Security-X

Forum Security-X => Désinfections => Discussion démarrée par: blacko le février 11, 2014, 20:06:07

Titre: PC portable infecté par les virus vbs/vbe, fichiers raccourcis, ... [Résolu]
Posté par: blacko le février 11, 2014, 20:06:07
Bonsoir tout le monde !  8)

Cette fois-ci je vous consulte pour résoudre un problème toujours lié au virus vbs/vbe, les fichiers transformés en raccourcis etc...

Avant çà voici quelques infos sur mon système :

Je suis sous windows 8 professionnel en 64 bits.
J'utilise Clam win et Clam Sentinel comme protection anti-virus.

En termes de symptômes, c'est très simple : tous supports connecté à l'un de mon PC voit ses fichiers se transformer en raccourcis et ce, sans exceptions. Lorsqu'il s'agit d'un dossier, en cliquant dessus malgré tout, le dossier s'ouvre et s'affiche alors le contenu sans modification. Le virus ne contamine apparemment pas l'arborescence.

Voici le lien du rapport FRST :

http://up.security-x.fr/file.php?h=Rc3415b87bb0a5e784e855f9bbfe99501

Et ici celui du rapport Addition émis par FRST toujours :

http://up.security-x.fr/file.php?h=Ra631cfacdf24cd7619c7318686620343

Merci pour votre aide et merci à Xsun pour son aide pour mon PC fixe  :AAN

Titre: Re : PC portable infecté par les virus vbs/vbe, fichiers raccourcis, itunesHelp
Posté par: xsun le février 12, 2014, 05:42:49
bonjour matinal blacko  :)

je vais te prendre en charge dans ce deuxième sujet

je regarde tes rapports après mon taf

tu pourras aussi faire UsbFix-> mode recherche

1-Option Recherche :

Télécharge USBFix (http://www.usbfix.net/?wpdmdl=3) (El desaparecido ) sur ton Bureau.

Note : Le rapport généré par USBFix ce trouve ici : C:\UsbFix.txt


 :AAN
Titre: Re : PC portable infecté par les virus vbs/vbe, fichiers raccourcis, itunesHelp
Posté par: blacko le février 12, 2014, 12:13:43
Bonjour Xsun !

En effet à cette heure là, tu es bien matinal.

Ok pour la prise en charge. J'ai modifier le fichier en hébergement car avec ma femme on s'est aperçu ce matin que notre carte SD d'APN était aussi vérolée. Donc j'ai refait un scan avec la carte sd. Puis j'ai fais le scan avec UsbFix. Le rapport figure dans le lien ci-dessous.

http://up.security-x.fr/file.php?h=R06711c94d42e2ba2d32367a6efcbb3db

Autre chose, Tu verras surement des lignes concernant norton antivirus. Mon pc date de juillet dernier et je ne me suis pas encore penché sa désinstallation. Mais à terme je souhaite le virer pour en mettre un autre.

@ toute.
Titre: Re : PC portable infecté par les virus vbs/vbe, fichiers raccourcis, itunesHelp
Posté par: xsun le février 12, 2014, 23:19:04
re  :)


tu as déplacer Revo Unistaller ailleurs? (Bureau ou Téléchargement)

tu connais ces logiciels ? est ce toi qui les a installé ?
--> cpuminer
--> p_WIN32_NT
--> TN_23NIW_p

peux tu faire pour les deux derniers un scan avec VirusTotal ?


poste les liens des rapports stp,



***


/!\ Crée un point de restauration manuel avant d'appliquer le correctif /!\
-> pour Windows 8=Tutoriel en images (http://www.chantal11.com/2012/11/creer-un-point-de-restauration-windows-8/)

Une fois le point de restauration créé => désinstalle Norton

Depuis l’écran d’accueil de Windows 8, tapes programmes , choisis la catégorie Paramètres et ouvrir Ajouter ou supprimer des programmes

- Choisis Norton Internet Security (x32 Version: 20.4.0.40 - Symantec Corporation)
- Ensuite, utilise l'outil officiel de désinstallation, Norton Removal Tool -->  https://support.norton.com/sp/fr/fr/home/current/solutions/kb20080710133834EN_EndUserProfile_fr_fr
/!\ n'oublie pas de faire un clique droit et Exécuter en tant qu'administrateur/!\

- Pour info, Windows 8 intègre nativement un antivirus (Windows Defender, qui est basé sur Microsoft Security Essentials)



FRST - Correctif :


(Appuie simultanément sur les touches Windows et Q, entrer bloc dans le volet de recherche, et choisir Bloc-notes à gauche



