Security-X

Forum Security-X => Désinfections => Discussion démarrée par: lilmoon le février 06, 2014, 22:39:37

Titre: Clé USB infectée (II)
Posté par: lilmoon le février 06, 2014, 22:39:37
Bonsoir,

Il s'agit à présent de la clé usb de ma soeur, infectée, comme je l'ai été, par le même virus (en même temps c'est elle qui m'avait infectée ! :P). (cf mon 1er sujet)

Après analyse avec Usbfix, voici le rapport -> http://up.security-x.fr/file.php?h=R3b817ad2c861fb4cbfe196b56fd979d7 (http://up.security-x.fr/file.php?h=R3b817ad2c861fb4cbfe196b56fd979d7)

Que faire à présent ?
Titre: Re : Clé USB infectée (II)
Posté par: hyunkel30 le février 07, 2014, 09:38:28
 :AAC Re-bonjour ;)

Y'a du monde en plus de l'infection par support USB ...

Il me faut d'autre rapport pour faire le ménage entièrement s'il te plait :

1) Télécharge Farbar Recovery Scan Tool (http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/) (de Farbar) sur ton Bureau.

Attention: Tu dois lancer la version compatible avec ton système : 32 ou  64bits.

Sous IE9 ou IE10, le filtre SmartScreen déclenche une alerte. Cliquer sur Actions puis sur Exécuter quand même

Poste les deux rapports générés.


2) Télécharge AdwCleaner (http://www.bleepingcomputer.com/download/adwcleaner/dl/125/) (de Xplode) sur ton Bureau.

Titre: Re : Clé USB infectée (II)
Posté par: lilmoon le février 09, 2014, 13:23:53
Re-bonjour,  :)

Voici les rapports demandés:

FRST.txt -> http://up.security-x.fr/file.php?h=R6aac0ea894d0b500cc9c07d679ac05b8 (http://up.security-x.fr/file.php?h=R6aac0ea894d0b500cc9c07d679ac05b8)
Addition.txt -> http://up.security-x.fr/file.php?h=Rb29181330b1a31e1f2ca0c1e377053fc (http://up.security-x.fr/file.php?h=Rb29181330b1a31e1f2ca0c1e377053fc)
AdwCleaner -> http://up.security-x.fr/file.php?h=R21d3e8974ccf63959d934f8c43f47b3e (http://up.security-x.fr/file.php?h=R21d3e8974ccf63959d934f8c43f47b3e)
Titre: Re : Clé USB infectée (II)
Posté par: hyunkel30 le février 09, 2014, 15:11:08
Re,

Ok, on y va pour le ménage :


1) Désinstalle les programmes suivants dans ta liste des programmes (si présents) :

Note : Si tu rencontres une erreur passe au suivant et poursuis la procédure

- Bing Bar (barre d'outil, sauf réel intérêt)
- Google Toolbar for Internet Explorer (idem)

- IePluginService12.27.0.3326 (adware : logiciel publicitaire)
- SupTab (idem)
- WPM17.8.0.3325 (idem)

[Info]Suite Windows Live : Windows live messenger ayant été remplacé par Skype, il peut être intéressant dès à présent de supprimer les logiciels devenus inutile de la suite Windows Live.
Pour cela, dans la liste des programmes, cliquer sur "Windows Live"/"Installation Windows Live" puis "Désinstaller" et choisir les logiciels à supprimer (ex : Windows Live Messenger, Complément Messenger, Windows Live Writer, Windows Live Mesh, etc ...)



/!\ Crée un point de restauration manuel avant d'appliquer le correctif - Tutoriel en images (http://forum.security-x.fr/windows-7/%28tutoriel%29-creer-un-point-de-restauration-sous-windows-7/) /!\

