Virus USB raccourci a.cpl et errorlog

[rickways]

Bonjour,

j'ai plusieurs ordinateur qui ont subi les ravages d'un virus USB.
J'ai traité un premier ordinateur, mais le virus est revenu en utilisant un autre ordinateur.

Du coup, voici le FRST de cet ordinateur à traiter également :
FRST : https://pjjoint.malekal.com/files.php?i ... 0k15r14l14

ADDITION : https://pjjoint.malekal.com/files.php?i ... 3g10t13p12

SHORTCUT : https://pjjoint.malekal.com/files.php?i ... l10l11x7l8

Merci d'avance

[Malekal_morte]

Bonsoir,


Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
Startup: C:\Users\admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\a.cpl [2017-03-17] () [Fichier non signé]
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\errorlog.txt [2019-12-20] ()
EmptyTemp:
RemoveProxy:
Hosts:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)

~~


C'est une infection qui se propage par disques amovibles ( clefs USB, disques externes, cartes flash etc.. )
Tous les disques amovibles insérés depuis que Windows est infecté doivent être vérifiés et nettoyés sinon le simple fait de double-cliquer sur ta clef USB/disque dur externe va réinfecter ton système. Tu trouveras un lien explicatif sur la propagation de ces infections et sur comment s'en protéger :
=> Les virus par clé USB


Pour nettoyer les disques amovibles infecté par un virus par clé USB, suivre dans l'ordre les étapes du tutoriel : insère un à un tes clefs USB et disques durs externes que tu as pour les nettoyer. Envoie ensuite les rapports sur https://pjjoint.malekal.com/ et donne les liens menant à ces rapports pour que l'on puisse les consulter.

1°) Remediate VBS Worm

1°) Brancher toutes les clefs USB et autres périphériques amovibles.
* TéléchargerRemediate VBS Worm
* Lance Remediate VBS Worm puis choisis l'option B
* Taper la lettre de la clef USB, par exemple, E et entrée
ATTENTION: NE PAS INDIQUER LE LECTEUR DE TON DISQUE DUR !
* Va dans "Mon ordinateur" puis disque "C", un rapport "Rem-VBS.log" doit s'y trouver.
Ouvre ce rapport avec le bloc-notes et copie/colle le contenu ici dans une prochaine réponse.

~~

Pour te protéger des infections amovibles type Wscript (Windows Script Host) et virus sur clé usb.
Télécharger et installer Marmiton
Clic sur Désactiver au niveau de Windows Script Host puis modifier pour prendre en compte les modifications.
Marmiton va bloquer les scripts malicieux (VBS, VBE, JavaScript etc).

[rickways]

Le rapport de la clé USB :

Rem-VBSworm v8.0

=========== - General info:

Running under: rickw on profile: C:\Users\rickw
Computer name: RICKWAYS-HP

Operating System:
Microsoft Windows 10 Famille

Boot Mode:
Normal boot

Antivirus software installed:
Windows Defender


Executed on: 13/01/2020 @ 23:20:45,01

=========== - Drive info:

Listing currently attached drives:
Caption Description VolumeName

C: Disque mont‚ local Windows

D: Disque mont‚ local DATA

E: Disque mont‚ local RECOVERY

F: Disque amovible CLEULISERIC




Physical drives information:
C: \Device\HarddiskVolume5 NTFS
D: \Device\HarddiskVolume1 NTFS
E: \Device\HarddiskVolume2 NTFS
F: \Device\HarddiskVolume8 FAT

=========== - Disinfection info:


=========== - USB drive info:

f: selected

USB Device ID:
SCSI\DISK&VEN_ST1000LM&PROD_035-1RK172\4&1114A51B&0&000000

USBSTOR\DISK&VEN_DANEELEC&PROD_USB_DISK_2.0&REV_PMAP\070B2873985D7183&0

SCSI\DISK&VEN_SANDISK&PROD_SD8SN8U-128G-100\4&1114A51B&0&000200




WARNING... Possible Andromeda/Gamarue infection...
Listing root contents of f:
Le volume dans le lecteur F s'appelle CLEULISERIC
Le num‚ro de s‚rie du volume est 6682-6A42

R‚pertoire de F:\

10/12/2019 00:18 746ÿ137 S‚quence 2 - COPIE (3).docx
10/12/2019 14:01 15ÿ814 S‚quence 2 suite 2 d‚c.odt
13/12/2019 10:00 1ÿ249ÿ545 2019_12_10 Le lyrisme.odt
19/12/2019 12:54 <DIR> antivir
19/12/2019 15:43 235ÿ406 valuation de fran‡ais.pdf
20/12/2019 09:15 13ÿ261 2019_12_20 Le sujet de r‚flexion.odt
20/12/2019 14:44 224ÿ333 ‚valuation de math.pdf
10/01/2020 09:29 20ÿ181 S‚quence 3 - 07 janvier.odt
10/01/2020 09:35 272ÿ393 Antigone_texte.pdf
10/01/2020 09:35 164ÿ246 Antigone_texte-integral.pdf
10/01/2020 10:06 957ÿ742 S‚quence 3 - Antigone.odt
10/01/2020 15:17 789ÿ618 2019 fr argumentation.pdf
10/01/2020 15:18 848ÿ369 2020_01_10 fr antigone et oedipe.pdf
13/01/2020 11:24 <DIR> Ordi Tit
13/01/2020 12:22 <DIR> FOUND.000
13/01/2020 12:22 1ÿ926 BOOTEX.LOG
13 fichier(s) 5ÿ538ÿ971 octets
4 R‚p(s) 7ÿ699ÿ943ÿ424 octets libres

USB drive disinfected and files unhidden!!