Code: [Sélectionner]
start
HKU\S-1-5-21-1811494929-1300329494-657737691-1002\...\Run: [iTunesHelper] - C:\Users\p\AppData\Local\Temp\iTunesHelper.vbe [69558262 2014-02-04] () <===== ATTENTION
AppInit_DLLs: C:\PROGRA~2\SearchProtect\SearchProtect\bin\SPVC64Loader.dll => C:\Program Files (x86)\SearchProtect\SearchProtect\bin\SPVC64Loader.dll [1300256 2013-10-18] (Conduit)
AppInit_DLLs-x32: C:\PROGRA~2\SearchProtect\SearchProtect\bin\SPVC32Loader.dll => C:\Program Files (x86)\SearchProtect\SearchProtect\bin\SPVC32Loader.dll [980768 2013-10-18] (Conduit)
Startup: C:\Users\p\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\iTunesHelper.vbe ()
HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://search.conduit.com/?ctid=CT3314958&octid=EB_ORIGINAL_CTID&SearchSource=55&CUI=&UM=2&UP=SP2BECA838-3A4B-4018-A048-5DBF00DE133A
SearchScopes: HKCU - DefaultScope {014DB5FA-EAFB-4592-A95B-F44D3EE87FA9} URL = http://search.conduit.com/Results.aspx?ctid=CT3314958&octid=EB_ORIGINAL_CTID&SearchSource=58&CUI=&UM=2&UP=SP2BECA838-3A4B-4018-A048-5DBF00DE133A&q={searchTerms}
SearchScopes: HKCU - {014DB5FA-EAFB-4592-A95B-F44D3EE87FA9} URL = http://search.conduit.com/Results.aspx?ctid=CT3314958&octid=EB_ORIGINAL_CTID&SearchSource=58&CUI=&UM=2&UP=SP2BECA838-3A4B-4018-A048-5DBF00DE133A&q={searchTerms}
C:\Users\p\AppData\Local\Temp\iTunesHelper.vbe
C:\Program Files (x86)\SearchProtect
end
/!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fup.security-x.fr%2Ffile.php%3Fh%3DR05cf1fa17f5d244a9c65be205bacfeab&hash=b3152d40400f1435eb46d75f6cf70ecc0edb4c0e)

/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnement et endommager Windows /!\


/!\ pense à déplacer revo /!\

=> UsbFix:



=> AdwCleaner- Recherche:


 :AAN
Titre: Re : PC portable infecté par les virus vbs/vbe, fichiers raccourcis, itunesHelp
Posté par: blacko le février 13, 2014, 07:31:39
Re,

Mince, j'ai oublié pour Revo. Je le déplace de suite avant d'oublier à nouveau.

Je ne connais pas ces logiciels :

--> cpuminer
--> p_WIN32_NT
--> TN_23NIW_p

 Je fais un scan.
Titre: Re : PC portable infecté par les virus vbs/vbe, fichiers raccourcis, itunesHelp
Posté par: blacko le février 13, 2014, 21:34:20
Bonsoir/bonjour,

Voilà le lien du rapport d'analyse de p_WIN32_NT :

https://www.virustotal.com/fr/file/d203b510b8af140b30fca9a20167c89a3d2d62f115f92bf1ed07dbe0b528abd5/analysis/

Voici celui de TN_23NIW_p :

https://www.virustotal.com/fr/file/d203b510b8af140b30fca9a20167c89a3d2d62f115f92bf1ed07dbe0b528abd5/analysis/

****

Lien du Fixlog :

http://up.security-x.fr/file.php?h=Rb8ed05164c42801512ac868c6794dd48

****

Lien UsbFix.txt :

http://up.security-x.fr/file.php?h=R71aa6ca48b868103a40f56e89e33265e

****

Lien du AdwCleaner :

http://up.security-x.fr/file.php?h=R3deb325323d083435e341cc5a8731e1b
Titre: Re : PC portable infecté par les virus vbs/vbe, fichiers raccourcis, itunesHelp
Posté par: xsun le février 14, 2014, 19:26:13
re


Analysé il y a deux semaines, et le fichier n'est pas le même, mais pas grave, on supprime car inconnu

As tu essayé quelque chose pour supprimer iTunesHelper ?


