Trojan : win32.agent.fxb Fermé

Question

Bonjour, 

Je suis sous vista (64), j'ai fait un scan avec spybot et il me trouve ce trojan win32.agent.fxb dans la base de registre (j'ai pu l'emplacement exact en tete mais je le posterai ulterieurement) Je le supprime pourtant il reapparait lors du redemarrage de ma becane... J'ai effectue la meme procedure en mode sans echec pour le meme resultat il reapparait ailleurs... qq'1 peut m'aider svp ???

Utilisateur anonyme · Answer

Bonjour
On va examiner le PC pour voir
* Télécharge ZHPDiag (de Nicolas Coolman)
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html
* Laisse toi guider lors de l'installation, il se lancera automatiquement à la fin.
* Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
* Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
Héberge le rapport ICI

Utilisateur anonyme · Answer

Ton PC a une infection Navipromo/Magic Control/EDG ACCESS qui affiche des publicités intempestives.
Il s'installe via certains programmes, dont ceux-ci qu'il faut éviter à tout prix:
* Funky Emoticons
* go-astro
* Games Attack
* GoRecord
* HotTVPlayer / HotTVPlayer & Paris Hilton
* Live-Player
* MailSkinner
* Messenger Skinner
* Instant Access
* InternetGameBox
* Officiale Emule (Version d'Emule modifiée)
* Original Solitaire
* SuperSexPlayer
* Speed Downloading
* Sudoplanet
* Webmediaplayer



Copie les lignes suivantes en gras ci dessous, c'est à dire
que tu sélectionnes les lignes indiquées en gras avec ta souris, tu fait
clic droit dessus>copier 

O3 - Toolbar: DAEMON Tools Toolbar - {32099AAC-C132-4136-9E9A-4E364A424E17} . (.Pas de propriétaire - ToolBand Module.) -- C:\Program Files (x86)\DAEMON Tools Toolbar\DTToolbar.dll 
O4 - HKCU\..\Run: [csixndsi] . (.Pas de propriétaire - Pas de description.) -- c:\users\epsi\appdata\local\csixndsi.exe @MaCo
O42 - Logiciel: DAEMON Tools Toolbar - (.DT Soft Ltd.) [HKLM] -- DAEMON Tools Toolbar     
O42 - Logiciel: Favorit (csixndsi) - (.Pas de propriétaire.) [HKLM] -- csixndsi     
O43 - CFD:Common File Directory ----D- C:\Program Files (x86)\Conduit     
O43 - CFD:Common File Directory ----D- C:\Program Files (x86)\DAEMON Tools Toolbar     
[HKCU\Software\Official-eMule]     
[HKCU\Software\Trymedia Systems]     
[HKCU\Software\fcn] 
[HKCU\Software\AppDataLow\Software\Conduit]     
[HKCU\Software\Conduit]     
[HKLM\Software\Conduit]     
[HKLM\Software\Official-eMule]     
O59 - HSMI:Heuristic Search MagicControl Infection - (.Pas de propriétaire - Pas de description.) -- C:\Users\Epsi\AppData\Local\csixndsi_nav.dat     
O59 - HSMI:Heuristic Search MagicControl Infection - (.Pas de propriétaire - Pas de description.) -- C:\Users\Epsi\AppData\Local\csixndsi_navps.dat     


* Lance ZHPFix, soit à partir d'un raccourci sur le bureau, soit à partir de
ZHPDiag (avec Vista/Seven, clic droit dessus, et sur exécuter en
tant qu'administrateur)
* Clique sur l'icône représentant la lettre H, cela collera les lignes que tu 
as mis en mémoire  
* Clique sur OK, sur Tous, puis sur Nettoyer
* Copie/colle la totalité du rapport dans ta prochaine réponse

