[Réglé] PC et clé USB infectés

[lauriane]

Bonjour,

Je vous présente mon problème. Ma clé USB a été infectée à mon boulot. Et je m'en suis rendue compte en la branchant sur mon PC portable chez moi. Tout les dossiers sont présentés comme des raccourcis. Lorsque je copie des fichiers de ma clé vers le bureau, les fichiers sont inutilisables et j'ai un message d'erreurs avec "berserk.vbe". Et si je supprime le contenu de ma clé, celui-ci réapparaît.
Qu'en pensez-vous ? avez-vous déjà rencontré ce genre de problèmes avant ?
Pouvez-vous m'aider s'il vous plait car c'est important pour mon travail que j'utilise cette clé USB ?

[guugues]

Hello lauriane et bienvenue !

Effectivement, ceci est lié à une infection qui se propage par médias amovibles. Je vais te prendre en charge pour la désinfection, mais d'abord, je vais te demander de prendre connaissance de ces quelques règles :

La désinfection ne sera terminée que lorsque je le dirai. Merci de continuer jusqu'au bout, même si les symptômes apparents ont disparu.

Les outils que je te demanderai de télécharger devront être enregistrés sur ton bureau : aide en images
(merci à H.A.W.X).

Tous les rapports devront être joints sur le forum comme mentionné dans ce tutoriel.

Ne suis pas plusieurs procédures de désinfection sur différents forums, au risque d'endommager ton système d'exploitation.

Ne fais rien de ta propre initiative.

Je suis bénévole : je ne pourrai donc pas toujours te répondre de suite.

UsbFix – Recherche :

• Télécharge UsbFix sur ton bureau.
• Branche tous tes médias amovibles sur le PC (clés USB, disques durs externes ...) sans les ouvrir.
• Lance UsbFix.

Sous Windows Vista/Seven/8, clique droit sur UsbFix puis Exécuter en tant qu'administrateur

• Clique sur le bouton Recherche puis laisse l'outil travailler :

• Une fois la recherche terminée, un rapport s'ouvre automatiquement.
• Ce rapport est sauvegardé ici : C:\UsbFix [Scan1] Nom_Du_PC.txt.
• Joins ce rapport dans ta prochaine réponse en suivant ce tutoriel.

---------------------------------------------------

Est donc attendu le rapport de UsbFix.

[lauriane]

Merci beaucoup pour cette réponse rapide.

J'ai fait ce que vous m'avez demandé, voici le rapport :

[guugues]

Ok l'infection est bien visible. Par contre, l'idéal serait de désinfecter aussi le PC de travail, car si tu rebranches tes clés dessus, il y a risque potentiel qu'elles soient de nouveau infectées.


1- UsbFix – Suppression :

• Branche tous tes médias amovibles sur le PC (clés USB, disques durs externes ...) sans les ouvrir.
• Relance UsbFix.

Sous Windows Vista/Seven/8, clique droit sur UsbFix puis Exécuter en tant qu'administrateur

• Clique sur le bouton Suppression puis laisse l'outil travailler :

• Une fois la suppression terminée, un rapport s'ouvre automatiquement.
• Ce rapport est sauvegardé ici : C:\UsbFix [Clean2] Nom_Du_PC.txt.
• Joins ce rapport dans ta prochaine réponse en suivant ce tutoriel.

2- OTL – Analyse :

• Télécharge OTL sur ton bureau.
• Ferme toutes les applications en cours, puis lance OTL.

Sous Windows Vista/Seven/8, clique droit sur OTL puis Exécuter en tant qu'administrateur

• Coche les cases Tous les utilisateurs, Recherche Lop et Recherche Purity.
• Si ton Windows est en 64 bit, la case Avec analyses 64 bit doit être cochée par défaut :

• Copie le contenu du cadre ci-dessous en cliquant sur Tout sélectionner, clique-droit sur la zone sélectionnée puis choisis Copier :

Code: Tout sélectionner

netsvcs
msconfig
safebootminimal
safebootnetwork
drivers32
activex
/md5start
afd.sys
atapi.sys
ipsec.sys
netbt.sys
tcpip.sys
explorer.exe
wininit.exe
winlogon.exe
userinit.exe
kernel32.dll
rpcss.dll
svchost.exe
services.exe
/md5stop
%temp%\.exe /s
%SYSTEMDRIVE%\*.exe
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%systemroot%\*. /mp /s
%systemroot%\system32\consrv.dll
%systemroot%\System32\config\*.sav
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\syswow64\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\syswow64\drivers\*.sys /lockedfiles
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
HKLM\SOFTWARE\Microsoft\Internet Explorer\MAIN\FeatureControl|FEATURE_BROWSER_EMULATION /rs
HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\Main\FeatureControl|feature_enable_ie_compression /rs
HKEY_USERS\S-1-5-18\Software\Microsoft\Internet Explorer\Main\FeatureControl|feature_enable_ie_compression /rs
nslookup www.google.fr /c
SAVEMBR:0
CREATERESTOREPOINT

• Puis colle-le sous la catégorie Personnalisation d’OTL.
• Clique sur le bouton Analyse en haut à gauche puis patiente quelques instants. A la fin du scan, deux rapports s'ouvriront : OTL.txt et Extras.txt. Ceux-ci sont présents sur ton bureau.
• Joins ces 2 rapports dans ta prochaine réponse en suivant ce tutoriel.

