[Infection] - Carte SD inacessible - Worm/Rjump.D (en cours)

[sebcas]

Bonjour,

en connectant mon lecteur de carte SD à mon PC et en y insérant mon carte SD, j'ai eu la désagréable surprise de voir que je ne pouvais plus accéder à son contenu. Autrement dit, les photos de ces 2 dernières années au moins (oui, j'ai du retard dans le tri des photos...) sont "presque" perdues.

En cliquant sur le dossier contenant les photos, j'ai un pop-up qui s'affiche et dont le titre est "H:\RECYCLER\e621ca05.exe".

Mon antivirus (Avira) a détecté le virus dont le nom figure en objet de ce post : worm/Rjump.D

Bref, ce site m'ayant été très utile il y a quelques années, je reviens vers vous pour solliciter votre aide. En effet, je souhaite, et c'est bien logique, récupérer l'accès à mes photos...

Pour information, même si vous vous en apercevrez en demandant des informations, je suis sur une vieille version de Windows, toujours XP...

Merci d'avance pour votre aide.

Bien cordialement.

Sébastien.

[angelique]

Pour te protéger des infections amovibles type Wscript (Windows Script Host)
Télécharger et installer Marmiton ➫ http://telecharger.malekal.com/download/marmiton/
Clic sur Désactiver au niveau de Windows Script Host.
Marmiton va bloquer les scripts malicieux (VBS, VBE, JavaScript etc) notamment qui sont utilisés pour propager des ransomwares comme Locky.

• Télécharge sur ton Bureau pas ailleurs FRST.EXE:
  
  
  
  La page de téléchargement : le tutoriel FRST
  
  
  
  
  !! Placez le programme sur le bureau et pas ailleurs!!
• Exécute FRST.EXE, accepte le disclaimer , Cochez tous les options et cliquez sur le bouton Scan.
  Le scan se lance, les éléments scannés apparaissent en haut.
• Une fois le scan terminé, une popup vous le signale et deux rapports sont générés : FRST.txt et Addition.txt ( Ces deux rapports se trouvent sur le bureau avec le programme FRST. )
  
  
  Utilise le site http://pjjoint.malekal.com/ pour envoyer ton rapport, et poste le lien dans ta prochaine réponse pour analyse.

Il te faut maintenant nettoyer tes clefs USB/disques dur externes
Suis bien le tutorial dans l'ordre : insère tes clefs USB et disque dur externe que tu as pour les nettoyer.
Poste les rapports sur http://pjjoint.malekal.com et donne les adresses.


Branche toutes tes clefs USB et autres périphériques amovibles.
Télécharge Remediate VBS Worm
Lance l'option A (Appuye A et entrée).
Ouvre Mon ordinateur puis disque C, un rapport Rem-VBS.log doit s'y trouver, donne le contenu ici.

Ensuite :
Relance le programme, Lance l'option B.
Tape la lettre de la clef USB, par exemple, E et entrée
Cela va nettoyer la clef USB.
De même, Ouvre Mon ordinateur puis disque C, un rapport Rem-VBS.log doit s'y trouver, donne le contenu ici.

[sebcas]

Merci pour cette réponse rapide.

Alors, pour commencer, ci-dessous les 2 rapports de FRST :
FRST.txt ==> http://pjjoint.malekal.com/files.php?id ... d5l13l8t11
Addition.txt==> http://pjjoint.malekal.com/files.php?id ... 5t910r10b7

Ensuite, le rapport du fichier Rem-VBS.log ci-dessous :
Rem-VBSworm v8.0

=========== - General info:

Running under: Barthelemy on profile: E:\Documents and Settings\Barthelemy
Computer name: ADESEB

Operating System:
Microsoft Windows XP Professionnel

Boot Mode:
Normal boot

Antivirus software installed:

Executed on: 05/06/2017 @ 18:27:59,59

=========== - Drive info:

Listing currently attached drives:
Caption Description VolumeName

C: Disque fixe local

D: Disque CD-ROM

E: Disque fixe local

F: Disque amovible

H: Disque amovible NIKON D3100



Physical drives information:
:
:
:

=========== - Disinfection info:

Et enfin, le rapport de mon lecteur KO (H) :
Rem-VBSworm v8.0

=========== - General info:

Running under: Barthelemy on profile: E:\Documents and Settings\Barthelemy
Computer name: ADESEB

Operating System:
Microsoft Windows XP Professionnel

Boot Mode:
Normal boot

Antivirus software installed:

Executed on: 05/06/2017 @ 18:30:09,98

=========== - Drive info:

Listing currently attached drives:
Caption Description VolumeName

C: Disque fixe local

D: Disque CD-ROM

E: Disque fixe local

F: Disque amovible

H: Disque amovible NIKON D3100



Physical drives information:
:
:
:

=========== - Disinfection info:


=========== - USB drive info:

h: selected

USB Device ID:
IDE\DISKST1000DM003-9YN162______________________CC4B____\5&1605D940&0&0.1.0

USBSTOR\DISK&VEN_LEXAR&PROD_CFUDMASD&REV_1000\AA0000000009397&0

USBSTOR\DISK&VEN_LEXAR&PROD_CFUDMASD&REV_1000\AA0000000009397&1



Fichier supprim‚ - h:\DCIM.lnk
Fichier supprim‚ - h:\LOST.DIR.lnk
Fichier supprim‚ - h:\MISC.lnk
Fichier supprim‚ - h:\.Trashes.lnk
Fichier supprim‚ - h:\System Volume Information.lnk
WARNING... Possible Andromeda/Gamarue infection...
Listing root contents of h:
Le volume dans le lecteur H s'appelle NIKON D3100
Le num‚ro de s‚rie du volume est 0000-0000

R‚pertoire de H:\

01/01/1601 02:00 <REP> MISC
01/01/1980 00:00 21 .cm0012
01/01/1980 00:00 1ÿ673ÿ216 .cmdb
12/10/2010 19:29 512 NIKON001.DSC
12/10/2010 19:29 <REP> DCIM
20/10/2010 21:06 348ÿ160 msvcr71.dll
04/04/2011 16:56 5 RavMonLog
13/05/2011 21:21 3ÿ514ÿ318 AdobeR.exe
05/01/2013 18:44 <REP> LOST.DIR
28/08/2013 20:44 379ÿ904 .mediaDB_3456493794.db
19/10/2014 00:00 <REP> .Trashes
19/10/2014 00:00 4ÿ096 ._.Trashes
8 fichier(s) 5ÿ920ÿ232 octets
5 R‚p(s) 3ÿ138ÿ289ÿ664 octets libres

USB drive disinfected and files unhidden!!

Je n'y connais pas grand chose mais la dernière ligne a l'air vraiment encourageante...

J'espère que j'ai tout bien suivi et fait, y compris en ce qui concerne les PJ et les copier/coller des rapports.

Je viens de vérifier mon contenu et j'ai bien de nouveau accès à toutes mes données !

Dois-je faire autre chose pour continuer ou est-ce OK ?

En tout cas, un grand merci !

[angelique]

Désinstalle:

- McAfee Security Scan Plus (HKLM\...\McAfee Security Scan) (Version: 3.11.376.2 - McAfee, Inc.)


Branche ton H: Disque amovible NIKON D3100 sans l'ouvrir !

• Ouvre le bloc-notes : Menu Démarrer / Tous les programmes / Accessoires et Bloc-Notes. (ou executer➫notepad)
  Copie/colle dedans ce qui suit :
  
  