*****

--> recréais un point de restauration, on purgera la restauration système à la fin  ;)

/!\ Recréer un point de restauration manuel avant d'appliquer le correctif /!\
-> pour Windows 8=Tutoriel en images (http://www.chantal11.com/2012/11/creer-un-point-de-restauration-windows-8/)

Une fois le point de restauration créé,

FRST - Correctif :


(Appuie simultanément sur les touches Windows et Q, entrer bloc dans le volet de recherche, et choisir Bloc-notes à gauche


Code: [Sélectionner]
start
() C:\Users\p\AppData\Roaming\p_WIN32_NT\p_WIN32_NT.exe
() C:\Users\p\AppData\Roaming\TN_23NIW_p\TN_23NIW_p.exe
HKU\S-1-5-21-1811494929-1300329494-657737691-1002\...\Run: [p_WIN32_NT] - C:\Users\p\AppData\Roaming\p_WIN32_NT\p_WIN32_NT.exe [1499648 2013-11-05] ()
HKU\S-1-5-21-1811494929-1300329494-657737691-1002\...\Run: [TN_23NIW_p] - C:\Users\p\AppData\Roaming\TN_23NIW_p\TN_23NIW_p.exe [1499648 2013-11-05] ()
C:\Users\p\AppData\Roaming\p_WIN32_NT
C:\Users\p\AppData\Roaming\TN_23NIW_p
C:\Users\p\AppData\Roaming\Cpu
end
/!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fup.security-x.fr%2Ffile.php%3Fh%3DR05cf1fa17f5d244a9c65be205bacfeab&hash=b3152d40400f1435eb46d75f6cf70ecc0edb4c0e)

/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnement et endommager Windows /!\


AdwCleaner - Suppression :

Tutoriel d'utilisation AdwCleaner en images (http://forum.security-x.fr/tutoriels-317/%28tutoriel%29-adwcleaner/)



Comment va ton système ?

 :AAN
Titre: Re : PC portable infecté par les virus vbs/vbe, fichiers raccourcis, itunesHelp
Posté par: blacko le février 17, 2014, 11:30:05
Bonjour Xsun !  O0

Désolé pour la réponse tardive. Je n'ai pas beaucoup de temps depuis vendredi...

*Alors pour répondre a tes questions, c'est vrai que ces fameux fichiers sont bizarres. je les ai supprimé de toutes façons, donc on verra bien.

* iTunesHelper, je n'ai pas rien essayé pour l'enlever.

* 2e point de restauration crée.

*Lors de la mise à jour de FRST, celui-ci a été déplacé dans le dossier FRST older version. Je l'ai donc téléchargé à nouveau. J'ai ensuite fais un copier-coller sur le bureau, mais il disparait aussitot une fois collé. Je l'ai donc laissé dans le dossier téléchargement. Je précise que j'avais pourtant désactivé ClamWin.

Autre chose je n'avais pas fait gaffe mais dans ton code tu indiquais la suppression des fichiers suspects p_WIN32_NT et TN_23NIW_p. En lisant ta réponse plus haut, je les avais supprimé manuellement. Est-ce grave docteur ?

Voici le lien du rapport de FRST : http://up.security-x.fr/file.php?h=R33b77ceb781e706fb88150f56b258ecd

*Voici le lien du rapport de Adwcleaner : http://up.security-x.fr/file.php?h=R9b844b93dd06d5ebcea4199cd57fa559


Mis à part les remarque faites plus haut rien de spécial. Ah si !! J'ai installé un logiciel pour avoir le bouton "démarrer", il s'agit de Pokki. Il s'est installé mais n'apparait pas dans ma barre de tâches. C'est idem sur mon ordi fixe.
Je me demande donc si çà n'a pas un lien avec le fait que FRST ne voulait pas non plus resté sur le bureau ?!

Bonne journée  8)
Titre: Re : PC portable infecté par les virus vbs/vbe, fichiers raccourcis, itunesHelp
Posté par: xsun le février 17, 2014, 20:40:29
salut blacko

pas de soucis pour le délais  ;)

c'est bon aussi pour p_WIN32_NT et TN_23NIW_p

Citer
Lors de la mise à jour de FRST, celui-ci a été déplacé dans le dossier FRST older version. Je l'ai donc téléchargé à nouveau. J'ai ensuite fais un copier-coller sur le bureau, mais il disparait aussitot une fois collé. Je l'ai donc laissé dans le dossier téléchargement. Je précise que j'avais pourtant désactivé ClamWin.

c'est depuis que tu as installé Pokki ?

désinstalle pour voir si ça vient bien de lui
http://support.pokki.com/customer/portal/articles/716971-uninstalling-pokki
tiens moi au courant

Tu sais que la mise à jour de Windows 8 vers Windows 8.1, t'apportera le bouton Démarrer, en plus d'une meilleure sécurité avec un système à jour ...... comme pour ton fixe
http://windows.microsoft.com/fr-fr/windows-8/update-from-windows-8-tutorial
http://www.chantal11.com/2013/10/mise-a-jour-windows-8-1-a-partir-de-windows-8/

si le bouton Démarrer ne te convient pas dans la 8.1
http://www.classicshell.net/
Tuto (http://www.commentcamarche.net/faq/35689-windows-8-menu-demarrer#attendre-la-future-mise-a-jour-de-windows-8-1-prevue-le-17-10-2013-retablissant-le-menu-demarrer)


Télécharge DelFix (http://general-changelog-team.fr/fr/downloads/viewdownload/20-outils-de-xplode/9-delfix) (de Xplode) sur ton bureau.

