windows script host : impossible de trouver le fichier script colis-mondial.vbs

[Frédéric2017]

Bonjour,
j'ai sans doute récupéré le fichier colis-mondial.vbs en branchant une clé usb.
Je ne suis pas sûr de l'avoir supprimé de mon PC et encore moins de ma clé usb.
Par contre, j'ai tjs ce message Windows Script Host:
Impossible de trouver le fichier script c:\users\XXX\appdata\local\temp\colis-mondial.vbs
J'ai passé FRST32 et généré les 3 fichiers textes frst.txt, addition.txt et shortcut.txt.

Quelqu'un peut-il m'aider?

Merci d'avance pour vos réponses.

[angelique]

Bonjour,



Pour te protéger des infections amovibles type Wscript (Windows Script Host)
Télécharger et installer Marmiton ➫ http://telecharger.malekal.com/download/marmiton/
Clic sur Désactiver au niveau de Windows Script Host.
Marmiton va bloquer les scripts malicieux (VBS, VBE, JavaScript etc) notamment qui sont utilisés pour propager des ransomwares comme Locky.

• Télécharge sur ton Bureau pas ailleurs FRST.EXE:
  
  
  
  La page de téléchargement : le tutoriel FRST
  
  
  
  
  !! Placez le programme sur le bureau et pas ailleurs!!
• Execute FRST.EXE, accepte le disclaimer , Cochez tous les options et cliquez sur le bouton Scan.
  Le scan se lance, les éléments scannés apparaissent en haut.
• Une fois le scan terminé, une popup vous le signale et deux rapports sont générés : FRST.txt et Addition.txt ( Ces deux rapports se trouvent sur le bureau avec le programme FRST. )
  
  
  Utilise le site http://pjjoint.malekal.com/ pour envoyer ton rapport, et poste le lien dans ta prochaine réponse pour analyse.

[Frédéric2017]

Merci pour votre réactivité,
voici les liens des différents fichiers :
FRST.txt : https://pjjoint.malekal.com/files.php?i ... 12c11r15o7
Addition.txt : https://pjjoint.malekal.com/files.php?i ... 14v6v11j15
Shortcut.txt : https://pjjoint.malekal.com/files.php?i ... l5k10k9b12

[Malekal_morte]

Salut,

Désinstalle :
Intel Security True Key
McAfee Security Scan Plus.
A lire :; McAfee Security Scan
Attention aux options pré-cochées...

USBFix tu peux aussi le désinstaller, on en va pas s'en servir.


~~

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

Ouvre le bloc-notes : Touche Windows + R,
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit :

Code : Tout sélectionner

CreateRestorePoint:
CloseProcesses:
Task: {60CE2787-A7AF-444D-B147-23E9103F9926} - System32\Tasks\Skype => C:\Users\Frederic\AppData\Local\Temp\colis-mondial.vbs <==== ATTENTION
Hosts:
EmptyTemp:
RemoveProxy:
Reboot:

Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",
A gauche, place toi sur le Bureau,
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.


2) réinitialiser les navigateurs:
==================================
Réinitialise tes navigateurs et/ou re-paramètre manuellement tes navigateurs WEB ( page de démarrage, moteur de recherche, etc ) mais aussi supprimer/désactiver les extensions inutiles/parasites.
Pour t'aider à effectuer ce ménage, clique ci-dessous sur le nom du navigateur WEB que tu utilises :
* Réinitialiser et réparer Mozilla Firefox
* Réinitialiser et réparer Google Chrome
* [url=http://forum.malekal.com/

3)
Pour te protéger des infections amovibles type Wscript (Windows Script Host) et virus sur clé usb.
Télécharger et installer Marmiton
Clic sur Désactiver au niveau de Windows Script Host puis modifier pour prendre en compte les modifications.
Marmiton va bloquer les scripts malicieux (VBS, VBE, JavaScript etc).

4)

Pour nettoyer les disques amovibles infecté par [https://www.malekal.com/virus-par-cle-usb/ un virus par clé USB[/url], suivre dans l'ordre les étapes du tutoriel : insère un à un tes clefs USB et disques durs externes que tu as pour les nettoyer. Envoie ensuite les rapports sur https://pjjoint.malekal.com/ et donne les liens menant à ces rapports pour que l'on puisse les consulter.

1°) Remediate VBS Worm

1°) Brancher toutes les clefs USB et autres périphériques amovibles.
* Télécharger Remediate VBS Worm
* Lancer l'option B
* Taper la lettre de la clef USB, par exemple, E et entrée
ATTENTION: NE PAS INDIQUER LE LECTEUR DE TON DISQUE DUR !
* Va dans "Mon ordinateur" puis disque "C", un rapport "Rem-VBS.log" doit s'y trouver.
Ouvre ce rapport avec le bloc-notes et copie/colle le contenu ici dans une prochaine réponse.