------------------------------------------------------

Sont donc attendus le rapport de UsbFix et les 2 rapports de OTL.

[lauriane]

Malheureusement je ne pourrai pas désinfecté les PC qui sont sur mon lieu de travail. Car ils sont semble-t-il nombreux à être dans ce cas. Mais je ne vais plus y brancher ma clé USB jusqu'à ce qu'ils soient tous désinfectés.

Voici les trois rapports demandés :

[guugues]

Re !

Malheureusement je ne pourrai pas désinfecté les PC qui sont sur mon lieu de travail. Car ils sont semble-t-il nombreux à être dans ce cas.

Dans ce cas, il faudrait prévenir la personne chargée de la maintenance des PC de ton lieu de travail que ces derniers sont potentiellement infectés. Préviens également, dans la mesure du possible, les autres personnes qui sont amenées à brancher leurs médias amovibles sur ces PC, mieux vaut prévenir que guérir !

On continue la procédure :


Cela te dit quelque chose des DNS pointant vers le Japon ?


1- Désinstallation des logiciels inutiles via le panneau de configuration :


Tu peux désinstaller les logiciels suivants via : Démarrer → Panneau de configuration → Programmes → Programmes et fonctionnalités :

• Bing Bar (sauf si réelle utilité)
• ToolbarFR (sauf si réelle utilité)
• barre d'outils Orange (sauf si réelle utilité)

2- OTL – Correction :

• Relance OTL.

Sous Windows Vista/Seven/8, clique droit sur OTL puis Exécuter en tant qu'administrateur

• Télécharge la pièce jointe suivante sur ton bureau :

lauriane.txt

• Ouvre le fichier lauriane.txt puis copie toutes les lignes qui sont dedans, de :OTL à [emptytemp].

• Colle ensuite les lignes précédemment copiées dans la catégorie Personnalisation d'OTL.

• Ferme toutes les applications en cours, y compris Internet.
• Puis clique sur le bouton Correction. Patiente.
• S'il t'est demandé de redémarrer le PC : accepte.
• Le rapport est sauvegardé ici : C:\_OTL\MovedFiles\ sous la forme date_heure.log.
• Joins ce rapport dans ta prochaine réponse en suivant ce tutoriel.

3- Malwarebytes Anti-Malware :

• Télécharge Malwarebytes Anti-Malware sur ton bureau.
• Le fichier mbam-setup apparaît sur ton bureau : lance-le pour installer le logiciel.

Sous Windows Vista/Seven/8, clique droit sur mbam-setup puis Exécuter en tant qu'administrateur

• Lors de l'installation, pense à décocher la case Activer l'essai gratuit de Malwarebytes Anti-Malware PRO.
• Veille également à ce que la case Mettre à jour Malwarebytes Anti-Malware soit cochée.
• Les mises à jour se lancent et le logiciel démarre.
• Si tu possèdes déjà ce logiciel, pense à le mettre à jour via l'onglet Mise à jour puis Rechercher des mises à jour.
• Dans l'onglet Paramètres, configure-le comme ci-dessous:

• Puis dans l'onglet Recherche, coche la case Exécuter un examen complet puis clique sur Rechercher.
• Sélectionne tous les lecteurs (tu peux également brancher tes médias amovibles) et clique sur Rechercher.

• L'analyse peut prendre un certain temps. Laisse travailler l'outil sans l’interrompre.
• Lorsque l'analyse est terminée, clique sur OK puis sur Afficher les résultats.
• Si des infections sont trouvées, assure-toi que tout est coché et clique sur Supprimer la sélection puis sur OK.
• Un rapport va s'ouvrir automatiquement.
• S'il l'outil te demande de redémarrer le PC, accepte de suite.
• Joins le rapport dans ta prochaine réponse en suivant ce tutoriel.
• Pour joindre le rapport, après avoir cliqué sur le bouton Choisissez un fichier, colle la ligne suivante dans le cadre Nom du fichier :

Code: Tout sélectionner

C:\Users\Lauriane\AppData\Roaming\Malwarebytes\Malwarebytes' Anti-Malware\Logs

• Puis clique sur le bouton Ouvrir : tu pourras alors sélectionner le rapport mbam-log-date(heure).txt et le joindre, comme expliqué dans le tutoriel.

