smss-DoOoMs.vbs : Clé USB infectée par un virus qui crée des raccourcis [résolu]

[Anton.h]

Bonjour, aujourd'hui j'ai constaté que mon pc est infecté par un virus qui se propage dans mes clés USB. Le virus transforme tous les fichiers en raccourcis. Malgré le nettoyage fait par USBfix celui-ci m'indique à chaque redémarrage du pc que les clés sont infectées, je suppose donc que le virus est bien installé sur mon pc. Y'a t'il un moyen de supprimer définitivement ce virus ?

Merci d'avance.

[angelique]

Bonjour/Bonsoir

Branche toutes tes clefs USB et autres périphériques amovibles.
Télécharge Remediate VBS Worm
Lance l'option A (Appuye A et entrée).
Ouvre Mon ordinateur puis disque C, un rapport Rem-VBS.log doit s'y trouver, Utilise le site http://pjjoint.malekal.com/ pour envoyer ton rapport, et poste le lien dans ta prochaine réponse

Ensuite :
Relance le programme, Lance l'option B.
Tape la lettre de la clef USB, par exemple, E et entrée
Cela va nettoyer la clef USB.
De même, Ouvre Mon ordinateur puis disque C, un rapport Rem-VBS.log doit s'y trouver, Utilise le site http://pjjoint.malekal.com/ pour envoyer ton rapport, et poste le lien dans ta prochaine réponse
-------

Puis:

• Télécharge sur ton Bureau pas ailleurs FRST.EXE:
  
  
  
  La page de téléchargement : le tutoriel FRST ou FRST
  
  
  
  !! Placez le programme sur le bureau et pas ailleurs!!
• Exécute FRST.EXE, accepte le disclaimer , Cochez tous les options et cliquez sur le bouton Scan.
  Le scan se lance, les éléments scannés apparaissent en haut.
  
  -------------
• Une fois le scan terminé, une popup vous le signale et deux rapports sont générés : FRST.txt et Addition.txt ( Ces deux rapports se trouvent sur le bureau avec le programme FRST. )
  
  -------------
  
  Utilise le site http://pjjoint.malekal.com/ pour envoyer ton rapport, et poste le lien dans ta prochaine réponse pour analyse.

[Anton.h]

Merci pour votre réponse,

voici les rapports :

VBS : https://pjjoint.malekal.com/files.php?i ... s15k7i7v11
Clé usb 1 : https://pjjoint.malekal.com/files.php?i ... 7x11b12d11
Clé usb 2 : quand je rentre la lettre correspondante (D) s'affiche "wrong letter or systemdrive selected"
FRST : https://pjjoint.malekal.com/files.php?i ... h15h9k6j10
Addition : https://pjjoint.malekal.com/files.php?i ... s10e9i13t9

[Malekal_morte]

Il est bien infecté ce PC... y a même des restes de StartupCheckLibrary et

Désinstalle tout ça :

Avast! - laisse Windows Defender plus léger
PhotoDirector8 for MSI
PowerDirector for MSI

