textes avec des noms incompréhensibles.

D'habitude je n'installe rien qui vient de mail, mais un proche voulais absolument que je le fasse craignant les 15.49$/jour (non mais je vous jure).

J'ai lancé le .exe sachant que le mail vient du nom de domaine fedex.com. Donc peut dangereux.

Mais une fois lancé rien ne se passe, je suis en train de faire un scanne avec Avast.


Avez vous déjà eu ce problème, cela vous semble être étrange, est-ce un virus ?

Merci beaucoup, cordialement, Thomas

__________________________________________________ ____

Voici le message du mail en anglais :

Delivery information,

We couldn’t deliver your parcel.
Status:An error at postal code.

LOCATION OF YOUR ITEM:Milwaukee
DELIVERY STATUS: sorting
SERVICE: Standard Shipping
NUMBER OF YOUR ITEM:U783204708NU
INSURANCE: Yes

Label is enclosed to the letter.
Print your label and show it in the nearest post office of USPS

Attention!
If the parcel isn’t received within 30 working days our company will have the right to claim compensation from you for it's keeping in the amount of $15.49 for each day of keeping of it.

You can find the information about the procedure and conditions of parcels keeping in the nearest office.


Thank you for your attention.
FedEx Logistics.

__________________________________________________ _______

[HexCrunch]

salut
oui tant que c'est un exe inconnu et rien ne s'est passé en le lancant c'est bien un virus et il s'est installé sur le système ..
fais ceci et on verra ensemble

• Télécharges & Installes ZHPDiag sur ton Bureau.

/!\ Utilisateur de Windows Vista et Windows Seven : Clique droit sur le logo de ZHPDiag, « Exécuter en tant qu'Administrateur » /!\

• Lances ZHPDiag.
• Cliques sur la Fléche Verte pour mettre à jour ZHPDiag.
• Cliques sur Option qui est représenté par l'icône d' un tournevis, et cliques sur Tous.
• Décoches la case "Derniers fichiers créés dans Windows Prefetcher (045)".
• Décoches la case "Derniers Fichiers Modifiés ou Crées (Utilisateur) (061)".
• Cliques sur l'icône représentant une loupe « Lancer Le Diagnostic ».
• Patientes le temps du scan.
• Enregistres le rapport sur ton Bureau à l'aide de l'icône représentant une disquette.
• Héberges le rapport ZHPDiag sur CJoint.com
• Postes le lien donné.

/!\ Note : Pour éviter de figer l'analyse ZHPDiag, laisses le travailler sans toucher à ton P.C. ! /!\


fais ceci pour eliminer d'éventuels morpions qui restent et puis on passera a la fin et aux conseils

amicalement

[iwannabeyourdog]

Merci pour ta réponse, voici le .txt, http://bit.ly/LFiwDI

Cordialement, Thomas.

[HexCrunch]

salut
enlève le résolu sur le titre il reste encore des morpions
quelle est la derniere fois que tu as ton systeme a jour ??


Attention , ce Script a été spécialement créé en fonction des infections présentes sur se pc , il ne doit être en aucun cas utilisé/reproduit sur un autre ordinateur

==========================================

• Copie/colle toutes les lignes en Bleu que tu vois si-dessous
  
  
  
