PC portable infecté par les virus vbs/vbe, fichiers raccourcis, ... [Résolu]

[blacko]

Bonsoir tout le monde ! 

Cette fois-ci je vous consulte pour résoudre un problème toujours lié au virus vbs/vbe, les fichiers transformés en raccourcis etc...

Avant çà voici quelques infos sur mon système :

Je suis sous windows 8 professionnel en 64 bits.
J'utilise Clam win et Clam Sentinel comme protection anti-virus.

En termes de symptômes, c'est très simple : tous supports connecté à l'un de mon PC voit ses fichiers se transformer en raccourcis et ce, sans exceptions. Lorsqu'il s'agit d'un dossier, en cliquant dessus malgré tout, le dossier s'ouvre et s'affiche alors le contenu sans modification. Le virus ne contamine apparemment pas l'arborescence.

Voici le lien du rapport FRST :

http://up.security-x.fr/file.php?h=Rc3415b87bb0a5e784e855f9bbfe99501

Et ici celui du rapport Addition émis par FRST toujours :

http://up.security-x.fr/file.php?h=Ra631cfacdf24cd7619c7318686620343

Merci pour votre aide et merci à Xsun pour son aide pour mon PC fixe 

[xsun]

bonjour matinal blacko 

je vais te prendre en charge dans ce deuxième sujet

je regarde tes rapports après mon taf

tu pourras aussi faire UsbFix-> mode recherche

1-Option Recherche :

Télécharge USBFix (El desaparecido ) sur ton Bureau.

• Clique sur l'icône Usbfix.exe pour lancer le programme.
  Clic-droit -> Exécuter en tant qu'administrateur sous Windows Vista, 7 et 8
  
• Puis branche tes sources de données externes à ton PC (clé USB, disque dur externe, etc...) sans les ouvrir.
  
• Clique sur Rechercher. Un message s'affiche, vérifie que tes supports amovibles soit bien branchés et clique sur OK.
  
• Laisse travailler l'outil.
• A la fin du scan le rapport UsbFix.txt apparait, poste le.

Note : Le rapport généré par USBFix ce trouve ici : C:\UsbFix.txt

• Héberge ce rapport sur ce site d'hébergement de fichiers et indique les liens fournis dans ta réponse. Aide en images

 :AAN

[blacko]

Bonjour Xsun !

En effet à cette heure là, tu es bien matinal.

Ok pour la prise en charge. J'ai modifier le fichier en hébergement car avec ma femme on s'est aperçu ce matin que notre carte SD d'APN était aussi vérolée. Donc j'ai refait un scan avec la carte sd. Puis j'ai fais le scan avec UsbFix. Le rapport figure dans le lien ci-dessous.

http://up.security-x.fr/file.php?h=R06711c94d42e2ba2d32367a6efcbb3db

Autre chose, Tu verras surement des lignes concernant norton antivirus. Mon pc date de juillet dernier et je ne me suis pas encore penché sa désinstallation. Mais à terme je souhaite le virer pour en mettre un autre.

@ toute.

[xsun]

re 


tu as déplacer Revo Unistaller ailleurs? (Bureau ou Téléchargement)

tu connais ces logiciels ? est ce toi qui les a installé ?
--> cpuminer
--> p_WIN32_NT
--> TN_23NIW_p

peux tu faire pour les deux derniers un scan avec VirusTotal ?

• Afficher les fichiers/dossiers cachés, Windows 8

• Analyse les fichiers avec Virus Total

• suis le chemin: C:\Users\p\AppData\Roaming\p_WIN32_NT\ et fais analyser p_WIN32_NT.exe

• suis le chemin: C:\Users\p\AppData\Roaming\p_WIN32_NT\ et fais analyser TN_23NIW_p.exe

poste les liens des rapports stp,



***


/!\ Crée un point de restauration manuel avant d'appliquer le correctif /!\
-> pour Windows 8=Tutoriel en images

Une fois le point de restauration créé => désinstalle Norton

Depuis l’écran d’accueil de Windows 8, tapes programmes , choisis la catégorie Paramètres et ouvrir Ajouter ou supprimer des programmes