Utilisateur anonyme · Answer

Me revoilà
On va faire un scan généraliste

Télécharge malwarebytes' anti-malware
http://mbam.malwarebytes.org/program/mbam-setup.exe
Enregistre le sur le bureau
Double-clique sur l'icône Download_mbam-setup.exe pour lancer le processus d'installation
Si la pare-feu demande l'autorisation de se connecter pour malwarebytes, accepte
Il va se mettre à jour une fois faite
Va dans l'onglet recherche
Sélectionne exécuter un examen complet
Clique sur rechercher
Le scan démarre
A la fin de l'analyse, le message s'affiche: L'examen s'est terminé normalement.
Clique sur afficher les résultats pour afficher les objets trouvés
Clique sur OK pour pousuivre
Si des malwares ont été détectés, cliquer sur afficher les résultats
Sélectionne tout (ou laisser coché)
Clique sur supprimer la sélection
Malwarebytes va détruire les fichiers et les clés de registre et en mettre une
copie dans la quarantaine
Malewarebytes va ouvrir le bloc-note et y copier le rapport
Redémarre le PC
Une fois redémarré, double-clique sur Malewarebytes
Va dans l'onglet rapport/log
Clique dessus pour l'afficher une fois affiché, cliquer sur édition en haut du
bloc-note puis sur sélectionner tout
Revient sur édition, puis sur copier et revient sur le forum et dans ta réponse
Clic droit dans le cadre de la réponse et coller

Utilisateur anonyme · Answer

Je regarderai le résultat demain

Utilisateur anonyme · Answer

Bonjour,
Vide la quarantaine de Malwarebytes

Pourras tu me refaire ZHPDiag et héberger le rapport, pour que je
puisse voir ce qu'il reste à nettoyer

Utilisateur anonyme · Answer

D'accord, à ce soir

Utilisateur anonyme · Answer

Copie les lignes suivantes en gras ci dessous, c'est à dire
que tu sélectionnes les lignes indiquées en gras avec ta souris, tu fait
clic droit dessus>copier 

OPT O4 - HKLM\..\Run: [iTunesHelper] . (.Apple Inc. - iTunesHelper.) -- C:\Program Files (x86)\iTunes\iTunesHelper.exe    
OPT O4 - HKLM\..\Wow6432Node\Run: [iTunesHelper] . (.Apple Inc. - iTunesHelper.) -- C:\Program Files (x86)\iTunes\iTunesHelper.exe    
OPT O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] . (.Adobe Systems Incorporated - Adobe Acrobat SpeedLauncher.) -- C:\Program Files (x86)\Adobe\Reader 9.0\Reader\Reader_sl.exe    
OPT O4 - HKLM\..\Run: [QuickTime Task] . (.Apple Inc. - QuickTime Task.) -- C:\Program Files (x86)\QuickTime\QTTask.exe    
OPT O4 - HKLM\..\Wow6432Node\Run: [Adobe Reader Speed Launcher] . (.Adobe Systems Incorporated - Adobe Acrobat SpeedLauncher.) -- C:\Program Files (x86)\Adobe\Reader 9.0\Reader\Reader_sl.exe    
OPT O4 - HKLM\..\Wow6432Node\Run: [QuickTime Task] . (.Apple Inc. - QuickTime Task.) -- C:\Program Files (x86)\QuickTime\QTTask.exe    
O4 - HKUS\S-1-5-21-3051080126-1478348665-2142427075-1001-3051080126-1478348665-2142427075-1000\..\RunOnce: [ScrSav] Clé orpheline
O4 - HKUS\S-1-5-21-3051080126-1478348665-2142427075-1001-3051080126-1478348665-2142427075-1000\..\RunOnce: [RUN] Clé orpheline
O9 - Extra button: PartyPoker.fr - {725EC34E-943C-4df6-B0B2-FBDE7F242276} . (.Pas de propriétaire - Pas de description.) -- C:\Programs\PartyFrance\PartyPokerFr\images\ppicon.ico    
O9 - Extra 'Tools' menuitem: PokerStars.fr - {90EAE591-7E7E-434a-8E28-ECFD00071806} . (.not file.) - C:\Program Files (x86)\PokerStars.FR\main.ico    
O42 - Logiciel: Eurosport Poker - (.SPS.) [HKLM] -- Eurosport Poker    
O42 - Logiciel: PokerStars.fr - (.PokerStars.fr.) [HKLM] -- PokerStars.fr    
O42 - Logiciel: Titan Poker - (.Pas de propriétaire.) [HKCU] -- Titan Poker  
 [HKCU\Software\AppDataLow\Software\Conduit] 
[HKCU\Software\PartyFrance]    
[HKCU\Software\PatchPoker]    
O43 - CFD:Common File Directory ----D- C:\Program Files (x86)\PokerStars.FR    
O69 - SBI: C:\Users\Epsi\AppData\Roaming\Mozilla\Firefox\Profiles\jflwajlw.default\searchplugins\conduit.xml    
O69 - SBI: prefs.js [Epsi - jflwajlw.default] user_pref("CT2504091.SearchEngine", "Search||https://www.bing.com/search?q=UCM_SEARCH_TERM&pc=cosp&ptag=G6C999A435D7A4933&form=CONORG&conlogo=CT3210127
O69 - SBI: prefs.js [Epsi - jflwajlw.default] user_pref("CT2504091.SearchFromAddressBarUrl", "http://search.conduit.com/ResultsExt.aspx?ctid=CT2504091&q=");
O69 - SBI: prefs.js [Epsi - jflwajlw.default] user_pref("browser.search.defaulturl", "http://search.conduit.com/ResultsExt.aspx?ctid=CT2504091&SearchSource=3&q={searchTerms}");



