Supprimer b.exe

Question

Bonjour,

  J' ai B.exe et MSA.EXE qui appraisent dans le gestionnaire des taches.
J'ai beau arreter les processus ils revienent.
Je vous donne un raport hijackthis.
Merci de votre aide

---------------

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 15:40:17, on 06/06/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16827)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Avira\AntiVir Desktop\sched.exe
C:\WINDOWS\msa.exe
C:\Program Files\Avira\AntiVir Desktop\avguard.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Sunbelt Software\Personal Firewall\SbPFLnch.exe
C:\Program Files\Google\Update\GoogleUpdate.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\Generic\USB Card Reader Driver v1.9e3\Disk_Monitor.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Hewlett-Packard\AiO\hp psc 700 series\Bin\hpobrt07.exe
C:\WINDOWS\System32\svchost.exe
C:\PROGRA~1\HEWLET~1\AiO\Shared\Bin\hpoevm07.exe
C:\WINDOWS\system32\hpoipm07.exe
C:\Program Files\Hewlett-Packard\AiO\Shared\bin\hpOSTS07.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32	askmgr.exe
C:\Program Files\Opera\opera.exe
C:\Documents and Settings\MARC\Bureau\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.update.microsoft.com/windowsupdate/v6/default.aspx
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: XML module - {500BCA15-57A7-4eaf-8143-8C619470B13D} - C:\WINDOWS\system32\msxml71.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [Disk Monitor] C:\Program Files\Generic\USB Card Reader Driver v1.9e3\Disk_Monitor.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe"  -osboot
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Cognac] C:\DOCUME~1\MARC\LOCALS~1\Temp\b.exe
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: HPAiODevice(hp psc 700 series) - 1.lnk = C:\Program Files\Hewlett-Packard\AiO\hp psc 700 series\Bin\hpobrt07.exe
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=https://www.acer.com/worldwide/selection.html
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O23 - Service: Avira AntiVir Planificateur (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: getPlus(R) Helper - NOS Microsystems Ltd. - C:\Program Files\NOS\bin\getPlus_HelperSvc.exe
O23 - Service: Service Google Update (gupdate1c99f2af179434e) (gupdate1c99f2af179434e) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: SbPF.Launcher - Sunbelt Software, Inc. - C:\Program Files\Sunbelt Software\Personal Firewall\SbPFLnch.exe
O23 - Service: Sunbelt Personal Firewall 4 (SPF4) - Sunbelt Software, Inc. - C:\Program Files\Sunbelt Software\Personal Firewall\SbPFSvc.exe

utilisateur · Accepted Answer

b.exe est un fichier virus trojan exécutable "cheval de troie téléchargeur" (très coriace, dangereux potentiel, critique, application exécutable) à modifier votre système de registres de données et fait donc appel à d'autres applications extérieures de son script. 

Sachez qu'il est impossible de supprimer ce fichier manuellement car il revient constamment dans votre gestionnaire Windows Explorer  

Une fois ce fichier b.exe se développe, cela donnera vie à une série de véritables fichiers inconnus bien cachés 
et visiblement prêt à s'implanter dans votre système de démarrage de programmes

b.exe devient alors
c.exe
d.exe
tandis que le reste se propagent vers votre windows/système32 en extensions *.dll vers votre registre système (regedit) 
HKCU sous forme de msxml71.dll 
dans c:\windows\sysWOW64\msxml71.dll->(UPX) et dans containerfile

et sous forme de poprock 
dans users (utilisateurs) et dans la racine suivante 
c:\windows	asks {BB65B0FB-5712-401b-B616-E69AC55E2757}.job qui se trouve dans taskscheduler et containerfile


Voici à quoi ressemble ce virus trojan [ b.exe ] alias [  TrojanDownloader:Win32/Renos.JI   ] identifié récemment par microsoft
http://www.microsoft.com/security/portal/Threat/Encyclopedia/Entry.aspx?name=TrojanDownloader%3aWin32%2fRenos.JI&threatid=143391