[Frédéric2017]

Salut,
voici ci-dessous le fichier texte après avoir relancé FRST. A la demande du logiciel, j'ai redémarré l'ordinateur.

Résultats de correction de Farbar Recovery Scan Tool (x86) Version: 11-07-2017
Exécuté par Frederic (13-07-2017 14:04:28) Run:1
Exécuté depuis C:\Users\Frederic\Desktop
Profils chargés: Frederic (Profils disponibles: Frederic & DefaultAppPool)
Mode d'amorçage: Normal

==============================================

fixlist contenu:
*****************
CreateRestorePoint:
CloseProcesses:
Task: {60CE2787-A7AF-444D-B147-23E9103F9926} - System32\Tasks\Skype => C:\Users\Frederic\AppData\Local\Temp\colis-mondial.vbs <==== ATTENTION
Hosts:
EmptyTemp:
RemoveProxy:
Reboot:
*****************

Le Point de restauration a été créé avec succès.
Processus fermé avec succès.
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{60CE2787-A7AF-444D-B147-23E9103F9926} => clé supprimé(es) avec succès
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{60CE2787-A7AF-444D-B147-23E9103F9926} => clé supprimé(es) avec succès
C:\Windows\System32\Tasks\Skype => déplacé(es) avec succès
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Skype => clé supprimé(es) avec succès
C:\Windows\System32\Drivers\etc\hosts => déplacé(es) avec succès
Hosts restauré(es) avec succès.

========= RemoveProxy: =========

HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings => valeur supprimé(es) avec succès
HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings => valeur supprimé(es) avec succès
HKU\S-1-5-21-887331431-1751192566-2252266375-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings => valeur supprimé(es) avec succès
HKU\S-1-5-21-887331431-1751192566-2252266375-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings => valeur supprimé(es) avec succès


========= Fin de RemoveProxy: =========


=========== EmptyTemp: ==========

BITS transfer queue => 0 B
DOMStoree, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 72451221 B
Java, Flash, Steam htmlcache => 523 B

[Frédéric2017]

Excuse moi, le copié/collé était incomplet. Le voici dans son intégralité.

Résultats de correction de Farbar Recovery Scan Tool (x86) Version: 11-07-2017
Exécuté par Frederic (13-07-2017 14:04:28) Run:1
Exécuté depuis C:\Users\Frederic\Desktop
Profils chargés: Frederic (Profils disponibles: Frederic & DefaultAppPool)
Mode d'amorçage: Normal

==============================================

fixlist contenu:
*****************
CreateRestorePoint:
CloseProcesses:
Task: {60CE2787-A7AF-444D-B147-23E9103F9926} - System32\Tasks\Skype => C:\Users\Frederic\AppData\Local\Temp\colis-mondial.vbs <==== ATTENTION
Hosts:
EmptyTemp:
RemoveProxy:
Reboot:
*****************

Le Point de restauration a été créé avec succès.
Processus fermé avec succès.
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{60CE2787-A7AF-444D-B147-23E9103F9926} => clé supprimé(es) avec succès
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{60CE2787-A7AF-444D-B147-23E9103F9926} => clé supprimé(es) avec succès
C:\Windows\System32\Tasks\Skype => déplacé(es) avec succès
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Skype => clé supprimé(es) avec succès
C:\Windows\System32\Drivers\etc\hosts => déplacé(es) avec succès
Hosts restauré(es) avec succès.

========= RemoveProxy: =========

HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings => valeur supprimé(es) avec succès
HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings => valeur supprimé(es) avec succès
HKU\S-1-5-21-887331431-1751192566-2252266375-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings => valeur supprimé(es) avec succès
HKU\S-1-5-21-887331431-1751192566-2252266375-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings => valeur supprimé(es) avec succès


========= Fin de RemoveProxy: =========


=========== EmptyTemp: ==========

BITS transfer queue => 0 B
DOMStoree, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 72451221 B
Java, Flash, Steam htmlcache => 523 B
Windows/system/drivers => 7050287 B
Edge => 34164197 B
Chrome => 915456 B
Firefox => 28659958 B
Opera => 0 B

Temp, IE cache, history, cookies, recent:
Default => 79596 B
Users => 0 B
ProgramData => 0 B
Public => 0 B
systemprofile => 128 B
LocalService => 11014 B
NetworkService => 11776 B
Frederic => 114518019 B
DefaultAppPool => 46426 B

RecycleBin => 430247 B
EmptyTemp: => 246.4 MB données temporaires supprimées.