4- UsbFix – Recherche :

• Branche tous tes médias amovibles sur le PC (clés USB, disques durs externes ...) sans les ouvrir.
• Relance UsbFix.

Sous Windows Vista/Seven/8, clique droit sur UsbFix puis Exécuter en tant qu'administrateur

• Clique sur le bouton Recherche puis laisse l'outil travailler :

• Une fois la recherche terminée, un rapport s'ouvre automatiquement.
• Ce rapport est sauvegardé ici : C:\UsbFix [Scan2] Nom_Du_PC.txt.
• Joins ce rapport dans ta prochaine réponse en suivant ce tutoriel.

--------------------------------------------------------------------------------

Sont donc attendus les rapports de OTL, MBAM et UsbFix.

[lauriane]

Bonsoir,
J'ai fait ce que vous m'avez indiqué, voici les rapports demandés.

Merci encore pour votre aide précieuse.

[guugues]

Salut !

Peux-tu répondre à ceci stp :

Cela te dit quelque chose des DNS pointant vers le Japon ?

Bon, l'infection est toujours là...

Tu n'aurais pas un autre rapport OTL dans C:\_OTL\MovedFiles\ ? Car le rapport que tu m'as posté n'est pas celui que j'attendais.

C'est reparti pour la case suppression !
Pour les deux manipulations qui vont suivre : laisse tous tes médias amovibles branchés sur le PC.


1- UsbFix – Suppression :

• Branche tous tes médias amovibles sur le PC (clés USB, disques durs externes ...) sans les ouvrir.
• Relance UsbFix.

Sous Windows Vista/Seven/8, clique droit sur UsbFix puis Exécuter en tant qu'administrateur

• Clique sur le bouton Suppression puis laisse l'outil travailler :

• Une fois la suppression terminée, un rapport s'ouvre automatiquement.
• Ce rapport est sauvegardé ici : C:\UsbFix [Clean3] Nom_Du_PC.txt.
• Joins ce rapport dans ta prochaine réponse en suivant ce tutoriel.

2- OTL – Correction :

• Relance OTL.

Sous Windows Vista/Seven/8, clique droit sur OTL puis Exécuter en tant qu'administrateur

• Télécharge la pièce jointe suivante sur ton bureau :

Lauriane2.txt

• Ouvre le fichier Lauriane2.txt puis copie toutes les lignes qui sont dedans, de :Reg à F:\Autorun.inf.lnk.

• Colle ensuite les lignes précédemment copiées dans la catégorie Personnalisation d'OTL.

• Ferme toutes les applications en cours, y compris Internet.
• Puis clique sur le bouton Correction. Patiente.
• S'il t'est demandé de redémarrer le PC : accepte.
• Le rapport est sauvegardé ici : C:\_OTL\MovedFiles\ sous la forme date_heure.log.
• Joins ce rapport dans ta prochaine réponse en suivant ce tutoriel.

------------------------------------------------------

Sont donc attendus : le rapport de UsbFix et les 2 rapports de suppression de OTL

[lauriane]

Bonjour,

"des DNS pointant vers le Japon", ça ne me dit rien... ça devrait ?

Sinon j'ai cherché et je n'ai pas d'autre rapport dans C:\_OTL\MovedFiles\ que celui que j'ai posté hier, je ne comprends pas j'ai pourtant fait ce que vous demandiez... le seul doute que j'ai est d'avoir bien fermé toutes les applications en cours avant de cliquer sur "correction".

Ci-joint le rapport UsbFix et le nouveau rapport OTL.

Merci encore

[guugues]

Salut !

"des DNS pointant vers le Japon", ça ne me dit rien... ça devrait ?

Si ça ne te dit rien, on va régler ça avec OTL, pas de souci.

Ah ! Les nouveaux rapports m'inspirent plus confiance ! Voici ce que tu vas faire, on va quand même contrôler que la bestiole a bien été définitivement supprimée :

• Débranche tous tes médias amovibles.
• Redémarre ton PC.

Puis :


1- UsbFix – Recherche :

• Rebranche tous tes médias amovibles sur le PC (clés USB, disques durs externes ...) sans les ouvrir.
• Relance UsbFix.

Sous Windows Vista/Seven/8, clique droit sur UsbFix puis Exécuter en tant qu'administrateur

• Clique sur le bouton Recherche puis laisse l'outil travailler :

• Une fois la recherche terminée, un rapport s'ouvre automatiquement.
• Ce rapport est sauvegardé ici : C:\UsbFix [Scan3] Nom_Du_PC.txt.
• Joins ce rapport dans ta prochaine réponse en suivant ce tutoriel.