REPONSE  :
mettez à jour votre PC avec update windows Vista
utiliser le scan WINDOWS DEFENDER de Windows Vista pour éradiquer ce fichier "b.exe" dangereux 

configuration avant le lancement du scan

-> dans options de l'outil

activer analyse automatique sur [ complet ]
 
activer éléments d'alerte élevée :     [ supprimer ]
activer éléments d'alerte moyenne:  [ supprimer ]
activer éléments d'alerte faible :      [ basée sur les définitions ]

-> cocher donc toutes les options avancées 

-> cocher les deux options de l'administrateur (en fin de page) puis

-> Enregistrer

dans l'outil  " joindre microsoft spynet " 
activer  [ prendre un abonnement avancé ] au lieu de de prendre un abonnement de base

-> Enregistrer


PREPAREZ-VOUS A DEGOMMER CE FICHIER b.exe avec Windows Defender (sous Vista)

Utilisateur anonyme · Answer

Démarrer > Exécuter > "msconfig.msc"
Onglet Démarrage > Décocher b.exe et MSA.exe

Si ça revient, scanne les dossiers dans lequels se trouvent les fichiers.
Et, le plus idiot de tous les virus, se trouve peut-être dans Démarrer > Tous les programmes > Démarrage.

Je ne regarderai plus ce post. Merci de m'en informer par mail (attention à l'anti-spam) :
wolf.clement [A_T] yahoo.fr

franfou · Answer

bonjour,

je n,arrive pas a enlever se fameux b.exe en utilisant msconfig!!!

il reviens toujours.

quelqu'un peu m,aider??

merci

utilisateur · Answer

le fichier b.exe se nomme:  TrojanDownloader:Win32/Renos.JM  sous le scan de Windows Defender (Windows Vista)

Encyclopedia entry
Updated: Aug 13, 2009  |  Published: Aug 13, 2009 (publié et identifié récemment août 2009)

Aliases

    *
      Win32/TrojanDownloader.FakeAlert.AFQ (ESET) infos sur
https://www.microsoft.com/en-us/wdsi/threats/malware-encyclopedia-description?name=TrojanDownloader%3aWin32%2fRenos.JM&threatid=143866


Ce même fichier b.exe se nomme également : Trj/CI.A (Trojan CIA cheval de troie) 
sous le scan de Panda Security active 2.0 (on line) infos sur : 
https://www.pandasecurity.com/en/security-info/195131/

le fichier mxmldl71.dll est un adware logiciel publicitaire potentiel (latent)

le fichier b.exe s'implante aussi dans le répertoire sous forme de fichier d'extension upgrade[1].cab


C:\Windows\SysWOW64\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\M5M8VNOQ\upgrade[1].cab[upgrade.exe]


N'oublier pas de neutraliser aussi ce fichier upgrape [1].exe et tous les contenus qui se trouvent dans Content.IE.5 car Windows Defender n'a pas tout identifié son trojan donc ça laisse comme même des traces.

le fichier TrojanDownloader:Win32/Renos.JM  (identifié sous la forme d'application dangereuseb.exe)  se nomme également
le trojan cia Trj/CI.A 

ELIMINER TOUS LES ESPIONS-ADWARE-SPYWARE-VIRUES-KEYLOGGER-FICHIER NO LICENCE SUR VOTRE MACHINE

utilisateur-technicien · Answer

A supprimer également :
{A228B137-OFED-416D-1D77-FE42E7ED437F}-msa.exe dans le registre et dans le répertoire
Appdata\Local\Microsoft\Windows\WER\ReportArchive\Report0384a190\report.cab {A228B137-OFED-416D-1D77-FE42E7ED437F}-msa.exe

b.exe fait partie de msa.exe qui développe un keylogger dangereux

Supprimer b.exe

5 réponses

Votre réponse

Discussions similaires

Newsletters