Virus qui parasite mes ports usb

[yayoo]

Bonjour !!

 

Voila mon souci, depuis un certain temps j'ai du mal à me débarasser d'un virus EXPLORER.EXE qui tourne en permance.

J'ai essayé plusieur choses, bloquer les lignes dans hijackthis, le retrouver dans system32 pour le supprimer, mais il finit toujours par revenir.

 

 

De plus, depuis un certain temps, dès que je branche un clef usb ou disque dur externe, et que je clique sur propriétés ca me donne ca:

 

http://img113.imageshack.us/img113/708/pbtc8.jpg

 

Pour completer le tout, je ne peux pas ouvrir clef usb et disque sur en double cliquant sur l'icone, je tombe automatiqueement sur mon ficher "mes documents" à moins de passer par la fonction "execution automatique" puis "ouvrir le dossier"

et la encore, j'infecte toutes les clefs et disques qui se connectent sur mon ordi.

 

 

Avast, encore ce soir, m'a trouvé un virus sur mon disque externe F: dès que je l'ai connecté.

 

" Dernier infecté: F:\EXPLORER.EXE " (impossible de le retrouver dans mon disque externe....)

 

 

 

Voici mon rapport highjackthis si ca peut aider!!

 

En espérant que vous pourrez m'aider

 

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\wltrysvc.exe

C:\WINDOWS\System32\bcmwltry.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\sm56hlpr.exe

C:\Program Files\Friendly Technologies\BroadbandAccess\fts.exe

C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\Program Files\3M\PSNLite\PsnLite.exe

C:\Program Files\Crystal Clear\RocketDock\RocketDock.exe

C:\PROGRA~1\3M\PSNLite\PSNGive.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

c:\WINDOWS\system32\o2flash.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\WINDOWS\system32\wscntfy.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Program Files\MSN Messenger\msnmsgr.exe

C:\Program Files\MSN Messenger\usnsvc.exe

C:\Program Files\HijackThis\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\Wanadoo\SEARCH~1.DLL

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_08\bin\ssv.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O4 - HKLM\..\Run: [sMSERIAL] sm56hlpr.exe

O4 - HKLM\..\Run: [%FP%Friendly fts.exe] "C:\Program Files\Friendly Technologies\BroadbandAccess\fts.exe"

O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"

O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKCU\..\Run: [EXPLORER.EXE] EXPLORER.EXE

O4 - HKCU\..\Run: [updateMgr] "C:\Program Files\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe" AcRdB7_0_8 -reboot 1

O4 - Startup: RocketDock.lnk = C:\Program Files\Crystal Clear\RocketDock\RocketDock.exe

O4 - Global Startup: Post-it® Software Notes Lite.lnk = C:\Program Files\3M\PSNLite\PsnLite.exe

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O17 - HKLM\System\CCS\Services\Tcpip\..\{F41312B7-28F9-4187-BA31-3290BC9A076E}: NameServer = 84.103.237.140 86.64.145.140

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: O2Micro Flash Memory (O2Flash) - Unknown owner - c:\WINDOWS\system32\o2flash.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

O23 - Service: Broadcom Wireless LAN Tray Service (wltrysvc) - Unknown owner - C:\WINDOWS\System32\wltrysvc.exe

Modifié le 6 mars 2007 par yayoo

[Malekal_morte]

Salut,

 

Laisse ta clef USB branchée.

 

Sur HijackThis, coche cette ligne :

 

O4 - HKCU\..\Run: [EXPLORER.EXE] EXPLORER.EXE

 

--> clic sur fix checked

 

télécharges et installes :

KillBox de Option^Explicit

Aide Killbox

 

sélectionne entièrement la liste ci-dessous :

 

F:\EXPLORER.EXE

C:\Windows\system32\EXPLORER.EXE

 

---> et tu fais clic droit / copier

 

Ouvres killbox

- Sélectionne "delete on reboot"

- Clique sur le menu "File" -> "Past from clip board"

- Clique sur All Files

- Clique sur la croix rouge et et blanche

- Répond yes et laisse redémarrer ton pc.

N'hésite pas à consulter l'Aide killbox

 

NOTE: Si tu reçois le message "PendingFileRenameOperations Registry Data has been removed by external process!" et que l'ordinateur ne redémarre pas, redémarre le manuellement ---> Menu Démarrer / arreter / redémarrer l'ordinateur

 

Après redémarrage, relance Killbox puis clic sur le menu fichier -> Log -> Actions History Log

Poste le rapport ici

[yayoo]

Tout d'abord merci pour la rapidité de l'aide !!

Question bête, dans killbox, si je c/c les deux lignes dont tu me parles, killbox ne prend en compte que la 1ere, je n'arrive pas a insérer les deux lignes en mm temps (j'ai pourtant lu l'aide, je dois pas être très doué ! lol )

[Malekal_morte]

Pas grave continue.