Code: [Sélectionner]
start
(Cherished Technololgy LIMITED) C:\ProgramData\IePluginService\PluginService.exe
(Cherished Technololgy LIMITED) C:\ProgramData\WPM\wprotectmanager.exe
HKU\S-1-5-21-2073525839-387149500-3774291649-1001\...\Run: [iTunesHelper] - C:\Users\Christelle\AppData\Local\Temp\iTunesHelper.vbe [69558262 2014-01-14] () <===== ATTENTION
Startup: C:\Users\Christelle\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\iTunesHelper.vbe ()
Startup: C:\Users\Christelle\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\MyPC Backup.lnk
ShortcutTarget: MyPC Backup.lnk -> C:\Program Files\MyPC Backup\MyPC Backup.exe (No File)
Startup: C:\Users\Christelle\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\PricePeepUpdater.lnk
ShortcutTarget: PricePeepUpdater.lnk -> C:\Program Files\PricePeep\PricePeepUpdater.exe (No File)
URLSearchHook: HKCU - (No Name) - {338c5d66-6b92-40a7-a216-9830d2e54103} - No File
BHO: IETabPage Class - {3593C8B9-8E18-4B4B-B7D3-CB8BEB1AA42C} - C:\Program Files\SupTab\SupTab.dll (Thinknice Co. Limited)
Toolbar: HKCU - No Name - {338C5D66-6B92-40A7-A216-9830D2E54103} - No File
CHR Extension: (Extended Protection) - C:\Users\Christelle\AppData\Local\Google\Chrome\User Data\Default\Extensions\cekcjpgehmohobmdiikfnopibipmgnml [2014-01-26]
CHR Extension: (Lightning speedDial) - C:\Users\Christelle\AppData\Local\Google\Chrome\User Data\Default\Extensions\pkndmigholgfjlniaohblojbhgjbkakn [2014-01-26]
CHR HKLM\...\Chrome\Extension: [pkndmigholgfjlniaohblojbhgjbkakn] - C:\Users\Christelle\AppData\Local\Google\Chrome\User Data\Default\Extensions\newtabv2.crx [2014-01-26]
R2 IePluginService; C:\ProgramData\IePluginService\PluginService.exe [508016 2014-01-14] (Cherished Technololgy LIMITED)
R2 Wpm; C:\ProgramData\WPM\wprotectmanager.exe [493568 2014-01-26] (Cherished Technololgy LIMITED)
2014-01-26 13:52 - 2014-01-26 13:52 - 00000000 ____D () C:\Program Files\Common Files\337
2014-01-26 13:51 - 2014-01-31 11:57 - 00000000 ____D () C:\Program Files\Software
2014-01-26 13:51 - 2014-01-26 13:51 - 00000000 ____D () C:\Users\Christelle\AppData\Local\Software
2014-01-26 13:51 - 2014-01-26 13:51 - 00000000 ____D () C:\ProgramData\IePluginService
2014-01-26 13:51 - 2014-01-26 13:51 - 00000000 ____D () C:\Program Files\SupTab
2014-01-26 13:50 - 2014-01-26 13:50 - 00000000 ____D () C:\ProgramData\WPM
C:\Users\Christelle\AppData\Local\Temp\BoxoreInstaller.exe
C:\Users\Christelle\AppData\Local\Temp\GetCC.dll
C:\Users\Christelle\AppData\Local\Temp\plus-hd-2-5.exe
Task: {09203E69-7482-443C-A54A-E53A5A0BA953} - \Updater19962.exe No Task File
Task: {1EB7E4D6-8D33-467F-AEB7-1469ECD0D92A} - \Plus-HD-2.5-codedownloader No Task File
Task: {34DD729E-85DB-4B17-9669-0D5B1FE2EE37} - \Plus-HD-2.5-chromeinstaller No Task File
Task: {5BBF489B-F543-4236-B8B7-9D15F1112D3A} - \Plus-HD-2.5-enabler No Task File
Task: {5EB8443B-0D77-47D0-95CB-903C223D6C4C} - System32\Tasks\wp_update => C:\Users\Christelle\AppData\Roaming\~aqlizsf.exe [2013-11-29] ()
Task: {6CBF7DA5-C3B4-4D4D-87D4-AE927BA26036} - System32\Tasks\{5C3D87EB-D2B3-4638-B729-177AAAF32172} => C:\Kreapixel\WebPlayerV2\CHRISTELLE\WebPlayerV2.exe
Task: {A6AB8A22-E0D1-43CC-B231-91516E0B6757} - \Desk 365 RunAsStdUser No Task File
AlternateDataStreams: C:\ProgramData\TEMP:373E1720
C:\Program Files\PricePeep
C:\Program Files\MyPC Backup
C:\Users\Christelle\AppData\Local\Temp\iTunesHelper.vbe
C:\Kreapixel
C:\Users\Christelle\AppData\Roaming\~aqlizsf.exe
end/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnement et endommager Windows /!\