  Code : Tout sélectionner

  Task: E:\WINDOWS\Tasks\AmiUpdXp.job => E:\Documents and Settings\Barthelemy\Application Data\16357\Updater.exe <==== ATTENTION
  Task: E:\WINDOWS\Tasks\GoforFilesUpdate.job => E:\Program Files\GoforFiles\GFFUpdater.exe���hxxp:/www.goforfiles.com <==== ATTENTION
  Task: E:\WINDOWS\Tasks\Notification de fin de service de Microsoft Windows XP - à la connexion.job => E:\WINDOWS\system32\xp_eos.exe
  Task: E:\WINDOWS\Tasks\Notification de fin de service de Microsoft Windows XP -mensuellement.job => E:\WINDOWS\system32\xp_eos.exe
  HKLM\...\Run: [NeroFilterCheck] => E:\WINDOWS\system32\NeroCheck.exe [155648 2001-07-09] (Ahead Software Gmbh)
  HKU\S-1-5-21-1801674531-706699826-839522115-1003\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.delta-search.com/?affID=119370&tt=190313_wo3&babsrc=HP_ss&mntrId=34CD0022B00D02EC
  SearchScopes: HKU\S-1-5-21-1801674531-706699826-839522115-1003 -> {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} URL = hxxp://www.delta-search.com/?q={searchTerms}&affID=119370&tt=190313_wo3&babsrc=SP_ss&mntrId=34CD0022B00D02EC
  FF Extension: (cacaoweb) - E:\Documents and Settings\Barthelemy\Application Data\Mozilla\Firefox\Profiles\4xhrso40.default\Extensions\[email protected] [2013-01-20] [non signé]
  FF HKLM\...\Firefox\Extensions: [[email protected]] - E:\Program Files\BetterSurf\ff => non trouvé(e)
  FF HKLM\...\Firefox\Extensions: [[email protected]] - E:\Program Files\Better-Surf\ff => non trouvé(e)
  CHR Extension: (cacaoweb) - E:\Documents and Settings\Barthelemy\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\leahdjjpjmnamomgpojikeapflgbmjab [2013-09-07] [UpdateUrl: hxxp://cacaoweb.org/chromeextension/updates.xml] <==== ATTENTION
  CHR HKLM\...\Chrome\Extension: [dedmngkbaffkenlfdcbganndoghblmap] - E:\Program Files\BetterSurf\ch\Chrome.crx <non trouvé(e)>
  CHR HKLM\...\Chrome\Extension: [jfmjfhklogoienhpfnppmbcbjfjnkonk] - <pas de Path/update_url>
  CHR HKLM\...\Chrome\Extension: [poheodfamflhhhdcmjfeggbgigeefaco] - E:\Program Files\Better-Surf\ch\Chrome.crx <non trouvé(e)>
  CHR HKU\S-1-5-21-1801674531-706699826-839522115-1003\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [leahdjjpjmnamomgpojikeapflgbmjab] - E:\Documents and Settings\Barthelemy\Application Data\cacaoweb\cacaoweb.crx [2013-02-01]
  E:\Documents and Settings\Barthelemy\Application Data\16357
  E:\Program Files\GoforFiles
  E:\Program Files\cacaoweb
  H:\AdobeR.exe
  Reg: reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\cacaoweb" /f
  EmptyTemp:
  
  

• Menu Fichier / Enregistrer-sous
  Place toi sur le bureau.
  Dans le champs en bas, nom du fichier mets : fixlist.txt
  Clic sur Enregistrer - cela va créer un fichier fixlist.txt sur le bureau.
• Ferme toutes les applications, y compris ton navigateur
• Double-clique sur FRST.exe
  Sous Vista, Windows 7, 8,10, etc.... il faut lancer le fichier par clic-droit ➫ Exécuter en tant qu'administrateur
  Sur le menu principal, clique une seule fois sur Corriger/Fix et patiente le temps de la correction
  
  
  Un redémarrage peut être nécessaire (pas obligatoire).
• L'outil va créer un rapport de correction Fixlog.txt. Poste ce rapport dans ta réponse avec ton commentaire si c'est mieux !

[sebcas]

Opérations faites. Ci-dessous le rapport Fixlog.txt

Résultats de correction de Farbar Recovery Scan Tool (x86) Version: 05-06-2017
Exécuté par Barthelemy (05-06-2017 23:31:26) Run:1
Exécuté depuis E:\Documents and Settings\Barthelemy\Bureau
Profils chargés: Barthelemy & UpdatusUser (Profils disponibles: Barthelemy & UpdatusUser)
Mode d'amorçage: Normal