2- OTL – Correction :

• Débranche tes médias amovibles.
• Relance OTL.

Sous Windows Vista/Seven/8, clique droit sur OTL puis Exécuter en tant qu'administrateur

• Télécharge la pièce jointe suivante sur ton bureau :

lauriane3.txt

• Ouvre le fichier lauriane3.txt puis copie toutes les lignes qui sont dedans, de :OTL à [emptytemp].

• Colle ensuite les lignes précédemment copiées dans la catégorie Personnalisation d'OTL.

• Ferme toutes les applications en cours, y compris Internet.
• Puis clique sur le bouton Correction. Patiente.
• S'il t'est demandé de redémarrer le PC : accepte.
• Le rapport est sauvegardé ici : C:\_OTL\MovedFiles\ sous la forme date_heure.log.
• Joins ce rapport dans ta prochaine réponse en suivant ce tutoriel.

-------------------------------------------------------------

Sont donc attendus les rapports de UsbFix et OTL.

[lauriane]

Bonsoir,
Voici les rapports demandés.
Merci pour votre réponse rapide.

[guugues]

Salut Lauriane !

Cette fois-ci on est bon, l'infection a été supprimée ! Confirme moi que tu n'as plus de soucis avec la clé USB.

On poursuit :


1- AdwCleaner – Nettoyage :

• Télécharge AdwCleaner sur ton bureau.
• Lance AdwCleaner.

Sous Windows Vista/Seven/8, clique droit sur AdwCleaner puis Exécuter en tant qu'administrateur

• Clique sur le bouton Scanner.

• Une fois le scan terminé, clique sur le bouton Nettoyer.
• Accepte le message d'informations en cliquant sur OK.
• Il te sera demandé de redémarrer l'ordinateur : accepte en cliquant sur OK.
• Une fois le PC redémarré, un rapport s'ouvrira automatiquement.
• Celui-ci est disponible ici : C:\AdwCleaner\AdwCleaner[S0].txt.
• Joins ce rapport dans ta prochaine réponse en suivant ce tutoriel.

2- SX Check&Update :

• Télécharge SX Check&Update sur ton bureau.
• Si l'antivirus émet des alertes, désactive-le temporairement.
• Lance sxcu.exe.

Sous Windows Vista/Seven/8, clique droit sur sxcu.exe puis Exécuter en tant qu'administrateur

• Clique ensuite sur le bouton Rapport :

• Un rapport, du nom de rapport_SX.txt, s'ouvre automatiquement.
• Celui-ci est présent sur ton bureau.
• Joins ce rapport dans ta prochaine réponse en suivant ce tutoriel.

---------------------------------------------------------------------

Sont donc attendus les rapports de AdwCleaner et SXCU.

[lauriane]

Bonjour,
Je n'ai plus de problème - du moins de problème apparent - avec ma clé USB ! Merci !
Voici les deux rapports demandés.

[guugues]

Très bien !

Adobe Reader ainsi que Java ne sont pas à jour sur ton PC. Pour info :

Adobe Flash Player, Adobe Reader ainsi que Java sont des logiciels qui présentent des failles de sécurité lorsqu'ils ne sont pas à jour, failles qui sont exploitées par des hackers pour véhiculer des infections graves.

Il faut donc les maintenir à jour très régulièrement.

Désinstalle les logiciels suivants via : Démarrer → Panneau de configuration → Programmes → Programmes et fonctionnalités :

• Adobe Reader X MUI
• Java(TM) 6 Update 22
• Java(TM) 6 Update 24
• Java 7 Update 45

Télécharge ensuite la dernière version de Adobe Reader via le site officiel.


Pense à décocher les cases pré-sélectionnées, comme ici avec McAfee Security Scan Plus :





Puis télécharge la dernière version de Java via le site officiel.


Pense à décocher les cases pré-sélectionnées, comme ici avec Ask :





Après ces manipulations, fais ceci :


SFTGC – Nettoyage des fichiers temporaires :

• Télécharge SFTGC sur ton bureau.
• Lance SFTGC.exe.

Sous Windows Vista/Seven/8, clique droit sur SFTGC.exe puis Exécuter en tant qu'administrateur

• Le logiciel s'initialise puis s'ouvre.
• Clique alors sur le bouton Go pour supprimer les fichiers temporaires inutiles :

• Un rapport du nom de SFTGC.txt est alors créé sur ton bureau.
• Joins ce rapport dans ta prochaine réponse en suivant ce tutoriel.

------------------------------------------------------------

Est donc attendu le rapport de SFTGC.

[lauriane]

Merci pour cette réponse rapide.

Je suppose qu'il faut que j'accepte dès que Adobe ou Java me propose une mise à jour ?

Voici le rapport demandé.