(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fuppix.net%2FlDRkW8.jpg&hash=3b87d64128e7ab8af733568fcf57388fd604317a) (http://uppix.net/lDRkW8)
:AAN
Titre: Re : PC portable infecté par les virus vbs/vbe, fichiers raccourcis, itunesHelp
Posté par: blacko le février 20, 2014, 00:34:26
Bonjour,

Citer
c'est depuis que tu as installé Pokki ?

désinstalle pour voir si ça vient bien de lui
http://support.pokki.com/customer/portal/articles/716971-uninstalling-pokki
tiens moi au courant


Alors, non. Je m'en suis aperçu depuis que j'ai démarré la procédure de nettoyage avec toi. Surement parce que les soft utilisés modifient quelques chose sur windows car j'ai désinstallé Clam win et Clam sentinel et çà ne me le fait plus. J'ai mis avira free antivirus.

Citer
Tu sais que la mise à jour de Windows 8 vers Windows 8.1, t'apportera le bouton Démarrer, en plus d'une meilleure sécurité avec un système à jour ...... comme pour ton fixe
http://windows.microsoft.com/fr-fr/windows-8/update-from-windows-8-tutorial
http://www.chantal11.com/2013/10/mise-a-jour-windows-8-1-a-partir-de-windows-8/

C'est ce que je vais faire dès que je fini avec le nettoyage de delfix.

Delfix a été appliqué et voici le lien du fichier crée :

http://up.security-x.fr/file.php?h=Rece4144a7c40b8540c4c7cb14ec98c82

Bonne journée.

Titre: Re : PC portable infecté par les virus vbs/vbe, fichiers raccourcis, itunesHelp
Posté par: xsun le février 20, 2014, 18:39:47
re

Citer
Surement parce que les soft utilisés modifient quelques chose sur windows car j'ai désinstallé Clam win et Clam sentinel et çà ne me le fait plus.

Le principe de la procédure ressemble à celle de ton PC fixe, et sauf erreur, tu n'as pas eu ce cas de figure
Peut être dû à une protection/paramètre de Clam ?

En tout cas, si cela te le refait, n'hésite pas à poster


***

Tu es la meilleure protection pour ton pc , suivant quelques conditions:

--> Tenir à jour son système (windows, navigateurs, java, Adobe Reader, Flash player, etc ...)=> Qu'est-ce qu'une faille de sécurité? (http://www.secuser.com/faq/securite/#faille_securite)

--> D'une manière générale, vérifier/décocher les cases (http://forum.security-x.fr/tutoriels-317/installation-d%27une-application-sponsorisee-les-pieges-a-eviter) qui proposent d'ajouter des logiciels additionnels dans les programmes d'installation , lire ici aussi (http://forum.security-x.fr/securite-generale/stop-la-pub/)

--> P2P (http://assiste.free.fr/Assiste/Risque_juridique_de_complicite_passive_de_l_Internaute.html), crack, keygen ....  <= Attention ... (http://forum.malekal.com/danger-des-cracks-t893.html)

--> Privilégier le site de l'éditeur pour télécharger un logiciel

--> Sauvegarder ses données (photos, documents,etc ...) sur un autre support (DVD, disque dur externe ...) avant qu'il ne soit trop tard

--> Concrètement, voici ce qui peut arriver = un exemple qui peut faire des dégâts (http://forum.security-x.fr/malwares-315/ransomware-cryptorbit/)

***

Si ton système est fonctionnel, tu peux indiquer [Résolu],
clique sur le bouton "modifier" dans ton premier message de ce sujet(en haut à droite) 
Ajoute [résolu] à côté de ton titre et valide

bon surf, @+

 :AAN


Titre: Re : PC portable infecté par les virus vbs/vbe, fichiers raccourcis, ... [Résolu]
Posté par: blacko le février 22, 2014, 09:10:03
Merci pour ton aide Xsun. Votre site est maintenant dans mes favoris au cas où...lol

@+