- Choisis Norton Internet Security (x32 Version: 20.4.0.40 - Symantec Corporation)
- Ensuite, utilise l'outil officiel de désinstallation, Norton Removal Tool -->  https://support.norton.com/sp/fr/fr/home/current/solutions/kb20080710133834EN_EndUserProfile_fr_fr
/!\ n'oublie pas de faire un clique droit et Exécuter en tant qu'administrateur/!\

- Pour info, Windows 8 intègre nativement un antivirus (Windows Defender, qui est basé sur Microsoft Security Essentials)



FRST - Correctif :

• Ouvre le Bloc-notes

(Appuie simultanément sur les touches Windows et Q, entrer bloc dans le volet de recherche, et choisir Bloc-notes à gauche

• Copie/colle la totalité du contenu de la zone Code ci-dessous dans le Bloc-notes

Code: [Sélectionner]

start
HKU\S-1-5-21-1811494929-1300329494-657737691-1002\...\Run: [iTunesHelper] - C:\Users\p\AppData\Local\Temp\iTunesHelper.vbe [69558262 2014-02-04] () <===== ATTENTION
AppInit_DLLs: C:\PROGRA~2\SearchProtect\SearchProtect\bin\SPVC64Loader.dll => C:\Program Files (x86)\SearchProtect\SearchProtect\bin\SPVC64Loader.dll [1300256 2013-10-18] (Conduit)
AppInit_DLLs-x32: C:\PROGRA~2\SearchProtect\SearchProtect\bin\SPVC32Loader.dll => C:\Program Files (x86)\SearchProtect\SearchProtect\bin\SPVC32Loader.dll [980768 2013-10-18] (Conduit)
Startup: C:\Users\p\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\iTunesHelper.vbe ()
HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://search.conduit.com/?ctid=CT3314958&octid=EB_ORIGINAL_CTID&SearchSource=55&CUI=&UM=2&UP=SP2BECA838-3A4B-4018-A048-5DBF00DE133A
SearchScopes: HKCU - DefaultScope {014DB5FA-EAFB-4592-A95B-F44D3EE87FA9} URL = http://search.conduit.com/Results.aspx?ctid=CT3314958&octid=EB_ORIGINAL_CTID&SearchSource=58&CUI=&UM=2&UP=SP2BECA838-3A4B-4018-A048-5DBF00DE133A&q={searchTerms}
SearchScopes: HKCU - {014DB5FA-EAFB-4592-A95B-F44D3EE87FA9} URL = http://search.conduit.com/Results.aspx?ctid=CT3314958&octid=EB_ORIGINAL_CTID&SearchSource=58&CUI=&UM=2&UP=SP2BECA838-3A4B-4018-A048-5DBF00DE133A&q={searchTerms}
C:\Users\p\AppData\Local\Temp\iTunesHelper.vbe
C:\Program Files (x86)\SearchProtect
end

• Enregistre le fichier au même endroit que FRST /!\Important/!\ sous le nom fixlist.txt

• sois tu copies/colles FRST.exe sur ton Bureau (s'il se trouve actuellement dans ton dossier Téléchargement) et tu enregistres fixlist.txt sur ton bureau
• sois tu enregistres fixlist.txt dans ton dossier Downloads  (Téléchargement)

• Ferme toutes les applications, y compris ton navigateur
• Double-clique sur FRST.exe

/!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur

• Sur le menu principal, clique une seule fois sur Fix et patiente le temps de la correction

• L'outil va créer un rapport de correction Fixlog.txt. Poste ce rapport dans ta réponse.

• Héberge ce rapport sur ce site d'hébergement de fichiers et indique les liens fournis dans ta réponse. Aide en images

/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnement et endommager Windows /!\


/!\ pense à déplacer revo /!\

=> UsbFix:

Relance USBFix

• /!\ Important -> Branche tous les périphériques externes (clés, disques durs externes, lecteurs MP3/MP4, smartphone, carte SD, ....)
  