================================


Le système a dû redémarrer.

==== Fin de Fixlog 14:07:49 ====

[Malekal_morte]

ok fais le reste =)

[Frédéric2017]

Voici pour la 1ère clé
Rem-VBSworm v8.0

=========== - General info:

Running under: Frederic on profile: C:\Users\Frederic
Computer name: PC

Operating System:
Microsoft Windows 10 Professionnel

Boot Mode:
Normal boot

Antivirus software installed:
Trend Micro Internet Security

Windows Defender


Executed on: 13/07/2017 @ 14:53:13,71

=========== - Drive info:

Listing currently attached drives:
Caption Description VolumeName

C: Disque mont‚ local

D: Disque CD-ROM

E: Disque amovible MYTOMOCP

F: Disque amovible




Physical drives information:
C: \Device\HarddiskVolume2 NTFS
E: \Device\HarddiskVolume6 FAT

=========== - Disinfection info:


=========== - USB drive info:

E: selected

USB Device ID:
USBSTOR\DISK&VEN_MULTIPLE&PROD_CARD__READER&REV_1.00\058F63666433&0

SCSI\DISK&VEN_WDC&PROD_WD5000AAKX-60U6A\4&2DFD0BC&0&000000

USBSTOR\DISK&VEN_&PROD_USB_FLASH_MEMORY&REV_1.00\001CC0C60D83C9C0942B0693&0




Fichier supprim‚ - E:\colis-mondial.vbs
Fichier supprim‚ - E:\~WRL1878.tmp
Fichier supprim‚ - E:\~WRL0002.tmp
Fichier supprim‚ - E:\~WRL0033.tmp
Fichier supprim‚ - E:\~WRL1175.tmp
Fichier supprim‚ - E:\~WRL3001.tmp
Fichier supprim‚ - E:\~WRL1875.tmp
Fichier supprim‚ - E:\~WRL0063.tmp
Fichier supprim‚ - E:\~WRD0000.tmp
Fichier supprim‚ - E:\CP\~WRD0000.tmp
Fichier supprim‚ - E:\CP\~WRD1402.tmp
Fichier supprim‚ - E:\CP\~WRL0004.tmp
Fichier supprim‚ - E:\CP\~WRL2730.tmp
Fichier supprim‚ - E:\EVALUATIONS\~WRL0002.tmp
WARNING... Possible Andromeda/Gamarue infection...
Listing root contents of E:
Le volume dans le lecteur E s'appelle MYTOMOCP
Le num‚ro de s‚rie du volume est 50F2-7106

R‚pertoire de E:\

15/11/2006 08:34 16ÿ216 ConditionsFR.txt
11/03/2008 09:54 65ÿ327 ConditionsEN.txt
04/02/2009 16:15 2ÿ093 Lisez-moi.txt
04/02/2009 16:15 3ÿ774 Nlm.ico
06/02/2009 10:04 23ÿ253ÿ356 Nolimit.exe
04/10/2010 17:48 4ÿ132 Nolimit.log
05/10/2010 08:44 <DIR> RECYCLER
05/06/2011 10:56 13ÿ865 Vocabulaire.docx
12/11/2011 21:21 <DIR> CP
10/04/2014 08:46 6ÿ456 BOOTEX.LOG
15/01/2017 09:53 <DIR> FABULIRE Sons
15/01/2017 09:54 <DIR> KIMAMILA Sons
15/01/2017 09:55 <DIR> FABULIRE Textes
15/01/2017 09:55 <DIR> KIMAMILA Textes
15/01/2017 09:58 <DIR> DANSE
15/01/2017 09:59 <DIR> PHOTOS
15/01/2017 10:02 <DIR> CHANT et POESIE
11/02/2017 14:56 <DIR> MATHS
11/02/2017 14:58 <DIR> GESTION DE LA CLASSE
11/02/2017 15:00 <DIR> EVALUATIONS
11/02/2017 15:01 <DIR> PROJETS
11/02/2017 15:02 <DIR> ECRITURE-COPIE
11/02/2017 15:02 <DIR> DDM
11/02/2017 15:04 <DIR> COURRIER
26/03/2017 18:55 3ÿ974ÿ929 Hugues Aufray - Hasta Luego.mp3
9 fichier(s) 27ÿ340ÿ148 octets
17 R‚p(s) 1ÿ149ÿ435ÿ904 octets libres

USB drive disinfected and files unhidden!!

[Malekal_morte]

Je pense que c'est correct.
Marmiton devrait te protéger de ce type de menaces

[Frédéric2017]

Je te remercie pour ton aide.

[Malekal_morte]

Pas de soucis =)