  P2 - FPN: [HKCU] [wacom.com/WacomTabletPlugin] - (.Wacom - Plugin for Wacom tablets..) -- C:\Program Files (x86)\TabletPlugins\npWacomTabletPlugin.dll
  R0 - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://www.searchqu.com <b>[Pays US - 207.232.22.60]</b>
  O2 - BHO: Searchqu Toolbar [64Bits] - {99079a25-328f-4bd4-be04-00955acaa0a7} Clé orpheline
  [MD5.6F6B1D36D0C4981B2788AA26C18D3355] [SPRF][25/05/2012] (.TEAC - Successes2012.) -- C:\Users\Thomas\AppData\Local\urlmon.exe [40448]
  O87 - FAEL: TCP Query User{2CD1D765-8B40-4E40-92B1-BB9719FA4BC7}C:\program files (x86)\spotify\spotify.exe | In - Private - P6 - TRUE | .(.Spotify Ltd - Spotify.) -- C:\program files (x86)\spotify\spotify.exe
  O87 - FAEL: UDP Query User{BA26A582-17A4-4E76-A669-63FE5097EE10}C:\program files (x86)\spotify\spotify.exe | In - Private - P17 - TRUE | .(.Spotify Ltd - Spotify.) -- C:\program files (x86)\spotify\spotify.exe
  O87 - FAEL: TCP Query User{B0A2DB99-31E0-4899-A1AD-CB10D5A44ED4}C:\program files (x86)\spotify\spotify.exe | In - Public - P6 - TRUE | .(.Spotify Ltd - Spotify.) -- C:\program files (x86)\spotify\spotify.exe
  O87 - FAEL: UDP Query User{06810C3C-5A7F-4BC9-8089-8EE8F787ADF7}C:\program files (x86)\spotify\spotify.exe | In - Public - P17 - TRUE | .(.Spotify Ltd - Spotify.) -- C:\program files (x86)\spotify\spotify.exe
  O87 - FAEL: TCP Query User{FD73CD37-A8FF-4BDA-A370-589DFD4742B6}C:\program files (x86)\proun\proun.exe |In - Private - P6 - TRUE | .(...) -- C:\program files (x86)\proun\proun.exe (.not file.)
  O87 - FAEL: UDP Query User{BF347E4E-10BF-41B9-86FB-081D83D821E1}C:\program files (x86)\proun\proun.exe |In - Private - P17 - TRUE | .(...) -- C:\program files (x86)\proun\proun.exe (.not file.)
  O87 - FAEL: TCP Query User{BD38C622-2E06-46E8-984C-ADB99C541B0C}C:\program files (x86)\proun\proun.exe |In - Public - P6 - TRUE | .(...) -- C:\program files (x86)\proun\proun.exe (.not file.)
  O87 - FAEL: UDP Query User{0DA6F2D8-7E22-4731-A288-E6B36B7DBCE3}C:\program files (x86)\proun\proun.exe |In - Public - P17 - TRUE | .(...) -- C:\program files (x86)\proun\proun.exe (.not file.)
  [HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{99079A25-328F-4BD4-BE04-00955ACAA0A7}] =>Adware.Bandoo
  [HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{99079A25-328F-4BD4-BE04-00955ACAA0A7}] =>Adware.Bandoo
  [HKLM\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{99079A25-328F-4BD4-BE04-00955ACAA0A7}] =>Adware.Bandoo
  [HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2410}] =>Adware.Bandoo
  [HKLM\Software\WOW6432Node\Microsoft\Internet Explorer\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2410}] =>Adware.Bandoo
  FirewallRaz
  EmptyFlash
  Emptytemp
  
• A partir du raccourci sur le Bureau
• Lance ZHPFix par double clic sous Xp, par clic droit et "exécuter en tant qu'administrateur" sous Vista et Seven.
  /!\Fermer toutes applications en cours/!\
• Clique sur l'icône représentant la lettre (« coller les lignes Helper »)
  les lignes se placent dans la fenêtre de ZHPFix => tu ne dois voir que celles-là
• Valide par "OK"
• Clique sur « Tous », puis sur « Nettoyer » Ne touche pas au pc pendants la suppression(Risque de plantage) Le temps varie en fonctions des lignes à supprimer
  
  
  
  PUIS
  Faits ce qui suit, chacun leurs tours.
  
  
  • Télécharges AdwCleaner sur ton Bureau.
  
  /!\ Utilisateur de Windows Vista et Windows Seven : Cliques droit sur le logo de AdwCleaner, « Exécuter en tant qu'Administrateur » /!\
  
  • Lances AdwCleaner.
  • Cliques sur le bouton Suppression.
  • Patientes le temps du scan.
  • A la fin de la Suppresion, AdwCleaner te dira qu'il faudra redemarrer, faits le.
  • AdwCleaner va ouvrir le bloc-notes et y copier le rapport d'analyse.
  • Enregistres le rapport sur ton Bureau.
  • Héberges le rapport AdwCleaner sur CJoint.com
  • Postes le lien donné.
  
  • Ensuite tu peux cliqué sur Désinstaller.
  
  --------------
  
  • Télécharges Ad-Remover sur ton Bureau.
  
  /!\ Utilisateur de Windows Vista et Windows Seven : Clique droit sur le logo de Ad-Remover, « Exécuter en tant qu'Administrateur » /!\
  
  • Lances Ad-Remover.
  • Cliques sur le bouton Nettoyer.
  • Patientes le temps du scan.
  • A la fin de la Suppresion, Ad-Remover te dira qu'il faudra redemarrer, faits le.
  • Ad-Remover va ouvrir le bloc-notes et y copier le rapport d'analyse.
  • Enregistres le rapport sur ton Bureau.
  • Héberges le rapport Ad-Remover sur CJoint.com
  • Postes le lien donné.
  
  • Ensuite tu peux cliqué sur Désinstaller.[/quote]
  
  amicalement
• Héberge le sur Cjoint.com et poste moi le lien fourni [/i])[/url]

[EinsteinZero]

Bonsoir

j'ai enlevé le [Résolu] prématuré

[iwannabeyourdog]

Merci de l'intérêt que vous portez à mon sujet.