=====================================================
Scan finished at: 23:20:56,03
Send this log only if requested by a helper.
=====================================================

Made by @bartblaze
Tool to delete VBS autorun worm and unhide files
Quarantine folder on: C:\Rem-VBSqt
Info: https://bartblaze.blogspot.com/2014/02/ ... lware.html

[Malekal_morte]

Tu as la paix maintenant, plus d'erreur VBS ou Windows Script Host ?

[rickways]

Ce soir je suis sur mon ordinateur 1.

C'est l'ordinateur 2 que je désinfecterai demain

Pour ce qui est de ma clé, tant qu'elle est sur mon ordinateur 1, je n'ai plus de problème lorsque je la traite avec Remediate VBS Worms, mais dès que je la branche sur l'autre ordinateur, même quand je fais la même chose, 10 minutes après, elles est de nouveau réinfectée...

A demain,

Merci

[Malekal_morte]

Parce que l'autre PC est infecté.
Il faut le nettoyer aussi.
Donne les rapports FRST de ce dernier.

[rickways]

Désolé je n'ai pas été clair.

Le 1er ordinateur a déjà été désinfecté

Ce post concerne mon deuxième ordinateur.

Voici le fixlog :

Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 12-01-2020
Exécuté par admin (14-01-2020 11:10:07) Run:1
Exécuté depuis C:\Users\admin\Desktop
Profils chargés: admin & adminse3 (Profils disponibles: admin & adminse3)
Mode d'amorçage: Normal
==============================================

fixlist contenu:
*****************
Start:
CloseProcesses:
CreateRestorePoint:
Startup: C:\Users\admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\a.cpl [2017-03-17] () [Fichier non signé]
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\errorlog.txt [2019-12-20] ()
EmptyTemp:
RemoveProxy:
Hosts:
Reboot:
End:
*****************

Processus fermé avec succès.
Le Point de restauration a été créé avec succès.
C:\Users\admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\a.cpl => déplacé(es) avec succès
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\errorlog.txt => déplacé(es) avec succès

========= RemoveProxy: =========

"HKLM\SYSTEM\CurrentControlSet\services\NlaSvc\Parameters\Internet\ManualProxies\\" => supprimé(es) avec succès
"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès
"HKU\S-1-5-21-268112567-3007427144-1717024228-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyEnable" => supprimé(es) avec succès
"HKU\S-1-5-21-268112567-3007427144-1717024228-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyServer" => supprimé(es) avec succès
"HKU\S-1-5-21-268112567-3007427144-1717024228-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\S-1-5-21-268112567-3007427144-1717024228-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès
"HKU\S-1-5-21-268112567-3007427144-1717024228-1004\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyEnable" => supprimé(es) avec succès
"HKU\S-1-5-21-268112567-3007427144-1717024228-1004\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyServer" => supprimé(es) avec succès
"HKU\S-1-5-21-268112567-3007427144-1717024228-1004\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\S-1-5-21-268112567-3007427144-1717024228-1004\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès


========= Fin de RemoveProxy: =========

C:\Windows\System32\Drivers\etc\hosts => déplacé(es) avec succès
Hosts restauré(es) avec succès.

=========== EmptyTemp: ==========

BITS transfer queue => 9199616 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 42160761 B
Java, Flash, Steam htmlcache => 1583 B
Windows/system/drivers => 63661 B
Edge => 22998637 B
Chrome => 92395058 B
Firefox => 410382248 B
Opera => 0 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
Users => 0 B
ProgramData => 0 B
Public => 0 B
systemprofile => 0 B
systemprofile32 => 0 B
LocalService => 0 B
NetworkService => 948726 B
admin => 26581384 B
adminse3 => 26895401 B

RecycleBin => 0 B
EmptyTemp: => 602.4 MB données temporaires supprimées.

================================


Le système a dû redémarrer.

==== Fin de Fixlog 11:11:19 ====

[Malekal_morte]

ok il faut nettoyer le second PC.

[rickways]

Bonjour,

le premier ordinateur avait été désinfecté à l'aide de ce topic :
viewtopic.php?t=64507

le second ordinateur est celui de ce sujet.

Le problème aurait donc dû être résolu, mais ce matin, en mettant ma clé dans l'ordi 2 (celui du sujet), de nouveau les raccourcis réapparaissent.

Je recommence donc REM VBSWORMS, supprime le fichier a.cpl sur la clé,
refait un FRST de l'ordi dans lequel pas de a.cpl caché

(je les remets ci-dessous, mais par contre si on doit refaire un nettoyage, ce serait bien de ne pas réinitialiser le proxy)
FRST
https://pjjoint.malekal.com/files.php?i ... h6g5x11g11

ADDITION
https://pjjoint.malekal.com/files.php?i ... 6l5v8r5n11

SHORTCUT
https://pjjoint.malekal.com/files.php?i ... 13o15f6v13

[Malekal_morte]

Rapports corrects. Plus de Virus USB et scripts a.cpl et errorlog.