• /!\ Déconnecte-toi et ferme toutes les applications en cours /!\
  
• Double-clique sur UsbFix sur ton Bureau
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
  
• Clique sur l'option Suppression pour lancer le nettoyage, puis valide l'avertissement
  
• Laisse travailler l'outil, ton bureau va disparaitre, c'est normal.
• Le rapport UsbFix.txt s'affiche. Poste ce rapport dans ta prochaine réponse
  Le rapport se trouve sous C:\UsbFix.txt
  
  Si le Bureau ne réapparait pas, presse Ctrl+Alt+Suppr, Onglet "Fichier", "Nouvelle tâche", tape explorer.exe et valide
  
  /!\UsbFix est détecté par certains antivirus comme étant une infection, c'est un faux positif, désactive temporairement ton antivirus.

• Héberge ce rapports sur ce site d'hébergement de fichiers et indique les liens fournis dans ta réponse. Aide en images

=> AdwCleaner- Recherche:

• Télécharge AdwCleaner de Xplode et enregistre le fichier sur ton Bureau
  
• Ferme toutes les applications, y compris ton navigateur
  
• Double-clique sur l'icône AdwCleaner.exe pour lancer l'installation
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
  
• Sur le menu principal, clique sur Scanner
  
• Les éléments détectés s'affichent dans les différents onglets. Clique sur Rapport
  
• Un rapport AdwCleaner(R).txt s'ouvre. Poste ce rapport dans ta prochaine réponse
  Le rapport se trouve sous C:\AdwCleaner(R).txt

• Héberge ce rapports sur ce site d'hébergement de fichiers et indique les liens fournis dans ta réponse. Aide en images

 :AAN

[blacko]

Re,

Mince, j'ai oublié pour Revo. Je le déplace de suite avant d'oublier à nouveau.

Je ne connais pas ces logiciels :

--> cpuminer
--> p_WIN32_NT
--> TN_23NIW_p

 Je fais un scan.

[blacko]

Bonsoir/bonjour,

Voilà le lien du rapport d'analyse de p_WIN32_NT :

https://www.virustotal.com/fr/file/d203b510b8af140b30fca9a20167c89a3d2d62f115f92bf1ed07dbe0b528abd5/analysis/

Voici celui de TN_23NIW_p :

https://www.virustotal.com/fr/file/d203b510b8af140b30fca9a20167c89a3d2d62f115f92bf1ed07dbe0b528abd5/analysis/

****

Lien du Fixlog :

http://up.security-x.fr/file.php?h=Rb8ed05164c42801512ac868c6794dd48

****

Lien UsbFix.txt :

http://up.security-x.fr/file.php?h=R71aa6ca48b868103a40f56e89e33265e

****

Lien du AdwCleaner :

http://up.security-x.fr/file.php?h=R3deb325323d083435e341cc5a8731e1b

[xsun]

re


Analysé il y a deux semaines, et le fichier n'est pas le même, mais pas grave, on supprime car inconnu

As tu essayé quelque chose pour supprimer iTunesHelper ?


*****

--> recréais un point de restauration, on purgera la restauration système à la fin 

/!\ Recréer un point de restauration manuel avant d'appliquer le correctif /!\
-> pour Windows 8=Tutoriel en images

Une fois le point de restauration créé,

FRST - Correctif :

• Ouvre le Bloc-notes

(Appuie simultanément sur les touches Windows et Q, entrer bloc dans le volet de recherche, et choisir Bloc-notes à gauche

• Copie/colle la totalité du contenu de la zone Code ci-dessous dans le Bloc-notes

Code: [Sélectionner]

start
() C:\Users\p\AppData\Roaming\p_WIN32_NT\p_WIN32_NT.exe
() C:\Users\p\AppData\Roaming\TN_23NIW_p\TN_23NIW_p.exe
HKU\S-1-5-21-1811494929-1300329494-657737691-1002\...\Run: [p_WIN32_NT] - C:\Users\p\AppData\Roaming\p_WIN32_NT\p_WIN32_NT.exe [1499648 2013-11-05] ()
HKU\S-1-5-21-1811494929-1300329494-657737691-1002\...\Run: [TN_23NIW_p] - C:\Users\p\AppData\Roaming\TN_23NIW_p\TN_23NIW_p.exe [1499648 2013-11-05] ()
C:\Users\p\AppData\Roaming\p_WIN32_NT
C:\Users\p\AppData\Roaming\TN_23NIW_p
C:\Users\p\AppData\Roaming\Cpu
end

• Enregistre le fichier au même endroit que FRST /!\Important/!\ sous le nom fixlist.txt

• Ferme toutes les applications, y compris ton navigateur

• Double-clique sur FRST.exe

/!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur

• Sur le menu principal, clique une seule fois sur Fix et patiente le temps de la correction

• L'outil va créer un rapport de correction Fixlog.txt. Poste ce rapport dans ta réponse.

