Infection - Nom aléatoire / autorun.inf / windows installer

[aoblin]

Bonjour à tous,

 

J'ai été invité négligemment à boire un verre chez un ami d'un ami, et paf, ca rate pas, mon hôte apprend que je suis "'dans l'informatique". Ce qui, aux yeux d'un néophyte, doit sûrement vouloir dire que je suis un expert avancé en sécurité... Ayant vainement tenté de dresser sa souris à attaquer le méchant virus qui l'embetait, j'ai fini pas essayé de l'éradiquer comme je pouvais... sans succès.

Néanmoins, j'ai les infos suivantes :

 

- il se fait passer pour le windows installer (avec un nom à la con genre utywxxrs, ou ntuirsqqv, enfin il en change tout le temps), et il squatte dans \windows\system32

- il crée des autorun.inf à la racine de chaque lecteur amovible ou non ; ces autorun lance le fichier de type windows installer copié lui aussi à chacun de ces emplacements

- ces fichiers sont cachés, évidemment

- si on efface un des fichiers, il revient quelque seconde plus tard

- il essaie toutes les secondes de modifier la base de registres

- si on efface tous ces fichiers ils reviennent sous un nom différent

- il est considéré comme un "RegInit" par HiJackThis

 

 

J'ai tenté de le virer avec CCleaner et SpyBot S&D, ainsi que l'antivirus "panda" en ligne, sans succès, il revient à chaque fois.

L'OS c'est winXP SP2 avec les dernières mises à jour de sécurité, et y'a même ZoneAlarm et Avast.

Bon après je suis pas un expert en configuration de firewall, peut etre qu'il était trop "lache"...

 

Je sais que vous allez me demander le log de HiJack, mais je l'ai pas.

 

Je lui ai promis de repasser pour nettoyer sa bécane, donc si quelqu'un a une idée... ou un "nom" pour ce virus qui en change tout le temps...

 

Merci de m'avoir lu, et un plus gros merci encore si quelqu'un me répond

 

Bonne continuation !

[Invité wizard42]

Salut

 

Regarde sa déja

http://forum.zebulon.fr/index.php?showtopic=127217

 

Essaye AVG antispyware qui est éfficace

http://free.grisoft.com/filedir/inst/avgas...up-7.5.1.43.exe

[Apollo]

Bonsoir à vous deux.

 

Cette infection particulière peut avoir été introduite par le biais d'un support amovible tels que Clé USB, CD-R, CDRW, etc.

 

As-tu connecté une clé USB ces derniers temps sur un autre ordinateur que le tien? Ou tout autre support amovible?

Car cette infection a ceci de particulier qu'elle crée des fichiers .inf (cachés) aux racines de tout ce qui entre en contact avec elle, comme la racine du disque C (système) par exemple.

 

Télécharge Flash_Disinfector.exe de sUBs et enregistre-le sur ton bureau.

Connecte tous les supports amovibles susceptibles d'avoir été infectés .

 

Double-clique dessus et laisse-toi guider.

 

- Clean.zip enregistre-le sur le bureau, fais un clic droit dessus et "extraire ici". Tu auras un dossier "Clean".

 

Redémarre le pc en mode sans échec Ouvre le dossier clean qui se trouve sur ton bureau, et double-clique sur clean.cmd, une fenêtre noire, choisis l'option 2 et laisse-toi guider.

Cochez les options comme indiquées sur cette page

 

-Configuration AVG Antispyware:

 

- Télécharge et installe AVG Anti-Spyware - Tutorial : http://www.malekal.com/tutorial_AVG_AntiSpyware.html

- Mets le à jour à partir du menu Mise à jour en haut

- Redémarre en mode sans échec, si tu sais pas comment on fait lis ceci

 

 

- Ouvre AVG Anti-Spyware et clic sur l'onglet Analyse, puis le sous-onglet Paramètres

- Sélectionne dans Comment Réagir ? Quarantaine. (voir l'aide l'aide AVG Anti-Spyware)

- Reviens au sous-onglet Analyser puis clique sur Analyse complète du système.

---> Le scan démarre.

 

A la fin clique sur Appliquer toutes les actions, les éléments doivent alors être déplacés en quarantaine.

Puis clique sur Enregistrer le rapport d'analyse et enregistre le rapport sur le Bureau.

 

 

Aide : N'hésite pas à consulter l'Aide AVG Anti-Spyware pour tout problème.

 

-- Redémarre en mode normal : Menu Démarrer / Arreter / Redémarre l'ordinateur

Attention : dans le cas où l'ordinateur redémarre en boucle en mode sans échec, faire la manipulation inverse en décochant l'option /SAFEBOOT à l'aide de msconfig : voir à nouveau cette page : cliquez-ici

 

Copier/coller le rapport AVG Anti-Spyware

 

Télécharge HijackThisV2 sur ton bureau.

• Double-clique sur HJTInstall.exe et suis les instructions d'installation.
  
• Tu trouveras un tutoriel pour l'installation et la génération d'un rapport ici: http://cybersecurite.xooit.com/t138-HijackThis-2-0-2.htm
  
• Poste le rapport généré sur le forum.
  

@ bientôt.