Trojans win32.agent.fbx & win32.autorun.tmp Fermé

Question

Bonjour, 

Mon ordi est infecté selon Spybot par 3 trojans :
2 win32.agent.fbx
1 win32.autorun.tmp

Windows ne "monte" plus normalement et j'y accède par le mode sans échec.

De tout ce que j'ai pu lire, il a l'air vivement recommandé de ne pas se lancer seul 
dans leur destruction... donc je n'ai pas lancé la vaccination Spybot.

Alors si quelqu'un voulait bien m'aider...  D'avance MERCI beaucoup !!!


Configuration: Windows Vista

Utilisateur anonyme · Answer

Bonsoir. 

1- Désinstal Spybot, avec le temps il est devenu inutile de plus il va nous géner pendant la désinfection. 


En première vue, tu es infecté par une infection qui se propage par disque amovible (clée USB...) . 


2- > Télécharges USBFix sur ton bureau. 
> Lance-le (Clique droit/Exécuter en tant qu'administrateur pour Vista/7). 

/!\Branche toutes tes sources de données externes (Clés USB, baladeurs...) sans les ouvrir./!\ 

> Clique sur Nettoyer. 
> Poste le rapport qui s'ouvre en fin du procédure.  

NOTE: Le rapport est aussi souvegarder sous C:\UsbFix.txt. 
Si ton antivirus s'affole, désactives-le temporairement, il s'agit d'un Faux Positif (légitime). 

Remarque: Merci d'envoyer le fichier contenu dans C:\UsbFix_Upload_Me_CEDRIC-PC.zip  Ici 


3-  On va faire un diagnostic de ton PC, voir si tu es encore infecté et par quoi:  

Utilise ce logiciel de diagnostic :  

1. Télécharge https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html ZHPDiag                                                (de Nicolas Coolman)  
2. Laisse toi guider lors de l'installation (pense à cocher la case pour créer un raccourci                                                                                                                                         sur le Bureau)  
3. Il se lancera automatiquement à la fin de l'installation  
4. Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)  
5. Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette  
6. Héberge le rapport ZHPDiag.txt sur https://www.cjoint.com/ cjoint.com, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum  



L'indifférence est le commencement de l'échec.

ewwa · Answer

Bonsoir,

Merci infiniment ! Je m'y mets illico...

ewwa · Answer

Rebonsoir,

Voilà, c'est l'analyse ZHPDiag :

https://www.cjoint.com/?0EyxpJLsGG9

Et encore merci !

ewwa · Answer

Rebonsoir,

Voilà, c'est l'analyse ZHPDiag :

https://www.cjoint.com/?0EyxpJLsGG9

Et encore merci !

Utilisateur anonyme · Answer

Pourquoi tu demarre ton PC en Mode Sans Echec ? 
As-tu des problèmes pour démarré ton PC en mode normal?   

Sinon tu n'as pas suivi mes indications.  

1. Désinstale Spybot.   

2. Utilise USBFix et poste moi le rapport.   

3. Je voudrais un rapport ZHPDiag fraîchement fait, hébérge le sur Cijoint et poste le lien obtenu dans ta prochaine réponse.    


Pour plus d'explication suis mon premier poste.

ewwa · Answer

Bonjour,

Je suis vraiment désolée si je n'ai pas fait ce qu'il fallait.
1000 excuses. A ma décharge, je t'écris depuis un ordi
qui plante toute les 10 minutes et ça me stresse un peu.
En plus, je me suis commentée moi-même : la honte ;-//

Alors, attends, dans l'ordre :

1- J'ai bien désinstallé Spybot mais à un moment il a stipulé
que certains éléments devraient être enlevés manuellement
mais avec un résultat de désinstallation OK.

2- USBfix : je n'ai pas trouvé le fichier indiqué dans la remarque et
le lien ici aboutit à une erreur 404.
J'aurais d'ailleurs des questions sur USBfix car il n'y a pas de "Nettoyer"
Donc j'ai fait : "Recherche" puis au vue du rapport j'ai relancé UBSfix 
et fait vacciner.

3- Le rapport ZHPDiag posté sur ci-joint est celui d'hier soir normalement.

Donc pour tout cela, je vais imprimer ton premier poste et tout refaire. Désolée.