J'ai mis réglé car, j'ai posté sur un autre forum et après avoir fait des démarches, on m'a dit que c'était OK.

Je te mets un scan que je viens de faire, pour que tu puisses vérifier.
http://cjoint.com/?BEFqhvO1bsB

NB : j'ai souhaité garder deux keygens, MasterCollection et Cinema4d (on m'a dit que c'était potentiellement dangereux, mais ils me sont utiles -étudiant graphisme-)

Cordialement, Thomas.

[HexCrunch]

salut
désolé pour le retard
il reste encore du travail
et encore des cracks
C:\Users\Thomas\AppData\Local\SKIDROW
c'est un crack de jeu
moi je ne t'oblige de rien mais fais attention !
pour spybot il est obsolète utilise donc MBAM
et encore fais attention avec utorrent et le P2P
mets ces lignes dans ZHPFix

Code: Tout sélectionner

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] NoActiveDesktopChanges: Modified
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system] EnableLUA: Modified
O4 - HKCU\..\Run: [Spotify Web Helper] C:\Users\Thomas\AppData\Roaming\Spotify\Data\SpotifyWebHelper.exe (.not file.)
O4 - HKUS\S-1-5-21-1655649981-218477517-2652553143-1000\..\Run: [Spotify Web Helper] C:\Users\Thomas\AppData\Roaming\Spotify\Data\SpotifyWebHelper.exe (.not file.)
[MD5.4F6765BA6686FD354261CC1DCEC27F21] [SPRF][09/10/2010] (...) -- C:\ProgramData\ezsidmv.dat [56]
[MD5.6F6B1D36D0C4981B2788AA26C18D3355] [SPRF][25/05/2012] (.TEAC - Successes2012.) -- C:\Users\Thomas\AppData\Local\urlmon.exe [40448]
O87 - FAEL: TCP Query User{B5C1BF98-D641-47CA-B0B8-77432F845CB0}C:\program files (x86)\starcraft ii bêta\starcraft ii.exe |In - Private - P6 - TRUE | .(...) -- C:\program files (x86)\starcraft ii bêta\starcraft ii.exe (.not file.)
O87 - FAEL: UDP Query User{821513B0-64A0-4741-ACC1-5028F3CD924A}C:\program files (x86)\starcraft ii bêta\starcraft ii.exe |In - Private - P17 - TRUE | .(...) -- C:\program files (x86)\starcraft ii bêta\starcraft ii.exe (.not file.)
O87 - FAEL: TCP Query User{C4F6A7A5-7C66-4DA9-9F51-25506EE94F61}C:\program files (x86)\starcraft ii bêta\versions\base13891\sc2.exe |In - Private - P6 - TRUE | .(...) -- C:\program files (x86)\starcraft ii bêta\versions\base13891\sc2.exe (.not file.)
O87 - FAEL: TCP Query User{FD73CD37-A8FF-4BDA-A370-589DFD4742B6}C:\program files (x86)\proun\proun.exe |In - Private - P6 - TRUE | .(...) -- C:\program files (x86)\proun\proun.exe (.not file.)
O87 - FAEL: UDP Query User{BF347E4E-10BF-41B9-86FB-081D83D821E1}C:\program files (x86)\proun\proun.exe |In - Private - P17 - TRUE | .(...) -- C:\program files (x86)\proun\proun.exe (.not file.)
O87 - FAEL: TCP Query User{BD38C622-2E06-46E8-984C-ADB99C541B0C}C:\program files (x86)\proun\proun.exe |In - Public - P6 - TRUE | .(...) -- C:\program files (x86)\proun\proun.exe (.not file.)
[HKLM\SYSTEM\CurrentControlSet\Services\Eventlog\Application\HssSrv] =>Toolbar.Agent


Fait ceci pour supprimer les logiciels qui ont servis à cette désinfection.

Télécharge << DELFIX >> de Xplode pour supprimer les logiciels qui ont servis a cette désinfection.


* Lance-le.

* A l'invite, [Suppression] ()

* Un rapport va s'ouvrir à la fin, colle le dans la réponse

Ensuite pour le désinstaller ; tu relances et tu passes à l'option [Désinstallation]


Puis:: Bon maintenant on va mettre la restauration du système propre.
Pour cela:

1- Valides les touches Windows et Pause en même temps.

Puis Protection du système

Sur cette fenêtre décoches la case concernant le DD ou est installé ton système normalement C:

Valide et acceptes les demandes suivantes.

***Pour Windows 7** il faut valider l'onglet Configurer puis valider la désactivation de la restauration.

**Toujours sur cette même fenêtre : Il te faut donc maintenant recrée un nouveau point de restauration.

Coche cette même case et valides cela par l’onglet APPLIQUER puis onglet « CREER »

Nommes ce point PC- Clean: Valides.