• Héberge ce rapport sur ce site d'hébergement de fichiers et indique les liens fournis dans ta réponse. Aide en images

/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnement et endommager Windows /!\


AdwCleaner - Suppression :

• Relance AdwCleaner de Xplode
  
• Ferme toutes les applications, y compris ton navigateur
  
• Double-clique sur l'icône AdwCleaner.exe pour lancer l'installation
  /!\ Sous Vista et Windows 7, Windows 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
  Sous IE9, le filtre SmartScreen déclenche une alerte. Cliquer sur Actions puis sur Exécuter quand même
  
• Sur le menu principal, clique sur Scanner et patiente le temps de la recherche
  
• clique maintenant sur Nettoyer
  
• valide l'avertissement, l'ordinateur va redémarrer
• A la fin du scan, un rapport AdwCleaner(S).txt s'ouvre. Poste le contenu de ce rapport dans ta prochaine réponse
  Le rapport se trouve sous C:\AdwCleaner(S).txt

Tutoriel d'utilisation AdwCleaner en images

• Héberge ce rapport sur ce site d'hébergement de fichiers et indique les liens fournis dans ta réponse. Aide en images

Comment va ton système ?

 :AAN

[blacko]

Bonjour Xsun ! 

Désolé pour la réponse tardive. Je n'ai pas beaucoup de temps depuis vendredi...

*Alors pour répondre a tes questions, c'est vrai que ces fameux fichiers sont bizarres. je les ai supprimé de toutes façons, donc on verra bien.

* iTunesHelper, je n'ai pas rien essayé pour l'enlever.

* 2e point de restauration crée.

*Lors de la mise à jour de FRST, celui-ci a été déplacé dans le dossier FRST older version. Je l'ai donc téléchargé à nouveau. J'ai ensuite fais un copier-coller sur le bureau, mais il disparait aussitot une fois collé. Je l'ai donc laissé dans le dossier téléchargement. Je précise que j'avais pourtant désactivé ClamWin.

Autre chose je n'avais pas fait gaffe mais dans ton code tu indiquais la suppression des fichiers suspects p_WIN32_NT et TN_23NIW_p. En lisant ta réponse plus haut, je les avais supprimé manuellement. Est-ce grave docteur ?

Voici le lien du rapport de FRST : http://up.security-x.fr/file.php?h=R33b77ceb781e706fb88150f56b258ecd

*Voici le lien du rapport de Adwcleaner : http://up.security-x.fr/file.php?h=R9b844b93dd06d5ebcea4199cd57fa559


Mis à part les remarque faites plus haut rien de spécial. Ah si !! J'ai installé un logiciel pour avoir le bouton "démarrer", il s'agit de Pokki. Il s'est installé mais n'apparait pas dans ma barre de tâches. C'est idem sur mon ordi fixe.
Je me demande donc si çà n'a pas un lien avec le fait que FRST ne voulait pas non plus resté sur le bureau ?!

Bonne journée 

[xsun]

salut blacko

pas de soucis pour le délais 

c'est bon aussi pour p_WIN32_NT et TN_23NIW_p

Lors de la mise à jour de FRST, celui-ci a été déplacé dans le dossier FRST older version. Je l'ai donc téléchargé à nouveau. J'ai ensuite fais un copier-coller sur le bureau, mais il disparait aussitot une fois collé. Je l'ai donc laissé dans le dossier téléchargement. Je précise que j'avais pourtant désactivé ClamWin.

c'est depuis que tu as installé Pokki ?

désinstalle pour voir si ça vient bien de lui
http://support.pokki.com/customer/portal/articles/716971-uninstalling-pokki
tiens moi au courant

Tu sais que la mise à jour de Windows 8 vers Windows 8.1, t'apportera le bouton Démarrer, en plus d'une meilleure sécurité avec un système à jour ...... comme pour ton fixe
http://windows.microsoft.com/fr-fr/windows-8/update-from-windows-8-tutorial
http://www.chantal11.com/2013/10/mise-a-jour-windows-8-1-a-partir-de-windows-8/

si le bouton Démarrer ne te convient pas dans la 8.1
http://www.classicshell.net/
Tuto


Télécharge DelFix (de Xplode) sur ton bureau.