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
2020-11-10 18:54 - 2020-11-10 18:54 - 003302272 _____ C:\Users\anton\Downloads\zhpcleaner_2019.1.17.9.exe
2020-11-10 19:16 - 2020-11-10 19:16 - 003278208 _____ (Nicolas Coolman) C:\Users\anton\Downloads\ZHPDiag3.exe
2020-11-10 19:32 - 2020-11-10 19:32 - 001707392 _____ (Nicolas Coolman) C:\Users\anton\Downloads\ZHPFix2.exe
2020-11-10 19:32 - 2020-11-10 19:32 - 001707392 _____ (Nicolas Coolman) C:\Users\anton\Downloads\ZHPFix2.exe
2020-11-10 19:16 - 2020-11-10 19:16 - 003278208 _____ (Nicolas Coolman) C:\Users\anton\Downloads\ZHPDiag3.exe
2020-11-10 18:58 - 2020-11-10 21:15 - 000001927 _____ C:\ProgramData\Bureau\UsbFix Anti-Malware.lnk
2020-11-10 18:54 - 2020-11-10 19:32 - 000000000 ____D C:\Users\anton\AppData\Roaming\ZHP
2020-11-10 18:54 - 2020-11-10 19:32 - 000000000 ____D C:\Users\anton\AppData\Local\ZHP
2020-11-10 18:54 - 2020-11-10 18:56 - 000000000 ____D C:\AdwCleaner
2020-11-10 18:54 - 2020-11-10 18:54 - 008447152 _____ (Malwarebytes) C:\Users\anton\Downloads\adwcleaner_8.0.8.exe
2020-11-10 18:54 - 2020-11-10 18:54 - 003302272 _____ C:\Users\anton\Downloads\zhpcleaner_2019.1.17.9.exe
2020-09-08 17:29 - 2020-09-08 17:29 - 000003304 _____ C:\WINDOWS\system32\Tasks\smss-DoOoM.vbe
Task: {0AA495B0-0254-4553-8EFF-37F6757C2A5B} - System32\Tasks\Microsoft\Windows\Application Experience\StartupCheckLibrary => rundll32.exe StartupCheckLibrary.dll,DllMainRunLibrary <==== ATTENTION
Task: {9CB5C719-86AF-4C5B-90BF-1C78FBA710EE} - System32\Tasks\smss-DoOoM.vbe => C:\Users\anton\AppData\Local\Temp\System\smss-DoOoMs.vbs <==== ATTENTION
Task: {DAD12995-A937-4ECE-AC53-F2E844FC5825} - System32\Tasks\Microsoft\Windows\WDI\SrvHost => rundll32.exe winscomrssrv.dll,SrvMainHost <==== ATTENTION
Task: {DE0AAE97-34F0-4AF2-9BB3-332597B01177} - System32\Tasks\Update\SoundModule => cmd /c type "C:\Users\anton\AppData\Local\Temp\SoundModule.txt" | cmd <==== ATTENTION
HKLM\...\Run: [smss-DoOoM] => "C:\Users\anton\AppData\Local\Temp\MagiXDrivers\smss-DoOoM.lnk" <==== ATTENTION
HKLM\...\Run: [smss-DoOoMs] => "C:\Users\anton\AppData\Local\Temp\MagiXDrivers\smss-DoOoMp.lnk" <==== ATTENTION
HKLM\...\Winlogon: [Userinit] C:\Windows\system32\userinit.exe,wscript.exe //B "C:\Users\anton\AppData\Local\Temp\System\smss-DoOoMs.vbs" <==== ATTENTION
HKLM-x32\...\Winlogon: [Userinit] C:\Windows\system32\userinit.exe,wscript.exe //B "C:\Users\anton\AppData\Local\Temp\System\smss-DoOoMs.vbs" <==== ATTENTION
HKLM\...\Winlogon: [Shell] explorer.exe, wscript.exe //B "C:\Users\anton\AppData\Local\Temp\System\smss-DoOoMs.vbs"
HKLM-x32\...\Winlogon: [Shell] explorer.exe, wscript.exe //B "C:\Users\anton\AppData\Local\Temp\System\smss-DoOoMs.vbs"
HKU\S-1-5-21-3477137132-2755619011-2441513477-1001\...\Run: [Skype] => "C:\Program Files\Skype\Phone\Skype.exe" /minimized /regrun, wscript.exe //B "C:\Users\anton\AppData\Local\Temp\\MagiXDrivers\smss-DoOoMp.lnk" <==== ATTENTION
HKU\S-1-5-21-3477137132-2755619011-2441513477-1001\...\Run: [smss-DoOoMs] => "C:\Users\anton\AppData\Local\Temp\MagiXDrivers\smss-DoOoMp.lnk" <==== ATTENTION
HKU\S-1-5-21-3477137132-2755619011-2441513477-1001\...\Run: [smss-DoOoM] => "C:\Users\anton\AppData\Local\Temp\MagiXDrivers\smss-DoOoM.lnk" <==== ATTENTION
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\errorlog.txt [2020-11-10] ()
Startup: C:\Users\anton\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\errorlog.txt [2020-11-10] ()
Startup: C:\Users\anton\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\smss-DoOoM.lnk [2020-11-10]
ShortcutTarget: smss-DoOoM.lnk -> C:\Users\anton\AppData\Local\Temp\System\smss-DoOoMs.vbs (Pas de fichier)
Startup: C:\Users\anton\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\smss-DoOoMs.lnk [2020-11-10]
ShortcutTarget: smss-DoOoMs.lnk -> C:\Users\anton\AppData\Local\Temp\smss-DoOoM-privacy\smss-DoOoM.vbe (Pas de fichier)
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Restriction <==== ATTENTION
HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Edge: Restriction <==== ATTENTION
reg: reg add "HKLM\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f
reg: reg add "HKCU\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f
Hosts:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)