==============================================

fixlist contenu:
*****************
Task: E:\WINDOWS\Tasks\AmiUpdXp.job => E:\Documents and Settings\Barthelemy\Application Data\16357\Updater.exe <==== ATTENTION
Task: E:\WINDOWS\Tasks\GoforFilesUpdate.job => E:\Program Files\GoforFiles\GFFUpdater.exe???hxxp:/www.goforfiles.com <==== ATTENTION
Task: E:\WINDOWS\Tasks\Notification de fin de service de Microsoft Windows XP - la connexion.job => E:\WINDOWS\system32\xp_eos.exe
Task: E:\WINDOWS\Tasks\Notification de fin de service de Microsoft Windows XP -mensuellement.job => E:\WINDOWS\system32\xp_eos.exe
HKLM\...\Run: [NeroFilterCheck] => E:\WINDOWS\system32\NeroCheck.exe [155648 2001-07-09] (Ahead Software Gmbh)
HKU\S-1-5-21-1801674531-706699826-839522115-1003\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.delta-search.com/?affID=119370&tt=1 ... 22B00D02EC
SearchScopes: HKU\S-1-5-21-1801674531-706699826-839522115-1003 -> {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} URL = hxxp://www.delta-search.com/?q={searchTerms}&a ... 22B00D02EC
FF Extension: (cacaoweb) - E:\Documents and Settings\Barthelemy\Application Data\Mozilla\Firefox\Profiles\4xhrso40.default\Extensions\[email protected] [2013-01-20] [non sign]
FF HKLM\...\Firefox\Extensions: [[email protected]] - E:\Program Files\BetterSurf\ff => non trouv(e)
FF HKLM\...\Firefox\Extensions: [[email protected]] - E:\Program Files\Better-Surf\ff => non trouv(e)
CHR Extension: (cacaoweb) - E:\Documents and Settings\Barthelemy\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\leahdjjpjmnamomgpojikeapflgbmjab [2013-09-07] [UpdateUrl: hxxp://cacaoweb.org/chromeextension/updates.xml] <==== ATTENTION
CHR HKLM\...\Chrome\Extension: [dedmngkbaffkenlfdcbganndoghblmap] - E:\Program Files\BetterSurf\ch\Chrome.crx <non trouv(e)>
CHR HKLM\...\Chrome\Extension: [jfmjfhklogoienhpfnppmbcbjfjnkonk] - <pas de Path/update_url>
CHR HKLM\...\Chrome\Extension: [poheodfamflhhhdcmjfeggbgigeefaco] - E:\Program Files\Better-Surf\ch\Chrome.crx <non trouv(e)>
CHR HKU\S-1-5-21-1801674531-706699826-839522115-1003\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [leahdjjpjmnamomgpojikeapflgbmjab] - E:\Documents and Settings\Barthelemy\Application Data\cacaoweb\cacaoweb.crx [2013-02-01]
E:\Documents and Settings\Barthelemy\Application Data\16357
E:\Program Files\GoforFiles
E:\Program Files\cacaoweb
H:\AdobeR.exe
Reg: reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\cacaoweb" /f
EmptyTemp:

*****************

E:\WINDOWS\Tasks\AmiUpdXp.job => déplacé(es) avec succès
E:\WINDOWS\Tasks\GoforFilesUpdate.job => déplacé(es) avec succès
E:\WINDOWS\Tasks\Notification de fin de service de Microsoft Windows XP - à la connexion.job => déplacé(es) avec succès
E:\WINDOWS\Tasks\Notification de fin de service de Microsoft Windows XP -mensuellement.job => déplacé(es) avec succès
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\\NeroFilterCheck => valeur supprimé(es) avec succès
HKU\S-1-5-21-1801674531-706699826-839522115-1003\Software\Microsoft\Internet Explorer\Main\\Start Page => valeur restauré(es) avec succès
HKU\S-1-5-21-1801674531-706699826-839522115-1003\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} => clé supprimé(es) avec succès
HKCR\CLSID\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} => clé non trouvé(e).
E:\Documents and Settings\Barthelemy\Application Data\Mozilla\Firefox\Profiles\4xhrso40.default\Extensions\[email protected] => déplacé(es) avec succès
HKLM\Software\Mozilla\Firefox\Extensions\\[email protected] => valeur supprimé(es) avec succès
HKLM\Software\Mozilla\Firefox\Extensions\\[email protected] => valeur supprimé(es) avec succès
E:\Documents and Settings\Barthelemy\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\leahdjjpjmnamomgpojikeapflgbmjab <==== ATTENTION => non trouvé(e).
E:\Documents and Settings\Barthelemy\Application Data\16357 => déplacé(es) avec succès
"E:\Program Files\GoforFiles" => non trouvé(e).
E:\Program Files\cacaoweb => déplacé(es) avec succès
"H:\AdobeR.exe" => non trouvé(e).

========= reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\cacaoweb" /f =========


L'opération s'est bien déroulée


========= Fin de Reg: =========


=========== EmptyTemp: ==========

BITS transfer queue => 9771 B
DOMStoree, IE Recovery, AppCache, Feeds Cache, Thumbcache => 40134 B
Java, Flash, Steam htmlcache => 114567305 B
Windows/system/dllcache/drivers => 0 B
Edge => 0 B
Chrome => 95909107 B
Firefox => 63738396 B
Opera => 0 B

Temp, IE cache, history, cookies, recent:
Documents and Settings => 0 B
Default User => 66164 B
All Users => 0 B
systemprofile => 2431775017 B
LocalService => 80169156 B
NetworkService => 99039 B
Barthelemy => 5866505 B
UpdatusUser => 66164 B

RecycleBin => 0 B
EmptyTemp: => 2.6 GB données temporaires supprimées.

================================


Le système a dû redémarrer.

==== Fin de Fixlog 23:32:14 ====

Ca m'a l'air d'être une opération de nettoyage. Est-ce OK ?

Merci.

[angelique]

Oui c'est ok

tu pourras supprimer frst, ses rapports et c:\frst