3) Relance Adwcleaner

/!\ Désactive tes protections résidentes : antivirus, antispyware ... Ferme toutes les applications en cours (notamment ton navigateur)/!\

Titre: Re : Clé USB infectée (II)
Posté par: lilmoon le février 09, 2014, 17:52:33
Voilà:

Fixlog.txt -> http://up.security-x.fr/file.php?h=Rf1c1d1e61a2a30789ddd5911577bc08e (http://up.security-x.fr/file.php?h=Rf1c1d1e61a2a30789ddd5911577bc08e)
Adwcleaner -> http://up.security-x.fr/file.php?h=Rc39a290d52e379337115122fe2a782e4 (http://up.security-x.fr/file.php?h=Rc39a290d52e379337115122fe2a782e4)
USBFix -> http://up.security-x.fr/file.php?h=R53a875a790e89d07d314bc26dccfa6ab (http://up.security-x.fr/file.php?h=R53a875a790e89d07d314bc26dccfa6ab)
Titre: Re : Clé USB infectée (II)
Posté par: hyunkel30 le février 09, 2014, 18:05:56
Re,

Parfait ;)

Maintenant, dis-moi si tu rencontres encore des problèmes avec la clé usb ou sur le pc.

Si tout est ok, on conclura avec le nettoyage des outils et les mises à jours et conseils.

 :AAN
Titre: Re : Clé USB infectée (II)
Posté par: lilmoon le février 09, 2014, 18:44:59
Ben en fait, ma soeur se pose des questions sur des fichiers qui sont apparus sur sa clé (apparemment avant l'infection). Que sont ces fichiers ?:
- .fseventsd
- .Spotlight-V100
- .Trashes
Titre: Re : Clé USB infectée (II)
Posté par: hyunkel30 le février 09, 2014, 19:56:21
Re,

C'est généralement lié au fait que la clé a été utilisé sur un MAC
Est-ce le cas ?

Ce sont des fichiers ? Ce ne sont pas plutôt des dossiers ?
Titre: Re : Clé USB infectée (II)
Posté par: lilmoon le février 09, 2014, 20:32:41
Oui elle m'a confirmé qu'elle a utilisé sa clé sur un mac. Les noms que je t'ai donné sont des dossiers contenant parfois des fichiers.
Titre: Re : Clé USB infectée (II)
Posté par: hyunkel30 le février 09, 2014, 21:17:28
Re,

Alors ce doit être ié à cela, il ne sont pas dangereux.
Tu peux les masquer de cette manière :
Clic-droit dessus -> propriété
Et cocher en bas "caché"
Titre: Re : Clé USB infectée (II)
Posté par: lilmoon le février 10, 2014, 17:46:35
Re,

Ok merci c'est comprit ! :)

Autre chose avant de finaliser la désinfection, il y a une page qui apparaît quand on démarre Internet Explorer. C'est la page de Nation Zoom qui est, il me semble, un adware. On a tout essayé pour la faire disparaître mais rien...
Dans Options Internet, la page de démarrage est pourtant Google.fr. Dans Gérer les modules complémentaires, on ne voit Nation Zoom ni dans Barres d'outils et extentions, ni dans Moteurs de recherche. Le moteur de recherche par defaut est Bing.

Alors comment faire pour s'en débarrasser ?
Titre: Re : Clé USB infectée (II)
Posté par: hyunkel30 le février 10, 2014, 19:17:11
Re,

Un raccourci qui n'a pas dû être nettoyé, à faire :

Télécharge Shortcut Cleaner (http://www.bleepingcomputer.com/download/shortcut-cleaner/dl/172/) (de Grinler) sur ton Bureau

/!\ Ferme toutes les applications, y compris ton navigateur

Titre: Re : Clé USB infectée (II)
Posté par: lilmoon le février 10, 2014, 19:50:05
Voici le rapport -> http://up.security-x.fr/file.php?h=Rf23699a17d0e5b74fef79bb3aecab9e6 (http://up.security-x.fr/file.php?h=Rf23699a17d0e5b74fef79bb3aecab9e6)
Titre: Re : Clé USB infectée (II)
Posté par: hyunkel30 le février 10, 2014, 21:21:05
Re,

Ok, voilà, c'était les raccourci de la barre de démarrage rapide.

