[Résolu] Fichiers invisibles sur clef USB: WORM/LNK.Lodbak

[marticot]

Bonjour

Les fichiers sont devenus invisibles sur la clef USB.
Malwarebytes n'a rien trouvé... bizarre.
Avira parle de WORM/Lodbak et WORM/LNK.Lodbak

Merci d'avance

[Malekal_morte]

Salut,

Le rapport USBFix est incomplet.

Fais ceci :

Suis le tutoriel FRST.
(et bien prendre le temps de lire afin d'appliquer correctement - tout y est expliqué).
Télécharge et lance le scan FRST, cela va générer trois rapports FRST :
* FRST.txt
* Shortcut.txt
* Additionnal.txt

Envoie, comme expliqué, ces trois rapports sur le site http://pjjoint.malekal.com et en retour donne les trois liens pjjoint qui mènent à  ses rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

[marticot]

Bonjour
pour les rapports, je trouve gênant qu'il y ait les noms de fichier, le nom de la personne à qui appartient l'ordinateur, etc. comme faire pour que ces éléments ne soient pas "publics" ? merci

[marticot]

une précision : en faisant une recherche on trouve les fichiers sur la clef. Sinon, en regardant, à 1ere vue : c'est vide!

[Malekal_morte]

On fera sans, fais le scan FRST.

Branche toutes tes clefs USB et autres périphériques amovibles.
Télécharge Remediate VBS Worm : http://forum.malekal.com/remediate-vbs-worm-t48588.html
Lance l'option B.
Tape la lettre de la clef USB, par exemple, E et entrée - NE PAS INDIQUER LE LECTEUR DE TON DISQUE.
Cela va nettoyer la clef USB.
De même, Ouvre Mon ordinateur puis disque C, un rapport Rem-VBS.log doit s'y trouver, donne le contenu ici.

[marticot]

Merci. les fichiers qui avaient disparu sont réapparus !!
Merci Malekal. Bonne suite

[Malekal_morte]

[Malekal_morte]

hop fiche pour WORM/Lodbak et WORM/LNK.Lodbak ajoutée.

[marticot]

Meme type de problème on dirait à partir d'une colonne PC utilisée par plusieurs personnes... on a beau dire, des clefs usb arrivent à nouveau. le dernier rapport
Rem-VBSworm v4.0
======================================================== - General info:
Ran by HP on profile C:\Users\HP
Ran on HPXADMINI
IPv4: 192.168.1.5

Microsoft Windows 7 Professionnel

Normal boot


30/08/2015
16:32:34,19
======================================================== - Drive info:
Listing currently attached drives:
Caption Description VolumeName

C: Disque fixe local

D: Disque fixe local

E: Disque CD-ROM

F: Disque amovible MPGRISE

G: Disque amovible




Physical drives information:
C: \Device\HarddiskVolume2 NTFS
D: \Device\HarddiskVolume3 NTFS
F: \Device\HarddiskVolume5 FAT
======================================================== - Disinfection info:
F: selected

Fichier supprim‚ - F:\MPGRISE (1GB).lnk
Listing root contents of F:

Le volume dans le lecteur F s'appelle MPGRISE
Le num‚ro de s‚rie du volume est F498-17D4

R‚pertoire de F:\

09/07/2015 21:14 <REP> System Volume Information
30/08/2015 16:11 <REP> ÿ
0 fichier(s) 0 octets
2 R‚p(s) 860ÿ372ÿ992 octets libres

Modifying files...
USB drive disinfected!

plus rien à faire ? je fais aussi la meme chose pour le disque C ?

[marticot]

rebonjour. de fait, après désinfection, la clé a des "nouveautés à coté de mes fichiers retrouvés :
un dossier Autorun.inf avec dedans lpt1.Usbfix et dans l'autre dossier où tous mes fichiers ont été placés :
un fichier "Dsktop" un autre "IndexerVolumeGuid" sans type connu et un autre "RXdjhoZceUak.X" de type fichier X" de 25631 ko... bizarre

[Malekal_morte]

En gros des personnes viennent utiliser ton PC avec leur clef USB et remettent le malware, c'est ça ?

[marticot]

oui,. c'est un PC commun qui rend service (impressions, accès internet, etc). et ils viennent avec des clés d'ailleurs... et malgrè les consignes, les cles sont problématiques

[Malekal_morte]

tu peux les mettre dans un compte invité ?

[marticot]

normalement, ils n'ont pas les droits administrateurs... mais j'ai l'impression que certaines infections pour les clés passent meme en profil simple utilisateur.

[Malekal_morte]

oui mais normalement, ça reste que sur celui la.
Du coup l'antivirus fait le ménage car il a des droits supérieures.

Le mieux c'est le compte invité, il reste rien à chaque déconnexion.