* Lance ZHPFix, soit à partir d'un raccourci sur le bureau, soit à partir de
ZHPDiag (avec Vista/Seven, clic droit dessus, et sur exécuter en
tant qu'administrateur)
* Clique sur l'icône représentant la lettre H, cela collera les lignes que tu 
as mis en mémoire  
* Clique sur OK, sur Tous, puis sur Nettoyer
* Copie/colle la totalité du rapport dans ta prochaine réponse

Utilisateur anonyme · Answer

Tu t'es trompé de rapport, il me faut celui de ZHPFix qui doit se trouver sur le bureau, et qui s'appelle ZHPFixReport

Utilisateur anonyme · Answer

Je crois que tu n'as pas compris, c'est ZHPFix qu'il faut lancer, et pas
ZHPDiag qui n'as pourtant pas la même icône que ZHPFix dont son icône
est un seringue, et suis les instructions du post 17

Utilisateur anonyme · Answer

Supprime ZHPFix et télécharge la nouvelle version en bas de la page
http://www.premiumorange.com/zeb-help-process/zhpfix.html

installe le en créant une icône sur le bureau
Ensuite

Copie les lignes suivantes en gras ci dessous, c'est à dire
que tu sélectionnes les lignes indiquées en gras avec ta souris, tu fait
clic droit dessus>copier 

OPT O4 - HKLM\..\Run: [iTunesHelper] . (.Apple Inc. - iTunesHelper.) -- C:\Program Files (x86)\iTunes\iTunesHelper.exe  
OPT O4 - HKLM\..\Wow6432Node\Run: [iTunesHelper] . (.Apple Inc. - iTunesHelper.) -- C:\Program Files (x86)\iTunes\iTunesHelper.exe 
OPT O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] . (.Adobe Systems Incorporated - Adobe Acrobat SpeedLauncher.) -- C:\Program Files (x86)\Adobe\Reader 9.0\Reader\Reader_sl.exe  
OPT O4 - HKLM\..\Run: [QuickTime Task] . (.Apple Inc. - QuickTime Task.) -- C:\Program Files (x86)\QuickTime\QTTask.exe  
OPT O4 - HKLM\..\Wow6432Node\Run: [Adobe Reader Speed Launcher] . (.Adobe Systems Incorporated - Adobe Acrobat SpeedLauncher.) -- C:\Program Files (x86)\Adobe\Reader 9.0\Reader\Reader_sl.exe 
OPT O4 - HKLM\..\Wow6432Node\Run: [QuickTime Task] . (.Apple Inc. - QuickTime Task.) -- C:\Program Files (x86)\QuickTime\QTTask.exe  

* Lance ZHPFix, soit à partir d'un raccourci sur le bureau, soit à partir de
ZHPDiag (avec Vista/Seven, clic droit dessus, et sur exécuter en
tant qu'administrateur)
* Clique sur l'icône représentant la lettre H, cela collera les lignes que tu 
as mis en mémoire  
* Clique sur OK, sur Tous, puis sur Nettoyer
* Copie/colle la totalité du rapport dans ta prochaine réponse

Utilisateur anonyme · Answer

Bonjour
Cela n'a pas marché, c'est pas grave

Il faut nettoyer les outils de désinfection:

* Télécharge ToolsCleaner2 sur ton Bureau 
https://www.commentcamarche.net/telecharger/
* Clic droit sur ToolsCleaner2.exe, et sur exécuter en tant qu'administrateur
* Clique sur Recherche et laisse le scan agir.
* Clique sur Suppression pour finaliser.
* Tu peux, si tu le souhaites, te servir des Options Facultatives.
* Clique sur Quitter pour obtenir le rapport.
* Poste le rapport (TCleaner.txt) qui se trouve à la racine de ton disque dur (C:\).
                          
supprime toolscleaner2 manuellement


Tu dois désactiver la restauration système pour supprimer les points de restauration infectés:

* Démarrer, Panneau de configuration, Système, puis sur Protection du système à gauche
* La fenêtre Propriétés système s'ouvre
* Va dans l'onglet Protection du système
* Patiente le temps que Windows cherche
* Décoche les partitions
* Windows demande si on veut désactiver la restauration système
* Clique sur désactiver la restauration système
* Valide en cliquant sur OK
* Redémarre le PC


Tu dois réactiver la restauration système, et tu vas créer un point de restauration propre:

* Démarrer, Panneau de configuration, Système, puis à gauche, dans tâches, sur Protection du système
* Dans la fenêtre Propriètés système, recoche les partitions , puis clique sur Appliquer
* Tu peux créer un point de restauration propre tout de suite en cliquant sur créer
* Une petite fenetre s'ouvre
* Entre la date du point de restauration que tu veux créer
* Clique sur créer, et le point de restauration se crée automatiquement, puis on t'annonce que le point de restauration a été créé, puis clique sur OK
* Redémarre le PC

Utilisateur anonyme · Answer

Un dernier petit nettoyage pour ton PC, on va passer C Cleaner pour nettoyer les 
fichiers temporaires, les cookies, vider le cache du navigateur, et nettoyer
le registre, Ce logiciel, c'est pour l'optimisation seulement

Télécharge C Cleaner Slim
   * Enregistre le sur le Bureau
   * Double-clique sur le fichier pour lancer l'installation
   * Sur la fenêtre de l'installation langage bien choisir français et OK
   * Clique sur suivant
   * Lit la licence, et clique sur j'accepte
   * Clique sur suivant, sur installer, puis sur fermer
   * Double-clique sur l'icône de C Cleaner pour l'ouvrir
   * Clique sur option, et puis avancé
   * Tu décoches effacer uniquement les fichiers du dossier temp de windows plus vieux que 48 heures
   * Clique sur nettoyeur
   * Clique sur windows, et dans la colonne avancé
   * Coche la première case vieilles données du perfetch que celle-là, ce qui te donnes la case vieilles données du perfetch et la case avancé qui c'est coché automatiquement mais que celle-là
   *  Clique sur analyser 
   *Clique sur nettoyer et sur la demande de confirmation OK. Tu recommences jusqu'à ce que C Cleaner ne trouve plus rien
   * Clique maintenant sur registre et puis sur chercher les erreurs
   *  Laisse tout coché, et clique sur corriger les erreurs sélectionnées
   *Il te demande de sauvegarder OUI
   *Tu lui donnes un nom pour pouvoir la retrouver et enregistre
   * Clique sur chercher les erreurs sélectionnées et sur la demande de confirmation OK
   * Il supprime, et fermer, tu vérifies en relançant chercher les erreurs
   *Tu retournes dans options, et tu recoches la case effacer uniquement les fichiers, du dossier temps de windows plus vieux que 48 heures et sur nettoyeur, windows sous avancé tu décoches la première case vieilles données du prefetch
   * Tu peux fermer C Cleaner

Utilisateur anonyme · Answer

Tu n'as pas installé les services pack 1 et service pack 2 pour Vista 64bits

Adobe n'est pas à jour
Ouvre Adobe, clique sur aide, et sur rechercher les mises à jour
Ensuite, fait ceci:
* Lance Adobe Reader
* Clique sur Edition --> Préférences --> JavaScript
* Décoche Activer Acrobat JavaScript
* Valide
C'est pour désactiver l'interprétation de Javascript dans Adobe,
car c'est source d'infections, et cela ne sert à rien