Ce doit être bon à présent, dis-moi si tu as encore le souci ou pas ;)
Titre: Re : Clé USB infectée (II)
Posté par: lilmoon le février 10, 2014, 22:20:17
Non, tout est impec' merci bien ! :)
Titre: Re : Clé USB infectée (II)
Posté par: hyunkel30 le février 10, 2014, 22:23:55
Re,

très bien, pour conclure alors :

Télécharge DelFix (http://general-changelog-team.fr/fr/downloads/viewdownload/20-outils-de-xplode/9-delfix) (de Xplode) sur ton bureau.

Titre: Re : Clé USB infectée (II)
Posté par: lilmoon le février 10, 2014, 22:43:42
Voilà:

# DelFix v10.6 - Rapport créé le 10/02/2014 à 22:39:29
# Mis à jour le 11/11/2013 par Xplode
# Nom d'utilisateur : Christelle - CHRISTELLE-PC
# Système d'exploitation : Windows 7 Home Premium Service Pack 1 (32 bits)

~ Suppression des outils de désinfection ...

Supprimé : C:\USBFix
Supprimé : C:\FRST
Supprimé : C:\AdwCleaner
Supprimé : C:\sc-cleaner.txt
Supprimé : C:\UsbFix [Clean 2] CHRISTELLE-PC.txt
Supprimé : C:\UsbFix [Scan 1] CHRISTELLE-PC.txt
Supprimé : C:\UsbFix [Scan 2] CHRISTELLE-PC.txt
Supprimé : C:\Users\Christelle\Desktop\Addition.txt
Supprimé : C:\Users\Christelle\Desktop\adwcleaner.exe
Supprimé : C:\Users\Christelle\Desktop\AdwCleaner[R2].txt
Supprimé : C:\Users\Christelle\Desktop\AdwCleaner[S1].txt
Supprimé : C:\Users\Christelle\Desktop\Fixlog.txt
Supprimé : C:\Users\Christelle\Desktop\FRST.exe
Supprimé : C:\Users\Christelle\Desktop\FRST.txt
Supprimé : C:\Users\Christelle\Desktop\sc-cleaner.exe
Supprimé : C:\Users\Christelle\Desktop\sc-cleaner.txt
Supprimé : C:\Users\Christelle\Desktop\UsbFix [Clean 2] CHRISTELLE-PC.txt
Supprimé : C:\Users\Christelle\Desktop\UsbFix [Scan 2] CHRISTELLE-PC.txt
Supprimé : C:\Users\Christelle\Desktop\UsbFix.lnk
Supprimé : C:\Users\Christelle\Desktop\usbfix0.exe
Supprimé : C:\Users\Christelle\Desktop\UsbFix_Report.txt
Supprimé : C:\Users\Christelle\Downloads\usbfix0.exe
Supprimée : HKCU\Software\USBFix
Supprimée : HKLM\SOFTWARE\AdwCleaner
Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\USBFix

~ Purge de la restauration système ...

Supprimé : RP #296 [Installé JavaFX 2.1.1 | 01/24/2014 21:19:29]
Supprimé : RP #297 [Windows Update | 01/26/2014 12:31:41]
Supprimé : RP #298 [Removed Java(TM) 7 Update 5 | 01/26/2014 12:39:31]
Supprimé : RP #299 [Installed Java(TM) 7 Update 5 | 01/26/2014 12:41:07]
Supprimé : RP #300 [Windows Update | 01/29/2014 18:47:15]
Supprimé : RP #301 [Removed Boxore Client | 01/30/2014 20:36:35]
Supprimé : RP #302 [Removed Boxore Client | 01/31/2014 10:16:22]
Supprimé : RP #303 [Supprimé JavaFX 2.1.1 | 01/31/2014 10:17:57]
Supprimé : RP #304 [Removed Java(TM) 7 Update 5 | 01/31/2014 10:19:19]
Supprimé : RP #306 [Windows Update | 02/06/2014 21:41:54]
Supprimé : RP #308 [Windows Live Essentials | 02/09/2014 15:46:22]
Supprimé : RP #309 [Point de resto Chris | 02/09/2014 15:54:10]
Supprimé : RP #311 [Windows Live Essentials | 02/09/2014 16:55:37]
Supprimé : RP #312 [WLSetup | 02/09/2014 16:56:37]
Supprimé : RP #313 [Sauvegarde Windows | 02/09/2014 18:00:31]

Nouveau point de restauration créé !

########## - EOF - ##########