Je suis en mode sans echec parce que windows ne montait plus (écran noir
au milieu de la montée...) et que j'avais lu qu'un trojan pouvait détruire le 
disque dur ou  du moins continuer à faire des dégâts.
Effectivement, tu dois avoir besoin de tout voir... Je vais essayer de tout
refaire en mode normal et te reposte le tout au mieux...

Merci de ta patience et de ton indulgence. 
A bientôt, j'espère ;-))

ewwa · Answer

Rebonjour,

Alors effectivement, windows ne veut plus monter en mode normal.
Il commence à monter puis écran noir avec la flèche du curseur affichée.

Pour la petite histoire, c'est un ordi que je venais juste de racheter à ma cousine,
il était protégé par MacAffee et de mémoire il me semblait que ce n'était pas génial. J'ai donc trouvé une notice d'instruction de protection et ai installé les logiciels indiqués (je ne sais plus trop lesquels mais je peux rechercher).

Et puis, un soir, j'ai eu un avertissement : le pare-feu a détecté un nouveau 
réseau privé que votre ordinateur est sur le point de rejoindre.
Etape 1 : donnez un nom à ce réseau local#1
ça m'a vraiment semblé suspect et quand j'ai voulu appuyer sur annuler, le curseur se décalait brusquement d'un centimètre et de fait je ne pouvait annuler.
J'ai vraiment eu la sensation que l'on prenait la main sur l'ordi (et je ne suis pas du tout du genre parano) et du coup j'ai tout coupé.

Après j'ai regardé un peu l'installation des logiciels de protection, j'ai tilté sur le
fait qu'Adaware  était installé en basic avec si détection alors ne rien faire...
J'ai trouvé cela anormal et bizarre.

Depuis, je n'ai touché à rien. J'ai plusieurs fois préparé des analyses ZHPDiag,
comme recommandé un peu partout, pour lancé une demande d'aide ici mais
comme je n'avais pas la disponibilité de temps qu'il aurait fallu y accorder (et
c'est quand même la moindre des choses quand quelqu'un accepte généreusement de vous aider) alors je n'ai rien fait.

Donc, voici les rapports : 

1- Spybot désinstallation OK (avec message intermédiaire : reste éléments a désinstaller manuellement sans indiquer lesquels mais au final message de désinstallation OK) 

2- USBfix après la recherche : 

############################## | UsbFix 7.046 | [Recherche]

Utilisateur: choumic (Administrateur) # MONGRANDCOPAIN [SAMSUNG ELECTRONICS CO., LTD. R509]
Mis à jour le 23/05/2011 par TeamXscript
Lancé à 23:48:13 | 24/05/2011
Site Web: http://www.teamxscript.org
Submit your sample: http://www.teamxscript.org/Upload.php
Contact: TeamXscript.ElDesaparecido@gmail.com

CPU: Intel(R) Pentium(R) Dual CPU T3200 @ 2.00GHz
CPU 2: Intel(R) Pentium(R) Dual CPU T3200 @ 2.00GHz
Microsoft® Windows Vista(TM) Édition Familiale Basique  (6.0.6002 32-Bit) # Service Pack 2
Internet Explorer 7.0.6002.18005

RAM -> 2008 Mo 
C:\ (%systemdrive%) -> Disque fixe # 110 Go (65 Go libre(s) - 59%) [] # NTFS
D:\ -> Disque fixe # 110 Go (108 Go libre(s) - 98%) [] # NTFS
E:\ -> CD-ROM
F:\ -> Disque amovible # 62 Mo (45 Mo libre(s) - 72%) [] # FAT

################## | Éléments infectieux |



################## | Registre |

Présent! HKLM\software\microsoft\windows nt\currentversion\winlogon|Taskman

################## | Mountpoints2 |

HKCU\.\.\.\.\Explorer\MountPoints2\G
Shell\AutoRun\Command = G:\LaunchU3.exe

HKCU\.\.\.\.\Explorer\MountPoints2\{4cb95f64-8794-11de-a638-001377e1f90e}
Shell\AutoRun\Command = G:\LaunchU3.exe

HKCU\.\.\.\.\Explorer\MountPoints2\{c960c122-f92c-11de-87b1-001377e1f90e}
Shell\AutoRun\Command = C:\Windows\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL F:\jean-ChrIstOPHe.EXE


################## | Vaccin |

(!) Cet ordinateur n'est pas vacciné!