[yayoo]

Voila c'est fait, je m'y suis pris a deux fois pour tenter de supprimer les deux fichiers qui posent problèmes

 

Voila les rapports:

 

Pocket Killbox version 2.0.0.648

Running on Windows XP as Utilisateur(Administrator)

was started @ mardi, mars 06, 2007, 10:03 PM

 

# 1 [Delete on Reboot]

Path = F:\EXPLORER.EXE

 

 

I Rebooted @ 10:51:00 PM

Killbox Closed(Exit) @ 10:51:03 PM

__________________________________________________

 

Pocket Killbox version 2.0.0.648

Running on Windows XP as Utilisateur(Administrator)

was started @ mardi, mars 06, 2007, 10:59 PM

 

# 1 [Delete on Reboot]

Path = C:\Windows\system32\EXPLORER.EXE

 

 

PendingFileRenameOperations Registry Data has been Removed by External Process! @ 10:59:38 PM

# 2 [Delete on Reboot]

Path = C:\Windows\system32\EXPLORER.EXE

 

 

PendingFileRenameOperations Registry Data has been Removed by External Process! @ 10:59:57 PM

Killbox Closed(Exit) @ 11:00:23 PM

__________________________________________________

 

Cependant j'ai toujours le meme souci avec mon disque externe F:

Dès que je double clique dessus, il s'ouvre pas mais je rentre directement dans mon dossier "mes documents"

[Malekal_morte]

* Ouvre le poste de travail

* Clic sur le menu outils en haut à droite puis options des dossiers

* Dans la nouvelle fenêtre, clic sur l'onglet Affichage en haut

* Coche dans la liste "Afficher les fichiers cachés"

* Décoche "masquer les fichier proteger du systeme d exploitation (recommandée)"

* Tu vas recevoir un message qui te dit que cela peut endommager le système, n'en tiens pas compte.

* Ouvrez le poste de travail

* Faites un clic droit sur le disque dur que vous n'arrivez pas à ouvrir

* Choisissez ouvrir dans le menu déroulant.

* Cherchez un fichier autorun.inf et explorer

* Supprimez le en faisant un clic droit puis supprimer.

* Répétez l'opération sur tous les disques que vous n'arrivez pas à ouvrir.

 

Regarde si Explorer.exe est dans C:\Windows\system32 et supprime le !

Attention le explorer.exe qui est dans C:\Windows est bon ! c'est celui dans system32 qui n'est pas bon !

[yayoo]

J'ai en effet supprimé le fichier autorun.inf

 

J'ai par contre aussi analysé un fichier nommé System volume Information dans lequel Avast a trouvé un virus:

 

F:\System Volume Information\_restore{CC2EAD19-A854-43B5-96E4-71EF0AF2824B}\RP118\A0040907.EXE

Win32:Trojan-gen. {VB}

Virus/Ver

 

Comment le supprimer définitivement ??

 

EDIT: J'ai mis le virus en quarantaine, maintenant Avast ne le détecte plus, cependant tjs le meme souci, à savoir que si je clique sur le disque on m'envoie toujours directement dans mon dossier "mes documents"

 

Pour Info, Explorer dans system32 avait déja été supprimé

Modifié le 7 mars 2007 par yayoo

[Malekal_morte]

J'ai pas bien compris le coup du dossier et mes documents.

Tu peux me dire ce que tu fais ?

 

Ouvre internet explorer --> Outils --> Options internet --> onglet "sécurité" --> Valide "niveau par défaut".

Toujours sur Internet explorer --> Outils --> Options internet --> onglet "avancé" --> valide "Paramètres par défaut".

 

Pour effectuer les scans, désactive ton antivirus, logiciels de protections et logiciels pouvant bloquer les popups (barres Google, barres Yahoo etc..).

 

Scan en ligne avec Kaspersky :

- Fais un Scan en ligne sur Kaspersky en utilisant Internet Explorer et pas firefox, ça ne marchera pas!.

- Si tu es perdu, tu peux suivre cette aide pour les scans en ligne

- Scan le poste de travail

- Copie/colle le rapport du scan ici

 

Note : Si tu reçois le message "La licence de Kaspersky On-line Scanner est périmée", vas dans Ajout/Suppression de programmes et désinstalle On-Line Scanner, reconnecte toi sur le site de Kaspersky pour retenter le scan en ligne.

 

Si le scan avec Kaspersky ne fonctionne pas, tu peux faire un scan en ligne avec Panda :

- Fais un scan avec panda en désactivant ton antivirus pendant le scan!

(Si tu es perdu, tu peux suivre cette aide pour les scans en ligne)

- Copie/colle le rapport panda ici

[yayoo]

Je tenterai ca ce soir, la je suis en cours donc c'est moins évident surtout que la connexion wifi est très mauvaise et s'intrerrompt fréquemment.

 

Pour mon souci de DD externe, en gros le disque F: est reconnu par l'ordi car présent dans le poste de travail

mais dès que je double clique dessus pour en voir le contenu, celui ci ne s'ouvre pas, et c'est mon fichier "mes documents" présent sur C: qui s'ouvre

 

Etrange ..

 

Et ca me fait pareil pour tout appareil de stockage que je connecte sur mon ordi, impossible d'aller voir le contenu (a moins de passer par "execution automatique" et "afficher fichiers et dossiers"