Vous pouvez maintenant fermer toutes les fenêtres.

Pour le bien de votre PC:

• Penser à effectuer la Mise à jours de Windows Update:
• Démarrer => Tous les programmes => Windows Update
  
  
• Mettez votre JaVa à jours.
  
  
• Mettre à jours son navigateur intenet:
• Mozilla Firefox
• Internet explorer
  
  
• Effectuer un Scan complet de votre pc avec votre Antivirus(Tous les 15J~)
• Effectuer un Scan complet ou rapide avec Malwarebytes' Antimalware
  utilisé lors de la désinfection en prenant soin de le mettre à jours avant chaque utilisations.
  
  
• Ne cliquer pas sur des liens qu'on vous envoie bêtement.
• Faite attention à vos téléchargement & à votre navigation sur internet:
  (Site douteux: Pubs , Emoticône... )
• Fait attention aux Toolbars que vous installé => http://forum.malekal.com/les-toolbars-e ... t6173.html

amicalement

[iwannabeyourdog]

Non pas de problème

Bon après avoir désinstallé Delfix, j'ai pas passé à faire une sauvegarde du rapport avant de le désinstallé donc pas de rapport....
Faute de, le rapport ZHPfix : http://cjoint.com/?BFdcB1as5zq

Quel est le but de l'étape "restauration du système propre" ?

Autre question, un proche à téléchargé le .zip où se trouvé le .exe suspect du mail. Heureusement, il ne sait pas dézipper un fichier compressé donc, il n'a pas installé le .exe.
Pas de problème apriori avec ce malware si pas exécuté ?

Merci.

[HexCrunch]

salut
le rapport que tu a joint n'est pas celui de ZHPFix mais de MBR check

Quel est le but de l'étape "restauration du système propre" ?

on supprime les points de restauration car les infection peuvent être réactivés a cause d'eux.
et on crée une autre "clean" pour pouvoir éventuellement restaurer sans risque d'infection.

Pas de problème apriori avec ce malware si pas exécuté ?

si tu en es sur qu'il n'est pas éxecuté alors pas de soucis

amicalement

[jeanmimigab]

Bonjour,

J'ai reçu un mail de la part de "FedEx Service" <personal.information@fedex.com>.

Salut,

c'est un scam qui est des mêmes auteurs que celui de l'US postal

From: USPS Mail
Subject: Print the postal label

Delivery information,

Our company’s courier couldn’t deliver your parcel.

Status deny: Wrong postal code.
LOCATION:Charlotte
STATUS OF YOUR ITEM: sort order
SERVICE: Standard Shipping
NUMBER OF YOUR PARCEL:U062504390 NU
FEATURES: No

The label of your parcel is enclosed to the letter.
Print your label and show it in the nearest post office of USPS

Important information!
If the parcel isn’t received within 30 working days our company will have the right to claim compensation from you for it's keeping in the amount of $13.79 for each day of keeping.

You can find the information about the procedure and conditions of parcels keeping in the nearest office.

Thank you for using our services.
USPS Logistics Services.

[attached file: Label_Parcel_ID9279US.zip]

[HexCrunch]

salut
merci jean
@++

[iwannabeyourdog]

Merci de votre aide. J'ai un nouveau problème, je ne pense pas qu'il y a de rapports mais bon...
J'ai téléchargé/installer deux softs pour faire de la musique électronique :Psycle puis FL Studio.
Après avoir désinstallé Psycle avec l'outil Geek Uninstaller.

Depuis, plus de fond d'écran, les raccourcis de la barre des tâches qui ne renvoient vers rien, et la même chose pour les raccourcis que j'avais placé dans le menu démarrer...

Savez-vous d'où cela peut bien venir ?
Merci !

[HexCrunch]

salut
honnetement.. tu les a crackés ?? car il sont payants ??
on va verifier les morpions puis on verra
refais un ZHPDiag stp
et fais ceci

• Télécharger sur le bureau RogueKiller (par tigzy)
• Quitter tous les programmes en cours
• Lancer RogueKiller.exe.
• Attendre la fin du Prescan ...
• Cliquer sur Scan
• Attendre la fin du scan
• Le rapport a été généré sur le bureau.
• Dans l'onglet Registre, décocher les éventuels faux positifs.
• Cliquer sur le bouton Suppression.
• Le rapport a été généré sur le bureau.

amicalement

[iwannabeyourdog]

Non, je t'assure je n'ai pas utilisé de crack, l'un est gratuit et l'autre, c'était le soft d'essai.

Voilà le scan : http://cjoint.com/?BFdsAAfzplh

Merci, cordialement, Thomas.

[HexCrunch]

ok attaques rogue killer pendant que j'analyse ton rapport