[Réglé] Le virus qui fait ^^

[joh]

Bonsoir,

Eh bien voilà, j'ai un virus ... et ça me rend très triste.
J'ai reçu un mail (sisi je l'ai ouvert) me disant qu'on m'avait expédié un colis blablabla j'avais fait un petit scan avast rapide parce que j'aimais pas trop ça : RAS, j'ai dormi dessus et mon virus s'est fait oublier pendant quelques temps.

Les premiers symptomes ont commencé hier avec des soucis sur ma clef USB. Il n'y avait plus que les raccourcis des fichiers et impossible de les supprimer (ils revenaient 3 secondes après). Clef formatée, j'ai pas fait le lien.

Aujourd'hui je tape un mail et impossible d'utiliser le verbe ^etre, euh le verbe ^^^etre rrrrrahhhh le verbe ETRE avec un accent circonflexe !! Quelle purge ce virus "bugbear" ou un "badtrans" selon google ?
Bon là je panique, scan complet avast qui trouve un truc que je supprime de la quarantaine , malwarebytes, adwcleaner, impossible de recouvrer l'usage de mon accent circonflexe.
J'abdique le temps d'aller au taf et en rentrant, après quelques heures d'utilisation, ma souris agonise en laggant à mort et en bipant très fort. Je reboot, ça le refait le temps d'essayer de cliquer sur malwarebytes (ah l'ironie) mais ça s'arr^ete quand je suis sur le net.

Bref, j'ai un virus.

Et je suis dévastée ! Je lance un appel à qui pourra m'aider à éradiquer cette horreur de mon petit pc tout sage. Défenseurs du circonflexe, unissons-nous (enfin surtout vous parce que moi j'y connais que dalle).

Ah, si ça peut aider je crois que le nom de ce que j'ai supprimé de la quarantaine était en rapport avec utorrent, quelle surprise ...

Dans l'attente d'une réponse de votre part, bonne nuit

[bernard53]

Bonjour
Ceci s.t.p.

Téléchargez le fichier attaché Fixlist.txt suivant le lien ci-dessous et enregistrez-le sur le Bureau.

fixlist.txt

NOTE .Il est important que les deux fichiers, FRST/FRST64 et fixlist.txt se trouvent dans le même emplacement, sinon la correction ne fonctionnera pas.
NOTICE: Ces lignes ont été écrites spécialement pour cet utilisateur, pour être utilisées exclusivement sur ce PC. Exécuter ces instructions sur une autre machine pourrait endommager le système d'exploitation.
Exécutez FRST/FRST64 cliquez une seule fois sur le bouton Corriger et attendez.

Si, pour une raison quelconque, l'outil a besoin d'un redémarrage, laissez le système redémarrer normalement. Ensuite laissez l'outil terminer son travail.
Quand il a fini, FRST va créer un rapport placé sur le Bureau (Fixlog.txt). Copiez/collez ce rapport dans votre réponse.


Joins ces rapports dans ta prochaine réponse en suivant ce tutoriel.

Ensuite mets à jour Mlawaresbytes et si cela bloque fait l'analyse en mode sans échec.

[joh]

Bonjour !

Voici le rapport fixlog.txt :

Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 30-11-2016
Exécuté par joh (02-12-2016 14:06:08) Run:1
Exécuté depuis C:\Users\joh\Desktop
Profils chargés: joh (Profils disponibles: joh)
Mode d'amorçage: Normal
==============================================

fixlist contenu:
*****************
start
CreateRestorePoint:
CloseProcesses:
() C:\tKfIHtKfIH\winup.exe
HKU\S-1-5-21-3772453809-3918609146-661942310-1001\...\RunOnce: [tKfIH] => C:\tKfIHtKfIH\winup.exe [54272 2016-11-28] ()
SearchScopes: HKU\.DEFAULT -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
SearchScopes: HKU\S-1-5-19 -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
SearchScopes: HKU\S-1-5-20 -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
2016-11-30 00:04 - 2016-11-30 10:07 - 00000000 __SHD C:\tKfIHtKfIH
2016-11-30 00:04 - 2016-11-28 12:50 - 00054272 _____ () C:\tKfIHtKfIH\winup.exe
Task: {E0B6DC91-F987-46E2-A190-71F26BD98079} - System32\Tasks\AutoKMS => C:\Windows\AutoKMS\AutoKMS.exe [2015-04-01] ()





Cmd: ipconfig /flushdns

end

*****************

Le Point de restauration a été créé avec succès.
Processus fermé avec succès.
C:\tKfIHtKfIH\winup.exe => Aucun processus actif trouvé
HKU\S-1-5-21-3772453809-3918609146-661942310-1001\Software\Microsoft\Windows\CurrentVersion\RunOnce\\tKfIH => valeur supprimé(es) avec succès
HKU\.DEFAULT\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\\DefaultScope => valeur supprimé(es) avec succès
HKU\S-1-5-19\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\\DefaultScope => valeur supprimé(es) avec succès
HKU\S-1-5-20\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\\DefaultScope => valeur supprimé(es) avec succès
C:\tKfIHtKfIH => déplacé(es) avec succès
"C:\tKfIHtKfIH\winup.exe" => non trouvé(e).
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Boot\{E0B6DC91-F987-46E2-A190-71F26BD98079}" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{E0B6DC91-F987-46E2-A190-71F26BD98079}" => clé supprimé(es) avec succès
C:\Windows\System32\Tasks\AutoKMS => déplacé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\AutoKMS" => clé supprimé(es) avec succès

========= ipconfig /flushdns =========


Configuration IP de Windows

Cache de r‚solution DNS vid‚.

========= Fin de CMD: =========



Le système a dû redémarrer.

==== Fin de Fixlog 14:06:16 ====

J'ai mis à jour Malwarebytes (passée à v2016.12.02.06) et lancé une analyse. Il n'a trouvé aucune menace (il n'en trouvait pas avant non plus). Il faut dire que depuis ce matin je n'ai constaté aucun bug souris ni ralentissement en tout genre.
Aussi, je suis fière d'avoir réussi à taper "être ou ne pas être" ... le circonflexe est de retour !
Est-ce là le signe d'une annihilation totale du vilain pas beau ?

Merci de prendre le temps de me répondre déjà, et puis si tout est rentré dans l'ordre eh bien merci² !

Bien cordialement

[bernard53]

ok pour moi mais il y avait ce dossier bizarre sur ton pc.C:\tKfIHtKfIH à moins que c'est toi qui l'a crée!
Si tout va alors:
* Télécharge << DelFix >>(d'Xplode) sur ton bureau.
* Lance le, puis coche les cases suivantes :





Supprimer les outils de désinfection




* Clique ensuite sur Exécuter puis patiente pendant le processus de suppression.
Puis:
Si tu veux avoir toujours une vue des logiciels à mettre à jour pour éviter toutes éventualités de failles qui pourrais profiter à des personnes mal intentionnées.

http://filehippo.com/fr/download_app_manager/

Bonne soirée

[joh]

Il y avait ce dossier ? Si c'est à l'imparfait alors parfait ! Je n'ai pas le souvenir d'avoir jamais crée un dossier surtout pas avec un nom pareil !
Je suis rassurée de lire ton diagnostic, qui semblé confirmé par un journée sans symptômes alarmants. Je m'en vais de ce pas DelFixer tout ça.

Un grand merci à toi bernard53 et plus largement à tous ceux trouvent les solutions pour newbies sans rien demander en retour. Vous êtes les héros des temps modernes !

Merci, merci

[bernard53]

Bonne soirée