Refais un scan FRST et donne les nouveaux rapports via pjjoint

[Anton.h]

Voici le rapport fixlog : https://pjjoint.malekal.com/files.php?i ... 15w12e11p7
Et les rapports FRST :
FRST : https://pjjoint.malekal.com/files.php?i ... 6t13i10h12
Addition : https://pjjoint.malekal.com/files.php?i ... 3d12x13h10
Shortcut : https://pjjoint.malekal.com/files.php?i ... 5t14i5w6t5

Merci pour votre aide.

[angelique]

Bonjour/Bonsoir


Voici une correction que tu peux aussi faire:


Télécharge à coté de FRST64.EXE , PAS AILLEURS !!!!! le fichier fixlist.txt en pièce jointe en bas du message.

➯ Relance FRST64(clic droit exécuter en tant qu'administrateur) et clic sur le bouton corriger/fix
Un redémarrage peut être nécessaire (pas obligatoire).
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message avec ton commentaire.

/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnements et endommager Windows /!\

[Anton.h]

Voici le nouveau rapport fixlog : https://pjjoint.malekal.com/files.php?i ... h9j7h12r14

[angelique]

ça doit être OK , tu confirmes et supprimes C:\FRST, frst64 et ses rapports

[Anton.h]

Oui tout a l'air d'aller mieux, merci beaucoup pour votre aide. Bonne soirée

[Malekal_morte]

J'ai mis en résolu =)

Pour éviter les virus, il faut savoir comment les pirates s'y prennent pour infecter les ordinateurs : Comment les virus informatiques sont distribués
Enfin pour protéger ton PC : Comment protéger son PC des virus et des pirates ?

[Miehll]

Bonjour,

Je me retrouve dans la même situation que le post initial..
Sauf que j'ai le message "wrong letter or systemdrive selected" sur la console vis à vis de la lettre D de ma clé lors de l'étape de l'option B.

VBS: https://pjjoint.malekal.com/files.php?i ... l8l12b6o15
Shortcut: https://pjjoint.malekal.com/files.php?i ... 12q12n13h5
Addition: https://pjjoint.malekal.com/files.php?i ... 6k12j13e14
FRST: https://pjjoint.malekal.com/files.php?i ... 11w11r10z7

Merci d'avance pour votre aide!

[Malekal_morte]

Salut Miehll,

Il n'a pas lus l'air actif le virus smss-DoOoMs.vbs d'après les rapports.
Sinon tu dois pouvoir désinstaller tout ça :

CCleaner
iCloud
McAfee LiveSafe

[Miehll]

Salut!

Pourquoi je devrais désinstaller ces softs d'après toi?
Tu sais pourquoi j'ai le message "wrong letter or systemdrive selected" sur la console du coup?

Merci

[Malekal_morte]

car ils alourdissent Windows et ne sont pas utiles.
Windows Defender suffit.

Le message s'affiche où exactement et quand tu fais quoi ?

[Miehll]

J'ai suivi les étapes préconisées:

"Branche toutes tes clefs USB et autres périphériques amovibles.
Télécharge Remediate VBS Worm
Lance l'option A (Appuye A et entrée).
Ouvre Mon ordinateur puis disque C, un rapport Rem-VBS.log doit s'y trouver, Utilise le site http://pjjoint.malekal.com/ pour envoyer ton rapport, et poste le lien dans ta prochaine réponse

Ensuite :
Relance le programme, Lance l'option B.
Tape la lettre de la clef USB, par exemple, E et entrée
Cela va nettoyer la clef USB."

Et quand je lance l'option B, j'ai ce fameux message qui me dit que je me trompe de lettre alors que ce n'est pas le cas (je tape bien uniquement la lettre sans le :/ ).
Je peux donc pas nettoyer la clé, les raccourcis sont toujours là.