################## | E.O.F |


- Puis j'ai relancé USBfix et ai cliqué sur Vacciner. 


3- Le rapport ZHPDiag :

https://www.cjoint.com/?AEziOXzSuEb

Voilà, tu sais tout. J'espère que j'ai tout bien fait. Sinon n'hésite pas à me dire.
Merci encore pour ton aide et à bientôt.
Ewwa

ewwa · Answer

Bonjour Loulouttedu25,

- Pour USBFix, c'était ambigu car les boutons d'action sont :

Recherche / Suppression / Listing / Vacciner / Désinstaller / Options 
Quitter / Don

Les Options sont toutes cochées.
Donc j'ai tenté Suppression et ai obtenu ce rapport  :

############################## | UsbFix 7.046 | [Suppression]

Utilisateur: choumic (Administrateur) # MONGRANDCOPAIN [SAMSUNG ELECTRONICS CO., LTD. R509]
Mis à jour le 23/05/2011 par TeamXscript
Lancé à 12:48:55 | 25/05/2011
Site Web: http://www.teamxscript.org
Submit your sample: http://www.teamxscript.org/Upload.php
Contact: TeamXscript.ElDesaparecido@gmail.com

CPU: Intel(R) Pentium(R) Dual CPU T3200 @ 2.00GHz
CPU 2: Intel(R) Pentium(R) Dual CPU T3200 @ 2.00GHz
Microsoft® Windows Vista(TM) Édition Familiale Basique  (6.0.6002 32-Bit) # Service Pack 2
Internet Explorer 7.0.6002.18005

RAM -> 2008 Mo 
C:\ (%systemdrive%) -> Disque fixe # 110 Go (65 Go libre(s) - 59%) [] # NTFS
D:\ -> Disque fixe # 110 Go (108 Go libre(s) - 98%) [] # NTFS
E:\ -> CD-ROM
F:\ -> Disque amovible # 62 Mo (62 Mo libre(s) - 100%) [] # FAT

################## | Éléments infectieux |


Supprimé! C:\$RECYCLE.BIN\S-1-5-21-2678199166-1612752804-3692789697-1003
Supprimé! D:\$RECYCLE.BIN\S-1-5-21-2678199166-1612752804-3692789697-1003