• Ferme toutes tes fenêtres, puis double clique sur DelFix.exe pour le lancer.
  (Utilisateur de Vista/Windows 7/windows 8, faites un clic droit -> "Exécuter en tant qu'administrateur")
  
• laisse l'option "Supprimer les outils de désinfection" cochée
  
• coche aussi l'option "Purger la restauration système" <-- /!\ important /!\

• Clique sur le bouton "Exécuter"
  
• Laisse travailler l'outil.
• Le rapport est enregistré dans à la base de ton disque dur, (C:\DelFix.txt généralement) merci de copier-coller son contenu dans ta prochaine réponse.

:AAN

[blacko]

Bonjour,

c'est depuis que tu as installé Pokki ?

désinstalle pour voir si ça vient bien de lui
http://support.pokki.com/customer/portal/articles/716971-uninstalling-pokki
tiens moi au courant

Alors, non. Je m'en suis aperçu depuis que j'ai démarré la procédure de nettoyage avec toi. Surement parce que les soft utilisés modifient quelques chose sur windows car j'ai désinstallé Clam win et Clam sentinel et çà ne me le fait plus. J'ai mis avira free antivirus.

Tu sais que la mise à jour de Windows 8 vers Windows 8.1, t'apportera le bouton Démarrer, en plus d'une meilleure sécurité avec un système à jour ...... comme pour ton fixe
http://windows.microsoft.com/fr-fr/windows-8/update-from-windows-8-tutorial
http://www.chantal11.com/2013/10/mise-a-jour-windows-8-1-a-partir-de-windows-8/

C'est ce que je vais faire dès que je fini avec le nettoyage de delfix.

Delfix a été appliqué et voici le lien du fichier crée :

http://up.security-x.fr/file.php?h=Rece4144a7c40b8540c4c7cb14ec98c82

Bonne journée.

[xsun]

re

Surement parce que les soft utilisés modifient quelques chose sur windows car j'ai désinstallé Clam win et Clam sentinel et çà ne me le fait plus.

Le principe de la procédure ressemble à celle de ton PC fixe, et sauf erreur, tu n'as pas eu ce cas de figure
Peut être dû à une protection/paramètre de Clam ?

En tout cas, si cela te le refait, n'hésite pas à poster


***

Tu es la meilleure protection pour ton pc , suivant quelques conditions:

--> Tenir à jour son système (windows, navigateurs, java, Adobe Reader, Flash player, etc ...)=> Qu'est-ce qu'une faille de sécurité?

--> D'une manière générale, vérifier/décocher les cases qui proposent d'ajouter des logiciels additionnels dans les programmes d'installation , lire ici aussi

--> P2P, crack, keygen ....  <= Attention ...

--> Privilégier le site de l'éditeur pour télécharger un logiciel

--> Sauvegarder ses données (photos, documents,etc ...) sur un autre support (DVD, disque dur externe ...) avant qu'il ne soit trop tard

--> Concrètement, voici ce qui peut arriver = un exemple qui peut faire des dégâts

• soit avec un système/ou logiciel/ou plugin non tenu à jour
• soit l'ouverture d'une pièce jointe dans un email inconnu
• soit télécharger sur p2p (µtorrent)/ ou télécharger un crack
• soit la visite de site de streaming ou téléchargement avec pubs infectée
• soit ça passe, soit ça casse ...

***

Si ton système est fonctionnel, tu peux indiquer [Résolu],
clique sur le bouton "modifier" dans ton premier message de ce sujet(en haut à droite) 
Ajoute [résolu] à côté de ton titre et valide

bon surf, @+

 

[blacko]

Merci pour ton aide Xsun. Votre site est maintenant dans mes favoris au cas où...lol

@+