C'est bien, Java est à jour

Utilisateur anonyme · Answer

Normalement Windows Update t'indique s'il y a des mises à jour disponibles
Il aurai dû te l'indiquer pour ces 2 services pack

Utilisateur anonyme · Answer

non
y'a des bugs en ce moment, j'ai du mal à répondre

Utilisateur anonyme · Answer

Oui, mais il faudra penser mettre à jour Windows

Dernières recommandations pour préserver et entretenir ton PC:

*Il faut garder Malwarebytes pour scanner une fois de temps en temps ton PC, et
pense à le mettre à jour avant chaque scan.
*Pense à garder à jour Windows et tous tes logiciels pour éviter les failles de sécurité
*Nettoye ton PC régulièrement avec C Cleaner.
*Il faut défragmenter régulièrement le disque dur pour éviter les ralentissements,
et une usure trop rapide du disque dur.
*Soit prudent quand tu surfes, et fait attention lorsque tu installes un logiciel gratuit 
et que tu le mets à jour, il faut refuser les compléments, telles que les barres d'outil.
*Ne télécharge pas de logiciel que tu ne connais pas, sur des sites que 
tu ne connais pas.
*Mieux vaut télécharger des logiciels connus sur des sites de très bonne réputation,
si tu as un doute sur un logiciel que tu veux télécharger, vérifie d'abord sa légitimité.
Je conseille de télécharger les logiciels sur les sites officiels.
*Les logicels P2P( Shaeraza, Bittorent, Emule, limewire), sont à bannir, car
on risque de télécharger avec des fichiers infectés. Attention, ne télécharge jamais 
de cracks avec les logiciels P2P, car tu risques d'attraper le Bagle (ver), ou le Virut, 
virus dangereux.
*Sache que le meilleur anti-virus, c'est ta propre vigilence.
*Fait très attention aussi aux pubs qui proposent des faux logiciels de sécurité, 
des faux anti-spyware, et des faux nettoyeurs de registre, qui sont appelés rogues,
ne clique jamais sur les bannières publicitaires, et fait attention aux fausses pages 
de scan qui te proposent sans rien installer, de scanner ton PC pour voir s'il
est infecté, en fait, ils te proposent un rogue qui va s'installer sans autorisation
sur ton PC, puis va effectuer de faux balayages, va afficher de fausses alertes
pour te pousser à acheter une version commerciale.
*Ne télécharge aussi jamais de logiciels proposés par EoRezo, car ils sont 
néfastes. Ils peuvent modifier la page d'accueil et la base de registre.
*Il est indispensable de faire des sauvegardes régulièrement dans un support
externe, car en cas d'infection, tu auras un double des tes documents importants.


Pour ceux qui ont Firefox, je conseille ce module qui nous prévient si on visite
un site dangereux
https://addons.mozilla.org/fr/firefox/addon/wot-safe-browsing-tool/

Pour ceux qui ont Internet Explorer 8, je recommande ce
module qui prévient si on visite un site dangereux
https://chrome.google.com/webstore/detail/wot-web-of-trust-website/bhmmomiinigofkjcapegjjndpbikblnp

Je t'invite à lire ce document suivant:
http://www.malekal.com/fichiers/projetantimalwares/
ProjetAntiMalware-courte.pdf

Utilisateur anonyme · Answer

S'ils sont installés, c'est bon

Voudrais savoir comment ça march · Answer

Bonsoir,

J'ai exactement le même problème que JB. Je précise que  je suis pas une flèche avec les PC... Alors je suis moi aussi sous Vista, j'ai moi aussi fait un scan avec Spybot et il me trouve ce trojan win32.agent.fxb, qui réapparaît dès que je fais un nouveau scan. 

Bref, comme l'indique Jawaryinti, j'ai téléchargé ZHPdiag.  J'ai fait comme sa réponse l'indique, j'ai hébergé le rapport: 

http://www.cijoint.fr/cjlink.php?file=cj201110/cijxOyMmVd.txt

Est ce que quelqu'un pourrait m'aider pour la suite? Merci d'avance, je sais vraiment pas quoi faire pour virer ce trojan!

Trojan : win32.agent.fxb

18 réponses

Discussions similaires