################## | Registre |


################## | Mountpoints2 |


################## | Listing |

[25/05/2011 - 12:49:41 | SHD ] 	C:\$Recycle.Bin
[25/05/2011 - 12:38:11 | N | 8506] 	C:\aaw7boot.log
[18/09/2006 - 23:43:36 | N | 24] 	C:\autoexec.bat
[25/05/2011 - 12:44:31 | RASHD ] 	C:\Autorun.inf
[24/01/2010 - 22:24:50 | SHD ] 	C:\Boot
[11/04/2009 - 08:36:36 | RASH | 333257] 	C:\bootmgr
[09/02/2008 - 04:52:13 | RAS | 8192] 	C:\BOOTSECT.BAK
[18/09/2006 - 23:43:37 | N | 10] 	C:\config.sys
[02/11/2006 - 14:59:44 | SHD ] 	C:\Documents and Settings
[16/01/2009 - 10:03:59 | D ] 	C:\Intel
[20/01/2009 - 04:23:49 | N | 0] 	C:\IO.SYS
[20/01/2009 - 04:23:49 | N | 0] 	C:\MSDOS.SYS
[16/01/2009 - 10:40:43 | RHD ] 	C:\MSOCache
[16/01/2009 - 10:20:34 | D ] 	C:\MyWorks
[29/02/2004 - 17:44:34 | N | 52576] 	C:\orange.bmp
[25/05/2011 - 12:38:11 | ASH | 2419982336] 	C:\pagefile.sys
[21/01/2008 - 04:43:50 | D ] 	C:\PerfLogs
[10/05/2011 - 22:03:06 | N | 512] 	C:\PhysicalDisk0_MBR.bin
[19/12/2010 - 08:39:38 | D ] 	C:\Program Files
[19/12/2010 - 08:33:29 | HD ] 	C:\ProgramData
[16/01/2009 - 10:10:20 | N | 366] 	C:\RHDSetup.log
[16/01/2009 - 11:52:32 | N | 185] 	C:\Setup.log
[19/01/2009 - 10:45:51 | D ] 	C:\SoftwareMedia
[04/12/2010 - 16:24:57 | SHD ] 	C:\System Volume Information
[25/05/2011 - 12:49:41 | D ] 	C:\UsbFix
[25/05/2011 - 12:48:56 | A | 894] 	C:\UsbFix.txt
[22/07/2009 - 09:46:39 | D ] 	C:\Users
[30/11/2010 - 11:28:25 | D ] 	C:\VritualRoot
[10/11/2009 - 20:26:03 | D ] 	C:\VueScan
[25/05/2011 - 08:54:24 | D ] 	C:\Windows
[25/05/2011 - 12:49:41 | SHD ] 	D:\$RECYCLE.BIN
[25/05/2011 - 12:44:31 | RASHD ] 	D:\Autorun.inf
[30/09/2009 - 21:42:09 | D ] 	D:\Drv2KXP
[30/09/2009 - 21:42:11 | D ] 	D:\DrvSetup
[30/09/2009 - 21:38:58 | N | 7810776] 	D:\mp150osxpd483ej7.dmg
[26/11/2009 - 11:56:09 | RHD ] 	D:\MSOCache
[19/12/2010 - 09:01:09 | D ] 	D:\SaveD
[22/07/2009 - 11:02:07 | SHD ] 	D:\System Volume Information
[24/05/2011 - 23:56:38 | RASHD ] 	F:\Autorun.inf
[24/05/2011 - 23:53:52 | N | 1538] 	F:\UsbFix.txt
[24/05/2011 - 23:59:58 | N | 1667] 	F:\UsbFix2.txt
[25/05/2011 - 08:05:22 | N | 98492] 	F:\ZHPDiag.txt

################## | Vaccin |

C:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)
D:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)
F:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)

################## | Upload |

Veuillez envoyer le fichier: C:\UsbFix_Upload_Me_MONGRANDCOPAIN.zip
http://www.teamxscript.org/Upload.php
Merci de votre contribution.

################## | E.O.F |


- Pour ZHPDiag, je ne peux pas me connecter avec l'ordi infecté, donc je tente
une opération de transfert via USB entre les deux ordi et t'envoie le rapport mis à jour dès que possible... Merci

ewwa · Answer

Voici le rapport ZHPDiag upgradé ! :

	https://www.cjoint.com/?0EznxqH97mp

ewwa · Answer

... et moi je déteste ce Windows Vista Edition Familial Basique !...
Impossible de trouver "Exécuter" alors que je vois très où il se trouve
normalement !

En revanche, j'ai croisé un "Invite de commande" en MSE au moment du boot...
qui me fait atterrir sur : Administrateur : cmd.exe
C:\Windows\system32>

Est-ce que ça pourrai être ça ??

ewwa · Answer

J'ai pu surfer un tout petit peu et j'ai la réponse ! :

Le SafeBoot n'est pas coché. :-(

Utilisateur anonyme · Answer

Comment ca se passe quand ton PC démarre? 
Tu as des options?

ewwa · Answer

1. J'appuie sur l'interrupteur
S'affiche 1/4 de seconde : 
Samsung....... Intel......
[F2] for Setup [F4] for Recovery 

Boot from AHCI... CD-ROM : (1/4 de seconde)

Microsoft Corporation (avec "niveau" qui indique qu'il travail )
puis écran noir avec "curseur flèche" mobilisable mais rien ne se passe...

2. Je réappuie sur l'interrupteur pour l'éteindre

3. Ré-Interrupteur pour allumage

Samsung.... Intel
[F2] for Setup [F4] for Recovery

Puis sur écran noir : Windows n'a pas démarré correctement....
* Mode sans Echec
* Mode sans Echec avec prise en charge réseau (marche pas)
* Invite de commande en MSE

* Démarrer Windows normalement

4. MSE : Windows MSE monte en MSE

Utilisateur anonyme · Answer

Bonsoir, 

juste pour te dire que je t'ai pas oublié, je reviens ce soir ;).

Trojans win32.agent.fbx & win32.autorun.tmp

14 réponses

Discussions similaires